title: Απόφαση της Ύπατης Εκπροσώπου της Ένωσης για θέματα εξωτερικής πολιτικής και πολιτικής ασφάλειας, της 19ης Απριλίου 2013 , σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης

text:
               29.6.2013

               EL

               Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης

               C 190/1

         ΑΠΌΦΑΣΗ ΤΗΣ ΎΠΑΤΗΣ ΕΚΠΡΟΣΏΠΟΥ ΤΗΣ ΈΝΩΣΗΣ ΓΙΑ ΘΈΜΑΤΑ ΕΞΩΤΕΡΙΚΉΣ ΠΟΛΙΤΙΚΉΣ ΚΑΙ ΠΟΛΙΤΙΚΉΣ ΑΣΦΆΛΕΙΑΣ
   της 19ης Απριλίου 2013
   σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης
   (2013/C 190/01)
   Η ΥΠΑΤΗ ΕΚΠΡΟΣΩΠΟΣ ΤΗΣ ΕΝΩΣΗΣ ΓΙΑ ΘΕΜΑΤΑ ΕΞΩΤΕΡΙΚΗΣ ΠΟΛΙΤΙΚΗΣ ΚΑΙ ΠΟΛΙΤΙΚΗΣ ΑΣΦΑΛΕΙΑΣ,
   Έχοντας υπόψη: την απόφαση 2010/427/ΕΕ του Συμβουλίου, της 26ης Ιουλίου 2010, για τον καθορισμό της οργάνωσης και της λειτουργίας της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης (1) («ΕΥΕΔ»),
   τη γνώμη της επιτροπής που αναφέρεται στο άρθρο 9 παράγραφος 6 της απόφασης της Ύπατης Εκπροσώπου, της 15ης Ιουνίου 2011, σχετικά με τους κανόνες ασφαλείας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (2),
   τη γνώμη της επιτροπής που αναφέρεται στο άρθρο 10 παράγραφος 1 της απόφασης 2010/427/ΕΕ του Συμβουλίου, της 26ης Ιουλίου 2010, για τον καθορισμό της οργάνωσης και της λειτουργίας της ΕΥΕΔ,
   Εκτιμώντας τα ακόλουθα:

               (1)

               Η ΕΥΕΔ, ως λειτουργικά αυτόνομος φορέας της Ένωσης, θα πρέπει να έχει κανόνες ασφάλειας σύμφωνα με το άρθρο 10 παράγραφος 1 της απόφασης 2010/427/ΕΕ του Συμβουλίου.

               (2)

               Η Ύπατη Εκπρόσωπος της Ένωσης για θέματα εξωτερικής πολιτικής και πολιτικής ασφάλειας (στο εξής «Ύπατη εκπρόσωπος») θα πρέπει να αποφασίζει για τους κανόνες ασφάλειας της ΕΥΕΔ που καλύπτουν όλες τις πτυχές της ασφάλειας όσον αφορά τη λειτουργία της ΕΥΕΔ, προκειμένου να μπορεί η ΕΥΕΔ να διαχειρίζεται αποτελεσματικά τους κινδύνους που αφορούν το προσωπικό που τελεί υπό την ευθύνη της, τα υλικά περιουσιακά στοιχεία, τις πληροφορίες και τους επισκέπτες της, και να εκπληρώνει τα σχετικά καθήκοντα επιμέλειας στον τομέα αυτόν.

               (3)

               Ειδικότερα, θα πρέπει να παρέχεται στο προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ, στα υλικά περιουσιακά στοιχεία, συμπεριλαμβανομένων των συστημάτων επικοινωνίας και πληροφοριών, στις πληροφορίες και στους επισκέπτες της ΕΥΕΔ επίπεδο προστασίας σύμφωνο με αυτό των βέλτιστων πρακτικών του Συμβουλίου, της Επιτροπής, των κρατών μελών και, κατά περίπτωση, των διεθνών οργανισμών.

               (4)

               Οι κανόνες ασφάλειας για την ΕΥΕΔ θα πρέπει να συμβάλουν στην επίτευξη ενός ολοκληρωμένου και συνεκτικότερου γενικού πλαισίου εντός της ΕΕ για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ (στο εξής «ΔΠΕΕ»), έχοντας ως βάση και διατηρώντας όσο το δυνατόν περισσότερη συνοχή με τους κανόνες ασφάλειας του Συμβουλίου της Ευρωπαϊκής Ένωσης (στο εξής «Συμβούλιο») και τις διατάξεις ασφάλειας της Ευρωπαϊκής Επιτροπής.

               (5)

               Η ΕΥΕΔ, το Συμβούλιο και η Επιτροπή δεσμεύονται να εφαρμόζουν ισοδύναμα πρότυπα ασφάλειας για την προστασία των ΔΠΕΕ.

               (6)

               Η παρούσα απόφαση λαμβάνεται με την επιφύλαξη των άρθρων 15 και 16 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης (ΣΛΕΕ) και των πράξεων εφαρμογής τους.

               (7)

               Είναι αναγκαίο να καθοριστεί η οργάνωση της ασφάλειας στην ΕΥΕΔ και η ανάθεση καθηκόντων ασφάλειας εντός των δομών της ΕΥΕΔ.

               (8)

               Η Ύπατη Εκπρόσωπος θα πρέπει να βασίζεται στη σχετική εμπειρογνωσία των κρατών μελών, της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής, όταν αυτό είναι αναγκαίο.

               (9)

               Η Ύπατη Εκπρόσωπος θα πρέπει να λαμβάνει όλα τα κατάλληλα μέτρα που είναι αναγκαία για την εφαρμογή των κανόνων αυτών, με την υποστήριξη των κρατών μελών, της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής,

         ΕΞΕΔΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΑΠΟΦΑΣΗ:
   Άρθρο 1
   Σκοπός και πεδίο εφαρμογής
   Η παρούσα απόφαση θεσπίζει τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (στο εξής «κανόνες ασφάλειας ΕΥΕΔ»).
   Σύμφωνα με το άρθρο 10 παράγραφος 1 της απόφασης 2010/427/ΕΕ του Συμβουλίου, της 26ης Ιουλίου 2010, για τον καθορισμό της οργάνωσης και της λειτουργίας της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης, η απόφαση εφαρμόζεται στο σύνολο του προσωπικού της ΕΥΕΔ και των αντιπροσωπειών της Ένωσης, ανεξαρτήτως της υπηρεσιακής τους κατάστασης ή προέλευσης, και καθορίζει τον γενικό κανονιστικό πλαίσιο για την αποτελεσματική διαχείριση των κινδύνων που αφορούν το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ όπως αναφέρεται στο άρθρο 2, τις εγκαταστάσεις, τα υλικά περιουσιακά στοιχεία, τις πληροφορίες και τους επισκέπτες της ΕΥΕΔ.
   Άρθρο 2
   Ορισμοί
   Για τους σκοπούς της παρούσας απόφασης, ισχύουν οι ακόλουθοι ορισμοί:
   α)   «προσωπικό της ΕΥΕΔ»: υπάλληλοι και λοιπό προσωπικό της ΕΥΕΔ, συμπεριλαμβανομένων του υπαλλήλων από τις διπλωματικές υπηρεσίες των κρατών μελών που έχουν διοριστεί ως έκτακτο προσωπικό, των αποσπασμένων εθνικών εμπειρογνωμόνων, όπως ορίζονται στο άρθρο 6 της απόφασης 2010/427/ΕΕ του Συμβουλίου, της 26ης Ιουλίου 2010, για τον καθορισμό της οργάνωσης και της λειτουργίας της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης·
   β)   «προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ»: το σύνολο του προσωπικού της ΕΥΕΔ και των αντιπροσωπειών της Ένωσης, ανεξαρτήτως της υπηρεσιακής τους κατάστασης ή προέλευσης, καθώς και, στο πλαίσιο της παρούσας απόφασης, η Ύπατη εκπρόσωπος και, κατά περίπτωση, λοιπό προσωπικό που απασχολείται στις εγκαταστάσεις της έδρας της ΕΥΕΔ·
   γ)   «εξαρτώμενα πρόσωπα»: τα μέλη της οικογένειας εργαζόμενου που τελεί υπό την αρμοδιότητα της ΕΥΕΔ σε αντιπροσωπείες της Ένωσης και περιλαμβάνονται στο αντίστοιχο νοικοκυριό όπως γνωστοποιείται στο Υπουργείο Εξωτερικών του κράτους υποδοχής·
   δ)   «εγκαταστάσεις της ΕΥΕΔ»: όλες οι εγκαταστάσεις της ΕΥΕΔ, συμπεριλαμβανομένων κτιρίων, γραφείων, αιθουσών και άλλων χώρων, καθώς και οι χώροι που στεγάζουν τα συστήματα επικοινωνίας και πληροφοριών (συμπεριλαμβανομένων αυτών που διαχειρίζονται ΔΠΕΕ), όπου η ΕΥΕΔ ασκεί μόνιμες ή προσωρινές δραστηριότητες·
   ε)   «συμφέροντα ασφάλειας της ΕΥΕΔ»: το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ, οι εγκαταστάσεις, τα εξαρτώμενα πρόσωπα, τα υλικά περιουσιακά στοιχεία, συμπεριλαμβανομένων των συστημάτων επικοινωνίας και πληροφοριών, οι πληροφορίες και οι επισκέπτες της ΕΥΕΔ·
   στ)   «ΔΠΕΕ»: κάθε πληροφορία ή υλικό που έχει χαρακτηριστεί με διαβάθμιση ασφάλειας ΕΕ και των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών.
   Άλλοι ορισμοί παρατίθενται στα σχετικά παραρτήματα και στο προσάρτημα Α.
   Άρθρο 3
   Καθήκον επιμέλειας
   1.   Οι κανόνες ασφάλειας ΕΥΕΔ αποσκοπούν στην εκπλήρωση των σχετικών καθηκόντων επιμέλειας της ΕΥΕΔ.
   2.   Το καθήκον επιμέλειας της ΕΥΕΔ συνίσταται στην επίδειξη της δέουσας επιμέλειας κατά την ανάληψη όλων των ενδεδειγμένων ενεργειών για την εφαρμογή μέτρων ασφάλειας με σκοπό την αποτροπή ευλόγως προβλέψιμης ζημίας στα συμφέροντα ασφάλειας της ΕΥΕΔ.
   Ενσωματώνει και πτυχές ασφάλειας και πτυχές προστασίας, συμπεριλαμβανομένων αυτών που προκύπτουν από καταστάσεις έκτακτης ανάγκης ή κρίσεις, ανεξαρτήτως της φύσης τους.
   3.   Λαμβάνοντας υπόψη το καθήκον επιμέλειας των κρατών μελών, των θεσμικών οργάνων ή οργανισμών της ΕΕ και άλλων μερών με προσωπικό σε αντιπροσωπείες της Ένωσης και/ή σε εγκαταστάσεις αντιπροσωπειών της Ένωσης, ή το σχετικό καθήκον που εμπίπτει στις αρμοδιότητες της ΕΥΕΔ όταν αντιπροσωπείες της Ένωσης φιλοξενούνται στις εγκαταστάσεις των προαναφερθέντων μερών, η ΕΥΕΔ συνάπτει διοικητικούς διακανονισμούς με καθέναν από τους παραπάνω φορείς οι οποίοι καθορίζουν τους αντίστοιχους ρόλους και αρμοδιότητες, τα καθήκοντα και τους μηχανισμούς συνεργασίας.
   Άρθρο 4
   Υλική ασφάλεια και ασφάλεια των υποδομών
   1.   Η ΕΥΕΔ εφαρμόζει όλα τα ενδεδειγμένα μέτρα υλικής ασφάλειας (είτε μόνιμα είτε προσωρινά), περιλαμβανομένων διατάξεων ελέγχου πρόσβασης, σε όλες τις εγκαταστάσεις της ΕΥΕΔ, με σκοπό την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ. Τα μέτρα αυτά λαμβάνονται υπόψη κατά τον σχεδιασμό και τον προγραμματισμό νέων εγκαταστάσεων ή πριν από τη μίσθωση υφιστάμενων εγκαταστάσεων.
   2.   Η ΕΥΕΔ εφαρμόζει επίσης σε τρίτες χώρες κάθε ενδεδειγμένο πρόσθετο μέτρο υλικής ασφάλειας, μόνιμο ή προσωρινό, για την προστασία των συμφερόντων ασφάλειάς της.
   Προς τον σκοπό αυτόν, μπορούν να επιβληθούν ειδικές υποχρεώσεις ή περιορισμοί στο προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ και στα εξαρτώμενα πρόσωπα, για λόγους ασφάλειας, για συγκεκριμένο διάστημα και σε συγκεκριμένους χώρους.
   3.   Τα μέτρα που αναφέρονται στις παραγράφους 1 και 2 είναι ανάλογα του εκτιμώμενου κινδύνου.
   Άρθρο 5
   Η προστασία των διαβαθμισμένων πληροφοριών
   1.   Η προστασία των ΔΠΕΕ διέπεται από τις απαιτήσεις που ορίζονται στην παρούσα απόφαση, και συγκεκριμένα στο παράρτημα Α. Ο κάτοχος οποιουδήποτε στοιχείου ΔΠΕΕ είναι υπεύθυνος για τη δέουσα προστασία του.
   2.   Η ΕΥΕΔ μεριμνά ώστε η πρόσβαση σε διαβαθμισμένες πληροφορίες να χορηγείται μόνο σε πρόσωπα που πληρούν τις προϋποθέσεις που ορίζονται στο άρθρο 5 του παραρτήματος Α.
   3.   Οι προϋποθέσεις υπό τις οποίες επιτρέπεται η πρόσβαση τοπικών υπαλλήλων σε ΔΠΕΕ καθορίζονται επίσης από την Ύπατη Εκπρόσωπο, σύμφωνα με τους κανόνες προστασίας των ΔΠΕΕ που ορίζονται στο παράρτημα Α της παρούσας απόφασης.
   4.   Η διεύθυνση ασφάλειας της ΕΥΕΔ διαχειρίζεται μια βάση δεδομένων σχετικά με το καθεστώς εξουσιοδότησης ασφάλειας όλου του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ, καθώς και των εργολάβων της ΕΥΕΔ.
   5.   Όταν τα κράτη μέλη αποστέλλουν διαβαθμισμένες πληροφορίες με εθνική σήμανση διαβάθμισης ασφάλειας στις δομές ή τα δίκτυα της ΕΥΕΔ, η ΕΥΕΔ προστατεύει τις πληροφορίες αυτές σύμφωνα με τις απαιτήσεις που ισχύουν για τις ΔΠΕΕ στο αντίστοιχο επίπεδο, όπως προβλέπονται στους ισχύοντες κανόνες δυνάμει του παραρτήματος Α της παρούσας απόφασης.
   6.   Οι χώροι της ΕΥΕΔ στους οποίους αποθηκεύονται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη, ή διαβαθμίζονται σε ισοδύναμο επίπεδο, καθορίζονται ως χώροι ασφάλειας, σύμφωνα με τους κανόνες που προβλέπονται στο παράρτημα Α της παρούσας απόφασης, και εγκρίνονται από την αρχή ασφάλειας της ΕΥΕΔ.
   7.   Οι διαδικασίες για την εκτέλεση των καθηκόντων της Ύπατης Εκπροσώπου στο πλαίσιο συμφωνιών ή διοικητικών διακανονισμών για την ανταλλαγή ΔΠΕΕ με τρίτα κράτη ή διεθνείς οργανισμούς περιγράφονται στα παραρτήματα Α και A VI της παρούσας απόφασης.
   Άρθρο 6
   Συμβάντα και έκτακτα περιστατικά ασφάλειας
   1.   Προκειμένου να διασφαλίζεται η έγκαιρη και αποτελεσματική απόκριση σε συμβάντα ασφάλειας, η ΕΥΕΔ καθιερώνει διαδικασία αναφοράς συμβάντων και έκτακτων περιστατικών αυτού του είδους, η οποία θα εφαρμόζεται είκοσι τέσσερις ώρες το εικοσιτετράωρο, επτά ημέρες την εβδομάδα και θα καλύπτει κάθε είδος συμβάντος ασφάλειας ή απειλής κατά των συμφερόντων ασφάλειας της ΕΥΕΔ (π.χ. ατυχήματα, συγκρούσεις, κακόβουλες πράξεις, εγκληματικές ενέργειες, απαγωγές και καταστάσεις ομηρίας, έκτακτα ιατρικά περιστατικά, προβλήματα στα συστήματα επικοινωνίας και πληροφοριών, κυβερνοεπιθέσεις κ.λπ.).
   2.   Δημιουργούνται δίαυλοι σύνδεσης έκτακτης ανάγκης μεταξύ της έδρας της ΕΥΕΔ, των αντιπροσωπειών της Ένωσης, του Συμβουλίου, της Επιτροπής, των ειδικών εκπροσώπων και των κρατών μελών της ΕΕ, με σκοπό την υποστήριξη των παραπάνω φορέων στη διαχείριση συμβάντων ασφάλειας που αφορούν το προσωπικό, καθώς και των συνεπειών τους, συμπεριλαμβανομένου του σχεδιασμού έκτακτης ανάγκης.
   3.   Η εν λόγω διαχείριση περιστατικών ασφάλειας περιλαμβάνει, μεταξύ άλλων:

               —

               μέτρα για την αποτελεσματική στήριξη της διαδικασίας λήψης αποφάσεων σε σχέση με συμβάν ασφάλειας που αφορά το προσωπικό, περιλαμβανομένων αποφάσεων σχετικά με απόσπαση από αποστολή ή αναστολή αποστολής, και

               —

               πολιτική και διαδικασίες ανάκτησης προσωπικού —π.χ., στην περίπτωση προσωπικού που αγνοείται ή απαγωγής και καταστάσεων ομηρίας— λαμβανομένων υπόψη των ιδιαίτερων αρμοδιοτήτων των κρατών μελών, των θεσμικών οργάνων της ΕΕ και της ΕΥΕΔ εν προκειμένω. Η ανάγκη για ειδικές ικανότητες, στο πλαίσιο της διαχείρισης δραστηριοτήτων αυτού του είδους εξετάζεται λαμβανομένων υπόψη των πόρων που θα μπορούσαν να παράσχουν τα κράτη μέλη.

         4.   Η ΕΥΕΔ προβαίνει σε κατάλληλους διοικητικούς διακανονισμούς για την αναφορά συμβάντων ασφάλειας στις αντιπροσωπείες της Ένωσης. Όπου κρίνεται σκόπιμο, ενημερώνονται τα κράτη μέλη, η Επιτροπή, τυχόν άλλη αρμόδια αρχή, καθώς και οι σχετικές επιτροπές ασφάλειας.
   5.   Οι διαδικασίες διαχείρισης περιστατικών ασφάλειας θα πρέπει να δοκιμάζονται και να αναθεωρούνται τακτικά.
   Άρθρο 7
   Ασφάλεια των συστημάτων επικοινωνίας και πληροφοριών
   1.   Η ΕΥΕΔ προστατεύει τις πληροφορίες που αποτελούν αντικείμενο χειρισμού σε συστήματα επικοινωνίας και πληροφοριών («ΣΕΠ») έναντι απειλών κατά της εμπιστευτικότητας, της ακεραιότητας, της διαθεσιμότητας, της γνησιότητας και της μη άρνησης αναγνώρισης.
   2.   Η αρχή ασφάλειας της ΕΥΕΔ, όπως ορίζεται στο άρθρο 12 τμήμα Ι παράγραφος 1, εγκρίνει κανόνες, πολιτική ασφάλειας και πρόγραμμα ασφάλειας για την προστασία όλων των ΣΕΠ τα οποία κατέχει ή χρησιμοποιεί η ΕΥΕΔ.
   3.   Οι κανόνες, η πολιτική και το πρόγραμμα είναι σύμφωνα με τα αντίστοιχα του Συμβουλίου και της Επιτροπής και η εφαρμογή τους αποτελεί αντικείμενο στενού συντονισμού με αυτά και, εφόσον κρίνεται σκόπιμο, με τις πολιτικές ασφάλειας που εφαρμόζουν τα κράτη μέλη.
   4.   Όλα τα ΣΕΠ που επεξεργάζονται διαβαθμισμένες πληροφορίες υποβάλλονται σε διαδικασία πιστοποίησης. Η ΕΥΕΔ εφαρμόζει ένα σύστημα διαχείρισης πιστοποίησης της ασφάλειας, σε διαβούλευση με τη Γενική Γραμματεία του Συμβουλίου και την Επιτροπή.
   5.   Όταν η προστασία των ΔΠΕΕ τις οποίες χειρίζεται η ΕΥΕΔ παρέχεται με κρυπτογραφικά προϊόντα, τα προϊόντα αυτά εγκρίνονται από την αρχή έγκρισης κρυπτογραφικών μεθόδων της ΕΥΕΔ, βάσει σύστασης της επιτροπής ασφάλειας του Συμβουλίου.
   6.   Η αρχή ασφάλειας της ΕΥΕΔ θεσπίζει, στον βαθμό που είναι αναγκαίο, τις ακόλουθες λειτουργίες διασφάλισης πληροφοριών:

               α)

               αρχή διασφάλισης πληροφοριών·

               β)

               αρχή TEMPEST·

               γ)

               αρχή έγκρισης κρυπτογραφικών μεθόδων·

               δ)

               αρχή διανομής κρυπτογραφικών μεθόδων.

         7.   Για κάθε σύστημα, η αρχή ασφάλειας της ΕΥΕΔ θεσπίζει τις ακόλουθες λειτουργίες:

               α)

               αρχή πιστοποίησης της ασφάλειας·

               β)

               επιχειρησιακή αρχή διασφάλισης πληροφοριών.

         8.   Οι διατάξεις εφαρμογής του παρόντος άρθρου όσον αφορά την προστασία των ΔΠΕΕ περιέχονται στα παραρτήματα Α και Α IV.
   Άρθρο 8
   Παραβιάσεις της ασφάλειας και διαρροή διαβαθμισμένων πληροφοριών
   1.   Παραβίαση της ασφάλειας προκύπτει ως αποτέλεσμα πράξης ή παράλειψης προσώπου οι οποίες αντίκεινται στους κανόνες ασφάλειας που ορίζονται στην παρούσα απόφαση και/ή στις πολιτικές ή τις κατευθυντήριες γραμμές ασφάλειας που ορίζουν τυχόν μέτρα για την εφαρμογή της, όπως εγκρίνονται σύμφωνα με το άρθρο 20 παράγραφος 1.
   2.   Διαρροή διαβαθμισμένων πληροφοριών προκύπτει όταν οι πληροφορίες κοινολογούνται εξ ολοκλήρου ή εν μέρει σε μη εξουσιοδοτημένα πρόσωπα ή φορείς.
   3.   Κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας και κάθε διαρροή ή υπόνοια διαρροής διαβαθμισμένων πληροφοριών αναφέρεται αμέσως στη διεύθυνση ασφάλειας της ΕΥΕΔ, η οποία λαμβάνει τα ενδεδειγμένα μέτρα όπως ορίζεται στο παράρτημα Α.
   4.   Κάθε πρόσωπο που ευθύνεται για παραβίαση των κανόνων ασφάλειας της παρούσας απόφασης ή για διαρροή διαβαθμισμένων πληροφοριών ενδέχεται να υποστεί πειθαρχικές και/ή νομικές κυρώσεις σύμφωνα με τους ισχύοντες νόμους, κανόνες και κανονισμούς, όπως ορίζεται στο άρθρο 11 παράγραφος 3 του παραρτήματος Α.
   Άρθρο 9
   Διερεύνηση περιστατικών ασφάλειας, παραβιάσεων και/ή διαρροών και διορθωτικές δράσεις
   1.   Η διεύθυνση ασφάλειας της ΕΥΕΔ, επικουρούμενη από εμπειρογνώμονες από τα κράτη μέλη και/ή από άλλα όργανα της ΕΕ, κατά περίπτωση, και κατόπιν εξουσιοδότησης από τον γενικό διευθυντή, εφόσον απαιτείται:

               α)

               διεξάγει έρευνες ή επαληθεύσεις, ανάλογα με την περίπτωση:

                           i)

                           όταν είναι γνωστό ή υπάρχουν εύλογες υπόνοιες ότι επήλθε διαρροή ή απώλεια διαβαθμισμένων πληροφοριών σχετικά με την ΕΥΕΔ·

                           ii)

                           επί οποιασδήποτε πραγματικής ή εικαζόμενης παραβίασης ασφάλειας ή άλλων συμβάντων ασφάλειας ή απειλών στα συμφέροντα ασφάλειας της ΕΥΕΔ·

               β)

               εφαρμόζει τυχόν απαραίτητες διορθωτικές δράσεις που προκύπτουν από τις έρευνες, όταν και όπως ενδείκνυται.

         2.   Οι ελεγκτές έχουν πρόσβαση σε όλες τις πληροφορίες που είναι απαραίτητες για τη διενέργεια των ερευνών αυτών και έχουν την πλήρη στήριξη όλων των υπηρεσιών της ΕΥΕΔ εν προκειμένω.
   Οι ελεγκτές ενδέχεται να λάβουν κατάλληλα μέτρα για να διασφαλίσουν ότι η πορεία των αποδεικτικών στοιχείων παρακολουθείται κατά τρόπο ανάλογο προς τη σοβαρότητα του ζητήματος που διερευνάται.
   3.   Όταν η πρόσβαση σε πληροφορίες αφορά δεδομένα προσωπικού χαρακτήρα, συμπεριλαμβανομένων αυτών που περιέχονται στα συστήματα επικοινωνίας και πληροφοριών, η πρόσβαση αυτή διέπεται από τον κανονισμό (ΕΚ) 45/2001.
   4.   Όπου είναι απαραίτητο να δημιουργηθεί μια ερευνητική βάση δεδομένων που θα περιέχει δεδομένα προσωπικού χαρακτήρα, ο ευρωπαίος επόπτης προστασίας δεδομένων (ΕΕΠΔ) ενημερώνεται σύμφωνα με τον προαναφερθέντα κανονισμό.
   Άρθρο 10
   Διαχείριση κινδύνων ασφάλειας
   1.   Η ΕΥΕΔ, για να καθορίσει τις ανάγκες προστασίας της ασφάλειάς της, αναπτύσσει, σε στενή συνεργασία με τη Διεύθυνση Ασφάλειας της Επιτροπής και, κατά περίπτωση, με το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου, μια ολοκληρωμένη μεθοδολογία για την αξιολόγηση κινδύνου ασφάλειας.
   2.   Οι κίνδυνοι που αφορούν τα συμφέροντα ασφάλειας της ΕΥΕΔ αντιμετωπίζονται στο πλαίσιο διαδικασίας. Η διαδικασία αυτή αποσκοπεί στον προσδιορισμό των γνωστών κινδύνων, στον καθορισμό μέτρων ασφάλειας για τη μείωση των κινδύνων αυτών σε αποδεκτό επίπεδο και στην εφαρμογή μέτρων, σύμφωνα με την έννοια της ασφάλειας σε βάθος. Η αποτελεσματικότητα των μέτρων αυτών και το επίπεδο του κινδύνου τελούν υπό συνεχή αξιολόγηση.
   3.   Οι ρόλοι, οι ευθύνες και τα καθήκοντα που καθορίζονται στην παρούσα απόφαση δεν θίγουν την ευθύνη κάθε μέλους του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ· ειδικότερα, το προσωπικό της ΕΕ σε αποστολή σε τρίτες χώρες πρέπει να ενεργεί με βάση την κοινή λογική και την ορθή κρίση όσον αφορά την ατομική του προστασία και ασφάλεια και να συμμορφώνεται με όλους τους ισχύοντες κανόνες, κανονισμούς, διαδικασίες και οδηγίες ασφάλειας.
   4.   Η ΕΥΕΔ λαμβάνει όλα τα ενδεδειγμένα μέτρα για να εξασφαλίσει την προστασία των συμφερόντων ασφάλειάς της και να αποτρέψει ευλόγως προβλέψιμες ζημίες αυτών.
   5.   Τα μέτρα ασφάλειας στην ΕΥΕΔ για την προστασία των ΔΠΕΕ καθόλη τη διάρκεια του κύκλου ζωής τους είναι ανάλογα ιδίως προς το επίπεδο διαβάθμισης ασφάλειας τους, τη μορφή και τον όγκο των πληροφοριών ή του υλικού, τη θέση και την κατασκευή των εγκαταστάσεων που στεγάζουν τις ΔΠΕΕ, καθώς και προς την απειλή, περιλαμβανομένης της επί τόπου εκτιμώμενης απειλής, δόλιων και/ή εγκληματικών δραστηριοτήτων, όπως κατασκοπείας, δολιοφθοράς και τρομοκρατίας.
   Άρθρο 11
   Ευαισθητοποίηση και κατάρτιση σε θέματα ασφάλειας
   1.   Η αρχή ασφάλειας της ΕΥΕΔ διασφαλίζει ότι καταρτίζονται και εφαρμόζονται κατάλληλα προγράμματα ευαισθητοποίησης και κατάρτισης σε θέματα ασφάλειας και ότι το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ, καθώς και, εφόσον κρίνεται σκόπιμο, τα εξαρτώμενα από αυτό πρόσωπα λαμβάνουν τις απαραίτητες ενημερώσεις ευαισθητοποίησης και κατάρτισης που αντιστοιχούν στους κινδύνους του τόπου εργασίας ή διαμονής τους.
   2.   Τα μέλη του προσωπικού, προτού τους χορηγηθεί πρόσβαση σε ΔΠΕΕ και κατόπιν σε τακτά χρονικά διαστήματα, ενημερώνονται και δηλώνουν ότι έχουν κατανοήσει σαφώς την ευθύνη που υπέχουν όσον αφορά την προστασία των ΔΠΕΕ δυνάμει του άρθρου 5.
   Άρθρο 12
   Οργάνωση της ασφάλειας στην ΕΥΕΔ
   1.   Η αρχή ασφάλειας της ΕΥΕΔ είναι ο γενικός διευθυντής (ΓΔ). Υπό την ιδιότητά του αυτή, ο ΓΔ μεριμνά ώστε:

               α)

               τα μέτρα ασφάλειας να συντονίζονται, όπως απαιτείται, με τις αρμόδιες αρχές των κρατών μελών, τη Γενική Γραμματεία του Συμβουλίου και την Επιτροπή και, ανάλογα με την περίπτωση, με τρίτα κράτη ή διεθνείς οργανισμούς, σχετικά με όλα τα θέματα ασφάλειας που εμπίπτουν στις δραστηριότητες της ΕΥΕΔ, μεταξύ άλλων και για τη φύση των απειλών κατά των συμφερόντων ασφάλειας της ΕΥΕΔ και τα μέσα προστασίας από αυτές·

               β)

               οι πτυχές ασφάλειας να λαμβάνονται εξαρχής πλήρως υπόψη για όλες τις δραστηριότητες της ΕΥΕΔ·

               γ)

               πρόσβαση σε διαβαθμισμένες πληροφορίες να χορηγείται μόνο σε πρόσωπα που πληρούν τις προϋποθέσεις που ορίζονται στο άρθρο 5 του παραρτήματος Α·

               δ)

               να θεσπιστεί σύστημα γραμματειών το οποίο διασφαλίζει ότι ο χειρισμός πληροφοριών με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερη γίνεται σύμφωνα με την παρούσα απόφαση εντός της ΕΥΕΔ και μετά την κοινοποίησή τους σε κράτη μέλη της ΕΕ, θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ ή άλλους εξουσιοδοτημένους παραλήπτες. Τηρείται ξεχωριστό αρχείο για όλες τις ΔΠΕΕ που κοινοποιούνται από την ΕΥΕΔ σε τρίτα κράτη και διεθνείς οργανισμούς, καθώς και για όλες τις διαβαθμισμένες πληροφορίες που λαμβάνονται από τρίτες χώρες ή διεθνείς οργανισμούς·

               ε)

               να διεξάγονται οι επιθεωρήσεις ασφάλειας που αναφέρονται στο άρθρο 15·

               στ)

               να διεξάγονται έρευνες για κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας, καθώς και για κάθε πραγματική ή εικαζόμενη διαρροή ή απώλεια διαβαθμισμένων πληροφοριών που κατέχει η ΕΥΕΔ ή προέρχονται από αυτήν, και να ζητείται από τις αρμόδιες αρχές ασφάλειας να συνδράμουν στις έρευνες αυτές·

               ζ)

               να θεσπίζονται κατάλληλα σχέδια και μηχανισμοί για τη διαχείριση συμβάντων και επιπτώσεων με σκοπό την έγκαιρη και αποτελεσματική απόκριση σε συμβάντα ασφάλειας·

               η)

               να λαμβάνονται κατάλληλα μέτρα στην περίπτωση που ένα πρόσωπο δεν συμμορφώνεται με την παρούσα απόφαση·

               θ)

               να εφαρμόζονται κατάλληλα υλικά και οργανωτικά μέτρα για την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ.
               Στο πλαίσιο αυτό και σε διαβούλευση με τον εκτελεστικό γενικό γραμματέα, ο ΓΔ:

                           —

                           ορίζει την κατηγορία ασφάλειας των αντιπροσωπειών, σε διαβούλευση με την Επιτροπή,

                           —

                           αποφασίζει, αφού λάβει τη γνώμη του ύπατου εκπροσώπου, πότε θα πρέπει να γίνει εκκένωση του προσωπικού μιας αντιπροσωπείας εάν η κατάσταση ασφάλειας υπαγορεύει κάτι τέτοιο·

                           —

                           αποφασίζει τα μέτρα που πρέπει να εφαρμοστούν για την προστασία εξαρτώμενων προσώπων, όταν κρίνεται απαραίτητο, λαμβάνοντας υπόψη τους διακανονισμούς με θεσμικά όργανα της ΕΕ όπως αναφέρεται στο άρθρο 3 παράγραφος 3·

                           —

                           εγκρίνει την πολιτική κρυπτογραφημένων επικοινωνιών, ιδίως το πρόγραμμα εγκατάστασης των προϊόντων και του μηχανισμού κρυπτογράφησης.

         2.   Ο ΓΔ επικουρείται σε αυτό το έργο από τον διευθύνοντα σύμβουλο οικονομικών και διοίκησης, από τον επικεφαλής της διεύθυνσης ασφάλειας της ΕΥΕΔ και, κατά περίπτωση, από τον διευθύνοντα σύμβουλο αντιμετώπισης κρίσεων και τον επιχειρησιακό συντονιστή.
   3.   Ο ΓΔ ως αρχή ασφάλειας της ΕΥΕΔ μπορεί να αναθέτει καθήκοντα στο πλαίσιο αυτό, κατά περίπτωση.
   4.   Κάθε επικεφαλής τμήματος/τομέα είναι υπεύθυνος για την εφαρμογή κανόνων για την προστασία των ΔΠΕΕ εντός του τμήματος/τομέα του.
   Κάθε επικεφαλής τμήματος/τομέα, παραμένοντας ο ίδιος υπεύθυνος όπως αναφέρθηκε ανωτέρω, αναθέτει σε ένα μέλος του προσωπικού τον ρόλο του συντονιστή ασφάλειας του τμήματος, οι πόροι του οποίου είναι ανάλογοι των ΔΠΕΕ που χειρίζεται το εν λόγω τμήμα/τομέας.
   Οι συντονιστές ασφάλειας τμήματος βοηθούν και υποστηρίζουν, όταν και όπως ενδείκνυται, τον επικεφαλής του τμήματος/τομέα τους κατά την εκτέλεση καθηκόντων που σχετίζονται με την ασφάλεια, όπως:

               α)

               ανάπτυξη τυχόν πρόσθετων απαιτήσεων ασφάλειας που να ανταποκρίνονται στις ιδιαίτερες ανάγκες του τμήματος/τομέα·

               β)

               παροχή περιοδικών ενημερώσεων ασφάλειας στα μέλη του τμήματος/τομέα τους·

               γ)

               διασφάλιση ότι η αρχή της ανάγκης γνώσης τηρείται στο τμήμα/τομέα τους·

               δ)

               διατήρηση επικαιροποιημένου καταλόγου ασφαλών κωδικών και κλειδιών·

               ε)

               τήρηση των διαδικασιών και των μέτρων ασφάλειας·

               στ)

               αναφορά τυχόν παραβιάσεων ασφάλειας και/ή διαρροών ΔΠΕΕ και στον διευθυντή τους και στη διεύθυνση ασφάλειας·

               ζ)

               οδηγίες προς το προσωπικό που σταματά να απασχολείται στην ΕΥΕΔ σχετικά με τη μη κοινοποίηση διαβαθμισμένων πληροφοριών·

               η)

               παροχή τακτικών εκθέσεων μέσω της ιεραρχίας τους σχετικά με ζητήματα ασφάλειας του τμήματος/τομέα·

               θ)

               διατήρηση επαφών με τη διεύθυνση ασφάλειας της ΕΥΕΔ επί ζητημάτων ασφάλειας.

         Κάθε δραστηριότητα ή ζήτημα που μπορεί να έχει αντίκτυπο στην ασφάλεια κοινοποιείται εγκαίρως στη διεύθυνση ασφάλειας της ΕΥΕΔ.
   5.   Κάθε επικεφαλής αντιπροσωπείας της Ένωσης είναι υπεύθυνος για την εφαρμογή όλων των μέτρων που αφορούν την ασφάλεια της αντιπροσωπείας της Ένωσης.
   1.   Η ΕΥΕΔ διαθέτει διεύθυνση ασφάλειας. Η διεύθυνση ασφάλειας:

               α)

               διαχειρίζεται, συντονίζει, επιβλέπει και/ή εφαρμόζει όλα τα μέτρα ασφάλειας σε όλες τις εγκαταστάσεις που τελούν υπό την ευθύνη της ΕΥΕΔ, στην έδρα της, εντός της ΕΕ και σε τρίτα κράτη·

               β)

               διασφαλίζει συνοχή και συνέπεια με την παρούσα απόφαση και με τις διατάξεις εφαρμογής οποιασδήποτε δραστηριότητας μπορεί να έχει αντίκτυπο στην προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ·

               γ)

               αποτελεί τον κύριο σύμβουλο του ύπατου εκπροσώπου, του εκτελεστικού γενικού γραμματέα και του ΓΔ για όλα τα ζητήματα που άπτονται της ασφάλειας·

               δ)

               επικουρείται από τις αρμόδιες υπηρεσίες των κρατών μελών, σύμφωνα με το άρθρο 10 παράγραφος 3 της απόφασης 2010/427/ΕΕ του Συμβουλίου για τον καθορισμό της οργάνωσης και της λειτουργίας της ΕΥΕΔ,

               ε)

               στηρίζει τις δραστηριότητες της αρχής πιστοποίησης της ασφάλειας της ΕΥΕΔ διενεργώντας αξιολογήσεις υλικής ασφάλειας του γενικού περιβάλλοντος ασφάλειας/τοπικού περιβάλλοντος ασφάλειας των συστημάτων επικοινωνίας και πληροφοριών που διαχειρίζονται ΔΠΕΕ, και των εγκαταστάσεων που πρόκειται να εγκριθούν για τον χειρισμό και την αποθήκευση ΔΠΕΕ.

         2.   Ο επικεφαλής της διεύθυνσης ασφάλειας της ΕΥΕΔ είναι αρμόδιος:

               α)

               να διασφαλίζει τη συνολική προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ·

               β)

               να καταρτίζει, να επανεξετάζει και να επικαιροποιεί τους κανόνες ασφάλειας, καθώς και να συντονίζει τα μέτρα ασφάλειας με τις αρμόδιες αρχές των κρατών μελών και, κατά περίπτωση, με τις αρμόδιες αρχές τρίτων κρατών και διεθνών οργανισμών που συνδέονται με την ΕΕ μέσω συμφωνιών και/ή διακανονισμών ασφάλειας·

               γ)

               να υποστηρίζει τις εργασίες τις επιτροπής ασφάλειας της ΕΥΕΔ, όπως ορίζεται στο άρθρο 14 παράγραφος 1 της παρούσας απόφασης·

               δ)

               να λειτουργεί ως σύνδεσμος με εταίρους ή αρχές εκτός από αυτές που αναφέρονται στο στοιχείο β) παραπάνω επί ζητημάτων ασφάλειας, όπου κρίνεται σκόπιμο·

               ε)

               να θέτει προτεραιότητες και να υποβάλει προτάσεις για τη διαχείριση του προϋπολογισμού όσον αφορά την ασφάλεια στην έδρα και στις αντιπροσωπείες της Ένωσης.

         3.   Ο επικεφαλής της διεύθυνσης ασφάλειας της ΕΥΕΔ:

               α)

               διασφαλίζει ότι καταγράφονται παραβιάσεις της ασφάλειας και διαρροές πληροφοριών και ότι κινούνται και διεξάγονται έρευνες όταν και όπου κρίνεται απαραίτητο·

               β)

               συνέρχεται τακτικά και όποτε είναι απαραίτητο με τον διευθυντή ασφάλειας της Γενικής Γραμματείας του Συμβουλίου και τον διευθυντή της Διεύθυνσης Ασφάλειας της Επιτροπής για να συζητήσουν θέματα κοινού ενδιαφέροντος.

         4.   Η διεύθυνση ασφάλειας της ΕΥΕΔ αναπτύσσει επαφές και διατηρεί στενή συνεργασία με:

               —

               τα τμήματα που είναι αρμόδια για την ασφάλεια στα Υπουργεία Εξωτερικών των κρατών μελών·

               —

               τις εθνικές αρχές ασφάλειας (ΕΑΑ) και/ή τις λοιπές αρμόδιες αρχές ασφάλειας των κρατών μελών, προκειμένου να λαμβάνει τη βοήθειά τους όσον αφορά τις πληροφορίες που χρειάζεται για την εκτίμηση των κινδύνων και των απειλών αυτού του είδους που μπορεί να αντιμετωπίζει η ΕΥΕΔ, το προσωπικό της, οι δραστηριότητες, τα περιουσιακά στοιχεία, οι πόροι και οι διαβαθμισμένες πληροφορίες της στον συνήθη χώρο εργασίας της·

               —

               τις αρμόδιες αρχές ασφάλειας των κρατών μελών ή των κρατών υποδοχής στην επικράτεια των οποίων μπορεί η ΕΥΕΔ να ασκεί τη δραστηριότητά της, σχετικά με οποιοδήποτε θέμα άπτεται της προστασίας του προσωπικού, των περιουσιακών στοιχείων, των πόρων και των διαβαθμισμένων πληροφοριών της όσο βρίσκεται στην επικράτειά τους·

               —

               το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου και τη διεύθυνση ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής και, όπου κρίνεται σκόπιμο, με τα τμήματα ασφάλειας άλλων θεσμικών και λοιπών οργάνων και οργανισμών της ΕΕ·

               —

               τα τμήματα ασφάλειας τρίτων κρατών ή διεθνών οργανισμών, με σκοπό οποιαδήποτε χρήσιμη ενέργεια συντονισμού, και

               —

               τις ΕΑΑ των κρατών μελών, για οποιοδήποτε ζήτημα σχετίζεται με την προστασία των ΔΠΕΕ.

         1.   Κάθε επικεφαλής αντιπροσωπείας της Ένωσης είναι υπεύθυνος για την εφαρμογή και τη διαχείριση, σε τοπικό επίπεδο, όλων των μέτρων που σχετίζονται με την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ εντός των εγκαταστάσεων και του πεδίου αρμοδιοτήτων της αντιπροσωπείας της Ένωσης.
   Σε διαβούλευση με τις αρμόδιες αρχές του κράτους υποδοχής όταν κρίνεται απαραίτητο, προβαίνει σε κάθε ευλόγως εφαρμόσιμη ενέργεια προκειμένου να διασφαλίζει ότι εφαρμόζονται κατάλληλα υλικά και οργανωτικά μέτρα για την επίτευξη του στόχου αυτού.
   Ο επικεφαλής αντιπροσωπείας καταρτίζει διαδικασίες ασφάλειας για την προστασία των εξαρτώμενων προσώπων, όπως ορίζονται στο άρθρο 2 στοιχείο γ), κατά περίπτωση, λαμβάνοντας υπόψη τυχόν διοικητικό διακανονισμό, όπως αναφέρεται στο άρθρο 3 παράγραφος 3. Ο επικεφαλής αντιπροσωπείας υποβάλλει ετήσιες εκθέσεις σχετικά με όλα τα ζητήματα που αφορούν την ασφάλεια και εμπίπτουν στο πεδίο αρμοδιοτήτων του επικεφαλής της διεύθυνσης ασφάλειας της ΕΥΕΔ.
   Ο επικεφαλής αντιπροσωπείας επικουρείται κατά την εκτέλεση των καθηκόντων αυτών από τη διεύθυνση ασφάλειας της ΕΥΕΔ, από το προσωπικό της ΕΥΕΔ στην αντιπροσωπεία που εκτελεί ειδικά καθήκοντα και λειτουργίες, και από ειδικό προσωπικό ασφάλειας, όπου είναι απαραίτητο.
   2.   Επιπλέον, ο επικεφαλής αντιπροσωπείας:

               —

               καταρτίζει λεπτομερή σχέδια ασφάλειας και έκτακτης ανάγκης για την αντιπροσωπεία, βάσει γενικών τυποποιημένων διαδικασιών λειτουργίας·

               —

               διαχειρίζεται ένα αποτελεσματικό σύστημα που λειτουργεί 24 ώρες την ημέρα 7 ημέρες την εβδομάδα για την αντιμετώπιση συμβάντων και έκτακτων αναγκών ασφάλειας εντός του πεδίου λειτουργίας της αντιπροσωπείας·

               —

               μεριμνά ώστε όλο το προσωπικό που απασχολείται στην αντιπροσωπεία να διαθέτει ασφαλιστική κάλυψη όπως απαιτείται λόγω των συνθηκών που επικρατούν στον συγκεκριμένο τόπο·

               —

               μεριμνά ώστε ζητήματα ασφάλειας να περιλαμβάνονται στην κατάρτιση κατά την ανάληψη καθηκόντων στην αντιπροσωπεία της Ένωσης που παρέχεται σε όλο το προσωπικό που απασχολείται στην αντιπροσωπεία πριν ή μετά την άφιξή του σε αυτήν, και

               —

               μεριμνά ώστε να εφαρμόζεται κάθε σύσταση που διατυπώνεται μετά τις αξιολογήσεις ασφάλειας, και να υποβάλλονται στην αρχή ασφάλειας της ΕΥΕΔ γραπτές εκθέσεις σε τακτά διαστήματα σχετικά με την εφαρμογή των εν λόγω συστάσεων, καθώς και με άλλα ζητήματα ασφάλειας.

         3.   Ο επικεφαλής αντιπροσωπείας, ενώ παραμένει υπεύθυνος και λογοδοτεί για τη διασφάλιση της διαχείρισης ασφάλειας καθώς και της εταιρικής προσαρμοστικότητας, μπορεί να αναθέσει την άσκηση των δικών του καθηκόντων ασφάλειας στον συντονιστή ασφάλειας της αντιπροσωπείας (ΣΑΑ), είτε πρόκειται για τον αναπληρωτή επικεφαλής αντιπροσωπείας ή, εάν η θέση αυτή είναι κενή, για άλλο κατάλληλο πρόσωπο.
   Ειδικότερα, στον ΣΑΑ μπορούν να ανατεθούν οι παρακάτω αρμοδιότητες:

               —

               να λειτουργεί ως σύνδεσμος επί ζητημάτων ασφάλειας με τις αρμόδιες αρχές του κράτους υποδοχής και με τους ομολόγους του στις πρεσβείες και τις διπλωματικές αποστολές των κρατών μελών·

               —

               να εφαρμόζει ενδεδειγμένες διαδικασίες διαχείρισης της ασφάλειας που σχετίζονται με τα συμφέροντα ασφάλειας της ΕΥΕΔ, συμπεριλαμβανομένης της προστασίας των ΔΠΕΕ·

               —

               να ενημερώνει τα μέλη προσωπικού για τους κανόνες ασφάλειας που ισχύουν και, ιδίως, για τους κινδύνους που ενέχει η χώρα υποδοχής·

               —

               να υποβάλλει αιτήματα στη διεύθυνση ασφάλειας της ΕΥΕΔ σχετικά με τις θέσεις εργασίας που απαιτούν εξουσιοδότηση ασφάλειας προσωπικού (ΕΑΠ) και

               —

               να τηρεί συνεχώς ενήμερους τον επικεφαλής αντιπροσωπείας, τον περιφερειακό υπεύθυνο ασφάλειας (ΠΥΑ) και τη διεύθυνση ασφάλειας της ΕΥΕΔ σχετικά με συμβάντα ή εξελίξεις στην περιοχή που συνδέονται με την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ.

         4.   Ο επικεφαλής αντιπροσωπείας μπορεί να αναθέσει καθήκοντα ασφάλειας διοικητικού ή τεχνικού χαρακτήρα στον επικεφαλής διοικητικών υπηρεσιών και σε άλλα μέλη του προσωπικού της αντιπροσωπείας.
   5.   Η αντιπροσωπεία της Ένωσης επικουρείται από περιφερειακό υπεύθυνο ασφάλειας (ΠΥΑ). Οι ΠΥΑ αναλαμβάνουν τους ρόλους που παρατίθενται παρακάτω στις αντιπροσωπείες σε κάθε αντίστοιχο γεωγραφικό τομέα αρμοδιότητάς τους.
   Σε ορισμένες περιπτώσεις, όπου υπαγορεύεται από την κατάσταση που επικρατεί στον τομέα της ασφάλειας, μπορεί να διοριστεί ειδικός ΠΥΑ σε μια συγκεκριμένη αντιπροσωπεία και να διαμένει καθόλη τη διάρκεια του χρόνου εκεί.
   Ένας ΠΥΑ μπορεί να χρειαστεί να μετατεθεί σε περιοχή εκτός του παρόντος τομέα αρμοδιότητάς του, μεταξύ άλλων στην έδρα της ΕΥΕΔ στις Βρυξέλλες, ή ακόμη να αναλάβει μια θέση εργασίας και να διαμείνει σε οποιαδήποτε χώρα ανάλογα με την κατάσταση που επικρατεί σε σχέση με την ασφάλεια και σύμφωνα με τις απαιτήσεις της διεύθυνσης ασφάλειας της ΕΥΕΔ.
   6.   Οι ΠΥΑ τελούν υπό τον άμεσο ιεραρχικό έλεγχο της διεύθυνσης ασφάλειας της ΕΥΕΔ, αλλά υπό τον άμεσο λειτουργικό και διοικητικό έλεγχο του επικεφαλής της αντίστοιχης αντιπροσωπείας. Επικουρούν τον επικεφαλής και το προσωπικό της αντιπροσωπείας στη διευθέτηση και την εφαρμογή όλων των υλικών, οργανωτικών και διαδικαστικών μέτρων που σχετίζονται με την ασφάλεια όλου του προσωπικού της αντιπροσωπείας ανεξαρτήτως της υπηρεσιακής προέλευσής του.
   7.   Οι ΠΥΕ συμβουλεύουν και υποστηρίζουν τον επικεφαλής αντιπροσωπείας και το προσωπικό της αντιπροσωπείας. Όπου κρίνεται σκόπιμο, ιδίως στις περιπτώσεις που ένας ειδικός ΠΥΟ διαμένει καθόλη τη διάρκεια του χρόνου στη χώρα υποδοχής της αντιπροσωπείας, μπορεί να βοηθά μια αντιπροσωπεία της Ένωσης στη διαχείριση και την εφαρμογή μέτρων ασφάλειας, συμπεριλαμβανομένης της κατάρτισης συμβάσεων, καθώς και στη διαχείριση πιστοποιήσεων και εξουσιοδοτήσεων.
   Άρθρο 13
   Επιχειρήσεις κοινής πολιτικής ασφάλειας και άμυνας (ΚΠΑΑ) και ειδικοί εκπρόσωποι της ΕΕ
   Η διεύθυνση ασφάλειας της ΕΥΕΔ επικουρεί και συμβουλεύει τον διευθυντή της διεύθυνσης διαχείρισης κρίσεων και σχεδιασμού (CMPD), τον γενικό διευθυντή του στρατιωτικού επιτελείου της ΕΕ (EUMS), τον διοικητή μη στρατιωτικών επιχειρήσεων που είναι επικεφαλής της μη στρατιωτικής δυνατότητας σχεδιασμού και διεξαγωγής επιχειρήσεων (CPCC), τους διοικητές στρατιωτικών επιχειρήσεων της ΕΕ σχετικά με πτυχές ασφάλειας των επιχειρήσεων ΚΠΑΑ και τους ειδικούς εκπροσώπους της ΕΕ σχετικά με πτυχές ασφάλειας των εντολών τους, συμπληρωματικά προς τις ειδικές διατάξεις που προβλέπονται εν προκειμένω στις σχετικές πολιτικές που έχουν εγκριθεί από το Συμβούλιο.
   Άρθρο 14
   Η επιτροπή ασφάλειας της ΕΥΕΔ
   1.   Θεσπίζεται επιτροπή ασφάλειας της ΕΥΕΔ.
   Πρόεδρος της επιτροπής είναι ο ΓΔ ή ορισθείς αντιπρόσωπός του. Η επιτροπή συνέρχεται σύμφωνα με τις οδηγίες του προέδρου ή κατόπιν αίτησης οποιουδήποτε από τα μέλη της. Η διεύθυνση ασφάλειας της ΕΥΕΔ στηρίζει τον πρόεδρο σε αυτό το καθήκον και παρέχει διοικητική συνδρομή, όταν κρίνεται απαραίτητο, στις εργασίες της επιτροπής.
   2.   Η επιτροπή ασφάλειας της ΕΥΕΔ απαρτίζεται από εκπροσώπους:

               —

               κάθε κράτους μέλους·

               —

               του γραφείου ασφάλειας της Γενικής Γραμματείας του Συμβουλίου·

               —

               της διεύθυνσης ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής.

         Μια αντιπροσωπεία κράτους μέλους στην επιτροπή ασφάλειας της ΕΥΕΔ μπορεί να απαρτίζεται από μέλη:

               —

               της εθνικής αρχής ασφάλειας και/ή της καθορισμένης αρχής ασφάλειας,

               —

               των τμημάτων που είναι αρμόδια για την ασφάλεια στα Υπουργεία Εξωτερικών.

         3.   Οι εκπρόσωποι της επιτροπής μπορεί να συνοδεύονται από εμπειρογνώμονες ή να ζητούν τη γνώμη τους, όπως κρίνεται απαραίτητο. Εκπρόσωποι θεσμικών και λοιπών οργάνων και οργανισμών της ΕΕ μπορεί να προσκαλούνται να παρίστανται όταν εξετάζονται ζητήματα σχετικά με την ασφάλειά τους.
   4.   Με την επιφύλαξη της παραγράφου 5 παρακάτω, η επιτροπή ασφάλειας της ΕΥΕΔ επικουρεί την ΕΥΕΔ, μέσω διαβουλεύσεων, για όλα τα ζητήματα ασφάλειας που αφορούν τις δραστηριότητες της ΕΥΕΔ, την έδρα της και τις αντιπροσωπείες της Ένωσης.
   Συγκεκριμένα, με την επιφύλαξη της παραγράφου 5 παρακάτω, η επιτροπή ασφάλειας της ΕΥΕΔ:

               α)

               διατυπώνει, κατόπιν σχετικού αιτήματος, τη γνώμη της σχετικά με:

                           —

                           πολιτικές, κατευθυντήριες γραμμές, έννοιες ή άλλα έγγραφα μεθοδολογίας που σχετίζονται με την ασφάλεια, ιδίως όσον αφορά την προστασία διαβαθμισμένων πληροφοριών και τα μέτρα που πρέπει να λαμβάνονται σε περίπτωση μη συμμόρφωσης του προσωπικού της ΕΥΕΔ με τους κανόνες ασφάλειας·

                           —

                           τεχνικές πτυχές της ασφάλειας που μπορεί να επηρεάσουν την απόφαση του ύπατου εκπροσώπου να υποβάλει σύσταση στο Συμβούλιο για την έναρξη διαπραγματεύσεων με σκοπό τη σύναψη συμφωνιών ασφάλειας πληροφοριών, όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο α) του παραρτήματος Α·

                           —

                           τυχόν τροποποιήσεις της παρούσας απόφασης·

               β)

               μπορεί να διατυπώσει, κατόπιν σχετικού αιτήματος, τη γνώμη της ή να ενημερωθεί, ανάλογα με την περίπτωση, σχετικά με ζητήματα που αφορούν την ασφάλεια του προσωπικού και των περιουσιακών στοιχείων εντός της έδρας της ΕΥΕΔ και των αντιπροσωπειών της Ένωσης, με την επιφύλαξη του άρθρου 3 παράγραφος 3·

               γ)

               ενημερώνεται για τυχόν διαρροές ή απώλειες ΔΠΕΕ που συνέβησαν εντός της ΕΥΕΔ.

         5.   Τυχόν αλλαγή των κανόνων που αφορούν την προστασία των ΔΠΕΕ και περιέχονται στην παρούσα απόφαση και στο παράρτημα Α αυτής απαιτεί την ομόφωνη ευνοϊκή γνώμη των κρατών μελών όπως εκπροσωπούνται στην επιτροπή ασφάλειας της ΕΥΕΔ. Αυτή η ομόφωνη ευνοϊκή γνώμη απαιτείται επίσης πριν από:

               —

               την έναρξη διαπραγματεύσεων για διοικητικούς διακανονισμούς, όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο β) του παραρτήματος Α·

               —

               την κοινοποίηση διαβαθμισμένων πληροφοριών στις εξαιρετικές περιστάσεις που αναφέρονται στις παραγράφους 9, 11 και 12 του παραρτήματος A VI·

               —

               την ανάληψη της ευθύνης του φορέα προέλευσης των πληροφοριών στις περιστάσεις που αναφέρονται στο άρθρο 10 παράγραφος 4 τελευταία πρόταση του παραρτήματος Α.

         Ο όρος της ομόφωνης ευνοϊκής γνώμης πληρούται όταν δεν εκφράζονται αντιρρήσεις από τις αντιπροσωπείες των κρατών μελών κατά τη διάρκεια των εργασιών της επιτροπής.
   6.   Η επιτροπή ασφάλειας της ΕΥΕΔ λαμβάνει πλήρως υπόψη τις ισχύουσες πολιτικές και κατευθυντήριες γραμμές ασφάλειας στο Συμβούλιο και την Επιτροπή.
   7.   Η επιτροπή ασφάλειας της ΕΥΕΔ λαμβάνει τον κατάλογο των ετήσιων επιθεωρήσεων της ΕΥΕΔ και τις εκθέσεις επιθεώρησης αμέσως μόλις οριστικοποιούνται.
   8.   Διοργάνωση των συνεδριάσεων:

               —

               Η επιτροπή ασφάλειας της ΕΥΕΔ συνεδριάζει τουλάχιστον δύο φορές τον χρόνο. Πρόσθετες συνεδριάσεις, είτε με σύνθεση ολομέλειας είτε με σύνθεση εθνικών αρχών ασφάλειας/καθορισμένων αρχών ασφάλειας (ΕΑΑ/ΚΑΑ) ή Υπουργείων Εξωτερικών, μπορούν να διοργανώνονται από τον πρόεδρο ή κατόπιν αιτήματος των μελών της επιτροπής.

               —

               Η επιτροπή ασφάλειας της ΕΥΕΔ οργανώνει τις δραστηριότητές της κατά τέτοιον τρόπο ώστε να μπορεί να διατυπώνει συστάσεις για ειδικούς τομείς ασφάλειας. Μπορεί να συγκροτήσει άλλες υποομάδες εμπειρογνωμόνων, ανάλογα με τις ανάγκες. Η επιτροπή ορίζει τα καθήκοντα αυτών των υποομάδων και οι εμπειρογνώμονες της υποβάλλουν εκθέσεις σχετικά με τις δραστηριότητές τους.

               —

               Η διεύθυνση ασφάλειας της ΕΥΕΔ είναι υπεύθυνη για την προετοιμασία των θεμάτων προς συζήτηση. Ο πρόεδρος καταρτίζει την προσωρινή ημερήσια διάταξη για κάθε συνεδρίαση. Τα μέλη της επιτροπής μπορούν να προτείνουν πρόσθετα θέματα προς συζήτηση.

         Άρθρο 15
   Επιθεωρήσεις ασφάλειας
   1.   Η αρχή ασφάλειας της ΕΥΕΔ μεριμνά για τη διεξαγωγή επιθεωρήσεων ασφάλειας σε τακτική βάση εντός της έδρας της ΕΥΕΔ και εντός των αντιπροσωπειών της Ένωσης, προκειμένου να αξιολογείται η επάρκεια των μέτρων ασφάλειας και να επιβεβαιώνεται η συμμόρφωσή τους με την παρούσα απόφαση. Η διεύθυνση ασφάλειας της ΕΥΕΔ μπορεί, όπου ενδείκνυται, να ορίσει συνεισφέροντες εμπειρογνώμονες για να συμμετέχουν σε επιθεωρήσεις ασφάλειας σε οργανισμούς και όργανα της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ.
   2.   Οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ διενεργούνται υπό την εποπτεία της διεύθυνσης ασφάλειας της ΕΥΕΔ και, όπου ενδείκνυται, με τη στήριξη των εμπειρογνωμόνων ασφάλειας που εκπροσωπούν άλλα θεσμικά όργανα ή κράτη μέλη της ΕΕ, ιδίως στο πλαίσιο των διακανονισμών που αναφέρονται στο άρθρο 3 παράγραφος 3.
   3.   Η ΕΥΕΔ μπορεί να βασίζεται, όπου απαιτείται, στη σχετική εμπειρογνωσία των κρατών μελών, της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής.
   Όπου κρίνεται σκόπιμο, εμπειρογνώμονες στον τομέα της ασφάλειας με έδρα αποστολές κρατών μελών σε τρίτα κράτη και/ή εκπρόσωποι των διπλωματικών τμημάτων ασφάλειας των κρατών μελών ενδέχεται να κληθούν να συμμετάσχουν στην επιθεώρηση ασφάλειας μιας αντιπροσωπείας της Ένωσης.
   4.   Οι διατάξεις εφαρμογής του παρόντος άρθρου όσον αφορά την προστασία των ΔΠΕΕ παρατίθενται στο παράρτημα Α III.
   Άρθρο 16
   Επισκέψεις αξιολόγησης
   Διοργανώνονται επισκέψεις αξιολόγησης για να εξακριβωθεί η αποτελεσματικότητα των μέτρων ασφάλειας που εφαρμόζονται σε τρίτο κράτος ή διεθνή οργανισμό για την προστασία των ανταλλασσόμενων ΔΠΕΕ στο πλαίσιο διοικητικού διακανονισμού όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο β) του παραρτήματος Α.
   Η διεύθυνση ασφάλειας της ΕΥΕΔ μπορεί να ορίσει ειδικούς εμπειρογνώμονες για τη συμμετοχή σε επισκέψεις αξιολόγησης σε τρίτα κράτη ή διεθνείς οργανισμούς με τους οποίους η ΕΕ έχει συνάψει συμφωνία ασφάλειας πληροφοριών όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο α) του παραρτήματος Α.
   Άρθρο 17
   Σχεδιασμός επιχειρησιακής συνέχειας
   Η διεύθυνση ασφάλειας της ΕΥΕΔ επικουρεί τον ΓΔ στη διαχείριση των πτυχών των διαδικασιών επιχειρησιακής συνέχειας της ΕΥΕΔ που συνδέονται με την ασφάλεια, στο πλαίσιο του συνολικού σχεδιασμού επιχειρησιακής συνέχειας της ΕΥΕΔ.
   Άρθρο 18
   Ταξιδιωτικές συμβουλές για αποστολές εκτός της ΕΕ
   Η διεύθυνση ασφάλειας της ΕΥΕΔ μεριμνά για την παροχή ταξιδιωτικών συμβουλών σχετικά με αποστολές προσωπικού που τελούν υπό την ευθύνη της ΕΥΕΔ εκτός της ΕΕ, αξιοποιώντας τους πόρους όλων των σχετικών υπηρεσιών της ΕΥΕΔ —ειδικότερα, της SITROOM, της INTCEN, των γεωγραφικών τμημάτων και των αντιπροσωπειών της Ένωσης.
   Η διεύθυνση ασφάλειας της ΕΥΕΔ παρέχει, κατόπιν αιτήματος και βασιζόμενη στους προαναφερθέντες πόρους, ειδικές ταξιδιωτικές συμβουλές σχετικά με αποστολές προσωπικού που τελούν υπό την ευθύνη της ΕΥΕΔ σε τρίτα κράτη που παρουσιάζουν υψηλό κίνδυνο ή αυξημένο επίπεδο κινδύνου.
   Άρθρο 19
   Υγεία και ασφάλεια
   Οι κανόνες ασφάλειας της ΕΥΕΔ συμπληρώνουν τους κανόνες της Υπηρεσίας για την προστασία της υγείας και της ασφάλειας, όπως έχουν εγκριθεί από τον ύπατο εκπρόσωπο.
   Άρθρο 20
   Εφαρμογή και επανεξέταση
   1.   Η αρχή ασφάλειας της ΕΥΕΔ εγκρίνει, κατόπιν διαβούλευσης με την επιτροπή ασφάλειας της ΕΥΕΔ κατά περίπτωση, πολιτικές ή κατευθυντήριες γραμμές ασφάλειας που ορίζουν τυχόν μέτρα τα οποία είναι απαραίτητα για την εφαρμογή των εν λόγω κανόνων στην ΕΥΕΔ, και ενισχύει την αναγκαία ικανότητα για την κάλυψη όλων των πτυχών της ασφάλειας, σε στενή συνεργασία με τις αρμόδιες αρχές ασφάλειας των κρατών μελών και με την υποστήριξη των αρμόδιων υπηρεσιών στα θεσμικά όργανα της ΕΕ.
   2.   Σύμφωνα με το άρθρο 4 παράγραφος 5 της απόφασης 2010/427/ΕΕ του Συμβουλίου, της 26ης Ιουλίου 2010, για τον καθορισμό της οργάνωσης και της λειτουργίας της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης, είναι δυνατόν, εφόσον είναι αναγκαίο, να χρησιμοποιούνται μεταβατικές ρυθμίσεις, μέσω συμφωνιών σε επίπεδο υπηρεσιών με τις αρμόδιες υπηρεσίες της Γενικής Γραμματείας του Συμβουλίου και της Επιτροπής.
   3.   Ο ύπατος εκπρόσωπος μεριμνά για τη γενική συνοχή στην εφαρμογή της παρούσας απόφασης και επανεξετάζει τακτικά τους εν λόγω κανόνες ασφάλειας.
   4.   Οι κανόνες ασφάλειας της ΕΥΕΔ πρέπει να εφαρμόζονται σε στενή συνεργασία με τις αρμόδιες αρχές ασφάλειας των κρατών μελών, με το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου και με τη διεύθυνση ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής.
   5.   Η ΕΥΕΔ μεριμνά ώστε να λαμβάνονται υπόψη όλες οι πτυχές της διαδικασίας ασφάλειας στο πλαίσιο του συστήματος αντιμετώπισης κρίσεων της ΕΥΕΔ.
   6.   Ο ΓΔ, ως η αρχή ασφάλειας, και ο επικεφαλής της διεύθυνσης ασφάλειας της ΕΥΕΔ μεριμνούν για την εφαρμογή της παρούσας απόφασης.
   Άρθρο 21
   Αντικατάσταση προηγούμενων αποφάσεων
   1.   Η παρούσα απόφαση καταργεί και αντικαθιστά την απόφαση της ύπατης εκπροσώπου της Ένωσης για θέματα εξωτερικής πολιτικής και πολιτικής ασφάλειας, της 15ης Ιουνίου 2011, σχετικά με τους κανόνες ασφάλειας για την Ευρωπαϊκή Υπηρεσία Εξωτερικής Δράσης (3).
   2.   Η παρούσα απόφαση καταργεί την απόφαση της ύπατης εκπροσώπου της Ένωσης για θέματα εξωτερικής πολιτικής και πολιτικής ασφάλειας, της 23ης Φεβρουαρίου 2011, σχετικά με τον διορισμό και τα καθήκοντα της εξουσιοδοτημένης αρχής ασφάλειας της Ευρωπαϊκής Υπηρεσίας Εξωτερικής Δράσης.
   Άρθρο 22
   Τελικές διατάξεις
   Η παρούσα απόφαση ισχύει από την ημέρα της υπογραφής της.
   Δημοσιεύεται στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης.

      Οι αρμόδιες αρχές στην ΕΥΕΔ ενημερώνουν δεόντως και εγκαίρως όλο το προσωπικό το οποίο εμπίπτει στο πεδίο εφαρμογής της παρούσας απόφασης και των παραρτημάτων της σχετικά με το περιεχόμενο, τη θέση σε ισχύ και τυχόν μεταγενέστερες τροποποιήσεις τους.
      Βρυξέλλες, 19 Απριλίου 2013.

            Η ύπατη εκπρόσωπος

         C. ASHTON

      (1)  ΕΕ L 201 της 03.08.2010, σ. 30.

      (2)  ΕΕ C 304 της 15.10.2011, σ. 5.

      (3)  ΕΕ C 304 της 15.10.2011, σ. 5.

      ΠΑΡΑΡΤΗΜΑ Α

         ΑΡΧΕΣ ΚΑΙ ΠΡΟΤΥΠΑ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΠΕΕ

      Άρθρο 1
      Σκοπός, πεδίο εφαρμογής και ορισμοί
      1.   Το παρόν παράρτημα ορίζει τις βασικές αρχές και τα ελάχιστα πρότυπα ασφάλειας για την προστασία των ΔΠΕΕ.
      2.   Οι εν λόγω βασικές αρχές και τα ελάχιστα πρότυπα εφαρμόζονται στην ΕΥΕΔ και το προσωπικό που τελεί υπό την ευθύνη της ΕΥΕΔ όπως αναφέρεται και ορίζεται αντίστοιχα στα άρθρα 1 και 2 της παρούσας απόφασης.
      Άρθρο 2
      Ορισμός των ΔΠΕΕ, διαβαθμίσεις και σημάνσεις ασφάλειας
      1.   «Διαβαθμισμένες πληροφορίες ΕΕ» (ΔΠΕΕ): κάθε πληροφορία ή υλικό που έχει χαρακτηριστεί με διαβάθμιση ασφάλειας ΕΕ και των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών.
      2.   Οι ΔΠΕΕ διαβαθμίζονται σε ένα από τα παρακάτω επίπεδα:

                  α)

                  TRES SECRET UE/EU TOP SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να προξενήσει εξαιρετικά σοβαρή ζημία στα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών.

                  β)

                  SECRET UE/EU SECRET: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει σοβαρά τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών της·

                  γ)

                  CONFIDENTIEL UE/EU CONFIDENTIAL: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει τα ζωτικά συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών της·

                  δ)

                  RESTREINT UE/EU RESTRICTED: πληροφορίες και υλικό των οποίων η άνευ αδείας κοινολόγηση μπορεί να είναι αντίθετη προς τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών της.

            3.   Οι ΔΠΕΕ φέρουν σήμανση διαβάθμισης ασφάλειας σύμφωνα με την παράγραφο 2. Μπορούν να φέρουν πρόσθετες σημάνσεις με τις οποίες ορίζεται ο τομέας δραστηριότητας με τον οποίο σχετίζονται, προσδιορίζεται ο φορέας προέλευσης, περιορίζεται η διανομή και η χρήση ή δηλώνεται η δυνατότητα κοινοποίησης.
      Άρθρο 3
      Διαχείριση των διαβαθμίσεων
      1.   Η ΕΥΕΔ μεριμνά για την ορθή διαβάθμιση των ΔΠΕΕ, τον σαφή προσδιορισμό τους ως διαβαθμισμένων πληροφοριών, καθώς και για τη διατήρηση του επιπέδου διαβάθμισής τους μόνο για το διάστημα που είναι απαραίτητο.
      2.   Οι ΔΠΕΕ δεν υποχαρακτηρίζονται ή αποχαρακτηρίζονται ούτε τροποποιείται ή αφαιρείται οποιαδήποτε από τις σημάνσεις που αναφέρονται στο άρθρο 2 παράγραφος 3 χωρίς την προηγούμενη γραπτή συγκατάθεση του φορέα προέλευσης.
      3.   Η αρχή ασφάλειας της ΕΥΕΔ εγκρίνει, κατόπιν διαβούλευσης με την επιτροπή ασφάλειας της ΕΥΕΔ σύμφωνα με το άρθρο 14 παράγραφος 5 της παρούσας απόφασης, πολιτική ασφάλειας για τη δημιουργία ΔΠΕΕ η οποία θα περιλαμβάνει πρακτικό οδηγό των διαβαθμίσεων ασφάλειας.
      Άρθρο 4
      Προστασία διαβαθμισμένων πληροφοριών
      1.   Η προστασία των ΔΠΕΕ γίνεται σύμφωνα με την παρούσα απόφαση.
      2.   Ο κάτοχος κάθε ΔΠΕΕ είναι υπεύθυνος για την προστασία της σύμφωνα με την παρούσα απόφαση.
      3.   Όταν τα κράτη μέλη αποστέλλουν διαβαθμισμένες πληροφορίες με εθνική σήμανση διαβάθμισης ασφάλειας στις δομές ή τα δίκτυα της ΕΥΕΔ, η ΕΥΕΔ προστατεύει τις πληροφορίες αυτές σύμφωνα με τις απαιτήσεις που ισχύουν για τις ΔΠΕΕ στο αντίστοιχο επίπεδο όπως ορίζεται στον πίνακα αντιστοιχίας των διαβαθμίσεων ασφάλειας του προσαρτήματος Β της απόφασης 2011/292/ΕΕ του Συμβουλίου, της 31ης Μαρτίου 2011, σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ.
      Η ΕΥΕΔ θεσπίζει κατάλληλες διαδικασίες για την τήρηση ακριβών αρχείων σχετικά με τον φορέα προέλευσης

                  —

                  των διαβαθμισμένων πληροφοριών που λαμβάνει η ΕΥΕΔ, και

                  —

                  του υλικού πηγής που περιλαμβάνεται στις διαβαθμισμένες πληροφορίες που προέρχονται από την ΕΥΕΔ.

            Η επιτροπή ασφάλειας της ΕΥΕΔ ενημερώνεται για τις διαδικασίες αυτές.
      4.   Ο μεγάλος αριθμός ή η συγκέντρωση ΔΠΕΕ μπορεί να δικαιολογεί επίπεδο προστασίας που αντιστοιχεί σε υψηλότερη διαβάθμιση από αυτήν των επιμέρους στοιχείων τους.
      Άρθρο 5
      Ασφάλεια προσωπικού για τον χειρισμό διαβαθμισμένων πληροφοριών της ΕΕ
      1.   Ως ασφάλεια προσωπικού νοείται η εφαρμογή μέτρων προκειμένου να διασφαλίζεται ότι πρόσβαση στις ΔΠΕΕ επιτρέπεται μόνο σε πρόσωπα τα οποία:

                  —

                  έχουν ανάγκη γνώσης,

                  —

                  για πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη, έχουν λάβει εξουσιοδότηση ασφάλειας του αντίστοιχου επιπέδου ή άλλη κατάλληλη εξουσιοδότηση βάσει των καθηκόντων τους σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, και

                  —

                  έχουν ενημερωθεί σχετικά με τις ευθύνες τους.

            2.   Οι διαδικασίες εξουσιοδότησης ασφάλειας προσωπικού (ΕΑΠ) εξακριβώνουν κατά πόσον μπορεί να επιτραπεί σε ένα πρόσωπο, βάσει της νομιμοφροσύνης, της φερεγγυότητας και της αξιοπιστίας του, η πρόσβαση σε ΔΠΕΕ.
      3.   Όλα τα πρόσωπα ενημερώνονται και δηλώνουν εγγράφως ότι έχουν κατανοήσει σαφώς την ευθύνη τους να προστατεύουν τις ΔΠΕΕ σύμφωνα με την παρούσα απόφαση, προτού τους επιτραπεί η πρόσβαση σε ΔΠΕΕ και κατά τακτά χρονικά διαστήματα στη συνέχεια.
      4.   Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A I.
      Άρθρο 6
      Υλική ασφάλεια των διαβαθμισμένων πληροφοριών της ΕΕ
      1.   Υλική ασφάλεια είναι η εφαρμογή φυσικών και τεχνικών μέτρων προστασίας για την αποτροπή της μη εξουσιοδοτημένης πρόσβασης σε ΔΠΕΕ.
      2.   Τα μέτρα υλικής ασφάλειας σχεδιάζονται έτσι ώστε να μην επιτρέπεται η λαθραία ή βίαιη είσοδος αναρμόδιων προσώπων, να αποτρέπονται, να παρεμποδίζονται και να ανιχνεύονται οι μη εξουσιοδοτημένες ενέργειες και να καθίσταται δυνατή η διαφοροποίηση του προσωπικού όσον αφορά την πρόσβασή του σε ΔΠΕΕ βάσει της «ανάγκης γνώσης». Τα μέτρα αυτά καθορίζονται βάσει διαδικασίας διαχείρισης κινδύνων.
      3.   Τα μέτρα υλικής ασφάλειας τίθενται σε ισχύ για όλες τις εγκαταστάσεις, τα κτίρια, τα γραφεία, τις αίθουσες και άλλους χώρους όπου γίνεται ο χειρισμός ή η αποθήκευση ΔΠΕΕ, συμπεριλαμβανομένων των χώρων που στεγάζουν συστήματα επικοινωνίας και πληροφοριών, όπως ορίζονται στο άρθρο 8 παράγραφος 2.
      4.   Οι χώροι στους οποίους αποθηκεύονται ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καθορίζονται ως χώροι ασφάλειας σύμφωνα με το παράρτημα Α ΙΙ και εγκρίνονται από την αρχή ασφάλειας της ΕΥΕΔ.
      5.   Για την προστασία ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη, χρησιμοποιούνται μόνο εγκεκριμένος εξοπλισμός ή εγκεκριμένες συσκευές.
      6.   Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A II.
      Άρθρο 7
      Διαχείριση διαβαθμισμένων πληροφοριών
      1.   Η διαχείριση των διαβαθμισμένων πληροφοριών συνίσταται στην εφαρμογή διοικητικών μέτρων για τον έλεγχο των ΔΠΕΕ καθόλη τη διάρκεια του κύκλου ζωής τους με στόχο τη συμπλήρωση των μέτρων που προβλέπουν τα άρθρα 5, 6 και 8 και τη συμβολή κατά τον τρόπο αυτόν στην αποτροπή και την ανίχνευση εσκεμμένων ή τυχαίων διαρροών ή απωλειών των εν λόγω πληροφοριών, καθώς και στην ανάκτησή τους. Τα εν λόγω μέτρα αφορούν ειδικότερα τη δημιουργία, την καταχώριση, την αντιγραφή, τη μετάφραση, τη μεταφορά, τον χειρισμό, την αποθήκευση και την καταστροφή ΔΠΕΕ.
      2.   Οι πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καταχωρίζονται, για λόγους ασφάλειας, πριν από τη διανομή και κατά την παραλαβή. Οι αρμόδιες αρχές στην ΕΥΕΔ καθιερώνουν γραμματειακό σύστημα για τον σκοπό αυτό. Πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET καταχωρίζονται στις αρμόδιες γραμματείες.
      3.   Οι υπηρεσίες και οι χώροι χειρισμού ή αποθήκευσης ΔΠΕΕ υπόκεινται σε τακτική επιθεώρηση από την αρχή ασφάλειας της ΕΥΕΔ.
      4.   Οι ΔΠΕΕ διαβιβάζονται μεταξύ των υπηρεσιών και των εγκαταστάσεων που βρίσκονται εκτός των περιοχών που τυγχάνουν φυσικής προστασίας ως εξής:

                  α)

                  κατά κανόνα, οι ΔΠΕΕ διαβιβάζονται με ηλεκτρονικά μέσα που προστατεύονται από κρυπτογραφικά προϊόντα τα οποία έχουν εγκριθεί σύμφωνα με το άρθρο 7 παράγραφος 5 της παρούσας απόφασης και σύμφωνα με σαφώς καθορισμένες λειτουργικές διαδικασίες ασφάλειας (ΕΔΑ)·

                  β)

                  όταν δεν χρησιμοποιούνται τα μέσα που αναφέρονται στο στοιχείο α), οι ΔΠΕΕ μεταφέρονται:

                              i)

                              είτε με ηλεκτρονικά μέσα (π.χ. κλειδιά USB, CD, σκληρούς δίσκους) που προστατεύονται με κρυπτογραφικά προϊόντα εγκεκριμένα σύμφωνα με το άρθρο 7 παράγραφος 5 της παρούσας οδηγίας

                              ii)

                              είτε, σε κάθε άλλη περίπτωση, όπως ορίζει η αρχή ασφάλειας της ΕΥΕΔ σύμφωνα με τα σχετικά μέτρα προστασίας που ορίζονται στο παράρτημα Α ΙΙΙ, τμήμα V.

            5.   Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A III.
      Άρθρο 8
      Προστασία των ΔΠΕΕ που αποτελούν αντικείμενο χειρισμού σε συστήματα επικοινωνίας και πληροφοριών
      1.   Διασφάλιση των πληροφοριών (ΔΠ) στον τομέα των συστημάτων επικοινωνίας και πληροφοριών είναι η βεβαιότητα ότι τα συστήματα αυτά θα προστατεύουν τις πληροφορίες που χειρίζονται και θα λειτουργούν οσοδήποτε και οποτεδήποτε χρειάζεται υπό τον έλεγχο νόμιμων χρηστών. Η αποτελεσματική ΔΠ διασφαλίζει κατάλληλα επίπεδα εμπιστευτικότητας, ακεραιότητας, μη άρνησης αναγνώρισης των πληροφοριών και γνησιότητας. Η ΔΠ βασίζεται σε διαδικασία διαχείρισης κινδύνων.
      2.   Ως «σύστημα επικοινωνίας και πληροφοριών» (ΣΕΠ) νοείται κάθε σύστημα που επιτρέπει τον χειρισμό πληροφοριών υπό ηλεκτρονική μορφή, με αυτόματα μέσα. Ένα σύστημα επικοινωνίας και πληροφοριών περιλαμβάνει το σύνολο των στοιχείων που απαιτούνται για τη λειτουργία του, συμπεριλαμβανομένων της υποδομής, της οργάνωσης, του προσωπικού και των πληροφοριών. Το παρόν παράρτημα εφαρμόζεται σε κάθε ΣΕΠ της ΕΥΕΔ που διαχειρίζεται ΔΠΕΕ.
      3.   Τα ΣΕΠ χειρίζονται τις ΔΠΕΕ σύμφωνα με την έννοια της IA.
      4.   Όλα τα ΣΕΠ που επεξεργάζονται ΔΠΕΕ υποβάλλονται σε διαδικασία πιστοποίησης. Η πιστοποίηση αποσκοπεί να διαβεβαιώσει ότι έχουν εφαρμοστεί όλα τα ενδεδειγμένα μέτρα ασφάλειας και ότι έχει επιτευχθεί ικανοποιητικό επίπεδο προστασίας των ΔΠΕΕ και του ΣΕΠ, σύμφωνα με την παρούσα απόφαση. Η δήλωση πιστοποίησης καθορίζει το μέγιστο επιτρεπτό επίπεδο διαβάθμισης των πληροφοριών που μπορεί να χειριστεί ένα ΣΕΠ, καθώς και τους αντίστοιχους όρους και προϋποθέσεις.
      5.   Τα ΣΕΠ που χειρίζονται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL και υψηλότερη προστατεύονται κατά τρόπον ώστε οι διαβαθμισμένες πληροφορίες να μη μπορούν να διαρρεύσουν μέσω ακούσιων ηλεκτρομαγνητικών εκπομπών («μέτρα ασφάλειας TEMPEST»).
      6.   Όταν η προστασία ΔΠΕΕ παρέχεται με κρυπτογραφικά προϊόντα, τα προϊόντα αυτά εγκρίνονται σύμφωνα με το άρθρο 7 παράγραφος 5 της παρούσας απόφασης.
      7.   Κατά τη διαβίβαση ΔΠΕΕ με ηλεκτρονικά μέσα χρησιμοποιούνται εγκεκριμένα κρυπτογραφικά προϊόντα. Παρά την απαίτηση αυτή, ενδέχεται να χρησιμοποιούνται ειδικές διαδικασίες σε έκτακτες περιστάσεις ή ειδικές τεχνικές διαμορφώσεις όπως ορίζονται στο παράρτημα A IV.
      8.   Σύμφωνα με το άρθρο 7 παράγραφος 6 της παρούσας απόφασης, θεσπίζονται, στον βαθμό που είναι αναγκαίο, οι παρακάτω λειτουργίες ΔΠ:

                  α)

                  μια αρχή ΔΠ (ΑΔΠ)·

                  β)

                  μια αρχή TEMPEST (ΑΤ)·

                  γ)

                  μια αρχή έγκρισης κρυπτογραφικών μεθόδων (ΑΕΚΜ)·

                  δ)

                  μια αρχή διανομής κρυπτογραφικών μεθόδων (ΑΔΚΜ).

            9.   Σύμφωνα με το άρθρο 7 παράγραφος 7 της παρούσας απόφασης, για κάθε σύστημα καθιερώνεται:

                  α)

                  μια αρχή πιστοποίησης της ασφάλειας (ΑΠΑ)

                  β)

                  μια επιχειρησιακή αρχή ΔΠ.

            10.   Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A IV.
      Άρθρο 9
      Βιομηχανική ασφάλεια
      1.   Ως βιομηχανική ασφάλεια νοείται η εφαρμογή μέτρων διασφάλισης της προστασίας των ΔΠΕΕ από τους εργολάβους ή τους υπεργολάβους κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και καθόλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων. Κατά κανόνα, οι συμβάσεις αυτές δεν περιλαμβάνουν πρόσβαση σε πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET.
      2.   Η ΕΥΕΔ μπορεί να αναθέτει με σύμβαση σε βιομηχανικούς ή άλλους φορείς που έχουν την έδρα τους σε κράτος μέλος ή σε τρίτο κράτος που έχει συνάψει συμφωνία ή διοικητικό διακανονισμό ασφάλειας πληροφοριών, σύμφωνα με το άρθρο 10 παράγραφος 1 του παραρτήματος Α, καθήκοντα που αφορούν ή συνεπάγονται πρόσβαση σε ΔΠΕΕ ή τον χειρισμό ή την αποθήκευσή τους.
      3.   Κατά την ανάθεση διαβαθμισμένων συμβάσεων σε βιομηχανικούς ή άλλους φορείς, η ΕΥΕΔ μεριμνά, ως αναθέτουσα αρχή, να τηρούνται τα ελάχιστα πρότυπα βιομηχανικής ασφάλειας που καθορίζονται στην παρούσα απόφαση και αναφέρονται στη σύμβαση. Μεριμνά για τη συμμόρφωση με αυτά τα ελάχιστα πρότυπα μέσω της αρμόδιας ΕΑΑ/ΚΑΑ.
      4.   Εργολάβοι ή υπεργολάβοι που έχουν την έδρα τους σε ένα κράτος μέλος και συμμετέχουν σε διαβαθμισμένες συμβάσεις ή συμβάσεις υπεργολαβίας που απαιτούν τον χειρισμό και την αποθήκευση πληροφοριών με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET εντός των εγκαταστάσεών τους, είτε κατά την εκτέλεση των συμβάσεων αυτών είτε κατά το προσυμβατικό στάδιο, λαμβάνουν εξουσιοδότηση ασφάλειας φορέα (ΕΑΦ) στο οικείο επίπεδο διαβάθμισης από την ΕΑΑ, την ΚΑΑ ή άλλη αρμόδια αρχή ασφάλειας στο εν λόγω κράτος μέλος.
      5.   Οι υπάλληλοι του εργολάβου ή του υπεργολάβου οι οποίοι, για την εκτέλεση διαβαθμισμένης σύμβασης, χρειάζονται πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET λαμβάνουν εξουσιοδότηση ασφάλειας προσωπικού (ΕΑΠ) από την αντίστοιχη εθνική αρχή ασφάλειας (ΕΑΑ), την καθορισμένη αρχή ασφάλειας (ΚΑΑ) ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις και τα ελάχιστα πρότυπα που ορίζονται στο παράρτημα Α Ι.
      6.   Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A V.
      Άρθρο 10
      Ανταλλαγή διαβαθμισμένων πληροφοριών με τρίτα κράτη και διεθνείς οργανισμούς
      1.   Η ΕΥΕΔ μπορεί να ανταλλάσσει ΔΠΕΕ με τρίτα κράτη ή διεθνείς οργανισμούς μόνο όταν:

                  α)

                  υφίσταται ισχύουσα συμφωνία ασφάλειας πληροφοριών μεταξύ της ΕΕ και του εν λόγω τρίτου κράτους ή διεθνούς οργανισμού, η οποία έχει συναφθεί σύμφωνα με το άρθρο 37 της ΣΕΕ και το άρθρο 218 της ΣΛΕΕ, ή

                  β)

                  έχει τεθεί σε εφαρμογή διοικητικός διακανονισμός μεταξύ του ύπατου εκπροσώπου και των αρμόδιων αρχών ασφάλειας του εν λόγω τρίτου κράτους ή διεθνούς οργανισμού, για την ανταλλαγή πληροφοριών με διαβάθμιση που, καταρχήν, δεν υπερβαίνει το επίπεδο RESTREINT UE/EU RESTRICTED, σύμφωνα με τη διαδικασία που ορίζεται στο άρθρο 14 παράγραφος 5 της παρούσας απόφασης, ή

                  γ)

                  εφαρμόζεται συμφωνία-πλαίσιο συμμετοχής ή ad hoc συμφωνία συμμετοχής μεταξύ της ΕΕ και του εν λόγω τρίτου κράτους στο πλαίσιο μιας επιχείρησης ΚΠΑΑ για την αντιμετώπιση κρίσεων, που έχει συναφθεί σύμφωνα με το άρθρο 37 της ΣΕΕ και το άρθρο 218 της ΣΛΕΕ

            και πληρούνται οι προϋποθέσεις που ορίζονται στη συγκεκριμένη πράξη.
      Οι εξαιρέσεις στον ανωτέρω γενικό κανόνα παρατίθενται στο παράρτημα A VI, τμήμα V.
      2.   Οι διοικητικοί διακανονισμοί που αναφέρονται στην παράγραφο 1 στοιχείο β) περιέχουν διατάξεις που διασφαλίζουν ότι, όταν τρίτα κράτη ή διεθνείς οργανισμοί λαμβάνουν ΔΠΕΕ, οι εν λόγω πληροφορίες προστατεύονται δεόντως ανάλογα με το επίπεδο διαβάθμισής τους και σύμφωνα με ελάχιστα πρότυπα τουλάχιστον το ίδιο αυστηρά με τα πρότυπα που ορίζονται στην παρούσα απόφαση.
      Οι πληροφορίες που ανταλλάσσονται βάσει των συμφωνιών που αναφέρονται στην παράγραφο 1 στοιχείο γ) περιορίζονται στις πληροφορίες που αφορούν επιχειρήσεις ΚΠΑΑ στις οποίες συμμετέχει το εν λόγω τρίτο κράτος στο πλαίσιο αυτών των συμφωνιών και σε συμμόρφωση με τις διατάξεις τους.
      3.   Διοργανώνονται επισκέψεις αξιολόγησης σε τρίτα κράτη και διεθνείς οργανισμούς, όπως αναφέρεται στο άρθρο 16 της παρούσας απόφασης, προκειμένου να εξακριβώνεται η αποτελεσματικότητα των μέτρων ασφάλειας που εφαρμόζονται για την προστασία των ανταλλασσόμενων ΔΠΕΕ.
      4.   Η απόφαση της ΕΥΕΔ να κοινοποιήσει ΔΠΕΕ που κατέχει σε τρίτο κράτος ή διεθνή οργανισμό λαμβάνεται κατά περίπτωση, ανάλογα με τη φύση και το περιεχόμενο των πληροφοριών, την ανάγκη γνώσης του παραλήπτη και τα σχετικά πλεονεκτήματα για την ΕΕ.
      Η ΕΥΕΔ ζητεί τη γραπτή συγκατάθεση κάθε φορέα που έχει παράσχει διαβαθμισμένες πληροφορίες που αποτελούν υλικό πηγής για ΔΠΕΕ που δημιουργεί η ΕΥΕΔ, προκειμένου να διασφαλίσει ότι δεν υπάρχουν αντιρρήσεις για την κοινοποίησή τους.
      Εάν ο φορέας προέλευσης των διαβαθμισμένων πληροφοριών των οποίων ζητείται η κοινολόγηση δεν είναι η ΕΥΕΔ, τότε η ΕΥΕΔ ζητεί πρώτα τη γραπτή συγκατάθεση του εν λόγω φορέα για την κοινοποίηση.
      Εάν, ωστόσο, η ΕΥΕΔ δεν μπορεί να εξακριβώσει τον φορέα προέλευσης, τότε η αρχή ασφάλειας της ΕΥΕΔ αναλαμβάνει την ευθύνη αυτήν αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη των κρατών μελών όπως εκπροσωπούνται στην επιτροπή ασφάλειας της ΕΥΕΔ.
      5.   Οι διατάξεις εφαρμογής του παρόντος άρθρου περιέχονται στο παράρτημα A VI.
      Άρθρο 11
      Παραβιάσεις της ασφάλειας και διαρροή διαβαθμισμένων πληροφοριών
      1.   Κάθε παραβίαση ή υπόνοια παραβίασης της ασφάλειας και κάθε διαρροή ή υπόνοια διαρροής διαβαθμισμένων πληροφοριών αναφέρεται αμέσως στη διεύθυνση ασφάλειας της ΕΥΕΔ, η οποία ενημερώνει, κατά περίπτωση, τη διεύθυνση ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής, το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου, το/τα οικείο/-α κράτος/-η μέλος/-η ή άλλον αρμόδιο φορέα.
      2.   Όταν είναι γνωστό ή υπάρχουν εύλογες υπόνοιες ότι επήλθε διαρροή ή απώλεια διαβαθμισμένων πληροφοριών, η διεύθυνση ασφάλειας της ΕΥΕΔ ενημερώνει τη Διεύθυνση Ασφάλειας της Επιτροπής, το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου ή την ΕΑΑ του/των οικείου/-ων κράτους/-ών μέλους/-ών ή άλλον αρμόδιο φορά, κατά περίπτωση, και λαμβάνει όλα τα κατάλληλα μέτρα σύμφωνα με τις σχετικές νομοθετικές και κανονιστικές διατάξεις προκειμένου:

                  α)

                  να αξιολογηθεί η τυχόν ζημία που προκλήθηκε στα συμφέροντα της ΕΕ ή των κρατών μελών·

                  β)

                  να ληφθούν τα κατάλληλα μέτρα για να αποτραπεί τυχόν επανάληψη·

                  γ)

                  να διαφυλαχθούν τα αποδεικτικά στοιχεία·

                  δ)

                  να διασφαλιστεί ότι η υπόθεση διερευνάται από προσωπικό που δεν σχετίζεται άμεσα με την παραβίαση προκειμένου να διαπιστωθούν τα πραγματικά περιστατικά·

                  ε)

                  να ειδοποιηθούν οι αρμόδιες αρχές για τις επιπτώσεις του συμβάντος και τα μέτρα που ελήφθησαν, και

                  στ)

                  να ενημερωθεί ο φορέας προέλευσης.

            3.   Κάθε μέλος του προσωπικού που τελεί υπό την ευθύνη της ΕΥΕΔ και ευθύνεται για παραβίαση των κανόνων ασφάλειας της παρούσας απόφασης ενδέχεται να υποστεί πειθαρχικές κυρώσεις, σύμφωνα με τους εφαρμοστέους κανόνες και κανονισμούς.
      Κάθε πρόσωπο που ευθύνεται για τη διαρροή ή την απώλεια διαβαθμισμένων πληροφοριών υπόκειται σε πειθαρχικές κυρώσεις και/ή δικαστικές ενέργειες σύμφωνα με τους εφαρμοστέους νόμους, κανόνες και κανονισμούς.
      Η διεύθυνση ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής, το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου ή η ΕΑΑ του/των οικείου/-ων κράτους/-ών μέλους/-ών ή άλλος αρμόδιος φορέας ενημερώνονται αμέσως, κατά περίπτωση.
      4.   Όσο βρίσκεται σε εξέλιξη έρευνα για παραβίαση ασφάλειας και/ή διαρροή πληροφοριών, ο επικεφαλής της διεύθυνσης ασφάλειας της ΕΥΕΔ μπορεί να αναστείλει την πρόσβαση του κατηγορούμενου προσώπου στις ΔΠΕΕ και στις εγκαταστάσεις της ΕΥΕΔ. Η διεύθυνση ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής, το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου ή η ΕΑΑ του/των οικείου/-ων κράτους/-ών μέλους/-ών ή άλλος αρμόδιος φορέας ενημερώνονται αμέσως για την απόφαση αυτή.

      ΠΑΡΑΡΤΗΜΑ Α Ι

         ΑΣΦΑΛΕΙΑ ΠΡΟΣΩΠΙΚΟΥ

      I.   ΕΙΣΑΓΩΓΗ

                  1.

                  Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 5 του παραρτήματος Α. Συγκεκριμένα, παραθέτει τα κριτήρια που εφαρμόζει η ΕΥΕΔ προκειμένου να εξακριβώνει κατά πόσον μπορεί να επιτραπεί σε ένα πρόσωπο, βάσει της νομιμοφροσύνης, της φερεγγυότητας και της αξιοπιστίας του, η πρόσβαση σε ΔΠΕΕ, καθώς και τις διαδικασίες έρευνας και διοικητικές διαδικασίες που ακολουθούνται εν προκειμένω.

                  2.

                  Η «εξουσιοδότηση ασφάλειας προσωπικού» (ΕΑΠ) για πρόσβαση σε ΔΠΕΕ είναι μια δήλωση της αρμόδιας αρχής ενός κράτους μέλους που διατυπώνεται μετά την ολοκλήρωση έρευνας ασφάλειας που διενεργείται από τις αρμόδιες αρχές του κράτους μέλους και πιστοποιεί ότι ένα πρόσωπο μπορεί, εφόσον έχει εξακριβωθεί η «ανάγκη γνώσης» του, να αποκτήσει πρόσβαση σε ΔΠΕΕ με διαβάθμιση έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία· το εν λόγω πρόσωπο θεωρείται, κατά τον τρόπο αυτόν, ότι έχει λάβει εξουσιοδότηση ασφάλειας.

                  3.

                  Το «πιστοποιητικό εξουσιοδότησης ασφάλειας προσωπικού» (ΠΕΑΠ) είναι ένα πιστοποιητικό που εκδίδεται από την αρχή ασφάλειας της ΕΥΕΔ, αποδεικνύει ότι ένα πρόσωπο έχει λάβει εξουσιοδότηση ασφάλειας και αναφέρει το επίπεδο διαβάθμισης των ΔΠΕΕ στις οποίες μπορεί να χορηγηθεί πρόσβαση στο εν λόγω πρόσωπο, την ημερομηνία ισχύος της σχετικής ΕΑΠ και την ημερομηνία λήξης του πιστοποιητικού.

                  4.

                  Η «άδεια πρόσβασης σε ΔΠΕΕ» είναι μια άδεια που παρέχει η αρχή ασφάλειας της ΕΥΕΔ σύμφωνα με την παρούσα απόφαση, αφού εκδοθεί ΕΑΠ από τις αρμόδιες αρχές ενός κράτους μέλους, και η οποία πιστοποιεί ότι ένα πρόσωπο, υπό την προϋπόθεση ότι έχει εξακριβωθεί η «ανάγκη γνώσης» του, μπορεί να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία· το εν λόγω πρόσωπο θεωρείται, κατά τον τρόπο αυτόν, ότι έχει λάβει εξουσιοδότηση ασφάλειας.

            II.   ΠΑΡΟΧΗ ΑΔΕΙΑΣ ΠΡΟΣΒΑΣΗΣ ΣΕ ΔΠΕΕ

                  5.

                  Η πρόσβαση σε πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED δεν απαιτεί εξουσιοδότηση ασφάλειας και παρέχεται εφόσον:

                              α)

                              έχει αποδειχθεί η θεσμική ή συμβατική σχέση του προσώπου με την ΕΥΕΔ,

                              β)

                              έχει διαπιστωθεί η ανάγκη του προσώπου να αποκτήσει γνώση των εν λόγω πληροφοριών,

                              γ)

                              έχει ενημερωθεί το πρόσωπο σχετικά με τους κανόνες και τις διαδικασίες ασφάλειας για την προστασία των ΔΠΕΕ και έχει αναγνωρίσει εγγράφως τις ευθύνες του όσον αφορά την προστασία των ΔΠΕΕ σύμφωνα με την παρούσα απόφαση.

                  6.

                  Ένα πρόσωπο μπορεί να λάβει άδεια πρόσβασης σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη μόνο εφόσον:

                              α)

                              έχει διαπιστωθεί η ανάγκη του να αποκτήσει γνώση των εν λόγω πληροφοριών ·

                              β)

                              του έχει χορηγηθεί ΕΑΠ αντίστοιχου επιπέδου ή έχει λάβει άλλη δέουσα εξουσιοδότηση βάσει των καθηκόντων του, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, και

                              γ)

                              έχει ενημερωθεί για τους κανόνες και τις διαδικασίες ασφάλειας για την προστασία των ΔΠΕΕ και έχει αναγνωρίσει εγγράφως τις ευθύνες του όσον αφορά την προστασία των πληροφοριών αυτών.

                  7.

                  Η ΕΥΕΔ προσδιορίζει τις θέσεις εργασίας στο πλαίσιο της δομής της που απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη και, ως εκ τούτου, απαιτούν ΕΑΠ του αντίστοιχου επιπέδου, όπως αναφέρεται στο άρθρο 4 παραπάνω.

                  8.

                  Κάθε μέλος του προσωπικού της ΕΥΕΔ δηλώνει εάν έχει την υπηκοότητα περισσότερων από μίας χωρών.

         Διαδικασίες αίτησης ΕΑΠ στην ΕΥΕΔ

                  9.

                  Για το προσωπικό της ΕΥΕΔ, η αρμόδια για τους διορισμούς αρχή της ΕΥΕΔ διαβιβάζει το συμπληρωμένο ερωτηματολόγιο ασφάλειας προσωπικού στην ΕΑΑ του κράτους μέλους του οποίου υπήκοος είναι το ενδιαφερόμενο πρόσωπο, αιτούμενη να διενεργηθεί έρευνα ασφάλειας για το επίπεδο των ΔΠΕΕ στις οποίες το πρόσωπο θα χρειαστεί να αποκτήσει πρόσβαση.

                  10.

                  Όταν ένα πρόσωπο έχει την υπηκοότητα περισσότερων από μίας χωρών, το αίτημα ελέγχου θα απευθυνθεί στην ΕΑΑ της χώρας υπό την υπηκοότητα της οποίας προσλήφθηκε το εν λόγω πρόσωπο.

                  11.

                  Όταν γίνονται γνωστές στην ΕΥΕΔ πληροφορίες που είναι σημαντικές για την έρευνα ασφάλειας σχετικά με πρόσωπο που έχει υποβάλει αίτηση για ΕΑΠ, η ΕΥΕΔ, ενεργώντας σύμφωνα με τους οικείους κανόνες και κανονισμούς, ειδοποιεί σχετικά την αρμόδια ΕΑΑ.

                  12.

                  Μετά την ολοκλήρωση της έρευνας ασφάλειας, η αρμόδια ΕΑΑ κοινοποιεί στη διεύθυνση ασφάλειας της ΕΥΕΔ τα αποτελέσματα της εν λόγω έρευνας.

                              α)

                              Όταν η έρευνα ασφάλειας καταλήγει στη διαβεβαίωση ότι δεν είναι γνωστό τίποτε αρνητικό που θα έθετε υπό αμφισβήτηση τη νομιμοφροσύνη, τη φερεγγυότητα και την αξιοπιστία του προσώπου, η αρχή ασφάλειας της ΕΥΕΔ μπορεί να χορηγήσει στον ενδιαφερόμενο άδεια πρόσβασης σε ΔΠΕΕ έως το αντίστοιχο επίπεδο και έως συγκεκριμένη ημερομηνία.

                              β)

                              Η ΕΥΕΔ λαμβάνει όλα τα ενδεικνυόμενα μέτρα προκειμένου να διασφαλιστεί η δέουσα εφαρμογή των όρων ή των περιορισμών που επιβάλλονται από την ΕΑΑ. Η ΕΑΑ ενημερώνεται για την έκβαση.

                              γ)

                              Όταν η έρευνα ασφάλειας δεν καταλήγει σε αυτήν τη διαβεβαίωση, η αρχή ασφάλειας της ΕΥΕΔ ειδοποιεί τον ενδιαφερόμενο, ο οποίος μπορεί να ζητήσει ακρόαση από την αρχή ασφάλειας της ΕΥΕΔ. Η αρχή ασφάλειας της ΕΥΕΔ δύναται να ζητήσει από την αρμόδια ΕΑΑ οποιεσδήποτε περαιτέρω διευκρινίσεις μπορεί να της παράσχει σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις. Εάν επιβεβαιωθεί το αποτέλεσμα, δεν χορηγείται άδεια πρόσβασης σε ΔΠΕΕ. Στη συγκεκριμένη περίπτωση, η ΕΥΕΔ λαμβάνει όλα τα ενδεικνυόμενα μέτρα προκειμένου να διασφαλιστεί η απαγόρευση της πρόσβασης του αιτούντα σε ΔΠΕΕ οποιασδήποτε διαβάθμισης.

                  13.

                  Η έρευνα ασφάλειας μαζί με τα πορίσματά της, στα οποία βασίζεται η απόφαση της ΕΥΕΔ σχετικά με το κατά πόσον θα χορηγήσει άδεια πρόσβασης σε ΔΠΕΕ, υπόκειται στις νομοθετικές και κανονιστικές διατάξεις που ισχύουν εν προκειμένω στο οικείο κράτος μέλος, περιλαμβανομένων αυτών που αφορούν την άσκηση προσφυγών. Κατά των αποφάσεων της αρχής ασφάλειας της ΕΥΕΔ μπορούν να ασκηθούν προσφυγές σύμφωνα με τον κανονισμό υπηρεσιακής κατάστασης των υπαλλήλων της Ευρωπαϊκής Ένωσης και το καθεστώς που εφαρμόζεται επί του λοιπού προσωπικού της Ευρωπαϊκής Ένωσης, όπως ορίζεται στον κανονισμό (ΕΟΚ, Ευρατόμ, ΕΚΑΧ) αριθ. 259/68 (1) (στο εξής «κανονισμός υπηρεσιακής κατάστασης»).

                  14.

                  Η διαβεβαίωση στην οποία βασίζεται η ΕΑΠ, εφόσον διατηρεί την ισχύ της, καλύπτει την ανάθεση οιουδήποτε καθήκοντος στον ενδιαφερόμενο εντός της ΕΥΕΔ, της Γενικής Γραμματείας του Συμβουλίου ή της Επιτροπής.

                  15.

                  Αν η περίοδος υπηρεσίας ενός προσώπου δεν αρχίσει εντός 12 μηνών από την ανακοίνωση του αποτελέσματος της έρευνας ασφάλειας στην αρχή ασφάλειας της ΕΥΕΔ ή αν υπάρξει διακοπή 12 ή περισσότερων μηνών στην υπηρεσία του, κατά το οποίο διάστημα δεν έχει υπηρετήσει στην ΕΥΕΔ, σε άλλα θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ ή σε θέση της κρατικής διοίκησης κράτους μέλους που απαιτεί πρόσβαση σε διαβαθμισμένες πληροφορίες, το αποτέλεσμα παραπέμπεται στην αρμόδια ΕΑΑ προκειμένου να επιβεβαιωθεί ότι εξακολουθεί να είναι έγκυρο και κατάλληλο.

                  16.

                  Η ΕΥΕΔ, όταν ενημερώνεται για την ύπαρξη κινδύνου κατά της ασφάλειας εκ μέρους προσώπου που κατέχει έγκυρη ΕΑΠ, ειδοποιεί σχετικά την αρμόδια ΕΑΑ ενεργώντας σύμφωνα με τους οικείους κανόνες και κανονισμούς. Όταν μια ΕΑΑ κοινοποιεί στην ΕΥΕΔ την ανάκληση διαβεβαίωσης που έχει δοθεί σύμφωνα με την παράγραφο 12 στοιχείο α) για πρόσωπο που κατέχει έγκυρη άδεια πρόσβασης σε ΔΠΕΕ, η αρχή ασφάλειας της ΕΥΕΔ μπορεί να ζητήσει οποιαδήποτε διευκρίνιση μπορεί να παράσχει η ΕΑΑ σύμφωνα με τις οικείες εθνικές νομοθετικές και κανονιστικές διατάξεις. Εφόσον επιβεβαιωθούν οι αρνητικές πληροφορίες, ανακαλείται η προαναφερθείσα άδεια και απαγορεύεται η πρόσβαση του εν λόγω προσώπου σε ΔΠΕΕ και σε θέσεις όπου είναι δυνατή αυτή η πρόσβαση ή όπου μπορεί να θέσει σε κίνδυνο την ασφάλεια.

                  17.

                  Κάθε απόφαση ανάκλησης μιας άδειας πρόσβασης σε ΔΠΕΕ από μέλος του προσωπικού της ΕΥΕΔ καθώς και, όπου κρίνεται σκόπιμο, οι σχετικοί λόγοι κοινοποιούνται στον ενδιαφερόμενο, ο οποίος μπορεί να ζητήσει ακρόαση από την αρχή ασφάλειας της ΕΥΕΔ. Οι πληροφορίες που παρέχει η ΕΑΑ υπόκεινται στις νομοθετικές και κανονιστικές διατάξεις που ισχύουν εν προκειμένω στο οικείο κράτος μέλος, συμπεριλαμβανομένων εκείνων που αφορούν την άσκηση προσφυγών. Κατά των αποφάσεων της αρχής ασφάλειας της ΕΥΕΔ μπορούν να ασκηθούν προσφυγές σύμφωνα με τον κανονισμό υπηρεσιακής κατάστασης.

                  18.

                  Οι εθνικοί εμπειρογνώμονες που είναι αποσπασμένοι στην ΕΥΕΔ σε θέση που απαιτεί πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη επιδεικνύουν έγκυρη ΕΑΠ για πρόσβαση σε ΔΠΕΕ του αντίστοιχου επιπέδου στην αρχή ασφάλειας της ΕΥΕΔ προτού αναλάβουν τα καθήκοντά τους. Την παραπάνω διαδικασία τη διαχειρίζεται το αποστέλλον κράτος μέλος.

         Αρχεία ΕΑΠ

                  19.

                  Η ΕΥΕΔ διατηρεί βάση δεδομένων σχετικά με το καθεστώς εξουσιοδότησης ασφάλειας όλων των μελών του προσωπικού που τελεί υπό την ευθύνη της, καθώς και του προσωπικού των εργολάβων της. Τα αρχεία αυτά περιλαμβάνουν το επίπεδο διαβάθμισης των ΔΠΕΕ στο οποίο επιτρέπεται να χορηγηθεί πρόσβαση στον ενδιαφερόμενο (CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη), την ημερομηνία χορήγησης της ΕΑΠ και τη διάρκεια ισχύος της.

                  20.

                  Εφαρμόζονται κατάλληλες διαδικασίες συντονισμού με τα κράτη μέλη και άλλα θεσμικά και λοιπά όργανα και οργανισμούς της ΕΕ προκειμένου να διασφαλίζεται ότι η ΕΥΕΔ διατηρεί ακριβή και ολοκληρωμένα αρχεία του καθεστώτος εξουσιοδότησης ασφάλειας όλων των μελών του προσωπικού που τελεί υπό την ευθύνη της και του προσωπικού των εργολάβων της.

                  21.

                  Η αρχή ασφάλειας της ΕΥΕΔ μπορεί να εκδώσει πιστοποιητικό εξουσιοδότησης ασφάλειας προσωπικού (ΠΕΑΠ), στο οποίο αναφέρονται το επίπεδο διαβάθμισης ΔΠΕΕ στις οποίες δικαιούται πρόσβαση το εν λόγω πρόσωπο (CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερο), η ημερομηνία ισχύος της σχετικής ΕΑΠ και η ημερομηνία λήξης του πιστοποιητικού.

         Εξαιρέσεις από την απαίτηση ΕΑΠ

                  22.

                  Πρόσωπα δεόντως εξουσιοδοτημένα να έχουν πρόσβαση σε ΔΠΕΕ λόγω των καθηκόντων τους σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις ενημερώνονται, κατά περίπτωση, από τη διεύθυνση ασφάλειας της ΕΥΕΔ σχετικά με τις υποχρεώσεις ασφάλειας που υπέχουν όσον αφορά την προστασία των ΔΠΕΕ.

            III.   ΕΚΠΑΙΔΕΥΣΗ ΚΑΙ ΕΠΙΓΝΩΣΗ ΟΣΟΝ ΑΦΟΡΑ ΘΕΜΑΤΑ ΑΣΦΑΛΕΙΑΣ

                  23.

                  Προτού τους δοθεί άδεια πρόσβασης σε ΔΠΕΕ, όλα τα πρόσωπα δηλώνουν εγγράφως ότι έχουν κατανοήσει τις υποχρεώσεις τους όσον αφορά την προστασία των ΔΠΕΕ και τις συνέπειες εάν διαρρεύσουν οι εν λόγω πληροφορίες. Η ΕΥΕΔ τηρεί αρχείο αυτών των γραπτών δηλώσεων.

                  24.

                  Όλα τα πρόσωπα τα οποία επιτρέπεται να έχουν πρόσβαση σε ΔΠΕΕ ή να τις χειρίζονται λαμβάνουν γνώση από την αρχή, και κατά διαστήματα ενημερώνονται όσον αφορά τις απειλές για την ασφάλεια, ενώ οφείλουν να αναφέρουν αμέσως στις αρμόδιες αρχές ασφάλειας κάθε προσπάθεια προσέγγισής τους ή δραστηριότητα την οποία θεωρούν ύποπτη ή ασυνήθιστη.

                  25.

                  Όλα τα πρόσωπα στα οποία έχει χορηγηθεί πρόσβαση σε ΔΠΕΕ πρέπει να υπόκεινται σε συνεχή μέτρα ασφάλειας του προσωπικού (δηλαδή, μετέπειτα μέριμνα) καθόλη τη διάρκεια της περιόδου κατά την οποία χειρίζονται ΔΠΕΕ. Η συνεχής ασφάλεια του προσωπικού αποτελεί ευθύνη:

                              α)

                              των προσώπων στα οποία έχει χορηγηθεί πρόσβαση σε ΔΠΕΕ: τα άτομα είναι προσωπικά υπεύθυνα για τη συμπεριφορά τους όσον αφορά θέματα ασφάλειας και πρέπει να αναφέρουν αμέσως στις αρμόδιες αρχές ασφάλειας κάθε προσπάθεια προσέγγισής τους ή δραστηριότητα την οποία θεωρούν ύποπτη ή ασυνήθιστη, καθώς και τυχόν αλλαγές στην προσωπική τους κατάσταση που ενδέχεται να έχουν αντίκτυπο στην ΕΑΠ ή την άδεια πρόσβασης σε ΔΠΕΕ·

                              β)

                              των προϊσταμένων: είναι υπεύθυνοι να διασφαλίζουν ότι το προσωπικό τους είναι ενήμερο για τα μέτρα ασφάλειας και τις αρμοδιότητές του όσον αφορά την προστασία των ΔΠΕΕ, να παρακολουθούν τη συμπεριφορά του προσωπικού τους όσον αφορά θέματα ασφάλειας και είτε να αντιμετωπίζουν οι ίδιοι τυχόν προβλήματα ασφάλειας είτε να αναφέρουν στις αρμόδιες αρχές ασφάλειας τυχόν αρνητικές πληροφορίες που ενδεχομένως να έχουν αντίκτυπο στην ΕΑΠ ή στην άδεια πρόσβασης σε ΔΠΕΕ των υφισταμένων τους·

                              γ)

                              των φορέων ασφάλειας του οργανισμού ασφάλειας της ΕΥΕΔ, όπως αναφέρεται στο άρθρο 12 της παρούσας απόφασης: είναι υπεύθυνοι να παρέχουν ενημέρωση όσον αφορά τα θέματα ασφάλειας προκειμένου να διασφαλίζουν ότι το προσωπικό στην περιοχή τους ενημερώνεται τακτικά, να προάγουν ισχυρή νοοτροπία περί ασφάλειας στον τομέα αρμοδιότητάς τους, να εφαρμόζουν μέτρα για την παρακολούθηση της συμπεριφοράς του προσωπικού όσον αφορά θέματα ασφάλειας και να αναφέρουν στις αρμόδιες αρχές ασφάλειας τυχόν αρνητικές πληροφορίες που μπορεί να έχουν επιπτώσεις στην ΕΑΠ οποιουδήποτε προσώπου·

                              δ)

                              της ΕΥΕΔ και των κρατών μελών: δημιουργούν τους απαραίτητους διαύλους για τη γνωστοποίηση πληροφοριών που μπορεί να έχουν επιπτώσεις στην ΕΑΠ ή την άδεια πρόσβασης οποιουδήποτε προσώπου σε ΔΠΕΕ.

                  26.

                  Όλα τα πρόσωπα που παύουν να απασχολούνται σε καθήκοντα τα οποία απαιτούν πρόσβαση σε ΔΠΕΕ ενημερώνονται για τις υποχρεώσεις τους όσον αφορά τη συνεχή προστασία των ΔΠΕΕ και, εφόσον απαιτείται, τις αναγνωρίζουν γραπτώς.

            IV.   ΕΞΑΙΡΕΤΙΚΕΣ ΠΕΡΙΣΤΑΣΕΙΣ

                  27.

                  Για λόγους επείγοντος, όταν δικαιολογείται δεόντως βάσει των συμφερόντων της ΕΥΕΔ και εν αναμονή της ολοκλήρωσης πλήρους έρευνας ασφάλειας, η αρχή ασφάλειας της ΕΥΕΔ δύναται, κατόπιν συνεννόησης με την ΕΑΑ του κράτους μέλους του οποίου είναι υπήκοος το ενδιαφερόμενο πρόσωπο και ανάλογα με το αποτέλεσμα των προκαταρκτικών ελέγχων προκειμένου να επιβεβαιωθεί ότι δεν είναι γνωστή κάποια αρνητική πληροφορία, να χορηγήσει προσωρινή άδεια σε υπαλλήλους και λοιπό προσωπικό της ΕΥΕΔ προκειμένου να έχουν πρόσβαση σε ΔΠΕΕ για την εκτέλεση συγκεκριμένου καθήκοντος. Η πλήρης έρευνα ασφάλειας θα πρέπει να ολοκληρώνεται το συντομότερο δυνατό. Αυτές οι προσωρινές άδειες ισχύουν για διάστημα που δεν υπερβαίνει τους έξι μήνες και δεν επιτρέπουν την πρόσβαση σε πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET. Όλα τα πρόσωπα στα οποία έχει χορηγηθεί προσωρινή άδεια δηλώνουν εγγράφως ότι έχουν κατανοήσει τις υποχρεώσεις τους όσον αφορά την προστασία των ΔΠΕΕ και τις συνέπειες σε περίπτωση διαρροής ΔΠΕΕ. Η ΕΥΕΔ τηρεί αρχείο αυτών των γραπτών δηλώσεων.

                  28.

                  Όταν ένα πρόσωπο πρόκειται να τοποθετηθεί σε θέση η οποία απαιτεί ΕΑΠ επιπέδου κατά μία βαθμίδα υψηλότερου από αυτή την οποία διαθέτει, τοποθετείται προσωρινά στην εν λόγω θέση υπό τους ακόλουθους όρους:

                              α)

                              η επιτακτική ανάγκη πρόσβασης σε ΔΠΕΕ ανώτερου επιπέδου αιτιολογείται γραπτώς από τον προϊστάμενο του προσώπου·

                              β)

                              η πρόσβαση περιορίζεται σε συγκεκριμένα στοιχεία των ΔΠΕΕ τα οποία απαιτούνται προς εκτέλεση του ανατεθειμένου έργου·

                              γ)

                              το πρόσωπο διαθέτει έγκυρη ΕΑΠ·

                              δ)

                              έχουν αναληφθεί ενέργειες για τη χορήγηση άδειας για το επίπεδο που απαιτείται για τη συγκεκριμένη θέση·

                              ε)

                              έχει ελεγχθεί ικανοποιητικά από την αρμόδια αρχή ότι το πρόσωπο δεν έχει υποπέσει σε σοβαρή ή επανειλημμένη παράβαση των κανονισμών ασφάλειας·

                              στ)

                              η τοποθέτηση του προσώπου εγκρίνεται από την αρμόδια αρχή της ΕΥΕΔ·

                              ζ)

                              ζητήθηκε η γνώμη της αρμόδιας ΕΑΑ/ΚΑΑ που εξέδωσε την ΕΑΠ του προσώπου και δεν εκφράστηκε καμία αντίρρηση, και

                              η)

                              η έκτακτη αυτή άδεια, μαζί με περιγραφή των πληροφοριών για τις οποίες εγκρίθηκε η πρόσβαση, φυλάσσεται στην αρμόδια γραμματεία ή υπογραμματεία.

                  29.

                  Η ανωτέρω διαδικασία χρησιμοποιείται για μία και μόνη πρόσβαση σε ΔΠΕΕ επιπέδου κατά μία βαθμίδα υψηλότερου από αυτό για το οποίο το πρόσωπο έχει λάβει εξουσιοδότηση ασφάλειας. Η διαδικασία αυτή δεν χρησιμοποιείται κατ’ επανάληψη.

                  30.

                  Σε πολύ εξαιρετικές περιστάσεις, όπως αποστολές σε εχθρικό περιβάλλον ή σε περιόδους αυξανόμενης διεθνούς έντασης, εφόσον αυτό απαιτείται λόγω έκτακτων μέτρων, ιδίως προκειμένου να σωθούν ζωές, ο ύπατος εκπρόσωπος, ο εκτελεστικός γενικός γραμματέας ή ο γενικός διευθυντής μπορούν να επιτρέπουν, ει δυνατόν γραπτώς, την πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET προσώπων που δεν διαθέτουν την απαιτούμενη ΕΑΠ, υπό τον όρο ότι η άδεια αυτή είναι απολύτως αναγκαία και ότι δεν υπάρχουν εύλογες αμφιβολίες ως προς τη νομιμοφροσύνη, τη φερεγγυότητα και την αξιοπιστία των συγκεκριμένων προσώπων. H άδεια αυτή φυλάσσεται σε αρχείο, μαζί με περιγραφή των πληροφοριών για τις οποίες εγκρίθηκε η πρόσβαση.

                  31.

                  Στην περίπτωση πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET, η εν λόγω έκτακτη πρόσβαση περιορίζεται στους υπηκόους κρατών μελών της ΕΕ στους οποίους έχει χορηγηθεί άδεια πρόσβασης είτε στο αντίστοιχο εθνικό επίπεδο του TRES SECRET UE/EU TOP SECRET είτε σε πληροφορίες με διαβάθμιση SECRET UE/EU SECRET.

                  32.

                  Η επιτροπή ασφάλειας της ΕΥΕΔ ενημερώνεται για τις περιπτώσεις στις οποίες χρησιμοποιείται η διαδικασία των παραγράφων 29 και 30.

                  33.

                  Η επιτροπή ασφάλειας της ΕΥΕΔ λαμβάνει ετήσια έκθεση σχετικά με τη χρησιμοποίηση των διαδικασιών που παρατίθενται στο παρόν τμήμα.

            V.   ΣΥΜΜΕΤΟΧΗ ΣΕ ΣΥΝΕΔΡΙΑΣΕΙΣ ΣΤΗΝ ΕΔΡΑ ΤΗΣ ΕΥΕΔ ΚΑΙ ΣΕ ΑΝΤΙΠΡΟΣΩΠΕΙΕΣ ΤΗΣ ΕΝΩΣΗΣ

                  34.

                  Τα πρόσωπα στα οποία έχει ανατεθεί να συμμετέχουν σε συνεδριάσεις στην έδρα της ΕΥΕΔ και σε αντιπροσωπείες της Ένωσης κατά τις οποίες συζητούνται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη μπορούν να το πράξουν μόνο έπειτα από επιβεβαίωση του καθεστώτος ΕΑΠ που τους έχει χορηγηθεί. Για τους εκπροσώπους των κρατών μελών, τους υπαλλήλους από τη Γενική Γραμματεία του Συμβουλίου (ΓΓΣ) και την Επιτροπή, ένα ΠΕΑΠ ή άλλο αποδεικτικό ΕΑΠ διαβιβάζεται από τις αρμόδιες αρχές στη διεύθυνση ασφάλειας της ΕΥΕΔ, στον συντονιστή ασφάλειας της αντιπροσωπείας της Ένωσης ή, σε εξαιρετικές περιπτώσεις, παραδίδεται από το ίδιο το ενδιαφερόμενο πρόσωπο. Εφόσον συντρέχει περίπτωση, μπορεί να χρησιμοποιείται ενοποιημένος κατάλογος ονομάτων, όπου αναγράφεται το σχετικό αποδεικτικό ΕΑΠ.

                  35.

                  Όταν ανακαλείται η ΕΑΠ για πρόσβαση σε ΔΠΕΕ προσώπου του οποίου τα καθήκοντα απαιτούν συμμετοχή σε συνεδριάσεις στην έδρα της ΕΥΕΔ ή σε αντιπροσωπεία της Ένωσης κατά τις οποίες συζητούνται πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL, η ΕΥΕΔ ενημερώνεται σχετικά από την αρμόδια αρχή.

            VI.   ΔΥΝΗΤΙΚΗ ΠΡΟΣΒΑΣΗ ΣΕ ΔΠΕΕ

                  36.

                  Όταν πρόσωπα πρόκειται να απασχοληθούν υπό περιστάσεις υπό τις οποίες ενδέχεται να έχουν πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη, λαμβάνουν την προσήκουσα εξουσιοδότηση ασφάλειας ή συνοδεύονται συνεχώς.

                  37.

                  Οι μεταφορείς, οι φύλακες και οι συνοδοί λαμβάνουν εξουσιοδότηση ασφάλειας του αντίστοιχου επιπέδου ή ελέγχονται αναλόγως σύμφωνα με τις εθνικές νομικές και κανονιστικές διατάξεις, και ενημερώνονται σε τακτά χρονικά διαστήματα σχετικά με τις διαδικασίες ασφάλειας για την προστασία των ΔΠΕΕ, καθώς και σχετικά την υποχρέωσή τους να προστατεύουν τις πληροφορίες που περιέρχονται στην κατοχή τους ή στις οποίες μπορεί να απέκτησαν ακουσίως πρόσβαση.

         (1)  ΕΕ L 56 της 4.3.1968, σ. 1.

      ΠΑΡΑΡΤΗΜΑ A II

         ΥΛΙΚΗ ΑΣΦΑΛΕΙΑ ΤΩΝ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ ΤΗΣ ΕΕ

      I.   ΕΙΣΑΓΩΓΗ

                  1.

                  Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 6 του παραρτήματος Α. Ορίζει τις ελάχιστες απαιτήσεις για τη φυσική προστασία των εγκαταστάσεων, των κτιρίων, των γραφείων, των αιθουσών και άλλων χώρων όπου γίνεται χειρισμός και αποθήκευση ΔΠΕΕ, συμπεριλαμβανομένων των χώρων που στεγάζουν ΣΕΠ.

                  2.

                  Τα μέτρα υλικής ασφάλειας αποσκοπούν στην αποτροπή της μη εξουσιοδοτημένης πρόσβασης σε ΔΠΕΕ με τους εξής τρόπους:

                              α)

                              διασφαλίζοντας τον κατάλληλο χειρισμό και αποθήκευση των ΔΠΕΕ·

                              β)

                              επιτρέποντας τον διαχωρισμό του προσωπικού όσον αφορά την πρόσβαση σε ΔΠΕΕ βάσει της ανάγκης γνώσης και, εφόσον απαιτείται, της εξουσιοδότησης ασφάλειας τους·

                              γ)

                              αποτρέποντας, παρεμποδίζοντας και ανιχνεύοντας τις μη εξουσιοδοτημένες ενέργειες, και

                              δ)

                              απαγορεύοντας ή καθυστερώντας τη λαθραία ή βίαιη είσοδο αναρμόδιων προσώπων.

            II   ΑΠΑΙΤΗΣΕΙΣ ΚΑΙ ΜΕΤΡΑ ΥΛΙΚΗΣ ΑΣΦΑΛΕΙΑΣ

                  3.

                  Η ΕΥΕΔ εφαρμόζει διαδικασία διαχείρισης κινδύνων για την προστασία των ΔΠΕΕ στις εγκαταστάσεις της προκειμένου να διασφαλίζει την παροχή επίπεδου φυσικής προστασίας ανάλογου με τον εκτιμώμενο κίνδυνο. Κατά τη διαδικασία διαχείρισης κινδύνων συνεκτιμώνται όλοι οι σχετικοί παράγοντες, και ειδικότερα:

                              α)

                              το επίπεδο διαβάθμισης των ΔΠΕΕ·

                              β)

                              η μορφή και η ποσότητα των ΔΠΕΕ, λαμβάνοντας υπόψη ότι οι μεγάλες ποσότητες ή η συγκέντρωση ΔΠΕΕ ενδέχεται να απαιτούν την εφαρμογή αυστηρότερων μέτρων προστασίας·

                              γ)

                              ο περιβάλλων χώρος και η δομή των κτιρίων ή των χώρων στέγασης των ΔΠΕΕ·

                              δ)

                              η εκτιμώμενη απειλή τρίτων χωρών όπως αναπτύσσεται από την INTCEN βάσει, ειδικότερα, των εκθέσεων αντιπροσωπειών της Ένωσης, και

                              ε)

                              η εκτιμώμενη απειλή από μυστικές υπηρεσίες στο στόχαστρο των οποίων βρίσκονται η ΕΕ ή τα κράτη μέλη της και η απειλή δολιοφθοράς, τρομοκρατικών, ανατρεπτικών ή άλλων εγκληματικών δραστηριοτήτων.

                  4.

                  Η αρχή ασφάλειας της ΕΥΕΔ, εφαρμόζοντας την έννοια της ασφάλειας σε βάθος, καθορίζει τον δέοντα εφαρμοστέο συνδυασμό μέτρων υλικής ασφάλειας. Στα μέτρα αυτά περιλαμβάνονται ένα ή περισσότερα από τα ακόλουθα:

                              α)

                              περιμετρικός φράκτης: φυσικό εμπόδιο που προστατεύει τα όρια ενός χώρου που χρήζει προστασίας·

                              β)

                              συστήματα ανίχνευσης εισβολών (IDS): ένα IDS μπορεί να χρησιμοποιείται για την ενίσχυση του επιπέδου ασφάλειας ενός περιμετρικού φράκτη ή σε αίθουσες και κτίρια αντί του προσωπικού ασφάλειας ή προς επικουρία του·

                              γ)

                              έλεγχος εισόδου: έλεγχος εισόδου μπορεί να ασκείται σε τοποθεσία, σε κτίριο ή κτίρια ευρισκόμενα σε μια τοποθεσία, ή σε χώρους και αίθουσες εντός ενός κτιρίου· ο έλεγχος μπορεί να διενεργείται με ηλεκτρονικά ή ηλεκτρομηχανικά μέσα, από προσωπικό ασφάλειας και/ή υπάλληλο υποδοχής και/ή άλλα φυσικά μέσα·

                              δ)

                              προσωπικό ασφάλειας: εκπαιδευμένο και εποπτευόμενο προσωπικό ασφάλειας το οποίο διαθέτει, όπου είναι απαραίτητο, την προσήκουσα εξουσιοδότηση ασφάλειας μπορεί να προσλαμβάνεται, μεταξύ άλλων, για την παρεμπόδιση ατόμων που σχεδιάζουν μυστική εισβολή·

                              ε)

                              κλειστό κύκλωμα τηλεόρασης (CCTV): CCTV μπορεί να χρησιμοποιείται από το προσωπικό ασφάλειας προκειμένου να ελέγχει περιστατικά και τους συναγερμούς IDS σε μεγάλους χώρους ή σε περιμέτρους·

                              στ)

                              φωτισμός ασφάλειας: φωτισμός ασφάλειας μπορεί να χρησιμοποιείται για την αποτροπή δυνητικών εισβολέων, καθώς και για την παροχή του αναγκαίου φωτισμού προκειμένου να επιτυγχάνεται αποτελεσματική επιτήρηση άμεσα από το προσωπικό ασφάλειας ή έμμεσα μέσω συστήματος CCTV·

                              ζ)

                              κάθε άλλο κατάλληλο φυσικό μέτρο που στοχεύει στην παρεμπόδιση ή την ανίχνευση της πρόσβασης μη εξουσιοδοτημένων προσώπων ή την αποτροπή απώλειας ή ζημίας των ΔΠΕΕ.

                  5.

                  Η διεύθυνση ασφάλειας της ΕΥΕΔ δύναται να διενεργεί έρευνες κατά την είσοδο και έξοδο με σκοπό την αποτροπή μη εξουσιοδοτημένης εισαγωγής υλικού ή μη εξουσιοδοτημένης αφαίρεσης ΔΠΕΕ από εγκαταστάσεις ή κτίρια.

                  6.

                  Όταν ενέχεται κίνδυνος λαθροβλεψίας, έστω και τυχαίας, των ΔΠΕΕ, λαμβάνονται τα δέοντα μέτρα για την αποτροπή του.

                  7.

                  Οι απαιτήσεις υλικής ασφάλειας και λειτουργίας των νέων εγκαταστάσεων καθορίζονται στο πλαίσιο του γενικού και κατασκευαστικού σχεδιασμού τους. Για τις ήδη υπάρχουσες εγκαταστάσεις, οι απαιτήσεις υλικής ασφάλειας εφαρμόζονται στον μέγιστο δυνατό βαθμό.

            III.   ΕΞΟΠΛΙΣΜΟΣ ΓΙΑ ΤΗ ΦΥΣΙΚΗ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΠΕΕ

                  8.

                  Κατά την απόκτηση εξοπλισμού (όπως φωριαμών ασφάλειας, μηχανών καταστροφής εγγράφων, κλειδαριών θυρών, ηλεκτρονικών συστημάτων ελέγχου πρόσβασης, IDS, συστημάτων συναγερμού) για τη φυσική προστασία των ΔΠΕΕ, η αρχή ασφάλειας της ΕΥΕΔ μεριμνά ώστε ο εξοπλισμός να ανταποκρίνεται στα εγκεκριμένα τεχνικά πρότυπα και τις ελάχιστες απαιτήσεις.

                  9.

                  Οι τεχνικές προδιαγραφές του εξοπλισμού που χρησιμοποιείται για τη φυσική προστασία των ΔΠΕΕ ορίζονται σε κατευθυντήριες γραμμές ασφάλειας που εγκρίνονται από την αρχή ασφάλειας της ΕΥΕΔ.

                  10.

                  Τα συστήματα ασφάλειας επιθεωρούνται σε τακτά χρονικά διαστήματα και ο εξοπλισμός συντηρείται τακτικά. Στη συντήρηση λαμβάνεται υπόψη το αποτέλεσμα των επιθεωρήσεων ώστε να διασφαλίζεται ότι ο εξοπλισμός εξακολουθεί να λειτουργεί άριστα.

                  11.

                  Η αποτελεσματικότητα κάθε μέτρου ασφάλειας και ολόκληρου του συστήματος ασφάλειας επαναξιολογείται σε κάθε επιθεώρηση.

            IV.   ΧΩΡΟΙ ΠΟΥ ΤΥΓΧΑΝΟΥΝ ΦΥΣΙΚΗΣ ΠΡΟΣΤΑΣΙΑΣ

                  12.

                  Δύο τύποι χώρων που τυγχάνουν φυσικής προστασίας, ή οι εθνικοί αντίστοιχοί τους, καθορίζονται για τη φυσική προστασία των ΔΠΕΕ:

                              α)

                              διοικητικοί χώροι και

                              β)

                              χώροι ασφάλειας (συμπεριλαμβανομένων των χώρων τεχνικής ασφάλειας).

                  13.

                  Η αρχή ασφάλειας της ΕΥΕΔ κρίνει αν ένας χώρος καλύπτει τις απαιτήσεις ώστε να χαρακτηριστεί διοικητικός χώρος, χώρος ασφάλειας ή χώρος τεχνικής ασφάλειας.

                  14.

                  Για τους διοικητικούς χώρους:

                              α)

                              ορίζεται εμφανώς οριοθετημένη περίμετρος που επιτρέπει τον έλεγχο προσώπων και, ει δυνατόν, οχημάτων·

                              β)

                              ασυνόδευτη πρόσβαση επιτρέπεται μόνο στα πρόσωπα που έχουν λάβει δέουσα εξουσιοδότηση από τη διεύθυνση ασφάλειας της ΕΥΕΔ, και

                              γ)

                              όλα τα άλλα πρόσωπα συνοδεύονται συνεχώς ή υποβάλλονται σε ανάλογους ελέγχους.

                  15.

                  Για τους χώρους ασφάλειας:

                              α)

                              ορίζεται εμφανώς καθορισμένη και προστατευμένη περίμετρος στην οποία ελέγχεται κάθε είσοδος και έξοδος μέσω συστήματος ταυτοτήτων ή αναγνώρισης προσώπων·

                              β)

                              ασυνόδευτη πρόσβαση επιτρέπεται μόνο στα πρόσωπα με εξουσιοδότηση ασφάλειας κατάλληλου επιπέδου και ειδική άδεια εισόδου στον χώρο βάσει της ανάγκης γνώσης τους·

                              γ)

                              όλα τα άλλα πρόσωπα συνοδεύονται συνεχώς ή υποβάλλονται σε ανάλογους ελέγχους.

                  16.

                  Όταν η είσοδος σε χώρο ασφάλειας συνιστά, στην πράξη, άμεση πρόσβαση στις διαβαθμισμένες πληροφορίες που φυλάσσονται στον εν λόγω χώρο, ισχύουν οι ακόλουθες συμπληρωματικές απαιτήσεις:

                              α)

                              αναφέρεται σαφώς το επίπεδο ανώτατης διαβάθμισης ασφάλειας των πληροφοριών που φυλάσσονται συνήθως στον χώρο·

                              β)

                              όλοι οι επισκέπτες διαθέτουν ειδική άδεια εισόδου στον χώρο, συνοδεύονται συνεχώς και έχουν λάβει την προσήκουσα εξουσιοδότηση ασφάλειας, εκτός εάν ληφθούν μέτρα τα οποία καθιστούν αδύνατη την πρόσβαση σε ΔΠΕΕ·

                              γ)

                              οι ηλεκτρονικές συσκευές παραμένουν εκτός του χώρου.

                  17.

                  Οι χώροι ασφάλειας που προστατεύονται από τη λαθρακρόαση χαρακτηρίζονται ως χώροι τεχνικής ασφάλειας. Ισχύουν οι ακόλουθες συμπληρωματικές απαιτήσεις:

                              α)

                              οι χώροι αυτοί φέρουν εξοπλισμό IDS, κλειδώνονται όταν δεν χρησιμοποιούνται και φυλάσσονται όταν χρησιμοποιούνται. Τυχόν κλειδιά ελέγχονται σύμφωνα με το τμήμα VI του παρόντος παραρτήματος·

                              β)

                              όλα τα πρόσωπα και το υλικό που εισέρχονται σε αυτούς τους χώρους ελέγχονται·

                              γ)

                              οι χώροι αυτοί υποβάλλονται τακτικά σε φυσικούς και/ή τεχνικούς ελέγχους κατά τις απαιτήσεις της αρχής ασφάλειας της ΕΥΕΔ. Οι εν λόγω έλεγχοι πραγματοποιούνται και ύστερα από κάθε μη εξουσιοδοτημένη είσοδο ή υπόνοια μη εξουσιοδοτημένης εισόδου, και

                              δ)

                              από τους χώρους αυτούς απουσιάζουν οι μη εξουσιοδοτημένες τηλεπικοινωνιακές γραμμές, τα μη εξουσιοδοτημένα τηλέφωνα ή άλλες μη εξουσιοδοτημένες τηλεπικοινωνιακές συσκευές και ηλεκτρικός ή ηλεκτρονικός εξοπλισμός.

                  18.

                  Παρά τα οριζόμενα στην παράγραφο 17 στοιχείο δ), προτού χρησιμοποιηθούν σε χώρους όπου διεξάγονται συνεδριάσεις ή εργασίες που αφορούν πληροφορίες με διαβάθμιση SECRET UE/EU SECRET και υψηλότερη και σε περιστάσεις όπου η απειλή για τις ΔΠΕΕ θεωρείται σοβαρή, οι τηλεπικοινωνιακές συσκευές και ο ηλεκτρικός ή ηλεκτρονικός εξοπλισμός παντός είδους εξετάζονται καταρχάς από την αρχή ασφάλειας της ΕΥΕΔ για να διασφαλιστεί ότι δεν είναι δυνατή η μετάδοση καταληπτών πληροφοριών μέσω του εξοπλισμού αυτού, είτε ακούσια είτε παράνομα, πέραν της περιμέτρου του χώρου ασφάλειας.

                  19.

                  Οι χώροι ασφάλειας στους οποίους δεν υπάρχει προσωπικό υπηρεσίας επί 24ώρου βάσεως επιθεωρούνται, εφόσον είναι σκόπιμο, κατά τη λήξη του κανονικού ωραρίου εργασίας και σε τυχαία διαστήματα εκτός του κανονικού ωραρίου εργασίας, εκτός εάν είναι εξοπλισμένοι με IDS.

                  20.

                  Χώροι ασφάλειας και χώροι τεχνικής ασφάλειας μπορούν να δημιουργούνται προσωρινά εντός διοικητικού χώρου για τη διεξαγωγή διαβαθμισμένης συνεδρίασης ή κάθε άλλο παρόμοιο σκοπό.

                  21.

                  Για κάθε χώρο ασφάλειας καταρτίζονται λειτουργικές διαδικασίες ασφάλειας στις οποίες αναφέρονται:

                              α)

                              το επίπεδο των ΔΠΕΕ οι οποίες αποτελούν αντικείμενο χειρισμού και αποθηκεύονται στον χώρο·

                              β)

                              τα μέτρα επιτήρησης και προστασίας που πρέπει να τηρούνται·

                              γ)

                              τα πρόσωπα τα οποία έχουν άδεια ασυνόδευτης πρόσβασης στον χώρο βάσει της ανάγκης γνώσης και της εξουσιοδότησης ασφάλειάς τους·

                              δ)

                              ενδεχομένως, οι διαδικασίες συνοδείας ή προστασίας των ΔΠΕΕ όταν επιτρέπεται σε οποιαδήποτε άλλα πρόσωπα η πρόσβαση στον χώρο·

                              ε)

                              οποιαδήποτε άλλα σχετικά μέτρα και διαδικασίες.

                  22.

                  Εντός των χώρων ασφάλειας κατασκευάζονται θωρακισμένες αίθουσες. Οι τοίχοι, τα πατώματα, οι οροφές, τα παράθυρα και οι θύρες που κλειδώνουν εγκρίνονται από την αρχή ασφάλειας της ΕΥΕΔ και παρέχουν προστασία ισοδύναμη με φωριαμό ασφάλειας που έχει εγκριθεί για την αποθήκευση ΔΠΕΕ του ίδιου επιπέδου διαβάθμισης.

            V.   ΜΕΤΡΑ ΦΥΣΙΚΗΣ ΠΡΟΣΤΑΣΙΑΣ ΓΙΑ ΤΟΝ ΧΕΙΡΙΣΜΟ ΚΑΙ ΤΗΝ ΑΠΟΘΗΚΕΥΣΗ ΔΠΕΕ

                  23.

                  Ο χειρισμός ΔΠΕΕ με διαβάθμιση RESTREINT UE/EU RESTRICTED μπορεί να διεξάγεται:

                              α)

                              σε χώρο ασφάλειας·

                              β)

                              σε διοικητικό χώρο, εφόσον οι ΔΠΕΕ προστατεύονται από την πρόσβαση μη εξουσιοδοτημένων προσώπων, ή

                              γ)

                              εκτός χώρου ασφάλειας ή διοικητικού χώρου, εφόσον ο κάτοχος μεταφέρει τις ΔΠΕΕ σύμφωνα με τις παραγράφους 30 έως 42 του παραρτήματος Α ΙΙΙ και έχει αναλάβει τη δέσμευση να συμμορφώνεται με τα αντισταθμιστικά μέτρα που καθορίζονται στις οδηγίες ασφάλειας που εκδίδει η αρχή ασφάλειας της ΕΥΕΔ, ούτως ώστε να διασφαλίζεται ότι οι ΔΠΕΕ προστατεύονται από την πρόσβαση μη εξουσιοδοτημένων προσώπων.

                  24.

                  Οι ΔΠΕΕ με διαβάθμιση RESTREINT UE/EU RESTRICTED αποθηκεύονται σε κατάλληλα έπιπλα γραφείου με κλειδαριά σε διοικητικό χώρο ή χώρο ασφάλειας. Μπορεί να αποθηκευθούν προσωρινά εκτός χώρου ασφάλειας ή διοικητικού χώρου, εφόσον ο κάτοχος έχει αναλάβει τη δέσμευση να συμμορφώνεται με τα αντισταθμιστικά μέτρα που καθορίζονται στις οδηγίες ασφάλειας που εκδίδει η αρχή ασφάλειας της ΕΥΕΔ.

                  25.

                  Ο χειρισμός ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET μπορεί να διεξάγεται:

                              α)

                              σε χώρο ασφάλειας·

                              β)

                              σε διοικητικό χώρο, εφόσον οι ΔΠΕΕ προστατεύονται από την πρόσβαση μη εξουσιοδοτημένων προσώπων, ή

                              γ)

                              εκτός χώρου ασφάλειας ή διοικητικού χώρου, εφόσον ο κάτοχος:

                                          i)

                                          μεταφέρει τις ΔΠΕΕ σύμφωνα με τις παραγράφους 30 έως 42 του παραρτήματος Α ΙΙΙ·

                                          ii)

                                          έχει αναλάβει τη δέσμευση να συμμορφώνεται με τα αντισταθμιστικά μέτρα που καθορίζονται στις οδηγίες ασφάλειας που εκδίδει η αρχή ασφάλειας της ΕΥΕΔ, προκειμένου να διασφαλίζεται ότι οι ΔΠΕΕ προστατεύονται από την πρόσβαση μη εξουσιοδοτημένων προσώπων·

                                          iii)

                                          διατηρεί ανά πάσα στιγμή τις ΔΠΕΕ υπό τον έλεγχό του, και

                                          iv)

                                          σε περίπτωση εγγράφων σε έντυπη μορφή, έχει ενημερώσει σχετικά την αρμόδια γραμματεία.

                  26.

                  Οι ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET αποθηκεύονται εντός χώρου ασφάλειας, σε φωριαμό ασφάλειας ή σε θωρακισμένη αίθουσα.

                  27.

                  Ο χειρισμός ΔΠΕΕ με διαβάθμιση TRES SECRET UE/EU TOP SECRET διεξάγεται σε χώρο ασφάλειας.

                  28.

                  Οι ΔΠΕΕ με διαβάθμιση TRES SECRET UE/EU TOP SECRET αποθηκεύονται σε χώρο ασφάλειας στην έδρα της ΕΥΕΔ εφόσον ικανοποιείται μία από τις παρακάτω προϋποθέσεις:

                              α)

                              εντός φωριαμού ασφάλειας, σύμφωνα με την παράγραφο 8, με έναν ή περισσότερους από τους ακόλουθους συμπληρωματικούς ελέγχους:

                                          i)

                                          συνεχή προστασία ή επαλήθευση από προσωπικό ασφάλειας ή προσωπικό υπηρεσίας με τη δέουσα διαβάθμιση·

                                          ii)

                                          εγκεκριμένο IDS σε συνδυασμό με προσωπικό αντιμετώπισης περιστατικών ασφάλειας·

                                    ή

                              β)

                              εντός θωρακισμένης αίθουσας εξοπλισμένης με IDS σε συνδυασμό με προσωπικό αντιμετώπισης περιστατικών ασφάλειας.

                  29.

                  Οι κανόνες που διέπουν τη μεταφορά ΔΠΕΕ εκτός των χώρων που τυγχάνουν φυσικής προστασίας παρατίθενται στο παράρτημα Α ΙΙΙ.

            VI.   ΕΛΕΓΧΟΣ ΚΛΕΙΔΙΩΝ ΚΑΙ ΣΥΝΔΥΑΣΜΩΝ ΠΟΥ ΧΡΗΣΙΜΟΠΟΙΟΥΝΤΑΙ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΔΠΕΕ

                  30.

                  Η αρχή ασφάλειας της ΕΥΕΔ καθορίζει τις διαδικασίες για τη διαχείριση των κλειδιών και των συνδυασμών για τα γραφεία, τις αίθουσες, τις θωρακισμένες αίθουσες και τους φωριαμούς ασφάλειας. Οι διαδικασίες αυτές προστατεύουν από το ενδεχόμενο εισόδου μη εξουσιοδοτημένων ατόμων.

                  31.

                  Η απομνημόνευση των συνδυασμών γίνεται από τον μικρότερο δυνατό αριθμό ατόμων που πρέπει να τους γνωρίζει. Οι συνδυασμοί των φωριαμών ασφάλειας στους οποίους αποθηκεύονται οι ΔΠΕΕ αλλάζουν:

                              α)

                              όποτε παραλαμβάνεται νέος φωριαμός·

                              β)

                              σε κάθε αλλαγή προσωπικού που γνωρίζει τον συνδυασμό·

                              γ)

                              όποτε σημειώνεται διαρροή ή υπάρχουν υπόνοιες διαρροής·

                              δ)

                              όποτε γίνεται συντήρηση ή επισκευή μιας κλειδαριάς, και

                              ε)

                              τουλάχιστον κάθε 12 μήνες.

      ΠΑΡΑΡΤΗΜΑ A III

         ΔΙΑΧΕΙΡΙΣΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ

      I.   ΕΙΣΑΓΩΓΗ

                  1.

                  Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 7 του παραρτήματος Α. Ορίζει τα διοικητικά μέτρα για τον έλεγχο των ΔΠΕΕ καθόλη τη διάρκεια του κύκλου ζωής τους προκειμένου να ενισχυθούν η αποτροπή και η ανίχνευση περιπτώσεων σκόπιμης ή τυχαίας διαρροής ή απώλειας των εν λόγω πληροφοριών, καθώς και η ανάκτησή τους.

            II.   ΔΙΑΧΕΙΡΙΣΗ ΤΩΝ ΔΙΑΒΑΘΜΙΣΕΩΝ

         Διαβαθμίσεις και σημάνσεις

                  2.

                  Οι πληροφορίες λαμβάνουν διαβάθμιση όταν απαιτείται προστασία του απόρρητου χαρακτήρα τους.

                  3.

                  Ο φορέας προέλευσης των ΔΠΕΕ είναι υπεύθυνος για τον ορισμό του επιπέδου διαβάθμισης ασφάλειας, σύμφωνα με τις σχετικές κατευθυντήριες γραμμές διαβάθμισης, καθώς και για την κοινοποίηση των πληροφοριών.

                  4.

                  Το επίπεδο διαβάθμισης των ΔΠΕΕ ορίζεται σύμφωνα με το άρθρο 2 παράγραφος 2 του παραρτήματος Α και με αναφορά στην πολιτική ασφάλειας που πρόκειται να εγκριθεί σύμφωνα με το άρθρο 3 παράγραφος 3 του παραρτήματος Α.

                  5.

                  Στις διαβαθμισμένες πληροφορίες των κρατών μελών που ανταλλάσσονται με την ΕΥΕΔ παρέχεται το ίδιο επίπεδο προστασίας με αυτό των ΔΠΕΕ που φέρουν την αντίστοιχη διαβάθμιση. Ένας πίνακας αντιστοιχίας παρέχεται στο προσάρτημα Β της απόφασης 2011/292/ΕΕ του Συμβουλίου, της 31ης Μαρτίου 2011, σχετικά με τους κανόνες ασφαλείας για την προστασία των διαβαθμισμένων πληροφοριών της ΕΕ.

                  6.

                  Η διαβάθμιση ασφάλειας και, κατά περίπτωση, η ημερομηνία ή το συγκεκριμένο γεγονός μετά το οποίο οι πληροφορίες υποχαρακτηρίστηκαν ή αποχαρακτηρίστηκαν επισημαίνονται με σαφήνεια και ορθότητα, ανεξάρτητα από το εάν οι ΔΠΕΕ παρέχονται σε έντυπη, προφορική, ηλεκτρονική ή άλλη μορφή.

                  7.

                  Επιμέρους τμήματα ενός συγκεκριμένου εγγράφου (δηλαδή, σελίδες, παράγραφοι, τμήματα, παραρτήματα και προσαρτήματα καθώς και τυχόν συνημμένα έγγραφα) ενδέχεται να απαιτούν διαφορετικές διαβαθμίσεις και σημαίνονται αναλόγως, καθώς και όταν αποθηκεύονται σε ηλεκτρονική μορφή.

                  8.

                  Στο μέτρο του δυνατού, τα έγγραφα που περιέχουν μέρη με διαφορετικά επίπεδα διαβάθμισης διαρθρώνονται κατά τρόπον ώστε τα μέρη με διαφορετικό επίπεδο διαβάθμισης να προσδιορίζονται και να αφαιρούνται εύκολα, εφόσον είναι απαραίτητο.

                  9.

                  Το γενικό επίπεδο διαβάθμισης ενός εγγράφου ή ενός φακέλου είναι τουλάχιστον τόσο υψηλό όσο το επίπεδο του επιμέρους στοιχείου του με την υψηλότερη διαβάθμιση. Όταν σε ένα έγγραφο συγκεντρώνονται πληροφορίες από διάφορες πηγές, το τελικό προϊόν επανεξετάζεται προκειμένου να καθοριστεί το γενικό επίπεδο διαβάθμισης ασφάλειας, δεδομένου ότι μπορεί να απαιτεί υψηλότερη διαβάθμιση από τα επιμέρους στοιχεία του.

                  10.

                  Η διαβάθμιση επιστολής ή σημειώματος που περιλαμβάνει συνημμένα έγγραφα καθορίζεται στο επίπεδο του υψηλότερα διαβαθμισμένου συνημμένου εγγράφου. Ο φορέας προέλευσης επισημαίνει σαφώς σε ποιο επίπεδο διαβαθμίζεται η επιστολή ή το σημείωμα όταν αφαιρεθεί από τα συνημμένα έγγραφα μέσω κατάλληλη σήμανσης, π.χ.:
                  CONFIDENTIEL EU/EU CONFIDENTIAL
                  Χωρίς συνημμένο(-α) έγγραφο(-α) RESTREINT UE/EU RESTRICTED

         Σημάνσεις

                  11.

                  Εκτός των σημάνσεων διαβάθμισης ασφάλειας που προβλέπονται στο άρθρο 2 παράγραφος 2 του παραρτήματος Α, οι διαβαθμισμένες πληροφορίες ΕΕ είναι δυνατόν να φέρουν πρόσθετες σημάνσεις, όπως:

                              α)

                              αναγνωριστικό στοιχείο του φορέα προέλευσης·

                              β)

                              τυχόν προειδοποιήσεις, κωδικές λέξεις ή αρκτικόλεξα που διευκρινίζουν τον τομέα δραστηριότητας που αφορά το έγγραφο, ιδιαίτερη διανομή βάσει της «ανάγκης γνώσης» ή περιορισμούς χρήσης·

                              γ)

                              σημάνσεις δυνατότητας κοινοποίησης.

                  12.

                  Μετά την απόφαση κοινοποίησης ΔΠΕΕ σε τρίτο κράτος ή διεθνή οργανισμό, η αρχή ασφάλειας της ΕΥΕΔ διαβιβάζει τις εν λόγω διαβαθμισμένες πληροφορίες, που φέρουν σήμανση δυνατότητας κοινοποίησης στην οποία αναφέρεται το τρίτο κράτος ή ο διεθνής οργανισμός στον οποίον πρόκειται να κοινοποιηθούν.

                  13.

                  Η αρχή ασφάλειας της ΕΥΕΔ εγκρίνει κατάλογο εγκεκριμένων σημάνσεων.

         Συντετμημένες σημάνσεις διαβάθμισης

                  14.

                  Οι τυποποιημένες συντετμημένες σημάνσεις διαβάθμισης μπορούν να χρησιμοποιούνται ως ενδείξεις του επιπέδου διαβάθμισης των μεμονωμένων παραγράφων ενός κειμένου. Οι συντομογραφίες δεν αντικαθιστούν τις πλήρεις σημάνσεις διαβάθμισης.

                  15.

                  Οι ακόλουθες τυποποιημένες συντομογραφίες μπορούν να χρησιμοποιούνται στα διαβαθμισμένα έγγραφα της ΕΕ ως ενδείξεις του επιπέδου διαβάθμισης τμημάτων ή ενοτήτων του κειμένου που δεν υπερβαίνουν τη μία σελίδα:

                              TRES SECRET UE/EU TOP SECRET

                              TS-UE/EU-TS

                              SECRET UE/EU SECRET

                              S-UE/EU-S

                              CONFIDENTIEL UE/EU CONFIDENTIAL

                              C-UE/EU-C

                              RESTREINT UE/EU RESTRICTED

                              R-UE/EU-R

         Δημιουργία ΔΠΕΕ

                  16.

                  Κατά τη σύνταξη διαβαθμισμένου εγγράφου ΕΕ:

                              α)

                              το επίπεδο διαβάθμισης αναγράφεται καθαρά σε κάθε σελίδα·

                              β)

                              όλες οι σελίδες αριθμούνται·

                              γ)

                              το έγγραφο φέρει αριθμό αναφοράς και θέμα το οποίο δεν αποτελεί το ίδιο διαβαθμισμένη πληροφορία, εκτός αν επισημαίνεται διαφορετικά·

                              δ)

                              το έγγραφο φέρει ημερομηνία·

                              ε)

                              τα έγγραφα με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη φέρουν αριθμό αντιτύπου σε κάθε σελίδα αν πρόκειται να διανεμηθούν σε πολλαπλά αντίτυπα.

                  17.

                  Εάν δεν είναι δυνατή η εφαρμογή της παραγράφου 15 στις ΔΠΕΕ, λαμβάνονται άλλα κατάλληλα μέτρα σύμφωνα με τις κατευθυντήριες γραμμές ασφάλειας που καταρτίζονται βάσει της παρούσας απόφασης.

         Υποχαρακτηρισμός και αποχαρακτηρισμός των ΔΠΕΕ

                  18.

                  Κατά τη δημιουργία τους, ο φορέας προέλευσης δηλώνει, όπου είναι δυνατόν, και συγκεκριμένα για πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED, εάν οι ΔΠΕΕ μπορούν να υποχαρακτηριστούν ή να αποχαρακτηριστούν σε ορισμένη ημερομηνία ή κατόπιν συγκεκριμένου γεγονότος.

                  19.

                  Η ΕΥΕΔ επανεξετάζει τακτικά τις ΔΠΕΕ που βρίσκονται στην κατοχή της προκειμένου να εξακριβώνει αν ισχύει ακόμα το επίπεδο διαβάθμισης. Η ΕΥΕΔ θεσπίζει σύστημα επανεξέτασης, τουλάχιστον ανά πενταετία, του επιπέδου διαβάθμισης των καταχωρισμένων ΔΠΕΕ που έχει δημιουργήσει. Η επανεξέταση αυτή δεν είναι απαραίτητη όταν ο φορέας προέλευσης έχει δηλώσει εξαρχής ένα συγκεκριμένο χρονικό σημείο κατά το οποίο οι πληροφορίες θα υποχαρακτηριστούν ή θα αποχαρακτηριστούν αυτόματα και όταν οι πληροφορίες φέρουν ανάλογη σήμανση.

            III.   ΚΑΤΑΧΩΡΙΣΗ ΔΠΕΕ ΓΙΑ ΛΟΓΟΥΣ ΑΣΦΑΛΕΙΑΣ

                  20.

                  Θα δημιουργηθεί κεντρική γραμματεία στην έδρα της ΕΥΕΔ. Για κάθε οργανωτική μονάδα εντός της ΕΥΕΔ στην οποία γίνεται χειρισμός ΔΠΕΕ, ορίζεται αρμόδια γραμματεία η οποία υπάγεται στην κεντρική γραμματεία και μεριμνά ώστε ο χειρισμός των ΔΠΕΕ να είναι σύμφωνος με την παρούσα απόφαση. Οι γραμματείες καθορίζονται ως χώροι ασφάλειας όπως ορίζεται στο παράρτημα Α.
                  Κάθε αντιπροσωπεία της Ένωσης συστήνει τη δική της γραμματεία ΔΠΕΕ.
                  Η αρχή ασφάλειας της ΕΥΕΔ ορίζει προϊστάμενο υπηρεσίας μητρώου για τις γραμματείες αυτές.

                  21.

                  Για τους σκοπούς της παρούσας απόφασης, ως καταχώριση για λόγους ασφάλειας (στο εξής «καταχώριση») νοείται η εφαρμογή διαδικασιών που επιτρέπουν την καταγραφή του κύκλου ζωής των πληροφοριών, περιλαμβανομένης της διάδοσης και της καταστροφής τους. Στην περίπτωση ΣΕΠ, οι διαδικασίες καταχώρισης μπορούν να διεκπεραιώνονται με διεργασίες εντός του ίδιου του ΣΕΠ.

                  22.

                  Κάθε υλικό με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη καταχωρίζεται κατά την άφιξη ή την αναχώρησή του από μια οργανωτική μονάδα, συμπεριλαμβανομένων των αντιπροσωπειών της Ένωσης. Πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET καταχωρίζονται στις αρμόδιες γραμματείες.

                  23.

                  Η κεντρική γραμματεία στην έδρα της ΕΥΕΔ αποτελεί το κύριο σημείο εισόδου και εξόδου για τις ανταλλαγές διαβαθμισμένων πληροφοριών με τρίτα κράτη και διεθνείς οργανισμούς. Τηρεί αρχείο όλων αυτών των ανταλλαγών.

                  24.

                  Ο ύπατος εκπρόσωπος εγκρίνει πολιτική ασφάλειας σχετικά με την καταχώριση των ΔΠΕΕ για λόγους ασφάλειας, σύμφωνα με το άρθρο 14 της παρούσας απόφασης.

         Γραμματείες tres secret UE/EU top secret

                  25.

                  Η κεντρική γραμματεία ορίζεται στην έδρα της ΕΥΕΔ με σκοπό να ενεργεί ως κεντρική αρχή παραλαβής και αποστολής πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET. Οσάκις απαιτείται, δύναται να ορίζονται υπογραμματείες για τον χειρισμό των πληροφοριών αυτών για λόγους καταχώρισης.

                  26.

                  Οι υπογραμματείες αυτές δεν δικαιούνται να διαβιβάζουν έγγραφα με διαβάθμιση TRES SECRET UE/EU TOP SECRET απευθείας σε άλλες υπογραμματείες της αυτής κεντρικής γραμματείας TRES SECRET UE/EU TOP SECRET ή έξωθεν χωρίς τη ρητή γραπτή έγκριση της τελευταίας.

            IV.   ΑΝΤΙΓΡΑΦΗ ΚΑΙ ΜΕΤΑΦΡΑΣΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΕΓΓΡΑΦΩΝ ΤΗΣ ΕΕ

                  27.

                  Τα έγγραφα με διαβάθμιση TRES SECRET UE/EU TOP SECRET μπορούν να αντιγραφούν ή να μεταφραστούν μόνο με την προηγούμενη γραπτή συγκατάθεση του φορέα προέλευσης.

                  28.

                  Όταν ο φορέας προέλευσης εγγράφων με διαβάθμιση SECRET UE/EU SECRET και κατωτέρω δεν έχει επιβάλει προειδοποιήσεις ως προς την αντιγραφή ή τη μετάφρασή τους, επιτρέπεται η αντιγραφή ή η μετάφραση των εγγράφων αυτών κατόπιν εντολής του κατόχου τους.

                  29.

                  Τα μέτρα ασφάλειας που εφαρμόζονται στο αρχικό έγγραφο εφαρμόζονται και στα αντίγραφα και τις μεταφράσεις του. Τα αντίγραφα εγγράφων με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη δημιουργούνται μόνο από την αρμόδια (υπο)γραμματεία με φωτοαντιγραφικό ασφάλειας. Τα αντίγραφα πρέπει να καταχωρίζονται.

            V.   ΜΕΤΑΦΟΡΑ ΤΩΝ ΔΠΕΕ

                  30.

                  Η μεταφορά των ΔΠΕΕ υπόκειται στα μέτρα προστασίας που ορίζονται στις παραγράφους 31 έως 41. Όταν οι ΔΠΕΕ διαβιβάζονται ηλεκτρονικά και, κατά παρέκκλιση από το άρθρο 7 παράγραφος 4, τα μέτρα προστασίας που παρατίθενται παρακάτω μπορούν να συμπληρώνονται με κατάλληλα τεχνικά αντίμετρα που ορίζονται από την αρχή ασφάλειας της ΕΥΕΔ προκειμένου να ελαχιστοποιείται ο κίνδυνος απώλειας ή διαρροής.

                  31.

                  Η αρχή ασφάλειας της ΕΥΕΔ εκδίδει οδηγίες όσον αφορά τη μεταφορά ΔΠΕΕ σύμφωνα με την παρούσα απόφαση.

         Εντός κτιρίου ή αυτοτελούς κτιριακού συγκροτήματος

                  32.

                  Οι ΔΠΕΕ που μεταφέρονται εντός κτιρίου ή αυτοτελούς κτιριακού συγκροτήματος καλύπτονται ώστε να μην είναι δυνατή η παρατήρηση του περιεχομένου τους.

                  33.

                  Εντός κτιρίου ή αυτοτελούς κτιριακού συγκροτήματος, οι πληροφορίες με διαβάθμιση TRES SECRET UE/EU TOP SECRET μεταφέρονται από πρόσωπα με την προσήκουσα εξουσιοδότηση ασφάλειας σε σφραγισμένο φάκελο όπου αναφέρεται μόνο το όνομα του παραλήπτη.

         Εντός της ΕΕ

                  34.

                  Οι ΔΠΕΕ που μεταφέρονται μεταξύ κτιρίων ή εγκαταστάσεων εντός της ΕΕ τοποθετούνται σε συσκευασία η οποία τις προστατεύει από άνευ αδείας κοινολόγηση.

                  35.

                  Η μεταφορά πληροφοριών με διαβάθμιση έως το επίπεδο SECRET UE/EU SECRET εντός της ΕΕ διεξάγεται ως εξής:

                              α)

                              με στρατιωτικό, κρατικό ή διπλωματικό μεταφορέα, αναλόγως με την περίπτωση·

                              β)

                              με μεταφορά διά χειρός, εφόσον:

                                          i)

                                          οι ΔΠΕΕ παραμένουν συνεχώς στην κατοχή του κομιστή, εκτός εάν φυλάσσονται σύμφωνα με τις απαιτήσεις του παραρτήματος A II·

                                          ii)

                                          κανείς δεν ανοίγει τις ΔΠΕΕ καθ’ οδόν ούτε τις διαβάζει σε δημόσιους χώρους·

                                          iii)

                                          τα πρόσωπα διαθέτουν εξουσιοδότηση ασφάλειας κατάλληλου επιπέδου και ενημερώνονται ως προς τις ευθύνες τους περί ασφάλειας·

                                          iv)

                                          κατά περίπτωση, τα άτομα είναι εφοδιασμένα με πιστοποιητικό αγγελιαφόρου·

                              γ)

                              με τις ταχυδρομικές υπηρεσίες ή με εμπορικές υπηρεσίες μεταφοράς, με την προϋπόθεση ότι:

                                          i)

                                          έχουν εγκριθεί από την αρμόδια ΕΑΑ σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις·

                                          ii)

                                          εφαρμόζουν κατάλληλα μέτρα προστασίας σύμφωνα με τις ελάχιστες απαιτήσεις των κατευθυντήριων γραμμών ασφάλειας που καταρτίζονται σύμφωνα με το άρθρο 20 παράγραφος 1 της παρούσας απόφασης.

                        Στην περίπτωση μεταφοράς από ένα κράτος μέλος σε άλλο, οι διατάξεις του στοιχείου γ) περιορίζονται στις πληροφορίες με διαβάθμιση έως το επίπεδο CONFIDENTIEL UE/EU CONFIDENTIAL.

                  36.

                  Το υλικό με διαβαθμίσεις CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET (π.χ. εξοπλισμός ή μηχανήματα) που δεν μπορεί να μεταφερθεί με τους τρόπους που αναφέρονται στην παράγραφο 34 μεταφέρεται ως φορτίο από εμπορικές επιχειρήσεις μεταφορών σύμφωνα με το παράρτημα Α V.

                  37.

                  Η μεταφορά πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET μεταξύ κτιρίων ή χώρων εντός της ΕΕ διεξάγεται με στρατιωτικό, κρατικό ή διπλωματικό μεταφορέα, αναλόγως με την περίπτωση.

         Από την ΕΕ προς την επικράτεια τρίτου κράτους, ή μεταξύ φορέων της ΕΕ σε τρίτα κράτη

                  38.

                  Οι ΔΠΕΕ που μεταφέρονται από την ΕΕ προς την επικράτεια τρίτου κράτους ή μεταξύ φορέων της ΕΕ σε τρίτα κράτη τοποθετούνται σε συσκευασία η οποία τις προστατεύει από άνευ αδείας κοινολόγηση.

                  39.

                  Η μεταφορά πληροφοριών με διαβαθμίσεις CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET από την ΕΕ προς την επικράτεια τρίτου κράτους και η μεταφορά πληροφοριών ΔΠΕΕ με διαβάθμιση έως το επίπεδο SECRET UE/EU SECRET μεταξύ φορέων της ΕΕ σε τρίτα κράτη διεξάγεται ως εξής:

                              α)

                              με στρατιωτικό ή διπλωματικό μεταφορέα·

                              β)

                              με μεταφορά διά χειρός, εφόσον:

                                          i)

                                          το δέμα φέρει επίσημη σφραγίδα ή είναι συσκευασμένο κατά τρόπο ώστε να επισημαίνεται ότι πρόκειται για επίσημη αποστολή και ότι δεν θα πρέπει να υποβληθεί σε τελωνειακό έλεγχο και έλεγχο ασφάλειας·

                                          ii)

                                          τα πρόσωπα είναι εφοδιασμένα με πιστοποιητικό αγγελιαφόρου που προσδιορίζει το δέμα και εξουσιοδοτεί τα εν λόγω πρόσωπα να το μεταφέρουν·

                                          iii)

                                          οι ΔΠΕΕ παραμένουν συνεχώς στην κατοχή του κομιστή, εκτός εάν φυλάσσονται σύμφωνα με τις απαιτήσεις του παραρτήματος A II·

                                          iv)

                                          κανείς δεν ανοίγει τις ΔΠΕΕ καθ’ οδόν ούτε τις διαβάζει σε δημόσιους χώρους και

                                          v)

                                          τα πρόσωπα διαθέτουν εξουσιοδότηση ασφάλειας κατάλληλου επιπέδου και ενημερώνονται ως προς τις ευθύνες τους περί ασφάλειας.

                  40.

                  Η μεταφορά πληροφοριών με διαβαθμίσεις CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET που κοινοποιούνται από την ΕΕ σε τρίτο κράτος ή διεθνή οργανισμό διεξάγεται κατά τις σχετικές διατάξεις συμφωνίας για την ασφάλεια των πληροφοριών ή διοικητικού διακανονισμού σύμφωνα με το άρθρο 10 παράγραφος 2 του παραρτήματος Α.

                  41.

                  Πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED μπορούν επίσης να μεταφέρονται από κράτη μέλη της ΕΕ σε τρίτο κράτος με ταχυδρομικές υπηρεσίες ή με εμπορικές υπηρεσίες μεταφοράς.

                  42.

                  Η μεταφορά πληροφοριών με διαβάθμιση TRES SECRET UE/EU TOP SECRET από την ΕΕ προς την επικράτεια τρίτου κράτους ή μεταξύ φορέων της ΕΕ σε τρίτα κράτη διεξάγεται με στρατιωτικό ή διπλωματικό μεταφορέα.

            VI.   ΚΑΤΑΣΤΡΟΦΗ ΔΠΕΕ

                  43.

                  Τα διαβαθμισμένα έγγραφα ΕΕ που δεν χρειάζονται πλέον μπορούν να καταστρέφονται, με την επιφύλαξη των οικείων κανόνων και κανονισμών περί αρχειοθέτησης.

                  44.

                  Τα έγγραφα τα οποία καταχωρίζονται σύμφωνα με το άρθρο 7 παράγραφος 2 του παραρτήματος Α καταστρέφονται από την αρμόδια γραμματεία με εντολή του κατόχου ή αρμόδιας αρχής. Τα ημερολόγια και οι λοιπές πληροφορίες καταχώρισης ενημερώνονται αναλόγως.

                  45.

                  Για τα έγγραφα με διαβαθμίσεις SECRET UE/EU SECRET ή TRES SECRET UE/EU TOP SECRET, η καταστροφή πραγματοποιείται παρουσία μάρτυρα ο οποίος διαθέτει εξουσιοδότηση ασφάλειας επιπέδου τουλάχιστον έως το επίπεδο διαβάθμισης του προς καταστροφή εγγράφου.

                  46.

                  Ο γραμματέας και ο μάρτυρας, οσάκις απαιτείται η παρουσία του τελευταίου, υπογράφουν πιστοποιητικό καταστροφής, το οποίο καταχωρίζεται στη γραμματεία. Η γραμματεία τηρεί τα πιστοποιητικά καταστροφής των εγγράφων TRES SECRET UE/EU TOP SECRET για μία δεκαετία τουλάχιστον και των εγγράφων CONFIDENTIEL UE/EU CONFIDENTIAL και SECRET UE/EU SECRET για μία πενταετία τουλάχιστον.

                  47.

                  Τα διαβαθμισμένα έγγραφα, περιλαμβανομένων των εγγράφων με διαβάθμιση RESTREINT UE/EU RESTRICTED, καταστρέφονται με μεθόδους που πληρούν τα σχετικά πρότυπα της ΕΕ ή αντίστοιχα πρότυπα, ή με μεθόδους που έχουν εγκριθεί από κράτη μέλη σύμφωνα με εθνικά τεχνικά πρότυπα προκειμένου να αποφεύγεται η πλήρης ή η μερική επανασύσταση των εν λόγω εγγράφων.

                  48.

                  Τα ηλεκτρονικά μέσα αποθήκευσης που χρησιμοποιούνται για τις ΔΠΕΕ καταστρέφονται σύμφωνα με την παράγραφο 36 του παραρτήματος A IV.

            VII.   ΕΠΙΘΕΩΡΗΣΕΙΣ ΑΣΦΑΛΕΙΑΣ

         Επιθεωρήσεις ασφάλειας της ΕΥΕΔ

                  49.

                  Σύμφωνα με το άρθρο 15 της παρούσας απόφασης, οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ περιλαμβάνουν:

                              α)

                              γενικές επιθεωρήσεις ασφάλειας, οι οποίες αποσκοπούν στην εκτίμηση του γενικού επιπέδου ασφάλειας της έδρας της ΕΥΕΔ, των αντιπροσωπειών της Ένωσης και όλων των εξαρτώμενων ή σχετικών εγκαταστάσεων, ιδίως προκειμένου να αξιολογείται η αποτελεσματικότητα των μέτρων ασφάλειας που εφαρμόζονται για την προστασία των συμφερόντων ασφάλειας της ΕΥΕΔ·

                              β)

                              επιθεωρήσεις ασφάλειας της ΕΥΕΔ, οι οποίες αποσκοπούν στην αξιολόγηση, ενόψει πιστοποίησης, της αποτελεσματικότητας των μέτρων που εφαρμόζονται για την προστασία των ΔΠΕΕ στην έδρα της ΕΥΕΔ και τις αντιπροσωπείες της Ένωσης.
                              Ειδικότερα, οι επιθεωρήσεις αυτές διεξάγονται, μεταξύ άλλων, προκειμένου:

                                          i)

                                          να διασφαλίζεται ότι τηρούνται τα ελάχιστα απαιτούμενα πρότυπα για την προστασία των ΔΠΕΕ που ορίζονται από την παρούσα οδηγία·

                                          ii)

                                          να δίνεται έμφαση στη σπουδαιότητα της ασφάλειας και της αποτελεσματικής διαχείρισης των κινδύνων εντός των φορέων που επιθεωρούνται·

                                          iii)

                                          να προτείνονται αντίμετρα για τον περιορισμό των συγκεκριμένων επιπτώσεων λόγω απώλειας της εμπιστευτικότητας, της ακεραιότητας ή της διαθεσιμότητας των διαβαθμισμένων πληροφοριών, και

                                          iv)

                                          να ενισχύονται τα προγράμματα των αρχών ασφάλειας για συνεχή εκπαίδευση και ευαισθητοποίηση στον τομέα της ασφάλειας.

         Διενέργεια των επιθεωρήσεων ασφάλειας της ΕΥΕΔ και υποβολή των σχετικών εκθέσεων

                  50.

                  Οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ διενεργούνται από ομάδα επιθεώρησης της διεύθυνσης ασφάλειας της ΕΥΕΔ και, όταν κρίνεται σκόπιμο, με τη στήριξη εμπειρογνωμόνων ασφάλειας από άλλα θεσμικά όργανα ή κράτη μέλη της ΕΕ.
                  Η ομάδα επιθεώρησης έχει πρόσβαση σε κάθε τοποθεσία όπου διενεργείται χειρισμός ΔΠΕΕ, ειδικότερα δε στις γραμματείες και στα σημεία παρουσίας ΣΕΠ.

                  51.

                  Οι επιθεωρήσεις ασφάλειας της ΕΥΕΔ σε αντιπροσωπείες της Ένωσης μπορούν να διεξάγονται, όποτε κρίνεται σκόπιμο, με τη στήριξη των υπεύθυνων ασφάλειας των πρεσβειών των κρατών μελών σε τρίτες χώρες.

                  52.

                  Πριν από το τέλος κάθε ημερολογιακού έτους, η αρχή ασφάλειας της ΕΥΕΔ εγκρίνει πρόγραμμα επιθεωρήσεων ασφάλειας για την ΕΥΕΔ για το επόμενο έτος.

                  53.

                  Όποτε κρίνεται σκόπιμο, η αρχή ασφάλειας της ΕΥΕΔ μπορεί να διοργανώνει επιθεωρήσεις ασφάλειας που δεν προβλέπονται στο παραπάνω πρόγραμμα.

                  54.

                  Στο τέλος της επιθεώρησης ασφάλειας, παρουσιάζονται στον επιθεωρούμενο φορέα τα κύρια συμπεράσματα και συστάσεις. Εν συνεχεία, η ομάδα επιθεώρησης συντάσσει έκθεση για την επιθεώρηση. Όπου προτείνονται διορθωτικές δράσεις και συστάσεις, περιλαμβάνονται επαρκείς πληροφορίες στην έκθεση προς επίρρωση των συμπερασμάτων που εξήχθησαν. Η έκθεση διαβιβάζεται στην αρχή ασφάλειας της ΕΥΕΔ και στον επικεφαλής του επιθεωρούμενου φορέα.
                  Σε τακτικά διαστήματα συντάσσονται εκθέσεις υπό την ευθύνη της διεύθυνσης ασφάλειας της ΕΥΕΔ στις οποίες επισημαίνονται τα διδάγματα που αντλήθηκαν από τις επιθεωρήσεις που διενεργήθηκαν εντός συγκεκριμένης περιόδου στα κράτη μέλη και εξετάστηκαν από την επιτροπή ασφάλειας της ΕΥΕΔ.

         Διενέργεια επιθεωρήσεων ασφάλειας στους οργανισμούς και τα όργανα της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ και υποβολή των σχετικών εκθέσεων

                  55.

                  Η διεύθυνση ασφάλειας της ΕΥΕΔ μπορεί, κατά περίπτωση, να ορίσει συνεισφέροντες εμπειρογνώμονες για να συμμετέχουν σε κοινές ομάδες επιθεώρησης της ΕΕ που διεξάγουν επιθεωρήσεις σε οργανισμούς και όργανα της ΕΕ που έχουν ιδρυθεί δυνάμει του τίτλου V κεφάλαιο 2 της ΣΕΕ.

         Κατάλογος ελέγχου των επιθεωρήσεων ασφάλειας της ΕΥΕΔ

                  56.

                  Η διεύθυνση ασφάλειας της ΕΥΕΔ καταρτίζει και επικαιροποιεί κατάλογο ελέγχου επιθεωρήσεων ασφάλειας, με σημεία που πρέπει να ελέγχονται κατά τη διάρκεια μιας επιθεώρησης ασφάλειας της ΕΥΕΔ. Ο εν λόγω κατάλογος ελέγχου διαβιβάζεται στην επιτροπή ασφάλειας της ΕΥΕΔ.

                  57.

                  Οι πληροφορίες για τη συμπλήρωση του καταλόγου ελέγχου λαμβάνονται κυρίως κατά τη διάρκεια της επιθεώρησης από το προσωπικό διαχείρισης ασφάλειας του επιθεωρούμενου φορέα. Μόλις συμπληρωθεί με λεπτομερείς απαντήσεις, ο κατάλογος ελέγχου διαβαθμίζεται μέσω συμφωνίας με τον επιθεωρούμενο φορέα. Δεν συνιστά μέρος της έκθεσης επιθεώρησης.

      ΠΑΡΑΡΤΗΜΑ Α IV

         ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΔΠΕΕ ΠΟΥ ΑΠΟΤΕΛΟΥΝ ΑΝΤΙΚΕΙΜΕΝΟ ΧΕΙΡΙΣΜΟΥ ΣΕ ΣΕΠ

      I.   ΕΙΣΑΓΩΓΗ

                  1.

                  Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 8 του παραρτήματος Α.

                  2.

                  Οι ακόλουθες ιδιότητες και έννοιες της διασφάλισης πληροφοριών (ΔΠ) είναι ουσιώδεις για την ασφάλεια και την ορθή εφαρμογή δράσεων στο πλαίσιο συστημάτων επικοινωνίας και πληροφοριών (ΣΕΠ):

                              Γνησιότητα

                              :

                              η εγγύηση ότι οι πληροφορίες είναι γνήσιες και ότι προέρχονται από καλόπιστες πηγές

                              Διαθεσιμότητα

                              :

                              η ιδιότητα του συστήματος να είναι διαθέσιμο και έτοιμο προς χρήση κατόπιν αιτήματος εξουσιοδοτημένου φορέα

                              Εμπιστευτικότητα

                              :

                              η ιδιότητα της μη κοινολόγησης πληροφοριών σε μη εξουσιοδοτημένα πρόσωπα, φορείς ή διαδικασίες

                              Ακεραιότητα

                              :

                              η ιδιότητα της διαφύλαξης της ακρίβειας και της πληρότητας των πληροφοριών και των στοιχείων·

                              Μη άρνηση αναγνώρισης

                              :

                              η ικανότητα απόδειξης της διεξαγωγής ενέργειας ή γεγονότος, ούτως ώστε να μην είναι δυνατή η άρνηση της εν λόγω ενέργειας ή του γεγονότος

            II.   ΑΡΧΕΣ ΔΙΑΣΦΑΛΙΣΗΣ ΠΛΗΡΟΦΟΡΙΩΝ

                  3.

                  Οι κατωτέρω διατάξεις αποτελούν τη βάση για την ασφάλεια όλων των ΣΕΠ που χειρίζονται ΔΠΕΕ. Λεπτομερείς απαιτήσεις για την εφαρμογή των διατάξεων αυτών θα καθοριστούν σε πολιτικές και κατευθυντήριες γραμμές ασφάλειας όσον αφορά τη ΔΠ.

         Διαχείριση κινδύνων ασφάλειας

                  4.

                  Η διαχείριση κινδύνων ασφάλειας αποτελεί αναπόσπαστο μέρος του σχεδιασμού, της ανάπτυξης, της λειτουργίας και της συντήρησης των ΣΕΠ. Η διαχείριση κινδύνων (αξιολόγηση, χειρισμός, αποδοχή και κοινοποίηση) διεξάγεται ως επαναληπτική διαδικασία, από κοινού από τους εκπροσώπους των ιδιοκτητών των συστημάτων, τις αρχές των έργων, τις επιχειρησιακές αρχές και τις αρχές έγκρισης ασφάλειας, με χρήση δοκιμασμένης, διαφανούς και πλήρως κατανοητής διαδικασίας αξιολόγησης κινδύνου. Το πεδίο εφαρμογής των ΣΕΠ και τα στοιχεία τους ορίζονται με σαφήνεια στην αρχή της διαδικασίας διαχείρισης κινδύνων.

                  5.

                  Οι αρμόδιες αρχές της ΕΥΕΔ εξετάζουν τις εν δυνάμει απειλές που αντιμετωπίζουν τα ΣΕΠ και διατηρούν ενημερωμένες και ακριβείς αξιολογήσεις κινδύνου που αντιστοιχούν στο τρέχον επιχειρησιακό περιβάλλον. Επικαιροποιούν διαρκώς τις γνώσεις τους όσον αφορά ζητήματα τρωτότητας και επανεξετάζουν περιοδικά την αξιολόγηση της τρωτότητας ώστε να συμβαδίζουν με το συνεχώς εξελισσόμενο περιβάλλον της τεχνολογίας των πληροφοριών (ΤΠ).

                  6.

                  Στόχος της διαχείρισης κινδύνων ασφάλειας είναι η εφαρμογή μιας δέσμης μέτρων ασφάλειας που οδηγεί σε ικανοποιητική ισορροπία μεταξύ των απαιτήσεων των χρηστών και του υπολειπόμενου κινδύνου κατά της ασφάλειας.

                  7.

                  Οι ειδικές απαιτήσεις, η κλίμακα και ο βαθμός των λεπτομερειών που καθορίζονται από την αρμόδια αρχή πιστοποίησης της ασφάλειας (ΑΠΑ) για τον χειρισμό ΣΕΠ είναι αναλογικές προς τον εκτιμώμενο κίνδυνο, λαμβάνουν δε υπόψη όλους τους συναφείς παράγοντες και μεταξύ άλλων το επίπεδο διαβάθμισης των ΔΠΕΕ που τυγχάνουν χειρισμού στο ΣΕΠ. Η πιστοποίηση περιλαμβάνει τυπική δήλωση υπολειπόμενου κινδύνου και αποδοχή του υπολειπόμενου κινδύνου από αρμόδια αρχή.

         Ασφάλεια καθόλη τη διάρκεια του κύκλου ζωής του ΣΕΠ

                  8.

                  Η εγγύηση της ασφάλειας αποτελεί απαίτηση σε όλη τη διάρκεια του κύκλου ζωής του ΣΕΠ, από την έναρξη έως την παύση της λειτουργίας του.

                  9.

                  Ο ρόλος και η συμβολή κάθε φορέα που συμμετέχει σε ΣΕΠ ως προς την ασφάλειά του προσδιορίζεται σε κάθε φάση του κύκλου ζωής του συστήματος.

                  10.

                  Όλα τα ΣΕΠ, συμπεριλαμβανομένων των τεχνικών και μη τεχνικών μέτρων ασφάλειας, υποβάλλονται σε δοκιμές ασφάλειας κατά τη διάρκεια της διαδικασίας πιστοποίησης προκειμένου να εξασφαλίζεται ότι έχει επιτευχθεί το κατάλληλο επίπεδο βεβαιότητας ως προς τα εφαρμοζόμενα μέτρα ασφάλειας και να επαληθεύεται ότι τα εν λόγω μέτρα έχουν εφαρμοστεί, ολοκληρωθεί και διαμορφωθεί ορθώς.

                  11.

                  Αξιολογήσεις, επιθεωρήσεις και έλεγχοι ασφάλειας διεξάγονται σε τακτά διαστήματα κατά τη διάρκεια της λειτουργίας και της συντήρησης ενός ΣΕΠ, καθώς και σε εξαιρετικές περιστάσεις.

                  12.

                  Η τεκμηρίωση ασφάλειας ενός ΣΕΠ εξελίσσεται καθόλη τη διάρκεια του κύκλου ζωής του ως αναπόσπαστο μέρος της διαδικασίας διαχείρισης των αλλαγών και της διαμόρφωσης.

         Βέλτιστες πρακτικές

                  13.

                  Η ΕΥΕΔ συνεργάζεται με τη ΓΓΣ, την Επιτροπή και τα κράτη μέλη με στόχο την ανάπτυξη βέλτιστων πρακτικών για την προστασία των ΔΠΕΕ τις οποίες χειρίζονται τα ΣΕΠ. Οι κατευθυντήριες γραμμές βέλτιστων πρακτικών περιλαμβάνουν τεχνικά, φυσικά, οργανωτικά και διαδικαστικά μέτρα ασφάλειας για ΣΕΠ με αποδεδειγμένη αποτελεσματικότητα στην αντιμετώπιση δεδομένων απειλών και τρωτών σημείων.

                  14.

                  Η προστασία των ΔΠΕΕ τις οποίες χειρίζονται τα ΣΕΠ επωφελείται από τα διδάγματα που έχουν αποκομίσει οι φορείς που συμμετέχουν σε ΔΠ, τόσο εντός της ΕΕ όσο και εκτός αυτής.

                  15.

                  Η διάδοση και η επακόλουθη εφαρμογή βέλτιστων πρακτικών βοηθούν στην επίτευξη ισοδύναμου επιπέδου βεβαιότητας για τα διάφορα ΣΕΠ που χρησιμοποιούνται από τη ΕΥΕΔ και τα οποία διαχειρίζονται ΔΠΕΕ.

         Ασφάλεια σε βάθος

                  16.

                  Για τον περιορισμό των κινδύνων που αντιμετωπίζουν τα ΣΕΠ, εφαρμόζεται σειρά τεχνικών και μη τεχνικών μέτρων ασφάλειας, τα οποία οργανώνονται ως πολλαπλά επίπεδα άμυνας. Τα επίπεδα αυτά περιλαμβάνουν τα εξής:
                  α)   Αποτροπή: μέτρα ασφάλειας που αποσκοπούν στην αποτροπή οποιουδήποτε αντίπαλου σχεδιασμού για επίθεση σε ΣΕΠ·
                  β)   Πρόληψη: μέτρα ασφάλειας που αποσκοπούν στην παρεμπόδιση ή στην ανάσχεση επίθεσης σε ΣΕΠ·
                  γ)   Ανίχνευση: μέτρα ασφάλειας που αποσκοπούν στον εντοπισμό της εμφάνισης επίθεσης σε ΣΕΠ·
                  δ)   Ανθεκτικότητα: μέτρα ασφάλειας που αποσκοπούν στον περιορισμό των συνεπειών της επίθεσης σε ελάχιστο σύνολο πληροφοριών ή στοιχείων ΣΕΠ και στην πρόληψη περαιτέρω ζημιών, και
                  ε)   Ανάκτηση: μέτρα ασφάλειας που αποσκοπούν στην αποκατάσταση της ασφάλειας του ΣΕΠ.
                  Ο βαθμός αυστηρότητας και εφαρμοσιμότητας των εν λόγω μέτρων ασφάλειας καθορίζεται από την αξιολόγηση κινδύνου.

                  17.

                  Οι αρμόδιες αρχές της ΕΥΕΔ μεριμνούν ώστε να μπορούν να αντιμετωπίζουν συμβάντα που ενδέχεται να υπερβαίνουν τα όρια οργανισμών και κρατών για τον συντονισμό των αντιδράσεων και την ανταλλαγή πληροφοριών ως προς τα συμβάντα αυτά και τον συναφή κίνδυνο (ικανότητες του υπολογιστή για ανταπόκριση σε επείγουσες καταστάσεις).

         Αρχή της ελαχιστότητας και των ελάχιστων προνομίων

                  18.

                  Χρησιμοποιούνται μόνο οι λειτουργίες, οι συσκευές και οι υπηρεσίες για την ικανοποίηση των λειτουργικών απαιτήσεων, προκειμένου να αποφεύγονται οι περιττοί κίνδυνοι.

                  19.

                  Στους χρήστες ΣΕΠ και στις αυτοματοποιημένες διαδικασίες παρέχονται μόνο οι απαραίτητες δυνατότητες πρόσβασης και τα απαραίτητα προνόμια ή εξουσιοδοτήσεις για την εκτέλεση των καθηκόντων τους προκειμένου να περιορίζονται τυχόν βλάβες λόγω ατυχήματος, σφάλματος ή μη εξουσιοδοτημένης χρήσης των πόρων των ΣΕΠ.

                  20.

                  Οι διαδικασίες καταχώρισης που εκτελεί ένα ΣΕΠ, εφόσον απαιτείται, επαληθεύονται στο πλαίσιο της διαδικασίας πιστοποίησης.

         Ευαισθητοποίηση ως προς τη διασφάλιση πληροφοριών

                  21.

                  Η ευαισθητοποίηση ως προς τους κινδύνους και τα διαθέσιμα μέτρα ασφάλειας αποτελεί την πρώτη γραμμή άμυνας για την ασφάλεια των ΣΕΠ. Ειδικότερα, το σύνολο του προσωπικού που συμμετέχει στον κύκλο ζωής του ΣΕΠ, περιλαμβανομένων και των χρηστών, κατανοεί:

                              α)

                              ότι οι ελλείψεις όσον αφορά την ασφάλεια μπορούν να βλάψουν σημαντικά τα ΣΕΠ και ολόκληρο τον οργανισμό·

                              β)

                              τις ενδεχόμενες βλάβες σε τρίτους που μπορεί να προκύψουν από τη διασυνδεσιμότητα και την αλληλεξάρτηση, και

                              γ)

                              την ατομική ευθύνη και την υποχρέωση λογοδοσίας τους ως προς την ασφάλεια των ΣΕΠ ανάλογα με τον δικό τους ρόλο στο πλαίσιο των συστημάτων και διαδικασιών.

                  22.

                  Για να διασφαλιστεί ότι γίνονται αντιληπτές οι ευθύνες ως προς την ασφάλεια, η εκπαίδευση και η ευαισθητοποίηση σε θέματα ΔΠ είναι υποχρεωτική για όλα τα μέλη του προσωπικού, συμπεριλαμβανομένων των ανώτερων στελεχών και των χρηστών ΣΕΠ.

         Αξιολόγηση και έγκριση προϊόντων ασφάλειας ΤΠ

                  23.

                  Ο απαιτούμενος βαθμός εμπιστοσύνης στα μέτρα ασφάλειας, οριζόμενος ως επίπεδο βεβαιότητας, καθορίζεται ανάλογα με την έκβαση της διαδικασίας διαχείρισης κινδύνων και σύμφωνα με τις οικείες πολιτικές και κατευθυντήριες γραμμές ασφάλειας.

                  24.

                  Το επίπεδο βεβαιότητας επαληθεύεται με τη χρήση διεθνώς αναγνωρισμένων ή εθνικά εγκεκριμένων διαδικασιών και μεθόδων. Πρόκειται κυρίως για τη διενέργεια αξιολογήσεων και ελέγχων.

                  25.

                  Τα κρυπτογραφικά προϊόντα προστασίας των ΔΠΕΕ αξιολογούνται και εγκρίνονται από την εθνική αρχή έγκρισης κρυπτογραφικών μεθόδων (ΑΕΚΜ)·ενός κράτους μέλους.

                  26.

                  Προτού προταθούν για έγκριση από την ΑΕΚΜ της ΕΥΕΔ σύμφωνα με το άρθρο 7 παράγραφος 5 της παρούσας απόφασης, τα κρυπτογραφικά αυτά προϊόντα έχουν υποβληθεί σε δεύτερη επιτυχή αξιολόγηση από εγκεκριμένη αρχή αξιολόγησης (AQUA) κράτους μέλους που δεν συμμετέχει στον σχεδιασμό ή την κατασκευή του εξοπλισμού. Ο βαθμός λεπτομέρειας που απαιτείται κατά τη δεύτερη αξιολόγηση εξαρτάται από το προβλεπόμενο μέγιστο επίπεδο διαβάθμισης των ΔΠΕΕ που θα προστατεύονται από τα προϊόντα αυτά.

                  27.

                  Οσάκις δικαιολογείται για συγκεκριμένους επιχειρησιακούς λόγους, η ΑΕΚΜ της ΕΥΕΔ μπορεί, κατόπιν σύστασης της επιτροπής ασφάλειας του Συμβουλίου, να αποφασίσει ότι δεν θα εφαρμοστούν οι απαιτήσεις των παραγράφων 25 ή 26 και να χορηγήσει προσωρινή έγκριση για συγκεκριμένη περίοδο, σύμφωνα με τη διαδικασία του άρθρου 7 παράγραφος 5 της παρούσας απόφασης.

                  28.

                  Η AQUA είναι μια ΑΕΚΜ ενός κράτους μέλους που έχει λάβει πιστοποίηση βάσει των κριτηρίων που έχει ορίσει το Συμβούλιο, για τη διεξαγωγή της δεύτερης αξιολόγησης των κρυπτογραφικών προϊόντων για την προστασία των ΔΠΕΕ.

                  29.

                  Ο ύπατος εκπρόσωπος εγκρίνει πολιτική ασφάλειας σχετικά με τις προδιαγραφές και την έγκριση μη κρυπτογραφικών προϊόντων ασφάλειας ΤΠ.

         Διαβίβαση εντός χώρων ασφάλειας

                  30.

                  Κατά παρέκκλιση από τις διατάξεις της παρούσας απόφασης, όταν η διαβίβαση των ΔΠΕΕ περιορίζεται εντός χώρων ασφάλειας, μπορεί να χρησιμοποιείται η μη κρυπτογραφημένη διανομή ή η κρυπτογράφηση σε χαμηλότερο επίπεδο βάσει των αποτελεσμάτων της διαδικασίας διαχείρισης κινδύνων και με την έγκριση της ΑΠΑ.

         Ασφαλής διασύνδεση ΣΕΠ

                  31.

                  Για τους σκοπούς της παρούσας απόφασης, ως διασύνδεση νοείται η άμεση σύνδεση μονής ή πολλαπλής κατεύθυνσης δύο ή περισσότερων συστημάτων ΤΠ για την ανταλλαγή δεδομένων και άλλων πληροφοριών (π.χ. επικοινωνία).

                  32.

                  Ένα ΣΕΠ αντιμετωπίζει οποιοδήποτε διασυνδεδεμένο σύστημα ΤΠ ως μη έμπιστο και εφαρμόζει μέτρα προστασίας για τον έλεγχο της ανταλλαγής διαβαθμισμένων πληροφοριών.

                  33.

                  Για όλες τις διασυνδέσεις ΣΕΠ με άλλο σύστημα ΤΠ τηρούνται οι ακόλουθες βασικές απαιτήσεις:

                              α)

                              οι αρμόδιες αρχές αναφέρουν και εγκρίνουν τις επαγγελματικές ή λειτουργικές απαιτήσεις για τις διασυνδέσεις αυτές·

                              β)

                              η διασύνδεση υποβάλλεται σε διαδικασία διαχείρισης κινδύνου και πιστοποίησης και απαιτεί την έγκριση των αρμόδιων ΑΠΑ, και

                              γ)

                              στην περίμετρο όλων των ΣΕΠ συστήνονται υπηρεσίες περιφερειακής προστασίας (ΥΠΠ).

                  34.

                  Δεν επιτρέπεται διασύνδεση μεταξύ ενός πιστοποιημένου ΣΕΠ με μη προστατευόμενο ή δημόσιο δίκτυο, εκτός εάν το ΣΕΠ έχει εγκρίνει υπηρεσίες περιφερειακής προστασίας που έχουν εγκατασταθεί για τον σκοπό αυτό μεταξύ του ΣΕΠ και του μη προστατευόμενου ή δημόσιου δικτύου. Τα μέτρα ασφάλειας για τις διασυνδέσεις αυτές επανεξετάζονται από την αρμόδια αρχή διασφάλισης πληροφοριών (ΑΔΠ) και εγκρίνονται από την αρμόδια αρχή πιστοποίησης της ασφάλειας (ΑΠΑ).
                  Όταν το μη προστατευόμενο ή δημόσιο δίκτυο χρησιμοποιείται αποκλειστικά ως κομιστής και τα δεδομένα έχουν κρυπτογραφηθεί από κρυπτογραφικό προϊόν που έχει λάβει έγκριση σύμφωνα με το άρθρο 7 παράγραφος 5 της παρούσας απόφασης, η σύνδεση αυτή δεν θεωρείται διασύνδεση.

                  35.

                  Η άμεση ή διαδοχική σύνδεση ενός ΣΕΠ που είναι πιστοποιημένο να χειρίζεται διαβάθμιση TRES SECRET UE/EU TOP SECRET με μη προστατευόμενο ή δημόσιο δίκτυο απαγορεύεται.

         Ηλεκτρονικά μέσα αποθήκευσης

                  36.

                  Τα ηλεκτρονικά μέσα αποθήκευσης καταστρέφονται σύμφωνα με εγκεκριμένες από την αρχή ασφάλειας της ΕΥΕΔ διαδικασίες.

                  37.

                  Τα ηλεκτρονικά μέσα αποθήκευσης επαναχρησιμοποιούνται, υποχαρακτηρίζονται ή αποχαρακτηρίζονται σύμφωνα με πολιτική ασφάλειας που καταρτίζεται κατά το άρθρο 7 παράγραφος 2 της παρούσας απόφασης.

         Καταστάσεις έκτακτης ανάγκης

                  38.

                  Παρά τις διατάξεις της παρούσας απόφασης, οι ειδικές διαδικασίες που περιγράφονται παρακάτω μπορούν να εφαρμόζονται για περιορισμένο χρονικό διάστημα σε περιπτώσεις έκτακτης ανάγκης, όπως καταστάσεις επικείμενης ή πραγματικής κρίσης, σύγκρουσης ή πολέμου ή υπό εξαιρετικές επιχειρησιακές περιστάσεις.

                  39.

                  Οι ΔΠΕΕ μπορούν να διαβιβάζονται με τη χρήση κρυπτογραφικών προϊόντων που έχουν λάβει έγκριση για χαμηλότερο επίπεδο διαβάθμισης ή χωρίς κρυπτογράφηση, με τη συγκατάθεση της αρμόδιας αρχής, εάν οποιαδήποτε καθυστέρηση θα ήταν ικανή να προξενήσει ζημία σαφώς μεγαλύτερη από τη ζημία που θα προκαλούσε η τυχόν κοινολόγηση του διαβαθμισμένου υλικού και εφόσον:

                              α)

                              ο αποστολέας και ο παραλήπτης δεν διαθέτουν τους απαιτούμενους κρυπτογραφικούς χώρους ή δεν διαθέτουν καθόλου χώρους και

                              β)

                              δεν υπάρχει άλλος τρόπος έγκαιρης διαβίβασης του διαβαθμισμένου υλικού.

                  40.

                  Οι διαβαθμισμένες πληροφορίες που διαβιβάζονται υπό τις περιστάσεις που περιγράφονται στην παράγραφο 39 δεν φέρουν σημάνσεις ή ενδείξεις που τις διακρίνουν από μη διαβαθμισμένες πληροφορίες ή από πληροφορίες που μπορούν να προστατευτούν με τα διαθέσιμα κρυπτογραφικά προϊόντα. Οι παραλήπτες τους ενημερώνονται αμελλητί για το επίπεδο διαβάθμισης με άλλα μέσα.

                  41.

                  Σε περίπτωση εφαρμογής της παραγράφου 39, αποστέλλεται σχετική έκθεση στη διεύθυνση ασφάλειας της ΕΥΕΔ και, κατόπιν, στην επιτροπή ασφάλειας της ΕΥΕΔ. Στην εν λόγω έκθεση αναφέρεται τουλάχιστον ο αποστολέας, ο παραλήπτης και ο φορέας προέλευσης κάθε ΔΠΕΕ.

            III.   ΛΕΙΤΟΥΡΓΙΕΣ ΚΑΙ ΑΡΧΕΣ ΔΙΑΣΦΑΛΙΣΗΣ ΠΛΗΡΟΦΟΡΙΩΝ

                  42.

                  Θεσπίζονται οι ακόλουθες λειτουργίες ΔΠ στην ΕΥΕΔ. Οι λειτουργίες αυτές δεν απαιτούν τη σύσταση ενιαίων οργανωτικών μονάδων. Έχουν χωριστές εντολές. Ωστόσο, οι λειτουργίες αυτές και οι σχετικές ευθύνες μπορούν να συνδυάζονται ή να εντάσσονται στην ίδια οργανωτική μονάδα ή να χωρίζονται σε διαφορετικές μονάδες, υπό την προϋπόθεση ότι αποφεύγονται οι εσωτερικές συγκρούσεις συμφερόντων ή καθηκόντων.

         Αρχή διασφάλισης πληροφοριών (ΑΔΠ)

                  43.

                  Η ΑΔΠ είναι επιφορτισμένη με τα εξής καθήκοντα:

                              α)

                              χαράσσει πολιτικές και κατευθυντήριες γραμμές ασφάλειας ΔΠ και παρακολουθεί την αποτελεσματικότητα και τη συνάφειά τους·

                              β)

                              διαφυλάσσει και διαχειρίζεται τεχνικές πληροφορίες που αφορούν κρυπτογραφικά προϊόντα·

                              γ)

                              μεριμνά ώστε τα μέτρα ΔΠ που επιλέγονται για την προστασία των ΔΠΕΕ να τηρούν τις σχετικές πολιτικές που διέπουν την επιλεξιμότητα και την επιλογή τους·

                              δ)

                              μεριμνά ώστε τα κρυπτογραφικά προϊόντα να επιλέγονται σύμφωνα με τις πολιτικές που διέπουν την επιλεξιμότητα και την επιλογή τους·

                              ε)

                              συντονίζει την κατάρτιση και την ευαισθητοποίηση όσον αφορά τη ΔΠ·

                              στ)

                              διαβουλεύεται με τον πάροχο του συστήματος, τους φορείς της ασφάλειας και τους εκπροσώπους των χρηστών σχετικά με τις πολιτικές και τις κατευθυντήριες γραμμές ασφάλειας ΔΠ, και

                              ζ)

                              μεριμνά ώστε να υφίσταται η κατάλληλη εμπειρογνωμοσύνη στην υποομάδα εμπειρογνωμόνων της επιτροπής ασφάλειας της ΕΥΕΔ για ζητήματα ΔΠ.

         Αρχή TEMPEST

                  44.

                  Η αρχή TEMPEST (ΤΑ) είναι αρμόδια για την εξασφάλιση της συμμόρφωσης του ΣΕΠ με τις πολιτικές και κατευθυντήριες γραμμές του TEMPEST. Εγκρίνει αντίμετρα TEMPEST για εγκαταστάσεις και προϊόντα που προορίζονται για την προστασία των ΔΠΕΕ μέχρι ορισμένου επιπέδου διαβάθμισης στο επιχειρησιακό τους περιβάλλον.

         Αρχή έγκρισης κρυπτογραφικών μεθόδων (ΑΕΚΜ)

                  45.

                  Η ΑΕΚΜ είναι αρμόδια να διασφαλίζει τη συμβατότητα των κρυπτογραφικών προϊόντων με την αντίστοιχη κρυπτογραφική πολιτική. Εγκρίνει κρυπτογραφικά προϊόντα για την προστασία ΔΠΕΕ μέχρι ορισμένου επιπέδου διαβάθμισης στο επιχειρησιακό τους περιβάλλον.

         Αρχή διανομής κρυπτογραφικών μεθόδων (ΑΔΚΜ)

                  46.

                  Η ΑΔΚΜ είναι επιφορτισμένη με τα εξής καθήκοντα:

                              α)

                              διαχειρίζεται και καταμετρά το κρυπτογραφικό υλικό της ΕΕ·

                              β)

                              μεριμνά ώστε να εφαρμόζονται οι κατάλληλες διαδικασίες και να δημιουργούνται δίαυλοι για την καταμέτρηση, τον ασφαλή χειρισμό, την αποθήκευση και τη διανομή όλου του κρυπτογραφικού υλικού της ΕΕ, και

                              γ)

                              μεριμνά για τη μεταφορά του κρυπτογραφικού υλικού της ΕΕ από και προς άτομα ή υπηρεσίες που το χρησιμοποιούν.

         Αρχή πιστοποίησης της ασφάλειας (ΑΠΑ)

                  47.

                  Η ΑΠΑ κάθε συστήματος είναι επιφορτισμένη με τα εξής καθήκοντα:

                              α)

                              μέριμνα ώστε τα ΣΕΠ να συμμορφώνονται με τις οικείες πολιτικές και κατευθυντήριες γραμμές ασφάλειας, παρέχοντας δήλωση έγκρισης των ΣΕΠ για τον χειρισμό ΔΠΕΕ μέχρι ενός ορισμένου επιπέδου διαβάθμισης εντός του επιχειρησιακού περιβάλλοντός τους, στην οποία αναφέρονται οι όροι της πιστοποίησης και τα κριτήρια βάσει των οποίων απαιτείται νέα έγκριση·

                              β)

                              θεσπίζει διαδικασία πιστοποίησης ασφάλειας, σύμφωνα με τις σχετικές πολιτικές, όπου αναφέρονται με σαφήνεια οι προϋποθέσεις έγκρισης για τα ΣΕΠ που τελούν υπό την ευθύνη της·

                              γ)

                              χαράζει στρατηγική πιστοποίησης ασφάλειας στην οποία ορίζεται ο βαθμός λεπτομέρειας για τη διαδικασία πιστοποίησης ο οποίος είναι ανάλογος με το απαιτούμενο επίπεδο βεβαιότητας·

                              δ)

                              εξετάζει και εγκρίνει την τεκμηρίωση που αφορά την ασφάλεια, περιλαμβανομένων των δηλώσεων διαχείρισης κινδύνου και υπολειπόμενου κινδύνου, των δηλώσεων απαιτήσεων ασφάλειας που είναι ειδικές για κάθε σύστημα (στο εξής «SSRS»), της τεκμηρίωσης σχετικά με τον έλεγχο εφαρμογής της ασφάλειας και των λειτουργικών διαδικασιών ασφάλειας (στο εξής «SecOP»), και μεριμνά ώστε να τηρεί τους κανόνες και τις πολιτικές ασφάλειας της ΕΥΕΔ·

                              ε)

                              ελέγχει την εφαρμογή των μέτρων ασφάλειας σε σχέση με τα ΣΕΠ μέσω της ανάληψης ή της ανάθεσης αξιολογήσεων, επιθεωρήσεων ή ελέγχων ασφάλειας·

                              στ)

                              ορίζει τις απαιτήσεις ασφάλειας (π.χ. τα επίπεδα εξουσιοδότησης ασφάλειας του προσωπικού) για ευαίσθητες θέσεις αναφορικά με το ΣΕΠ·

                              ζ)

                              εγκρίνει την επιλογή εγκεκριμένων κρυπτογραφικών προϊόντων και προϊόντων TEMPEST που χρησιμοποιούνται για την παροχή ασφάλειας σε ΣΕΠ·

                              η)

                              εγκρίνει, ή κατά περίπτωση, συμμετέχει στην κοινή έγκριση της διασύνδεσης ενός ΣΕΠ με άλλα ΣΕΠ, και

                              i)

                              διαβουλεύεται με τον πάροχο του συστήματος, τους φορείς ασφάλειας και τους εκπροσώπους των χρηστών σχετικά με τη διαχείριση των κινδύνων ασφάλειας και ειδικότερα του υπολειπόμενου κινδύνου, καθώς και για τους όρους και τις προϋποθέσεις της δήλωσης έγκρισης.

                  48.

                  Η ΑΠΑ της ΕΥΕΔ είναι αρμόδια για την έγκριση όλων των ΣΕΠ που λειτουργούν στο πλαίσιο των αρμοδιοτήτων της ΕΥΕΔ.

         Συμβούλιο πιστοποίησης ασφάλειας (ΣΠΑ)

                  49.

                  Το κοινό συμβούλιο πιστοποίησης ασφάλειας (ΣΠΑ) είναι υπεύθυνο για την πιστοποίηση των ΣΕΠ στο πλαίσιο των αρμοδιοτήτων τόσο της ΑΠΑ της ΕΥΕΔ όσο και των ΑΠΑ των κρατών μελών. Αποτελείται από έναν εκπρόσωπο ΑΠΑ εκάστου κράτους μέλους, ενώ στις συνεδριάσεις του συμμετέχει ένας εκπρόσωπος ΑΠΑ της ΓΓΣ και της Επιτροπής. Όταν συζητείται το εν λόγω σύστημα, καλούνται να συμμετέχουν και άλλοι φορείς που διαθέτουν κόμβους σε ΣΕΠ.
                  Πρόεδρος του ΣΠΑ είναι ένας εκπρόσωπος της ΑΠΑ της ΕΥΕΔ. Ενεργεί με τη συναίνεση των εκπροσώπων ΑΠΑ των θεσμικών οργάνων, των κρατών μελών και άλλων φορέων που διαθέτουν κόμβους στο ΣΕΠ. Το ΣΠΑ υποβάλλει περιοδικές εκθέσεις σχετικά με τις δραστηριότητές του στην επιτροπή ασφάλειας της ΕΥΕΔ και της κοινοποιεί όλες τις δηλώσεις πιστοποίησης.

         Επιχειρησιακή αρχή διασφάλισης πληροφοριών

                  50.

                  Η επιχειρησιακή αρχή ΔΠ κάθε συστήματος είναι επιφορτισμένη με τα εξής καθήκοντα:

                              α)

                              καταρτίζει τεκμηρίωση ως προς την ασφάλεια σύμφωνα με τις πολιτικές και τις κατευθυντήριες γραμμές ασφάλειας, ιδίως τη δήλωση για τις ειδικές για το κάθε σύστημα απαιτήσεις ασφαλείας (SSRS), συμπεριλαμβανομένης της δήλωσης υπολειπόμενου κινδύνου, των λειτουργικών διαδικασιών ασφάλειας (SecOP) και του κρυπτογραφικού σχεδίου στο πλαίσιο της διαδικασίας έγκρισης του ΣΕΠ·

                              β)

                              συμμετέχει στην επιλογή και τη δοκιμή των ειδικών για κάθε σύστημα τεχνικών μέτρων, συσκευών και λογισμικού ασφάλειας, επιβλέπει την εφαρμογή τους και μεριμνά για την ασφαλή εγκατάσταση, ρύθμιση και συντήρησή τους σύμφωνα με τις οικείες ρυθμίσεις ασφάλειας·

                              γ)

                              συμμετέχει στην επιλογή μέτρων και συσκευών ασφάλειας TEMPEST εφόσον απαιτείται από τις SSRS και διασφαλίζει την ασφαλή εγκατάσταση και συντήρησή τους σε συνεργασία με την αρχή ΤΑ·

                              δ)

                              παρακολουθεί την εφαρμογή των SecOp και, κατά περίπτωση, μεταβιβάζει αρμοδιότητες σχετικές με τη λειτουργική ασφάλεια στον ιδιοκτήτη του συστήματος·

                              ε)

                              διαχειρίζεται και χειρίζεται κρυπτογραφικά προϊόντα, μεριμνώντας για τη φύλαξη των κρυπτογραφικών και των ελεγχόμενων προϊόντων και, εφόσον απαιτείται, διασφαλίζει την παραγωγή κρυπτογραφικών μεταβλητών·

                              στ)

                              επανεξετάζει αναλύσεις και διεξάγει δοκιμές στον τομέα της ασφάλειας, ιδίως για την εκπόνηση των σχετικών εκθέσεων κινδύνου, όπως απαιτεί η ΑΠΑ·

                              ζ)

                              παρέχει ειδική για το ΣΕΠ κατάρτιση ΔΠ·

                              η)

                              εφαρμόζει ειδικά για το ΣΕΠ μέτρα ασφάλειας.

      ΠΑΡΑΡΤΗΜΑ A V

         ΒΙΟΜΗΧΑΝΙΚΗ ΑΣΦΑΛΕΙΑ

      I.   ΕΙΣΑΓΩΓΗ

                  1.

                  Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 9 του παραρτήματος Α. Ορίζει γενικές διατάξεις ασφάλειας που εφαρμόζονται στους βιομηχανικούς ή άλλους φορείς κατά τις διαπραγματεύσεις πριν από την ανάθεση σύμβασης και καθόλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων που συνάπτει η ΕΥΕΔ.

                  2.

                  Ο ύπατος εκπρόσωπος εγκρίνει πολιτική βιομηχανικής ασφάλειας η οποία περιλαμβάνει ειδικότερα λεπτομερείς απαιτήσεις όσον αφορά τις εξουσιοδοτήσεις ασφάλειας φορέα (ΕΑΦ), τα έγγραφα θεμάτων ασφάλειας (ΕΘΑ), τις επισκέψεις, τη διαβίβαση και τη μεταφορά των ΔΠΕΕ.

            II.   ΣΤΟΙΧΕΙΑ ΑΣΦΑΛΕΙΑΣ ΣΕ ΔΙΑΒΑΘΜΙΣΜΕΝΗ ΣΥΜΒΑΣΗ

         Οδηγός διαβαθμίσεων ασφάλειας (ΟΔΑ)

                  3.

                  Πριν από την έναρξη διαδικασίας πρόσκλησης υποβολής προσφορών ή τη σύναψη διαβαθμισμένης σύμβασης, η ΕΥΕΔ, ως αναθέτουσα αρχή, καθορίζει τη διαβάθμιση ασφάλειας κάθε πληροφορίας που πρέπει να παρέχεται στους υποβάλλοντες προσφορά και στους εργολάβους, καθώς και τη διαβάθμιση ασφάλειας κάθε πληροφορίας που παράγεται από τον εργολάβο. Προς τούτο, η ΕΥΕΔ καταρτίζει ΟΔΑ που θα χρησιμοποιείται για την εκτέλεση της σύμβασης.

                  4.

                  Προκειμένου να καθοριστεί η διαβάθμιση ασφάλειας των διάφορων στοιχείων μιας διαβαθμισμένης σύμβασης, εφαρμόζονται οι ακόλουθες αρχές:

                              α)

                              κατά την κατάρτιση του ΟΔΑ, η ΕΥΕΔ λαμβάνει υπόψη κάθε σχετικό ζήτημα ασφάλειας, συμπεριλαμβανομένης της διαβάθμισης ασφάλειας των πληροφοριών που παρέχονται και που εγκρίνονται προς χρήση για τη σύμβαση από τον φορέα προέλευσης των πληροφοριών·

                              β)

                              η συνολική διαβάθμιση ασφάλειας της σύμβασης δεν επιτρέπεται να είναι κατώτερη από την ανώτατη διαβάθμιση οποιουδήποτε μέρους της, και

                              γ)

                              κατά περίπτωση, η ΕΥΕΔ συνεργάζεται με τις ΕΑΑ/ΚΑΑ των κρατών μελών ή κάθε άλλη σχετική αρμόδια αρχή ασφάλειας σε περίπτωση τυχόν μεταβολών της διαβάθμισης των πληροφοριών που παράγονται από εργολάβους ή παρέχονται σε εργολάβους κατά την εκτέλεση σύμβασης, καθώς και σε περίπτωση τυχόν επακόλουθων τροποποιήσεων του ΟΔΑ.

         Έγγραφο θεμάτων ασφάλειας (ΕΘΑ)

                  5.

                  Οι απαιτήσεις ασφάλειας της εκάστοτε σύμβασης περιγράφονται σε έγγραφο θεμάτων ασφάλειας (ΕΘΑ). Εφόσον απαιτείται, το ΕΘΑ περιλαμβάνει τον ΟΔΑ και αποτελεί αναπόσπαστο μέρος διαβαθμισμένης σύμβασης ή υπεργολαβίας.

                  6.

                  Το ΕΘΑ περιέχει διατάξεις που απαιτούν από τον εργολάβο και/ή τον υπεργολάβο να συμμορφώνεται προς τα ελάχιστα πρότυπα που ορίζονται στην παρούσα απόφαση. Η μη συμμόρφωση με αυτά τα ελάχιστα πρότυπα μπορεί να συνιστά επαρκή λόγο καταγγελίας της σύμβασης.

         Εντολές ασφάλειας του προγράμματος/έργου (PSI)

                  7.

                  Ανάλογα με το πεδίο εφαρμογής προγραμμάτων ή έργων που αφορούν την πρόσβαση σε ΔΠΕΕ ή τον χειρισμό ή την αποθήκευσή τους, η αναθέτουσα αρχή η οποία έχει αναλάβει τη διαχείριση του προγράμματος ή του έργου μπορεί να εκπονήσει ειδικές εντολές ασφάλειας του προγράμματος/έργου (PSI). Οι PSI εγκρίνονται από τις ΕΑΑ/ΚΑΑ των κρατών μελών ή από οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας που συμμετέχει στο πρόγραμμα/σχέδιο, και ενδέχεται να προβλέπουν πρόσθετες απαιτήσεις ασφάλειας.

            III.   ΕΞΟΥΣΙΟΔΟΤΗΣΗ ΑΣΦΑΛΕΙΑΣ ΦΟΡΕΑ (ΕΑΦ)

                  8.

                  Η διεύθυνση ασφάλειας της ΕΥΕΔ ζητεί από την ΕΑΑ ή την ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας του οικείου κράτους μέλους να χορηγήσει ΕΑΦ η οποία να δηλώνει, βάσει των εθνικών νομοθετικών και κανονιστικών διατάξεων, ότι ένας βιομηχανικός ή άλλος φορέας μπορεί να προστατεύει τις ΔΠΕΕ στις εγκαταστάσεις του ανάλογα με τη διαβάθμιση ασφάλειάς τους (CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET). Σε έναν εργολάβο, υπεργολάβο ή δυνητικό εργολάβο ή υπεργολάβο δεν χορηγείται πρόσβαση σε ΔΠΕΕ, μέχρι να διαβιβαστεί στην ΕΥΕΔ αποδεικτικό ΕΑΦ.

                  9.

                  Οσάκις απαιτείται, η ΕΥΕΔ, ως αναθέτουσα αρχή, ενημερώνει την αρμόδια ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας ότι απαιτείται ΕΑΦ κατά το προσυμβατικό στάδιο ή για την εκτέλεση της σύμβασης. ΕΑΦ ή ΕΑΠ απαιτείται κατά το προσυμβατικό στάδιο όταν πρέπει να παρασχεθούν ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET κατά τη διάρκεια της διαδικασίας υποβολής προσφορών.

                  10.

                  Η ΕΥΕΔ, ως αναθέτουσα αρχή, δεν αναθέτει διαβαθμισμένη σύμβαση στον προτιμώμενο υποψήφιο προτού λάβει επιβεβαίωση από την ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας του κράτους μέλους στο οποίο έχει την έδρα του ο εργολάβος ή ο υπεργολάβος ότι έχει εκδοθεί η δέουσα ΕΑΦ όπου απαιτείται.

                  11.

                  Η ΕΥΕΔ, ως αναθέτουσα αρχή, ζητεί από την ΕΑΑ/ΚΑΑ ή κάθε άλλη αρμόδια αρχή ασφάλειας που έχει εκδώσει μια ΕΑΦ να την ενημερώνει για τυχόν αρνητικές πληροφορίες που επηρεάζουν την ΕΑΦ. Σε περίπτωση υπεργολαβίας, η ΕΑΑ/ΚΑΑ ή κάθε άλλη αρμόδια αρχή ασφάλειας ενημερώνεται αναλόγως.

                  12.

                  Η ανάκληση ΕΑΦ από την αρμόδια ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας συνιστά επαρκή λόγο για να καταγγείλει η ΕΥΕΔ, ως αναθέτουσα αρχή, μια διαβαθμισμένη σύμβαση ή να αποκλείσει έναν υποψήφιο από τον διαγωνισμό.

            IV.   ΕΞΟΥΣΙΟΔΟΤΉΣΕΙΣ ΑΣΦΑΛΕΙΑΣ ΠΡΟΣΩΠΙΚΟΥ (ΕΑΠ) ΓΙΑ ΤΟ ΠΡΟΣΩΠΙΚΟΥ ΤΩΝ ΕΡΓΟΛΑΒΩΝ

                  13.

                  Κάθε μέλος του προσωπικού που εργάζεται για εργολάβους και απαιτεί πρόσβαση σε ΔΠΕΕ με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη έχει λάβει τη δέουσα εξουσιοδότηση ασφάλειας και ο λόγος της πρόσβασής του σε πληροφορίες είναι η «ανάγκη γνώσης». Παρότι δεν απαιτείται ΕΑΠ για την πρόσβαση σε ΔΠΕΕ με διαβάθμιση RESTREINT UE/EU RESTRICTED, πρέπει να υφίσταται «ανάγκη γνώσης» η οποία να δικαιολογεί την πρόσβαση αυτήν.

                  14.

                  Οι αιτήσεις για ΕΑΠ για προσωπικό εργολάβων υποβάλλονται στην ΕΑΑ/ΚΑΑ που είναι αρμόδια για τον φορέα.

                  15.

                  Η ΕΥΕΔ επισημαίνει στους εργολάβους που επιθυμούν να απασχολήσουν υπήκοο τρίτου κράτους σε θέση που απαιτεί πρόσβαση σε ΔΠΕΕ ότι αποτελεί ευθύνη της ΕΑΑ/ΚΑΑ του κράτους μέλους στο οποίο ο φορέας που προβαίνει στην πρόληψη έχει συσταθεί και έχει την έδρα του να διαπιστώσει κατά πόσον το εν λόγω πρόσωπο μπορεί να αποκτήσει πρόσβαση στις πληροφορίες αυτές, σύμφωνα με την παρούσα απόφαση, καθώς και να επιβεβαιώσει ότι έχει παρασχεθεί η συγκατάθεση του φορέα προέλευσης των πληροφοριών πριν από την παροχή της πρόσβασης.

            V.   ΔΙΑΒΑΘΜΙΣΜΕΝΕΣ ΣΥΜΒΑΣΕΙΣ ΕΡΓΟΛΑΒΙΑΣ ΚΑΙ ΥΠΕΡΓΟΛΑΒΙΑΣ

                  16.

                  Όταν, κατά το προσυμβατικό στάδιο, παρέχονται ΔΠΕΕ σε υποψήφιο, η πρόσκληση υποβολής προσφορών περιέχει διάταξη που υποχρεώνει τον υποψήφιο ο οποίος τελικά δεν υποβάλλει προσφορά ή δεν επιλέγεται να επιστρέψει όλα τα διαβαθμισμένα έγγραφα εντός συγκεκριμένου χρονικού διαστήματος.

                  17.

                  Μόλις ανατεθεί διαβαθμισμένη σύμβαση εργολαβίας ή υπεργολαβίας, η ΕΥΕΔ, ως αναθέτουσα αρχή, ενημερώνει την ΕΑΑ/ΚΑΑ του εργολάβου ή του υπεργολάβου ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας σχετικά με τις διατάξεις ασφάλειας της διαβαθμισμένης σύμβασης.

                  18.

                  Σε περίπτωση καταγγελίας ή λήξης των συμβάσεων αυτών, η ΕΥΕΔ, ως αναθέτουσα αρχή, (και/ή η ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας, αναλόγως, σε περίπτωση υπεργολαβίας) ενημερώνει αμέσως την ΕΑΑ/ΚΑΑ ή οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας του κράτους μέλους στο οποίο έχει την έδρα του ο εργολάβος ή ο υπεργολάβος.

                  19.

                  Κατά κανόνα, ο εργολάβος ή ο υπεργολάβος επιστρέφει στην αναθέτουσα αρχή, άμα τη λύσει ή τη λήξει της διαβαθμισμένης σύμβασης εργολαβίας ή υπεργολαβίας, τυχόν ΔΠΕΕ που έχει στην κατοχή του.

                  20.

                  Ειδικές διατάξεις για τη διάθεση των ΔΠΕΕ κατά την εκτέλεση της σύμβασης ή κατά τη λύση ή τη λήξη της ορίζονται στο ΕΘΑ.

                  21.

                  Όταν ο εργολάβος ή ο υπεργολάβος έχει δικαίωμα διατήρησης των ΔΠΕΕ μετά τη λύση ή τη λήξη της σύμβασης, τα ελάχιστα πρότυπα που προβλέπονται στην παρούσα απόφαση συνεχίζουν να τηρούνται και το απόρρητο των ΔΠΕΕ προστατεύεται από τον εργολάβο ή τον υπεργολάβο.

                  22.

                  Οι όροι υπό τους οποίους ο κύριος εργολάβος μπορεί να συνάπτει σύμβαση υπεργολαβίας καθορίζονται στην πρόσκληση υποβολής προσφορών και στη σύμβαση.

                  23.

                  Ο εργολάβος λαμβάνει άδεια από την ΕΥΕΔ, ως αναθέτουσα αρχή, προτού αναθέσει τμήματα διαβαθμισμένης σύμβασης σε υπεργολάβους. Δεν ανατίθεται σύμβαση υπεργολαβίας σε βιομηχανικούς ή άλλους φορείς οι οποίοι έχουν την έδρα τους σε κράτος μη μέλος της ΕΕ το οποίο δεν έχει συνάψει συμφωνία ασφάλειας πληροφοριών με την ΕΕ.

                  24.

                  Ο εργολάβος μεριμνά ώστε όλες οι υπεργολαβικές δραστηριότητες να αναλαμβάνονται σύμφωνα με τα ελάχιστα πρότυπα της παρούσας απόφασης, και δεν παρέχει ΔΠΕΕ σε υπεργολάβο χωρίς την προηγούμενη γραπτή συγκατάθεση της αναθέτουσας αρχής.

                  25.

                  Όσον αφορά τις ΔΠΕΕ τις οποίες δημιουργεί ή χειρίζεται ο εργολάβος ή ο υπεργολάβος, τα δικαιώματα του φορέα προέλευσης ασκούνται από την αναθέτουσα αρχή.

            VI.   ΕΠΙΣΚΕΨΕΙΣ ΠΟΥ ΣΥΝΔΕΟΝΤΑΙ ΜΕ ΔΙΑΒΑΘΜΙΣΜΕΝΕΣ ΣΥΜΒΑΣΕΙΣ

                  26.

                  Όταν η ΕΥΕΔ, οι εργολάβοι ή οι υπεργολάβοι χρειάζονται πρόσβαση σε πληροφορίες με τη διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET στις αντίστοιχες εγκαταστάσεις τους για την εκτέλεση διαβαθμισμένης σύμβασης, διοργανώνονται επισκέψεις σε συνεργασία με τις ΕΑΑ/ΚΑΑ ή κάθε άλλη αρμόδια αρχή ασφάλειας. Αυτό δεν θίγει το δικαίωμα των ΕΑΑ/ΚΑΑ, στο πλαίσιο ειδικών έργων, να εγκρίνουν διαδικασία όπου οι επισκέψεις αυτές μπορούν να διοργανώνονται απευθείας.

                  27.

                  Όλοι οι επισκέπτες διαθέτουν τη δέουσα ΕΑΠ και έχουν ανάγκη γνώσης για την πρόσβαση στις ΔΠΕΕ που συνδέονται με τη σύμβαση ΕΥΕΔ.

                  28.

                  Οι επισκέπτες δικαιούνται πρόσβαση μόνο στις ΔΠΕΕ που έχουν σχέση με το σκοπό της επίσκεψης.

            VII.   ΔΙΑΒΙΒΑΣΗ ΚΑΙ ΜΕΤΑΦΟΡΑ ΔΠΕΕ

                  29.

                  Όσον αφορά τη διαβίβαση ΔΠΕΕ με ηλεκτρονικά μέσα, ισχύουν οι σχετικές διατάξεις του άρθρου 8 του παραρτήματος Α και του παραρτήματος A IV.

                  30.

                  Όσον αφορά τη μεταφορά των ΔΠΕΕ, ισχύουν οι σχετικές διατάξεις του παραρτήματος A III, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις.

                  31.

                  Κατά τον καθορισμό των ρυθμίσεων ασφάλειας για τη μεταφορά διαβαθμισμένου υλικού ως φορτίου, εφαρμόζονται οι ακόλουθες αρχές:

                              α)

                              η ασφάλεια είναι εγγυημένη σε όλα τα στάδια της μεταφοράς, από το αρχικό σημείο προέλευσης ως τον τελικό προορισμό·

                              β)

                              ο βαθμός προστασίας κάθε αποστολής στοιχείων προσδιορίζεται με βάση την ανώτατη διαβάθμιση του υλικού που περιέχεται στην αποστολή·

                              γ)

                              χορηγείται ΕΑΦ στο κατάλληλο επίπεδο για τις εταιρείες που πραγματοποιούν τη μεταφορά εάν η μεταφορά συνεπάγεται επίσης ότι οι διαβαθμισμένες πληροφορίες αποθηκεύονται στις εγκαταστάσεις του εργολάβου. Στις περιπτώσεις αυτές, το προσωπικό που χειρίζεται την αποστολή στοιχείων λαμβάνει την προσήκουσα εξουσιοδότηση ασφάλειας σύμφωνα με το παράρτημα Α Ι·

                              δ)

                              πριν από κάθε διασυνοριακή μεταφορά υλικού με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή SECRET UE/EU SECRET, ο αποστολέας καταρτίζει σχέδιο μεταφοράς το οποίο εγκρίνεται από την ΕΥΕΔ, όπου κρίνεται σκόπιμο με τη συνεργασία των ΕΑΑ/ΚΑΑ τόσο του αποστολέα όσο και του παραλήπτη ή με οποιαδήποτε άλλη σχετική αρμόδια αρχή ασφάλειας·

                              ε)

                              οι μεταφορές εκτελούνται κατά το δυνατόν από σημείο σε σημείο και ολοκληρώνονται όσο πιο γρήγορα το επιτρέπουν οι εκάστοτε συνθήκες·

                              στ)

                              εφόσον είναι εφικτό, τα δρομολόγια θα πρέπει να διέρχονται μόνον από κράτη μέλη. Δρομολόγια μέσω κρατών μη μελών της ΕΕ θα πρέπει να πραγματοποιούνται μόνον κατόπιν εξουσιοδότησης της ΕΥΕΔ ή οποιασδήποτε άλλης αρμόδιας αρχής ασφάλειας των κρατών του αποστολέα και του παραλήπτη.

            VIII.   ΜΕΤΑΦΟΡΑ ΔΠΕΕ ΣΕ ΕΡΓΟΛΑΒΟΥΣ ΠΟΥ ΒΡΙΣΚΟΝΤΑΙ ΣΕ ΤΡΙΤΑ ΚΡΑΤΗ

                  32.

                  Η μεταφορά ΔΠΕΕ σε εργολάβους και υπεργολάβους που βρίσκονται σε τρίτα κράτη και έχουν συνάψει ισχύουσα συμφωνία ασφάλειας με την ΕΕ διεξάγεται σύμφωνα με τα μέτρα ασφάλειας που έχουν εγκρίνει η ΕΥΕΔ, ως αναθέτουσα αρχή, και η ΕΑΑ/ΚΑΑ του εν λόγω τρίτου κράτους όπου έχει την έδρα του ο εργολάβος.

            IX.   ΧΕΙΡΙΣΜΟΣ ΚΑΙ ΑΠΟΘΗΚΕΥΣΗ ΠΛΗΡΟΦΟΡΙΩΝ ΜΕ ΔΙΑΒΑΘΜΙΣΗ RESTREINT UE/EU RESTRICTED

                  33.

                  Σε συνεργασία, κατά περίπτωση, με τις ΕΑΑ/ΚΑΑ των κρατών μελών, η ΕΥΕΔ, ως αναθέτουσα αρχή, έχει δικαίωμα διεξαγωγής επισκέψεων στις εγκαταστάσεις των εργολάβων/υπεργολάβων βάσει συμβατικών διατάξεων προκειμένου να εξακριβώνει ότι εφαρμόζονται τα σχετικά μέτρα ασφάλειας για την προστασία των ΔΠΕΕ στο επίπεδο RESTREINT UE/EU RESTRICTED όπως απαιτείται στο πλαίσιο της συναφθείσας σύμβασης.

                  34.

                  Στον βαθμό που απαιτείται δυνάμει εθνικών νομοθετικών και κανονιστικών διατάξεων, η ΕΥΕΔ, ως αναθέτουσα αρχή, γνωστοποιεί στις ΕΑΑ/ΚΑΑ ή σε οποιαδήποτε άλλη αρμόδια αρχή ασφάλειας τις συμβάσεις ή τις συμβάσεις υπεργολαβίας που περιέχουν πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED.

                  35.

                  Δεν απαιτείται ΕΑΦ ή ΕΑΠ για τους εργολάβους ή τους υπεργολάβους και το προσωπικό τους για συμβάσεις που ανατίθενται από τη ΕΥΕΔ και περιέχουν πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED.

                  36.

                  Η ΕΥΕΔ, ως αναθέτουσα αρχή, εξετάζει τις απαντήσεις στις προσκλήσεις υποβολής προσφορών για τις συμβάσεις που απαιτούν πρόσβαση σε πληροφορίες με διαβάθμιση RESTREINT UE/EU RESTRICTED, παρά τις απαιτήσεις σχετικά με ΕΑΦ ή ΕΑΠ που ενδέχεται να υπάρχουν βάσει των εθνικών νομοθετικών και κανονιστικών διατάξεων.

                  37.

                  Οι όροι βάσει των οποίων ο κύριος εργολάβος μπορεί να συνάπτει σύμβαση υπεργολαβίας καθορίζονται σύμφωνα με τις παραγράφους 22-24.

                  38.

                  Όταν μια σύμβαση αφορά τον χειρισμό πληροφοριών με διαβάθμιση RESTREINT UE/EU RESTRICTED σε ΣΕΠ που διαχειρίζεται εργολάβος, η ΕΥΕΔ, ως αναθέτουσα αρχή, μεριμνά ώστε η σύμβαση να καθορίζει τις απαραίτητες τεχνικές και διοικητικές απαιτήσεις σχετικά με την πιστοποίηση του ΣΕΠ σε αναλογία προς τον εκτιμώμενο κίνδυνο, λαμβάνοντας υπόψη όλους τους συναφείς παράγοντες. Το πεδίο πιστοποίησης του ΣΕΠ συμφωνείται μεταξύ της αναθέτουσας αρχής και της οικείας ΕΑΑ/ΚΑΑ.

      ΠΑΡΑΡΤΗΜΑ A VI

         ΑΝΤΑΛΛΑΓΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ ΜΕ ΤΡΙΤΑ ΚΡΑΤΗ ΚΑΙ ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ

      I.   ΕΙΣΑΓΩΓΗ

                  1.

                  Το παρόν παράρτημα περιέχει διατάξεις για την εφαρμογή του άρθρου 10 του παραρτήματος Α.

            II.   ΠΛΑΙΣΙΑ ΠΟΥ ΔΙΕΠΟΥΝ ΤΗΝ ΑΝΤΑΛΛΑΓΗ ΔΙΑΒΑΘΜΙΣΜΕΝΩΝ ΠΛΗΡΟΦΟΡΙΩΝ

                  2.

                  Η ΕΥΕΔ δύναται να ανταλλάσσει ΔΠΕΕ με τρίτα κράτη ή διεθνείς οργανισμούς σύμφωνα με το άρθρο 10 παράγραφος 1 του παραρτήματος Α.
                  Προκειμένου να υποστηρίζεται ο ύπατος εκπρόσωπος κατά την εκτέλεση των καθηκόντων που ορίζονται στο άρθρο 218 της ΣΛΕΕ:

                              α)

                              το αρμόδιο γεωγραφικό ή θεματικό τμήμα της ΕΥΕΔ, σε διαβούλευση με τη διεύθυνση ασφάλειας της ΕΥΕΔ, προσδιορίζει, εφόσον κρίνεται σκόπιμο, την ανάγκη μακροπρόθεσμης ανταλλαγής ΔΠΕΕ με τα ενδιαφερόμενα κράτη μέλη ή διεθνείς οργανισμούς·

                              β)

                              η διεύθυνση ασφάλειας της ΕΥΕΔ, σε διαβούλευση με το αρμόδιο γεωγραφικό τμήμα της ΕΥΕΔ, υποβάλλει, εφόσον κρίνεται σκόπιμο, στον ύπατο εκπρόσωπο τα σχέδια κειμένων που πρόκειται να προταθούν στο Συμβούλιο δυνάμει του άρθρου 218 παράγραφοι 3, 5 και 6 της ΣΛΕΕ·

                              γ)

                              η διεύθυνση ασφάλειας της ΕΥΕΔ υποστηρίζει τον ύπατο εκπρόσωπο κατά τη διεξαγωγή των διαπραγματεύσεων, σε συντονισμό με τις αρμόδιες υπηρεσίες της Επιτροπής και της Γενικής Γραμματείας του Συμβουλίου·

                              δ)

                              όσον αφορά συμφωνίες ή διακανονισμούς με τρίτα κράτη για τη συμμετοχή τους σε επιχειρήσεις ΚΠΑΑ για την αντιμετώπιση κρίσεων όπως αναφέρεται στο άρθρο 10 παράγραφος 1 στοιχείο γ) του παραρτήματος Α, η διεύθυνση διαχείρισης κρίσεων και σχεδιασμού της ΕΥΕΔ, σε διαβούλευση με τις σχετικές υπηρεσίες της ΕΥΕΔ, υποβάλλει, εφόσον κρίνεται σκόπιμο, στον ύπατο εκπρόσωπο τα σχέδια κειμένων που πρόκειται να προταθούν στο Συμβούλιο δυνάμει του άρθρου 218 παράγραφοι 3, 5 και 6 της ΣΛΕΕ, και υποστηρίζει τον ύπατο εκπρόσωπο κατά τη διεξαγωγή των διαπραγματεύσεων σε συντονισμό με τις αρμόδιες υπηρεσίες της ΕΥΕΔ και της Γενικής Γραμματείας του Συμβουλίου.

                  3.

                  Όταν οι συμφωνίες ασφάλειας πληροφοριών προβλέπουν τεχνικούς διακανονισμούς εφαρμογής που εγκρίνονται από τη διεύθυνση ασφάλειας της ΕΥΕΔ —σε συντονισμό με τη διεύθυνση ασφάλειας της Γενικής Διεύθυνσης Ανθρωπίνων Πόρων και Ασφάλειας της Επιτροπής και το γραφείο ασφάλειας της Γενικής Γραμματείας του Συμβουλίου— και την αρμόδια αρχή ασφάλειας του εν λόγω τρίτου κράτους ή διεθνούς οργανισμού, οι διακανονισμοί αυτοί λαμβάνουν δεόντως υπόψη το επίπεδο προστασίας που προβλέπουν οι κανονισμοί, οι δομές και οι διαδικασίες ασφάλειας που εφαρμόζονται στο εν λόγω τρίτο κράτος ή διεθνή οργανισμό.

                  4.

                  Όταν υφίσταται μακροπρόθεσμη ανάγκη να ανταλλάσσει η ΕΥΕΔ πληροφορίες με διαβάθμιση που δεν υπερβαίνει την κατηγορία RESTREINT UE/EU RESTRICTED με τρίτο κράτος ή διεθνή οργανισμό, και όπου έχει διαπιστωθεί ότι το εν λόγω μέρος δεν διαθέτει επαρκώς ανεπτυγμένο σύστημα ασφάλειας ώστε να συνάπτει συμφωνία ασφάλειας πληροφοριών, ο ύπατος εκπρόσωπος δύναται, αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη της επιτροπής ασφάλειας της ΕΥΕΔ σύμφωνα με το άρθρο 14 παράγραφος 5 της παρούσας απόφασης, να συνάπτει διοικητικό διακανονισμό με τις αρμόδιες αρχές ασφάλειας του εν λόγω τρίτου κράτους ή διεθνούς οργανισμού.

                  5.

                  Ηλεκτρονική ανταλλαγή ΔΠΕΕ με τρίτο κράτος ή διεθνή οργανισμό πραγματοποιείται μόνο εφόσον αυτό προβλέπεται ρητώς από τη συμφωνία ασφάλειας πληροφοριών ή τον διοικητικό διακανονισμό.

                  6.

                  Στο πλαίσιο διοικητικού διακανονισμού σχετικά με την ανταλλαγή διαβαθμισμένων πληροφοριών, η ΕΥΕΔ και το τρίτο κράτος ή ο διεθνής οργανισμός ορίζουν το καθένα μια γραμματεία ως το κύριο σημείο εισόδου και εξόδου για τις ανταλλαγές διαβαθμισμένων πληροφοριών. Για την ΕΥΕΔ, η γραμματεία αυτή θα είναι η κεντρική γραμματεία της ΕΥΕΔ.

                  7.

                  Οι διοικητικοί διακανονισμοί λαμβάνουν κατά κανόνα τη μορφή ανταλλαγής επιστολών.

            III.   ΕΠΙΣΚΕΨΕΙΣ ΑΞΙΟΛΟΓΗΣΗΣ

                  8.

                  Οι επισκέψεις αξιολόγησης που αναφέρονται στο άρθρο 16 της παρούσας απόφασης διεξάγονται μέσω αμοιβαίας συμφωνίας με το συγκεκριμένο τρίτο κράτος ή διεθνή οργανισμό και αξιολογούν:

                              α)

                              το ρυθμιστικό πλαίσιο που εφαρμόζεται για την προστασία των διαβαθμισμένων πληροφοριών·

                              β)

                              τυχόν συγκεκριμένα χαρακτηριστικά της νομοθεσίας, των κανονισμών, των πολιτικών ή των διαδικασιών ασφάλειας του τρίτου κράτους ή του διεθνούς οργανισμού που ενδεχομένως να έχουν αντίκτυπο στο μέγιστο επίπεδο των προς ανταλλαγή διαβαθμισμένων πληροφοριών·

                              γ)

                              τα ισχύοντα τη δεδομένη στιγμή μέτρα και διαδικασίες ασφάλειας για την προστασία των διαβαθμισμένων πληροφοριών, και

                              δ)

                              τις διαδικασίες ελέγχου ασφάλειας για το επίπεδο των ΔΠΕΕ που πρόκειται να κοινοποιηθούν.

                  9.

                  Απαγορεύεται η ανταλλαγή ΔΠΕΕ πριν από τη διενέργεια επίσκεψης αξιολόγησης και τον προσδιορισμό του επιπέδου στο οποίο μπορεί να γίνεται η ανταλλαγή διαβαθμισμένων πληροφοριών μεταξύ των μερών, βάσει της αντιστοιχίας του επιπέδου προστασίας που θα παρασχεθεί στις εν λόγω πληροφορίες.
                  Εάν, εν αναμονή επίσκεψης αξιολόγησης, ο ύπατος εκπρόσωπος ενημερωθεί για τυχόν εξαιρετικούς ή έκτακτους λόγους που υπαγορεύουν την ανταλλαγή διαβαθμισμένων πληροφοριών, τότε η ΕΥΕΔ:

                              α)

                              ζητεί πρώτα τη γραπτή συγκατάθεση του φορέα προέλευσης πληροφοριών προκειμένου να διασφαλιστεί ότι δεν υπάρχουν αντιρρήσεις για την κοινοποίησή τους.

                              β)

                              παραπέμπει το ζήτημα στην αρχή ασφάλειας της ΕΥΕΔ, η οποία μπορεί να αποφασίσει την κοινοποίηση των πληροφοριών, υπό την προϋπόθεση ότι έχει ληφθεί η ομόφωνη ευνοϊκή γνώμη των κρατών μελών όπως εκπροσωπούνται στην επιτροπή ασφάλειας της ΕΥΕΔ.

                        Εάν η ΕΥΕΔ δεν μπορεί να εξακριβώσει τον φορέα προέλευσης, τότε η αρχή ασφάλειας της ΕΥΕΔ αναλαμβάνει την ευθύνη αυτήν αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη της επιτροπής ασφάλειας της ΕΥΕΔ.

            IV.   ΑΡΧΗ ΠΟΥ ΕΙΝΑΙ ΑΡΜΟΔΙΑ ΓΙΑ ΤΗΝ ΚΟΙΝΟΠΟΙΗΣΗ ΔΠΕΕ ΣΕ ΤΡΙΤΑ ΚΡΑΤΗ Ή ΔΙΕΘΝΕΙΣ ΟΡΓΑΝΙΣΜΟΥΣ

                  10.

                  Όταν υφίσταται πλαίσιο σύμφωνα με το άρθρο 10 παράγραφος 1 του παραρτήματος Α για την ανταλλαγή διαβαθμισμένων πληροφοριών με τρίτο κράτος ή διεθνή οργανισμό, η απόφαση κοινοποίησης ΔΠΕΕ από την ΕΥΕΔ σε τρίτο κράτος ή διεθνή οργανισμό λαμβάνεται από την αρχή ασφάλειας της ΕΥΕΔ, η οποία δύναται να μεταβιβάσει την αρμοδιότητα αυτήν σε ανώτερους υπαλλήλους της ΕΥΕΔ ή σε άλλα πρόσωπα υπό τη δικαιοδοσία της.

                  11.

                  Εάν ο φορέας προέλευσης των διαβαθμισμένων πληροφοριών που πρόκειται να κοινοποιηθούν, συμπεριλαμβανομένων των φορέων προέλευσης του υλικού πηγής που ενδεχομένως να περιέχονται στις εν λόγω πληροφορίες, δεν είναι η ΕΥΕΔ, η ΕΥΕΔ ζητεί πρώτα τη γραπτή συγκατάθεση του φορέα προέλευσης προκειμένου να διασφαλιστεί ότι δεν υπάρχουν αντιρρήσεις για την κοινοποίησή τους. Εάν η ΕΥΕΔ δεν μπορεί να εξακριβώσει τον φορέα προέλευσης, τότε η αρχή ασφάλειας της ΕΥΕΔ αναλαμβάνει την ευθύνη αυτήν αφού πρώτα λάβει την ομόφωνη ευνοϊκή γνώμη των κρατών μελών όπως εκπροσωπούνται στην επιτροπή ασφάλειας της ΕΥΕΔ.

            V.   ΚΑΤ’ ΕΞΑΙΡΕΣΗ AD HOC ΚΟΙΝΟΠΟΙΗΣΗ ΔΠΕΕ

                  12.

                  Ελλείψει ενός από τα πλαίσια που αναφέρονται στο άρθρο 10 παράγραφος 1 του παραρτήματος Α, και όταν τα συμφέροντα της ΕΕ ή ενός ή περισσότερων κρατών μελών της επιβάλλουν την κοινοποίηση ΔΠΕΕ για πολιτικούς, επιχειρησιακούς λόγους ή λόγους έκτακτης ανάγκης, οι ΔΠΕΕ δύναται να κοινοποιηθούν κατ’ εξαίρεση σε τρίτο κράτος ή διεθνή οργανισμό μόλις αναληφθούν οι παρακάτω ενέργειες.
                  Αφού διασφαλίσει ότι πληρούνται οι προϋποθέσεις που αναφέρονται παραπάνω στην παράγραφο 11, η διεύθυνση ασφάλειας της ΕΥΕΔ:

                              α)

                              στο μέτρο του δυνατού, επιβεβαιώνει με τις αρχές ασφάλειας του οικείου τρίτου κράτους ή διεθνούς οργανισμού ότι οι κανονισμοί, οι δομές και οι διαδικασίες ασφάλειάς του διασφαλίζουν ότι οι κοινοποιούμενες σε αυτό ΔΠΕΕ θα προστατεύονται βάσει προτύπων εξίσου αυστηρών με τα οριζόμενα στην παρούσα απόφαση·

                              β)

                              ζητεί από την επιτροπή ασφάλειας της ΕΥΕΔ να διατυπώσει γνώμη, βάσει των διαθέσιμων πληροφοριών, σχετικά με την αξιοπιστία των κανόνων, των δομών και των διαδικασιών ασφάλειας του τρίτου κράτους ή διεθνούς οργανισμού στο οποίο πρόκειται να κοινοποιηθούν οι ΔΠΕΕ·

                              γ)

                              παραπέμπει το ζήτημα στην αρχή ασφάλειας της ΕΥΕΔ, η οποία μπορεί να αποφασίσει την κοινοποίηση των πληροφοριών, υπό την προϋπόθεση ότι έχει ληφθεί η ομόφωνη ευνοϊκή γνώμη των κρατών μελών όπως εκπροσωπούνται στην επιτροπή ασφάλειας της ΕΥΕΔ.

                  13.

                  Επί τη απουσία ενός πλαισίου από αυτά που αναφέρονται στο άρθρο 10 παράγραφος 1 του παραρτήματος Α, το εν λόγω τρίτο μέρος δεσμεύεται γραπτώς να προστατεύει δεόντως τις ΔΠΕΕ.

      ΠΡΟΣΑΡΤΗΜΑ Α
      ΟΡΙΣΜΟΙ
      Για τους σκοπούς της παρούσας απόφασης, ισχύουν οι ακόλουθοι ορισμοί:

         «πιστοποίηση»: η διαδικασία που καταλήγει σε τυπική δήλωση της αρχής πιστοποίησης της ασφάλειας (ΑΠΑ) ότι το δεδομένο σύστημα έχει λάβει έγκριση να λειτουργεί με καθορισμένο βαθμό ασφάλειας, με συγκεκριμένο τρόπο ασφάλειας στο επιχειρησιακό του περιβάλλον και με αποδεκτό βαθμό κινδύνου, βάσει της παραδοχής ότι εφαρμόζεται εγκεκριμένο σύνολο τεχνικών, φυσικών, οργανωτικών και διαδικαστικών μέτρων ασφάλειας·

         «στοιχείο»: οτιδήποτε έχει αξία για έναν οργανισμό, τις επιχειρησιακές δραστηριότητές του και τη συνέχισή τους, περιλαμβανομένων των πηγών πληροφοριών που υποστηρίζουν την αποστολή του οργανισμού·

         «άδεια πρόσβασης σε ΔΠΕΕ»: άδεια που παρέχει η αρχή ασφάλειας της ΕΥΕΔ σύμφωνα με την παρούσα απόφαση, αφού εκδοθεί ΕΑΠ από τις αρμόδιες αρχές ενός κράτους μέλους, και η οποία πιστοποιεί ότι ένα πρόσωπο, υπό την προϋπόθεση ότι έχει εξακριβωθεί η «ανάγκη γνώσης» του, μπορεί να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία — βλ. το άρθρο 2 του παραρτήματος Α Ι·

         «παραβίαση»: πράξη ή παράλειψη προσώπου η οποία αντίκειται στους κανόνες ασφάλειας που ορίζονται στην παρούσα απόφαση και/ή στις πολιτικές ή τις κατευθυντήριες γραμμές ασφάλειας που ορίζουν τυχόν μέτρα για την εφαρμογή της·

         «κύκλος ζωής ΣΕΠ»: η συνολική διάρκεια ύπαρξης ενός ΣΕΠ• περιλαμβάνει την έναρξη της διαδικασίας, την αρχική σύλληψη, τον προγραμματισμό, την ανάλυση απαιτήσεων, τον σχεδιασμό, την ανάπτυξη, τη δοκιμή, την εφαρμογή, τη λειτουργία, τη συντήρηση και τον παροπλισμό του•

         «διαβαθμισμένη σύμβαση»: η σύμβαση που συνάπτεται μεταξύ της ΕΥΕΔ και ενός εργολάβου για την προμήθεια αγαθών, την εκτέλεση έργων ή την παροχή υπηρεσιών, της οποίας η υλοποίηση απαιτεί ή περιλαμβάνει την πρόσβαση σε ΔΠΕΕ ή τη δημιουργία τους·

         «διαβαθμισμένη σύμβαση υπεργολαβίας»: η σύμβαση που συνάπτεται μεταξύ εργολάβου της ΕΥΕΔ και άλλου εργολάβου (δηλαδή, του υπεργολάβου) για την προμήθεια αγαθών, την εκτέλεση έργων ή την παροχή υπηρεσιών, της οποίας η υλοποίηση απαιτεί ή περιλαμβάνει την πρόσβαση σε ΔΠΕΕ ή τη δημιουργία τους·

         «σύστημα επικοινωνίας και πληροφοριών» (ΣΕΠ): κάθε σύστημα που επιτρέπει τον χειρισμό πληροφοριών υπό ηλεκτρονική μορφή, με αυτόματα μέσα. Ένα σύστημα επικοινωνίας και πληροφοριών περιλαμβάνει το σύνολο των στοιχείων που απαιτούνται για τη λειτουργία του, συμπεριλαμβανομένων της υποδομής, της οργάνωσης, του προσωπικού και των πληροφοριών — βλ. άρθρο 8 παράγραφος 2 του παραρτήματος Α·

         «διαρροή ΔΠΕΕ»: ολική ή μερική κοινολόγηση ΔΠΕΕ σε μη εξουσιοδοτημένα πρόσωπα ή φορείς — βλ. άρθρο 8 παράγραφος 2·

         «εργολάβος»: το φυσικό ή νομικό πρόσωπο που έχει τη νομική ικανότητα ανάληψης συμβάσεων·

         «κρυπτογραφικά προϊόντα»: οι κρυπτογραφικοί αλγόριθμοι, το κρυπτογραφικό υλικό και οι ενότητες λογισμικού, καθώς και τα προϊόντα που περιέχουν λεπτομέρειες εφαρμογής και τη συναφή τεκμηρίωση και το υλικό κρυπτογράφησης·

         «επιχείρηση ΚΠΑΑ»: η επιχείρηση διαχείρισης στρατιωτικών ή μη στρατιωτικών κρίσεων σύμφωνα με τον τίτλο V κεφάλαιο 2 της ΣΕΕ·

         «αποχαρακτηρισμός»: η κατάργηση οποιασδήποτε διαβάθμισης ασφάλειας·

         «ασφάλεια σε βάθος»: η εφαρμογή μιας σειράς μέτρων ασφάλειας, τα οποία οργανώνονται ως πολλαπλά επίπεδα άμυνας·

         «καθορισμένη αρχή ασφάλειας» (ΚΑΑ): αρχή η οποία είναι υπόλογη στην εθνική αρχή ασφάλειας (ΕΑΑ) κράτους μέλους και έχει καθήκον, αφενός, να ενημερώνει τους βιομηχανικούς και άλλους φορείς σχετικά με την εθνική πολιτική στα θέματα βιομηχανικής ασφάλειας και, αφετέρου, να τους καθοδηγεί και να τους παρέχει συνδρομή κατά την εφαρμογή αυτής της εθνικής πολιτικής. Τα καθήκοντα της ΚΑΑ μπορούν να εκτελούνται από την ΕΑΑ ή από οποιαδήποτε άλλη αρμόδια αρχή·

         «έγγραφο»: κάθε καταγεγραμμένη πληροφορία ανεξαρτήτως φυσικής μορφής ή χαρακτηριστικών·

         «υποχαρακτηρισμός»: μείωση του επιπέδου της διαβάθμισης ασφάλειας·

         «διαβαθμισμένες πληροφορίες ΕΕ» (ΔΠΕΕ): κάθε πληροφορία ή υλικό που έχει χαρακτηριστεί με διαβάθμιση ασφάλειας ΕΕ και των οποίων η άνευ αδείας κοινολόγηση μπορεί να βλάψει ποικιλοτρόπως τα συμφέροντα της Ευρωπαϊκής Ένωσης ή ενός ή περισσότερων κρατών μελών — βλ. το άρθρο 2 στοιχείο στ)·

         «εξουσιοδότηση ασφάλειας φορέα» (ΕΑΦ): διοικητική απόφαση της ΕΑΑ ή της ΚΑΑ η οποία βεβαιώνει ότι, από πλευράς ασφάλειας, ο φορέας μπορεί να εξασφαλίσει επαρκές επίπεδο προστασίας ΔΠΕΕ ορισμένης διαβάθμισης ασφάλειας και ότι το προσωπικό του που χρειάζεται να έχει πρόσβαση σε ΔΠΕΕ έχει λάβει την προσήκουσα εξουσιοδότηση ασφάλειας και έχει ενημερωθεί για τις απαιτήσεις ασφάλειας που είναι αναγκαίες για την πρόσβαση σε ΔΠΕΕ και για την προστασία τους·

         «χειρισμός ΔΠΕΕ»: όλες οι δυνατές ενέργειες στις οποίες είναι δυνατόν να υποβληθούν οι ΔΠΕΕ καθόλη τη διάρκεια του κύκλου ζωής τους. Περιλαμβάνει τη δημιουργία, την επεξεργασία, τη μεταφορά, τον υποχαρακτηρισμό, τον αποχαρακτηρισμό και την καταστροφή τους. Σε σχέση με τα ΣΕΠ, περιλαμβάνει επίσης τη συλλογή, την επίδειξη, τη διαβίβαση και την αποθήκευσή τους·

         «κάτοχος»: το δεόντως εξουσιοδοτημένο πρόσωπο με προσδιορισμένη ανάγκη γνώσης που κατέχει ένα στοιχείο ΔΠΕΕ και είναι αντιστοίχως υπεύθυνο για την προστασία του·

         «βιομηχανικός ή άλλος φορέας»: φορέας που ασχολείται με την προμήθεια αγαθών, την εκτέλεση έργων ή την παροχή υπηρεσιών. Ο ορισμός αυτός αφορά βιομηχανικούς, εμπορικούς, επιστημονικούς, ερευνητικούς, εκπαιδευτικούς ή αναπτυξιακούς φορείς, φορείς παροχής υπηρεσιών ή αυτοαπασχολούμενους·

         «βιομηχανική ασφάλεια»: η εφαρμογή μέτρων διασφάλισης της προστασίας των ΔΠΕΕ από τους εργολάβους ή τους υπεργολάβους κατά τις διαπραγματεύσεις πριν από την ανάθεση της σύμβασης και καθόλη τη διάρκεια του κύκλου ζωής των διαβαθμισμένων συμβάσεων — βλ. άρθρο 9 παράγραφος 1 του παραρτήματος Α·

         «διασφάλιση πληροφοριών»: βεβαιότητα, στον τομέα των συστημάτων επικοινωνίας και πληροφοριών, ότι τα συστήματα αυτά θα προστατεύουν τις πληροφορίες που χειρίζονται και θα λειτουργούν οσοδήποτε και οποτεδήποτε χρειάζεται υπό τον έλεγχο των νόμιμων χρηστών. Η αποτελεσματική ΔΠ διασφαλίζει κατάλληλα επίπεδα εμπιστευτικότητας, ακεραιότητας, μη άρνησης αναγνώρισης των πληροφοριών και γνησιότητας. Η ΔΠ βασίζεται σε διαδικασία διαχείρισης κινδύνων — βλ. άρθρο 8 παράγραφος 1 του παραρτήματος Α·

         «διασύνδεση»: για τους σκοπούς της παρούσας απόφασης, η άμεση σύνδεση μονής ή πολλαπλής κατεύθυνσης δύο ή περισσότερων συστημάτων ΤΠ για την ανταλλαγή δεδομένων και άλλων πληροφοριών (π.χ. επικοινωνία) — βλ. παράρτημα A IV παράγραφος 31·

         «διαχείριση διαβαθμισμένων πληροφοριών»: η εφαρμογή διοικητικών μέτρων για τον έλεγχο των ΔΠΕΕ καθόλη τη διάρκεια του κύκλου ζωής τους με στόχο τη συμπλήρωση των μέτρων που προβλέπουν τα άρθρα 5, 6 και 8 και τη συμβολή με τον τρόπο αυτόν στην αποτροπή και ανίχνευση εσκεμμένων ή τυχαίων διαρροών ή απωλειών των εν λόγω πληροφοριών, καθώς και στην ανάκτησή τους. Τα εν λόγω μέτρα αφορούν ειδικότερα τη δημιουργία, την καταχώριση, την αντιγραφή, τη μετάφραση, τη μεταφορά, τον χειρισμό, την αποθήκευση και την καταστροφή ΔΠΕΕ — βλ. το άρθρο 7 παράγραφος 1 του παραρτήματος Α·

         «υλικό»: κάθε έγγραφο ή στοιχείο μηχανημάτων ή εξοπλισμού που έχει ήδη κατασκευαστεί ή βρίσκεται υπό κατασκευή·

         «φορέας προέλευσης»: το θεσμικό ή άλλο όργανο και οργανισμός της ΕΕ, κράτος μέλος, τρίτο κράτος ή διεθνής οργανισμός υπό την εξουσία του οποίου έχουν δημιουργηθεί και/ή εισαχθεί στις δομές της ΕΕ διαβαθμισμένες πληροφορίες·

         «ασφάλεια προσωπικού»: η εφαρμογή μέτρων προκειμένου να διασφαλίζεται ότι πρόσβαση στις ΔΠΕΕ επιτρέπεται μόνο στα πρόσωπα τα οποία:

                  —

                  έχουν ανάγκη γνώσης,

                  —

                  για πρόσβαση σε πληροφορίες με διαβάθμιση CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη, έχουν λάβει εξουσιοδότηση ασφάλειας του αντίστοιχου επιπέδου ή άλλη κατάλληλη εξουσιοδότηση βάσει των καθηκόντων τους, σύμφωνα με τις εθνικές νομοθετικές και κανονιστικές διατάξεις, και

                  —

                  έχουν ενημερωθεί ως προς τις ευθύνες τους —

            βλ. άρθρο 5 παράγραφος 1 του παραρτήματος Α·

         «εξουσιοδότηση ασφάλειας προσωπικού» (ΕΑΠ) για πρόσβαση σε ΔΠΕΕ: δήλωση της αρμόδιας αρχής ενός κράτους μέλους που διατυπώνεται μετά την ολοκλήρωση έρευνας ασφάλειας που διενεργείται από τις αρμόδιες αρχές του κράτους μέλους και πιστοποιεί ότι ένα πρόσωπο μπορεί, εφόσον έχει εξακριβωθεί η «ανάγκη γνώσης» του, να αποκτήσει πρόσβαση σε ΔΠΕΕ έως ένα συγκεκριμένο επίπεδο (CONFIDENTIEL UE/EU CONFIDENTIAL ή ανώτερο) μέχρι μια συγκεκριμένη ημερομηνία. Το εν λόγω πρόσωπο θεωρείται, κατά τον τρόπο αυτόν, ότι έχει λάβει εξουσιοδότηση ασφάλειας·

         «πιστοποιητικό εξουσιοδότησης ασφάλειας προσωπικού» (ΠΕΑΠ): πιστοποιητικό που εκδίδεται από αρμόδια αρχή ασφάλειας και αποδεικνύει ότι ένα πρόσωπο έχει λάβει εξουσιοδότηση ασφάλειας και διαθέτει έγκυρη ΕΑΠ, αναφέροντας το επίπεδο διαβάθμισης ΔΠΕΕ στις οποίες μπορεί να χορηγηθεί πρόσβαση στο εν λόγω πρόσωπο (CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερη), την ημερομηνία ισχύος της σχετικής ΕΑΠ και την ημερομηνία λήξης του πιστοποιητικού·

         «υλική ασφάλεια»: η εφαρμογή φυσικών και τεχνικών μέτρων προστασίας για την αποτροπή της μη εξουσιοδοτημένης πρόσβασης σε ΔΠΕΕ — βλ. το άρθρο 6 του παραρτήματος Α·

         «εντολές ασφάλειας προγράμματος/έργου» (PSI): κατάλογος των διαδικασιών ασφάλειας που εφαρμόζονται σε συγκεκριμένο πρόγραμμα/σχέδιο για την τυποποίησή τους. Μπορεί να αναθεωρούνται καθόλη τη διάρκεια του προγράμματος/έργου·

         «καταχώριση»: η εφαρμογή διαδικασιών που επιτρέπουν την καταγραφή του κύκλου ζωής των πληροφοριών, περιλαμβανομένης της διάδοσης και της καταστροφής τους — βλ. παράρτημα Α ΙΙΙ παράγραφος 21·

         «υπολειπόμενος κίνδυνος»: ο κίνδυνος που εξακολουθεί να υφίσταται και μετά την εφαρμογή των μέτρων ασφάλειας, δεδομένου ότι δεν είναι δυνατόν να αντιμετωπιστούν όλες οι απειλές και να εξαλειφθούν όλα τα τρωτά σημεία·

         «κίνδυνος»: η πιθανότητα μια δεδομένη απειλή να εκμεταλλευτεί τα εσωτερικά και εξωτερικά τρωτά σημεία ενός οργανισμού ή των συστημάτων που χρησιμοποιεί και να προκαλέσει βλάβη στον οργανισμό και στα υλικά ή άυλα στοιχεία του. Μετράται ως ο συνδυασμός της ενδεχόμενης υλοποίησης των απειλών και των συνεπειών τους·

         «αποδοχή του κινδύνου»: η απόφαση με την οποία συμφωνείται ότι υφίσταται υπολειπόμενος κίνδυνος μετά τον χειρισμό του·

         «αξιολόγηση κινδύνου»: εντοπισμός των απειλών και των τρωτών σημείων και διεξαγωγή σχετικής ανάλυσης του κινδύνου, ήτοι ανάλυση της ενδεχόμενης υλοποίησης και των συνεπειών της·

         «κοινοποίηση του κινδύνου»: ευαισθητοποίηση ως προς τους κινδύνους μεταξύ των κοινοτήτων των χρηστών ΣΕΠ, ενημέρωση των αρχών έγκρισης ως προς τους κινδύνους αυτούς και υποβολή σχετικών εκθέσεων στις επιχειρησιακές αρχές·

         «διαδικασία διαχείρισης κινδύνων»: το σύνολο της διαδικασίας εντοπισμού, ελέγχου και ελαχιστοποίησης αβέβαιων γεγονότων που μπορούν να επηρεάσουν την ασφάλεια οργανισμού ή οποιουδήποτε συστήματος χρησιμοποιεί ο εν λόγω οργανισμός. Καλύπτει το σύνολο των δραστηριοτήτων που σχετίζονται με τους κινδύνους, περιλαμβανομένων της αξιολόγησης, της επεξεργασίας, της αποδοχής και της κοινοποίησης·

         «χειρισμός του κινδύνου»: άμβλυνση, αναίρεση ή μείωση του κινδύνου (μέσω κατάλληλου συνδυασμού τεχνικών, φυσικών, οργανωτικών ή διαδικαστικών μέτρων), μεταφορά ή παρακολούθηση του κινδύνου·

         «έγγραφο θεμάτων ασφάλειας» (ΕΘΑ): σύνολο ειδικών συμβατικών όρων που εκδίδει η αναθέτουσα αρχή και αποτελεί αναπόσπαστο μέρος διαβαθμισμένης σύμβασης που συνεπάγεται πρόσβαση σε ΔΠΕΕ ή δημιουργία τέτοιων πληροφοριών και καθορίζει τις απαιτήσεις ασφάλειας ή τα στοιχεία της σύμβασης που χρήζουν προστασίας — βλ. παράρτημα Α V, τμήμα ΙΙ·

         «οδηγός διαβαθμίσεων ασφάλειας» (ΟΔΑ): έγγραφο στο οποίο περιγράφονται τα στοιχεία προγράμματος ή σύμβασης που είναι διαβαθμισμένα και καθορίζεται η εφαρμοστέα διαβάθμιση ασφάλειας. Ο ΟΔΑ μπορεί να επεκτείνεται καθόλη τη διάρκεια του προγράμματος ή της σύμβασης και ενδέχεται να γίνεται εκ νέου διαβάθμιση ή υποχαρακτηρισμός των στοιχείων. Ο ΟΔΑ, όταν υφίσταται, αποτελεί τμήμα του ΕΘΑ — βλ. παράρτημα A V τμήμα ΙΙ·

         «έρευνα ασφάλειας»: οι διαδικασίες έρευνας που διενεργούνται από την αρμόδια εθνική αρχή κράτους μέλους σύμφωνα με τις εθνικές και κανονιστικές διατάξεις που ισχύουν στο εν λόγω κράτος μέλος για την παροχή διαβεβαίωσης ότι δεν είναι γνωστό τίποτε αρνητικό που να εμποδίζει τη χορήγηση στο εν λόγω πρόσωπο εθνικής ΕΑΠ ή ΕΑΠ ΕΕ για πρόσβαση σε ΔΠΕΕ μέχρι ενός συγκεκριμένου επιπέδου (CONFIDENTIEL UE/EU CONFIDENTIAL ή υψηλότερου)·

         «λειτουργικές διαδικασίες ασφάλειας» (SecOP): περιγραφή της πολιτικής ασφάλειας που πρέπει να εφαρμόζεται, των διαδικασιών λειτουργίας που πρέπει να ακολουθούνται και των ευθυνών του προσωπικού·

         «ειδική δήλωση απαιτήσεων ασφάλειας» (SSRS): δεσμευτικό σύνολο αρχών ασφάλειας που πρέπει να τηρούνται και λεπτομερών απαιτήσεων ασφάλειας που πρέπει να εφαρμόζονται, στο οποίο στηρίζεται η διαδικασία πιστοποίησης του ΣΕΠ·

         «TEMPEST»: η έρευνα, η μελέτη και ο έλεγχος του κινδύνου διαρροής μέσω ηλεκτρομαγνητικών εκπομπών και τα μέτρα εξάλειψης των εκπομπών αυτών·

         «απειλή»: πιθανή αιτία ανεπιθύμητου συμβάντος που μπορεί να ζημιώσει έναν οργανισμό ή οποιοδήποτε σύστημα χρησιμοποιεί ο εν λόγω οργανισμός. Οι απειλές μπορεί να είναι τυχαίες ή εσκεμμένες (κακόβουλες) και χαρακτηρίζονται από απειλητικά στοιχεία, πιθανούς στόχους και μεθόδους επίθεσης·

         «τρωτότητα»: αδυναμία την οποία μπορούν να εκμεταλλευθούν μία ή περισσότερες απειλές. Η τρωτότητα μπορεί να οφείλεται σε κάποια παράλειψη ή να απορρέει από αδυναμία των ελέγχων όσον αφορά την αυστηρότητα, την πληρότητα ή τη συνοχή τους, μπορεί δε να είναι τεχνικής, διαδικαστικής, φυσικής, οργανωτικής ή επιχειρησιακής φύσης.