               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final
            2022/0084(COD)

            Prijedlog
            UREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               OBRAZLOŽENJE

               1.KONTEKST PRIJEDLOGA

               •Razlozi i ciljevi prijedloga

               Ovaj je prijedlog dio strategije EU-a za sigurnosnu uniju
                  1
                koju je Komisija donijela 24. srpnja 2020. i kojom se utvrđuje njezina obveza da pridonese nacionalnim zalaganjima u području sigurnosti dodanom vrijednošću Europske unije. Dio tog angažmana jest i inicijativa za racionalizaciju unutarnjih pravnih okvira za sigurnost podataka u svim institucijama i tijelima Unije.

               Ključna značajka Strateškog programa za razdoblje 2019.–2024. koji je Europsko vijeće donijelo u lipnju 2019. jest zaštita naših društava od prijetnji koje se neprestano razvijaju, a usmjerene su na podatke s kojima postupaju institucije i tijela. Europsko vijeće u svojim je zaključcima
                  2
                posebno pozvalo „institucije EU-a da s državama članicama rade na mjerama kako bi se pojačala otpornost i poboljšala kultura sigurnosti EU-a u pogledu kiberprijetnji i hibridnih prijetnji koje dolaze izvan EU-a i kako bi se informacijske i komunikacijske mreže EU-a te njegove postupke donošenja odluka bolje zaštitilo od svakog oblika zlonamjernih aktivnosti”.

               U istom tonu, Vijeće za opće poslove iz prosinca 2019.
                  3
                zaključilo je da bi institucije i tijela EU-a, uz potporu država članica, trebali osmisliti i provesti sveobuhvatan skup mjera kojima će se zajamčiti njihova sigurnost. Odraz je to dugogodišnjeg zahtjeva Odbora za sigurnost Vijeća da se istraži mogućnost uspostave zajedničke jezgre sigurnosnih pravila Vijeća, Komisije i Europske službe za vanjsko djelovanje
                  4
               .

               Trenutačno, institucije i tijela Unije imaju vlastita pravila o sigurnosti podataka koja se temelje na njihovu poslovniku ili osnivačkom aktu ili pak uopće nemaju takva pravila. To je uglavnom slučaj kod malih subjekata, koji nemaju nikakve službene politike sigurnosti podataka.

               Zbog sve većih količina osjetljivih neklasificiranih podataka i klasificiranih podataka Europske unije („klasificirani podaci EU-a”) koje institucije i tijela Unije moraju međusobno razmjenjivati te s obzirom na izražen rast opsega prijetnji europska uprava izložena je napadima u svim područjima djelovanja. Podaci s kojima postupaju naše institucije i tijela vrlo su privlačni prijetećim akterima te moraju biti primjereno zaštićeni. To zahtijeva brzo djelovanje usmjereno na poboljšanje njihove zaštite.

               Iz tog razloga te kako bi se povećala zaštita podataka s kojima postupa europska uprava, cilj je ove inicijative racionalizirati različite pravne okvire institucija i tijela Unije u tom području:

               •uspostavom usklađenih i sveobuhvatnih kategorija podataka te zajedničkih pravila za postupanje za sve institucije i tijela Unije,

               •uspostavom racionalnih programa suradnje u području sigurnosti podataka među institucijama i tijelima Unije koji omogućuju poticanje koherentne kulture sigurnosti podataka u cijeloj europskoj upravi,

               •modernizacijom politika sigurnosti podataka na svim razinama klasifikacije/kategorizacije za sve institucije i sva tijela Unije uzimajući u obzir digitalnu transformaciju i razvoj rada na daljinu kao redovite pojave.

               •Dosljednost s postojećim odredbama politike u tom području

               Ova je inicijativa u skladu sa širokim rasponom politika EU-a u području opće sigurnosti i sigurnosti podataka.

               Još 2016. Europski parlament i Vijeće donijeli su Direktivu
                  5
                o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije. Ta je direktiva bila prva zakonodavna mjera na razini EU-a čiji je cilj bio povećati suradnju među državama članicama u području kibersigurnosti. Iako je Komisija u prosincu 2020. donijela prijedlog za preispitivanje tog instrumenta kojim su uvedene nadzorne mjere za nacionalna tijela, uprava Unije i dalje je izvan njezina područja primjene.

               U istom smislu te kako bi se dopunio rad država članica u području sigurnosti, iznimno je važno da institucije i tijela Unije ostvare visoku razinu zaštite svojih podataka i povezanih informacijskih i komunikacijskih sustava radi zaštite sigurnosti podataka.

               U srpnju 2020. Komisija je donijela strategiju za sigurnosnu uniju
                  6
               , u kojoj se EU obvezuje sveobuhvatno dopunjivati rad država članica u svim područjima sigurnosti. Strategija se odnosi na razdoblje 2020.–2025., a u njoj se navode četiri glavna stupa djelovanja: sigurnosno okruženje otporno na promjene u budućnosti, suočavanje s novim prijetnjama, zaštita Europljana od terorizma i organiziranog kriminala te snažan europski sigurnosni ekosustav. Nekoliko tema obuhvaćenih tim stupovima usmjereno je na sigurnost podataka, kibersigurnost, suradnju i razmjenu informacija te ključnu infrastrukturu.

               U skladu sa strategijom za sigurnosnu uniju Europska komisija predlaže izradu minimalnog skupa pravila o sigurnosti podataka u svim institucijama i tijelima Unije, što će potaknuti stvaranje obveznih i visokih zajedničkih standarda za sigurnu razmjenu podataka. Ova inicijativa predstavlja nastojanje institucija i tijela da se u okviru europske uprave uspostavi jednaka razina ambicije u području sigurnosti kakva se zahtijeva od država članica.

               Komisija i Visoki predstavnik Unije za vanjske poslove i sigurnosnu politiku predstavili su 16. prosinca 2020. novu strategiju EU-a za kibersigurnost
                  7
               . U njoj se utvrđuju prioriteti i ključne mjere za izgradnju otpornosti, autonomije, vodstva i operativnog kapaciteta Europe pri suočavanju sa sve većim i složenim prijetnjama njezinim mrežnim i informacijskim sustavima te za unapređenje globalnog i otvorenog kiberprostora i europskih međunarodnih partnerstava u njemu. Jednako je važno da institucije i tijela Unije pridonesu ostvarivanju tih prioriteta utvrđivanjem jednakovrijednih zahtjeva u području sigurnosti podataka i kibersigurnosti.

               Ovim prijedlogom i Prijedlogom uredbe o mjerama za visoku zajedničku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije nastoji se zaokružiti regulatorna slika strategije za sigurnosnu uniju s posebnim zahtjevima za europsku upravu. S obzirom na međusobnu povezanost informacijske sigurnosti i kibersigurnosti trebalo bi osigurati usklađen pristup zaštiti neklasificiranih podataka u okviru tih dvaju prijedloga.

               •Dosljednost u odnosu na druge politike Unije

               Ovom se inicijativom uzimaju u obzir i druge politike Unije koje su relevantne za sigurnost podataka.

               U području zaštite podataka to je Uredba (EU) 2018/1725
                  8
                o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka, koja se primjenjuje na upravu Europske unije i Europske zajednice za atomsku energiju („Euratom”). U tom smislu moramo napomenuti da su za neke institucije i neka tijela Unije zakonodavci EU-a donijeli posebna relevantna pravila za zaštitu osobnih podataka.

               Kad je riječ o transparentnosti, ovaj se prijedlog temelji na načelima koja su sadržana u Uredbi (EZ) br. 1049/2001
                  9
                o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije, uz poštovanje ostalih relevantnih pravila.

               2.PRAVNA OSNOVA, SUPSIDIJARNOST I PROPORCIONALNOST

               •Pravna osnova

               S obzirom na cilj i sadržaj ovog prijedloga, njegova su najprikladnija pravna osnova članak 298. Ugovora o funkcioniranju Europske unije (UFEU) i članak 106.a Ugovora o osnivanju Europske zajednice za atomsku energiju.

               Članak 298. UFEU-a uveden je Ugovorom iz Lisabona i njime se zakonodavcima omogućuje da utvrde odredbe čiji je cilj stvaranje učinkovite i neovisne administracije koja će pružati potporu institucijama, tijelima, uredima i agencijama u obavljanju njihovih zadaća.

               Učinkovita i neovisna administracija oslanja se na sigurnost svojih podataka. Kako bi ostvarili svoje zadaće, institucije i tijela Unije koristit će se sigurnim okruženjem za podatke s kojima svakodnevno postupaju i koje pohranjuju. Osim toga, osiguravanjem zajedničkih osnovnih standarda obveznih za sve zajamčila bi se visoka razina sigurnosti, smanjio rizik od slabih karika u podupiranju interoperabilnosti među institucijama i tijelima te potaknule sinergije, čime bi se povećala otpornost administracije pri suočavanju s novim prijetnjama.

               Nadalje, uz opći cilj ostvarivanja visoke zajedničke razine sigurnosti za klasificirane podatke EU-a i neklasificirane podatke s kojima postupaju i koje pohranjuju institucije i tijela Unije, ovim se prijedlogom europskoj upravi omogućuje da se bolje zaštiti od vanjskih upletanja i špijunskih aktivnosti.

               Člankom 298. UFEU-a Uniji se omogućuje da uspostavi zajednička pravila za europsku upravu u cjelini kako bi osigurala slično postupanje s klasificiranim podacima EU-a i neklasificiranim podacima u svim institucijama i tijelima Unije. U ovoj se Uredbi utvrđuju pravila koja se primjenjuju na upravu te se njome mogu neizravno uvesti obveze samo za osobe koje izvršavaju zadaće u ime te uprave ili na temelju ugovora (ne uključujući povjerenike, predstavnike država članica koji djeluju u sklopu Vijeća, zastupnike u Europskom parlamentu, suce sudova Unije ili članove Europskog revizorskog suda).

               U skladu s člankom 298. UFEU-a, Europski parlament i Vijeće djeluju putem uredbe i u skladu s redovnim zakonodavnim postupkom.

               Budući da su njime obuhvaćeni i podaci povezani s određenim aktivnostima Europske zajednice za atomsku energiju, za ovaj je prijedlog potrebna dodatna pravna osnova. Ti podaci nisu klasificirani podaci Euratoma, ali institucije i tijela Unije s njima postupaju u skladu s općim sustavom klasificiranih podataka EU-a.

               Ta je dodatna pravna osnova članak 106.a Ugovora o osnivanju Europske zajednice za atomsku energiju, na temelju kojeg se članak 298. UFEU-a primjenjuje i na prethodno navedene aktivnosti Euratoma.

               •Supsidijarnost (za neisključivu nadležnost)

               Prema načelu supsidijarnosti iz članka 5. stavka 3. Ugovora o Europskoj uniji, EU djeluje samo ako države članice ne mogu same u dovoljnoj mjeri ostvariti predviđene ciljeve, nego se zbog opsega ili učinka predloženih mjera one mogu na bolji način ostvariti na razini EU-a.

               Budući da samo Unija može donijeti pravila kojima se uređuje postupanje s klasificiranim podacima EU-a i osjetljivim neklasificiranim podacima s kojima postupaju i koje pohranjuju institucije i tijela Unije, načelo supsidijarnosti se ne primjenjuje.

               •Proporcionalnost

               Uspostava zajedničkog osnovnog okvira za sigurnost podataka za sve institucije i sva tijela Unije neophodna je za doprinos neovisnoj i učinkovitoj upravi.

               U skladu s načelom proporcionalnosti iz članka 5. stavka 4. UEU-a odredbe Uredbe nisu pretjerano preskriptivne i ostavljaju prostora za različite razine posebnih djelovanja, u skladu s razinom sigurnosne razvijenosti pojedinih institucija i tijela Unije.

               Nadalje, rješenje ima ograničen učinak na temeljna prava pojedinaca. Stoga se prijedlogom ne prelaze okviri onoga što je potrebno za otklanjanje problema nepostojanja zajedničkog skupa pravila o sigurnosti podataka za sve institucije i tijela Unije.

               •Odabir instrumenta

               Uredba koja se temelji na članku 298. UFEU-a smatra se primjerenim pravnim instrumentom.

               Takav odabir opravdava dominantna prisutnost elemenata koji zahtijevaju ujednačenu primjenu, koja ne ostavlja diskrecijski prostor institucijama i tijelima Unije te stvara minimalni horizontalni okvir.

               3.REZULTATI EX POST EVALUACIJA, SAVJETOVANJA S DIONICIMA I PROCJENA UČINKA

               •Ex post evaluacije/provjere primjerenosti postojećeg zakonodavstva

               Nije primjenjivo

               •Savjetovanja s dionicima

               Komisija je provela opsežno savjetovanje s ključnim dionicima o raznim aspektima povezanima s pravilima o sigurnosti podataka u institucijama i tijelima Unije. Opći cilj savjetovanja bio je prikupiti relevantne podatke za pripremu zakonodavne inicijative o pravilima o sigurnosti podataka koja su zajednička svim institucijama i tijelima Unije. Cilj savjetovanja bio je prikupiti podatke o:

               •problemima povezanima s postojećim okvirom za sigurnost podataka u institucijama i tijelima Unije za koje dionici smatraju da ih treba riješiti u okviru inicijative,

               •relevantnosti, djelotvornosti, učinkovitosti i dodanoj vrijednosti inicijative,

               •predviđenim učincima inicijative i drugim mogućim posljedicama za dionike.

               Tijekom izrade ovog zakonodavnog prijedloga Komisija se savjetovala sa sljedećim kategorijama dionika:

               1.institucije, tijela, uredi i agencije Unije;

               2.nacionalna sigurnosna tijela u državama članicama;

               3.stručnjaci u području istraživanja iz Zajedničkog istraživačkog centra (JRC).

               S obzirom na posebna obilježja ove inicijative, koja se primjenjuje isključivo na institucije i tijela Unije te slabo utječe na europske građane i poduzeća, službe Komisije odlučile su dati prednost prikupljanju stajališta relevantnih skupina dionika. Stoga za ovu zakonodavnu inicijativu nije održano posebno javno savjetovanje.

               Za vrijeme postupka savjetovanja službe Komisije primjenjivale su sljedeće metode i oblike savjetovanja:

               1.mogućnost da sve zainteresirane strane daju povratne informacije o početnoj procjeni učinka putem Komisijine platforme „Iznesite svoje mišljenje”;

               2.ciljani upitnik upućen stručnjacima za sigurnost podataka u institucijama i tijelima Unije putem internetskog alata EU Survey;

               3.ciljani upitnik upućen nacionalnim sigurnosnim tijelima država članica putem internetskog alata EU Survey;

               4.zahtjev za prilagođenu procjenu rizika osnovnih sredstava za sigurnost podataka; te

               5.brojne sastanke i razmjene mišljenja s kolegama iz institucija, tijela, ureda i agencija te iz nacionalnih sigurnosnih tijela država članica.

               Kao glavne zaključke prikupljene tijekom aktivnosti savjetovanja Komisija ističe sljedeće:

               •rascjepkanost relevantnih pravnih okvira u našim institucijama i tijelima uzrokuje znatno udvostručavanje rada na izradi i održavanju unutarnjih pravila te neinteroperabilne prakse pri postupanju s podacima. Za države članice raznolikost tih pravila povećava rizik od nerazumijevanja, pogrešnog tumačenja i neusklađenosti;

               •iako bi se uspostavom osnovnog okvira za sigurnost podataka za sve institucije i tijela Unije stvorio ekosustav sa standardiziranim sigurnosnim pravilima i primijenila najbolja praksa, mora se uzeti u obzir raznolikost i različito poslovno okruženje pojedinih institucija i tijela Unije te bi se trebala omogućiti primjena lokalnih rješenja,

               •ovom inicijativom moraju se poštovati neovisnost i različite razine sigurnosne razvijenosti pojedinih institucija i tijela Unije, koji će i dalje snositi punu odgovornost za svoju organizacijsku sigurnost i sigurnost podataka.

               •Prikupljanje i primjena stručnog znanja

               Komisija je upotrijebila vlastite resurse kako bi provela savjetovanje s dionicima. Uprava za sigurnost Glavne uprave za ljudske resurse i sigurnost obavila je zadaće povezane s anketama, videokonferencijama i drugim radionicama. Te su zadaće obuhvaćale i odabir sudionika i organizaciju događanja te obradu primljenih podataka.

               JRC je proveo procjenu rizika osnovnih sredstava za sigurnost podataka, na temelju koje je provedena procjena učinka.

               •Procjena učinka

               Ova se inicijativa odnosi isključivo na institucije i tijela Unije i ima ograničen učinak na države članice i pojedince. Stoga, s obzirom na to da nije bilo jasno prepoznatljivih i znatnih učinaka na građane i poduzeća, nije bilo potrebno provesti detaljnu procjenu učinka. Sveobuhvatni hodogram objavljen je na internetskim stranicama Europa te su prikupljene povratne informacije od relevantnih dionika.

               •Primjerenost i pojednostavnjenje propisa

               Nije primjenjivo

               •Temeljna prava

               EU je odlučan osigurati visoke standarde zaštite temeljnih prava. Ovom se inicijativom osigurava potpuna usklađenost s temeljnim pravima utvrđenima u Povelji Europske unije o temeljnim pravima
                  10
               , kako slijedi:

               •Pravo na dobru upravu
                  11

               Povećanjem sigurnosti podataka s kojima postupaju pri radu na poslovima europskih građana institucije i tijela Unije pridonose ostvarivanju načela dobre uprave.

               •Zaštita osobnih podataka
                  12

               Cjelokupna obrada osobnih podataka u okviru ovog prijedloga odvijala bi se u pouzdanim okruženjima i uz potpuno poštovanje Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća.

               •Pravo pristupa dokumentima
                  13

               Javni pristup klasificiranim podacima EU-a i osjetljivim neklasificiranim dokumentima i dalje je u potpunosti uređen Uredbom (EZ) 1049/2001 Europskog parlamenta i Vijeća.

               •Pravo na intelektualno vlasništvo
                  14

               Pri rukovanju neklasificiranim podacima i klasificiranim podacima EU-a te njihovu pohranjivanju institucije i tijela Unije štite intelektualno vlasništvo u skladu s Direktivom 2001/29/EZ Europskog parlamenta i Vijeća
                  15
               .

               •Sloboda izražavanja i informiranja
                  16

               Iako svatko ima pravo na slobodu primanja i razmjenjivanja informacija i ideja bez miješanja javnog tijela, to Uniju ne sprečava da utvrdi uvjete za pristup određenim vrstama informacija, postupanje s njima te njihovo pohranjivanje na temelju njihova stupnja tajnosti.

               Ostvarivanje tih sloboda može podlijegati uvjetima i ograničenjima koji su predviđeni zakonom i neophodni u demokratskom društvu kako bi se spriječilo otkrivanje informacija primljenih u povjerenju i u interesu sigurnosti EU-a.

               4.UTJECAJ NA PRORAČUN

               Ovim se prijedlogom zahtijeva dodjela jednog dužnosnika razreda AD i jednog asistenta razreda AST za stalno tajništvo Koordinacijske skupine, koje osigurava Komisija, u Upravi za sigurnost Glavne uprave za ljudske resurse i sigurnost.

               Kad je riječ o institucijama i tijelima, očekuje se da će poboljšanja sigurnosti podataka dovesti do ušteda u smislu zajedničkih i suradničkih zadaća te spriječiti potencijalne gospodarske štete uzrokovane sigurnosnim incidentima. S druge strane, financijsko ulaganje potrebno za provedbu novog zakonodavstva može se osigurati u okviru postojećih programa za poboljšanje sigurnosti podataka u svim institucijama i tijelima Unije.

               5.DRUGI ELEMENTI

               •Planovi provedbe i mehanizmi praćenja, evaluacije i izvješćivanja

               Prijedlogom se predviđa obveza Komisije da svake tri godine Europskom parlamentu i Vijeću podnese izvješće o provedbi ove Uredbe, među ostalim o funkcioniranju upravljačkih sustava uspostavljenih ovom Uredbom.

               Osim toga, Komisija svakih pet godina provodi evaluaciju ove Uredbe kako bi procijenila njezin stvarni učinak i na temelju toga odredila ima li potrebe za izmjenom zakonodavstva.

               •Detaljno obrazloženje posebnih odredaba prijedloga

               Ovaj je prijedlog strukturiran oko zahtjeva za postupanje s neklasificiranim podacima i klasificiranim podacima EU-a te za njihovo pohranjivanje, pri čemu su ti podaci glavna tema, a poboljšanje njihove zaštite temeljna svrha inicijative.

               Predmet i područje primjene (članak 1. i članak 2.)

               Cilj ove Uredbe jest uspostaviti minimalni skup pravila o sigurnosti podataka koji se primjenjuje na sve institucije i tijela Unije.

               Primjenjuje se na sve podatke s kojima postupaju i koje pohranjuju institucije i tijela Unije, uključujući podatke povezane s aktivnostima Europske zajednice za atomsku energiju, osim klasificiranih podataka Euratoma. Ovom su Uredbom obuhvaćeni i neklasificirani i klasificirani podaci EU-a.

               Definicije i opća načela (članci 3.–5.)

               Definicije iz članka 3. temelje se na trenutačnim pravilima o sigurnosti podataka koja su zasebno donijeli institucije i tijela Unije.

               Osim općih načela zakonodavstva Unije: transparentnosti, proporcionalnosti, učinkovitosti i odgovornosti, ovom se Uredbom predviđaju glavne obvezujuće smjernice, kao što su poseban postupak upravljanja rizikom u području sigurnosti podataka koji provodi svaka institucija i tijelo Unije te procjena njihovih podataka radi odgovarajuće kategorizacije.

               Upravljanje i organizacija sigurnosti (članci 6.–8.)

               Sve institucije i tijela Unije surađuju u okviru međuinstitucijske koordinacijske skupine za sigurnost podataka, koja donosi odluke konsenzusom i u zajedničkom interesu institucija i tijela Unije.

               Koordinacijska skupina okuplja sigurnosna tijela svih institucija i tijela te donosi smjernice za provedbu ove Uredbe. Redovito surađuje s nacionalnim sigurnosnim tijelima država članica okupljenima u Odboru za sigurnost podataka.

               Radi racionalizacije postupaka i drugih praktičnih aspekata povezanih sa sigurnošću podataka osnovano je pet podskupina koje se sastoje od stručnjaka koji predstavljaju različite institucije i tijela.

               Sve institucije i tijela Unije moraju imenovati sigurnosno tijelo odgovorno za utvrđivanje i provedbu unutarnjih politika o sigurnosti podataka. Sigurnosno tijelo uspostavlja posebne funkcije, kao što su tijelo za informacijsku sigurnost, operativno tijelo za informacijsku sigurnost, tijelo za sigurnosnu akreditaciju, tijelo za TEMPEST, tijelo za odobravanje kriptomaterijala i tijelo za distribuciju kriptomaterijala, koje se mogu delegirati drugim institucijama ili tijelima radi učinkovitosti ili boljeg iskorištavanja resursa.

               Informacijska sigurnost i komunikacijski i informacijski sustavi (članci 9.–11.)

               Uredbom se uspostavlja podskupina za sigurnost podataka kako bi se u institucijama i tijelima Unije poboljšala usklađenost pravila o sigurnosti podataka i osnovnog okvira za kibersigurnost kako je definiran Uredbom o mjerama za visoku zajedničku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije.

               Institucije i tijela Unije dužni su poštovati načela navedena u tim člancima i donijeti posebna unutarnja pravila za konkretne sigurnosne mjere, prilagođena vlastitom sigurnosnom okruženju.

               Neklasificirani podaci (članci 12.–17. i Prilog I.)

               Uredbom se utvrđuju tri kategorije neklasificiranih podataka: podaci za javnu upotrebu, uobičajeni podaci i osjetljivi neklasificirani podaci. Sve su kategorije definirane te su propisane oznake i uvjeti postupanja za zaštitu tih podataka.

               Radi koordinacije rada na jednakovrijednosti posebnih kategorija koje su uspostavile neke institucije i tijela Unije i zajedničkih kategorija predviđenih Uredbom prijedlogom se osniva podskupina za neklasificirane podatke.

               Klasificirani podaci EU-a (članci 18.–58. i prilozi II.–VI.)

               To je najopsežnije poglavlje prijedloga i strukturirano je u sedam odjeljaka kako slijedi: opće odredbe, sigurnost osoblja, fizička sigurnost, upravljanje klasificiranim podacima EU-a, zaštita u komunikacijskim i informacijskim sustavima, gospodarska sigurnost te dijeljenje klasificiranih podataka EU-a i razmjena klasificiranih podataka.

               U odjeljku o općim odredbama utvrđuju se četiri stupnja tajnosti klasificiranih podataka EU-a: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED i utvrđuje se obveza institucija i tijela Unije da poduzimaju potrebne sigurnosne mjere u skladu s rezultatima postupka upravljanja rizikom u području sigurnosti podataka.

               U svim preostalim odjeljcima naglasak se stavlja na standarde zaštite klasificiranih podataka EU-a, povezane s njihovim posebnim područjima. Pojedinosti o toj zaštiti klasificiranih podataka EU-a utvrđene su u prilozima od II. do V. Prilog VI. sadržava tablicu jednakovrijednosti klasificiranih podataka EU-a sa stupnjevima tajnosti država članica i Europske zajednice za atomsku energiju.

               Kako bi se pojednostavnili relevantni postupci u tom području i izbjegao dvostruki rad, Uredbom se osnivaju podskupine za informacijsku sigurnost, za neklasificirane podatke, za fizičku sigurnost, za akreditaciju komunikacijskih i informacijskih sustava u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju te za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka.

               Završne odredbe (članci 59.–62.)

               Završnim odredbama osigurava se prelazak s postojećih pravila i postupaka na novi zakonodavni okvir utvrđen ovom Uredbom. Odnose se na unutarnja pravila o sigurnosti podataka koja se trenutačno primjenjuju u institucijama i tijelima Unije, priznavanje posjeta radi procjene stanja koji se obavljaju prije početka primjene Uredbe, postupanje prema prethodno sklopljenim administrativnim dogovorima te nastavak primjene posebnih sigurnosnih okvira koji se odnose na sporazume o dodjeli bespovratnih sredstava.

               Ova bi se Uredba trebala početi primjenjivati dvije godine nakon datuma njezina stupanja na snagu.

               2022/0084 (COD)

               Prijedlog

               UREDBE EUROPSKOG PARLAMENTA I VIJEĆA

               o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije

               EUROPSKI PARLAMENT I VIJEĆE EUROPSKE UNIJE,

               uzimajući u obzir Ugovor o funkcioniranju Europske unije, a posebno njegov članak 298.,

               uzimajući u obzir Ugovor o osnivanju Europske zajednice za atomsku energiju, a posebno njegov članak 106.a,

               uzimajući u obzir prijedlog Europske komisije,

               nakon prosljeđivanja nacrta zakonodavnog akta nacionalnim parlamentima,

               u skladu s redovnim zakonodavnim postupkom,

               budući da:

               (1)Institucije i tijela Unije trenutačno imaju vlastita pravila o sigurnosti podataka na temelju svojeg poslovnika ili osnivačkog akta ili uopće nemaju takva pravila. U tom kontekstu svaka institucija i tijelo Unije ulaže znatan trud u usvajanje različitih pristupa, zbog čega razmjena podataka nije uvijek pouzdana. Nepostojanje zajedničkog pristupa otežava primjenu zajedničkih alata na temelju dogovorenog skupa pravila ovisno o sigurnosnim potrebama podataka koje treba zaštititi.

               (2)Iako je postignut napredak prema utvrđivanju dosljednijih pravila za zaštitu klasificiranih podataka Europske unije („klasificirani podaci EU-a”) i neklasificiranih podataka, interoperabilnost odgovarajućih sustava i dalje je ograničena, što sprečava neometan prijenos podataka među različitim institucijama i tijelima Unije. Stoga je potrebno daljnje zalaganje kako bi se omogućio međuinstitucijski pristup razmjeni klasificiranih podataka EU-a i osjetljivih neklasificiranih podataka, sa zajedničkim kategorijama podataka i zajedničkim ključnim načelima postupanja. Trebalo bi predvidjeti i osnovni okvir za pojednostavnjenje postupaka za razmjenu klasificiranih podataka EU-a i osjetljivih neklasificiranih podataka među institucijama i tijelima Unije te državama članicama.

               (3)Stoga bi trebalo utvrditi relevantna pravila kojima se osigurava zajednička razina sigurnosti podataka u svim institucijama i tijelima Unije. Ta bi pravila trebala biti sveobuhvatan i cjelovit opći okvir za zaštitu klasificiranih podataka EU-a i neklasificiranih podataka te osigurati jednakovrijednost osnovnih načela i minimalnih standarda.

               (4)Zbog nedavne pandemije znatno su se promijenile radne navike, a alati za komunikaciju na daljinu postali su pravilo. Stoga su mnogi postupci, koji su se još uvijek barem djelomično temeljili na dokumentima u papirnatom obliku, brzo prilagođeni kako bi se omogućila elektronička obrada i razmjena podataka. Takva kretanja zahtijevaju promjene u postupanju s podacima i njihovoj zaštiti. Ovom se Uredbom uzimaju u obzir nove radne navike.

               (5)Uvođenjem minimalne zajedničke razine zaštite klasificiranih podataka EU-a i neklasificiranih podataka ova Uredba pridonosi tome da institucije i tijela Unije pri ostvarivanju svojih zadaća imaju potporu učinkovite i neovisne uprave. Istodobno, svaka institucija i tijelo Unije zadržava svoju neovisnost pri odabiru načina provedbe pravila utvrđenih u ovoj Uredbi, u skladu s vlastitim sigurnosnim potrebama. Ovom se Uredbom ni u kojem slučaju ne sprečava institucije i tijela Unije da ispune zadaću koja im je povjerena zakonodavstvom EU-a niti se zadire u njihovu institucijsku autonomiju.

               (6)Ova Uredba ne dovodi u pitanje Uredbu (Euratom) br. 3/1958
                  17
               , Uredbu br. 31 (EEZ), 11 (EZAE) o Pravilniku o osoblju za dužnosnike Europske Unije i Uvjetima zaposlenja ostalih službenika Europske ekonomske zajednice i Europske zajednice za atomsku energiju
                  18
               , Uredbu (EZ) 1049/2001 Europskog parlamenta i Vijeća
                  19
               , Uredbu (EU) 2018/1725 Europskog parlamenta i Vijeća
                  20
               , Uredbu Vijeća (EEZ, Euratom) br. 354/83
                  21
               , Uredbu (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća
                  22
               , Uredbu (EU) 2021/697 Europskog parlamenta i Vijeća
                  23
               , Uredbu (EU) [...] Europskog parlamenta i Vijeća
                  24
                o mjerama za visoku zajedničku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije.

                (7)Kako bi se očuvala specifična narav aktivnosti Europske zajednice za atomsku energiju koje su uređene Uredbom 3/1958 Vijeća Europske zajednice za atomsku energiju
                  25
               , ova se Uredba ne bi trebala primjenjivati na klasificirane podatke Euratoma. Međutim, svi podaci povezani s aktivnostima Euratoma koji nisu obuhvaćeni Uredbom br. 3/1958 trebali bi biti obuhvaćeni područjem primjene ove Uredbe.

               (8)Radi službene formalne strukture za suradnju među institucijama i tijelima Unije u području sigurnosti podataka potrebno je osnovati međuinstitucijsku koordinacijsku skupinu („koordinacijska skupina”) u kojoj su zastupljena sigurnosna tijela svih institucija i tijela Unije. Iako neće imati ovlasti za donošenje odluka, koordinacijska skupina trebala bi poboljšati usklađenost politika u području sigurnosti podataka te pridonijeti usklađivanju postupaka i alata povezanih sa sigurnošću podataka u institucijama i tijelima Unije.

               (9)Za rad koordinacijske skupine potrebna je potpora stručnjaka u različitim područjima sigurnosti podataka: kategorizaciji i označivanju, komunikacijskim i informacijskim sustavima, akreditaciji, fizičkoj sigurnosti te dijeljenju klasificiranih podataka EU-a i razmjeni klasificiranih podataka. Kako bi se spriječilo udvostručavanje rada u institucijama i tijelima Unije, osnivaju se tematske podskupine. Osim toga, koordinacijska skupina trebala bi, prema potrebi, moći osnivati druge podskupine s posebnim zadaćama.

               (10)Koordinacijska skupina trebala bi blisko surađivati s nacionalnim sigurnosnim tijelima država članica kako bi se poboljšala sigurnost podataka u Uniji. Stoga bi trebalo uspostaviti Odbor država članica za sigurnost podataka, koji će savjetovati koordinacijsku skupinu.

               (11)Iako su zajednička tijela koja predstavljaju sve institucije i tijela Unije uspostavljena na temelju načela suradnje, svaka institucija i tijelo trebali bi i dalje snositi punu odgovornost za sigurnost informacija u svojoj organizaciji. Svaka institucija i tijelo Unije trebali bi imati sigurnosno tijelo i, prema potrebi, druga tijela nadležna za posebne odgovornosti koje se odnose na sigurnost podataka.

               (12)Načelo upravljanja rizikom u području sigurnosti podataka trebalo bi poslužiti kao temelj politike koju svaka institucija i tijelo Unije treba razviti u tom području. Iako se minimalni zahtjevi utvrđeni ovom Uredbom moraju ispuniti, svaka institucija i tijelo Unije trebali bi donijeti posebne sigurnosne mjere za zaštitu podataka u skladu s rezultatima unutarnje procjene rizika. Isto tako, tehnička sredstva za zaštitu podataka trebalo bi prilagoditi specifičnim situacijama svake institucije i tijela.

               (13)S obzirom na raznolikost kategorija neklasificiranih podataka koje su institucije i tijela Unije utvrdili na temelju vlastitih pravila o informacijskoj sigurnosti te kako bi se izbjeglo kašnjenje u provedbi ove Uredbe, institucije ili tijela Unije trebali bi moći zadržati vlastiti sustav označivanja za interne potrebe ili pri razmjeni podataka s izravnim suradnicima u drugim institucijama i tijelima ili u državama članicama.

               (14)U svrhu prilagođavanja novim navikama rada na daljinu, mreže koje se upotrebljavaju pri povezivanju s uslugama daljinskog pristupa institucije ili tijela Unije trebalo bi zaštiti odgovarajućim sigurnosnim mjerama.

               (15)Budući da se u institucijama i tijelima Unije često angažiraju ugovaratelji i koriste vanjske usluge, važno je utvrditi zajedničke odredbe koje se odnose na osoblje ugovarateljâ koje obavlja zadaće povezane sa sigurnošću podataka.

               (16)Materijalna pravila o pristupu klasificiranim podacima EU-a u okviru unutarnjih pravila raznih institucija i tijela Unije trenutačno su usklađena, no postoje znatne razlike u pogledu naziva i potrebnih postupaka. To stvara opterećenje za nacionalna sigurnosna tijela država članica koja se moraju prilagođavati različitim zahtjevima. Stoga je potrebno izraditi zajedničku terminologiju i zajedničke postupke u području sigurnosti osoblja kako bi se pojednostavnila suradnja s nacionalnim sigurnosnim tijelima država članica i ograničio rizik od ugroze klasificiranih podataka EU-a.

               (17)S obzirom na to da institucije i tijela Unije imaju različite resurse te kako bi se racionalizirali njihovi relevantni postupci i prakse, zadaće sigurnosne provjere mogu se povjeriti Komisiji kako bi se osigurao nastavak dugogodišnje prakse u tom području i pridonijelo centralizaciji zadaća koje se dodjeljuju svakom sigurnosnom tijelu.

               (18)Zaštita klasificiranih podataka EU-a osigurava se i tehničkim i organizacijskim mjerama koje se primjenjuju na prostorije, zgrade, sobe, urede ili objekte institucija i tijela Unije u kojima se raspravlja o klasificiranim podacima EU-a, u kojima se postupa s tim podacima ili u kojima se ti podaci pohranjuju. Ovom Uredbom predviđa se provedba postupka upravljanja sigurnošću podataka u području fizičke sigurnosti, kojim bi se institucijama i tijelima Unije omogućilo da odaberu odgovarajuće sigurnosne mjere za svoje lokacije.

               (19)Sve institucije i tijela Unije koji postupaju s klasificiranim podacima EU-a i koji ih pohranjuju trebali bi uspostaviti fizički zaštićena područja na svojim lokacijama kako bi osigurali jednaku razinu zaštite za odgovarajuće stupnjeve tajnosti klasificiranih podataka EU-a s kojima se postupa i koji se pohranjuju na tim lokacijama. Ta bi područja trebala biti označena kao administrativne zone i sigurnosne zone te bi se u njima trebali poštovati zajednički minimalni standardi zaštite klasificiranih podataka EU-a.

               (20)Autorski nadzor važno je načelo u upravljanju klasificiranim podacima EU-a te ga je potrebno jasno propisati i definirati. U tom se pogledu pri stvaranju klasificiranih podataka EU-a autoru dodjeljuje odgovornost kojom bi se trebao obuhvatiti čitav životni ciklus odgovarajućeg klasificiranog dokumenta EU-a.

               (21)Institucije i tijela Unije tradicionalno su zasebno razvijali komunikacijske i informacijske sustave te nisu pridavali dovoljno pozornosti njihovoj interoperabilnosti s drugim institucijama i tijelima Unije. Stoga je potrebno donijeti minimalne sigurnosne zahtjeve povezane s komunikacijskim i informacijskim sustavima (CIS-ovi) u kojima se postupa i s klasificiranim podacima EU-a i s neklasificiranim podacima te u kojima se ti podaci pohranjuju kako bi se zajamčila neometana razmjena podataka s relevantnim dionicima.

               (22)Kako bi se uspostavio jedinstven standard za akreditaciju CIS-ova u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju, institucije i tijela Unije trebali bi surađivati u okviru skupine koja je osnovana u tu svrhu. Preporučuje se da sve institucije i tijela primjenjuju taj standard kako bi pridonijeli općoj razini zaštite klasificiranih podataka EU-a. Međutim, s obzirom na organizacijsku neovisnost odluku donosi nadležno tijelo svake institucije ili tijela.

               (23)Pri dodjeljivanju i provedbi klasificiranih ugovora ili klasificiranih sporazuma o dodjeli bespovratnih sredstava sve institucije i tijela Unije trebali bi primjenjivati iste postupke i mjere. Stoga je potrebno jasno propisati i obvezne i neobvezne elemente klasificiranih ugovora i klasificiranih sporazuma o dodjeli bespovratnih sredstava. Međutim, u mjerama za zaštitu klasificiranih podataka EU-a koje se odnose na klasificirane ugovore i klasificirane sporazume o dodjeli bespovratnih sredstava trebalo bi uzeti u obzir već utvrđena pravila koja su institucije i tijela Unije zasebno razvili u tom području u suradnji s državama članicama.

               (24)Bliska suradnja među institucijama i tijelima Unije te brojne sinergije nastale među njima podrazumijevaju razmjenu velike količine podataka. Radi sigurnosti klasificiranih podataka vjerodostojnost institucije ili tijela Unije trebalo bi procijeniti prije nego što počne postupati s klasificiranim podacima EU-a određenog stupnja tajnosti i pohranjivati te podatke.

               (25)Nadalje, dijeljenje klasificiranih podataka EU-a među institucijama i tijelima Unije te razmjenu klasificiranih podataka s međunarodnim organizacijama i trećim zemljama isto bi tako trebalo urediti odgovarajućim sigurnosnim mjerama za zaštitu tih podataka. Ako se predviđa sklapanje sporazuma o sigurnosti podataka, trebale bi se primjenjivati odredbe članka 218. Ugovora.

               (26)Svrha sporazuma o sigurnosti podataka jest osigurati opći pravni okvir za razmjenu klasificiranih podataka Unije s trećim zemljama i međunarodnim organizacijama, a isto je tako neophodno institucijama i tijelima Unije za potrebe razmjene klasificiranih podataka EU-a osigurati mogućnost sklapanja administrativnih dogovora s izravnim suradnicima u trećim zemljama ili međunarodnim organizacijama.

               (27)Ovom Uredbom uspostavlja se zajednički okvir za sve institucije i tijela Unije. Kako bi se izbjeglo nametanje prekomjernog administrativnog opterećenja institucijama i tijelima Unije u postupku prilagodbe njihovih unutarnjih sigurnosnih pravila pravilima utvrđenima ovom Uredbom, ova bi se Uredba trebala početi primjenjivati dvije godine nakon stupanja na snagu.

               (28)U skladu sa stavcima 22. i 23. Međuinstitucijskog sporazuma o boljoj izradi zakonodavstva od 13. travnja 2016.
                  26
                Komisija bi trebala provesti evaluaciju ove Uredbe kako bi procijenila njezine stvarne učinke i potrebu za daljnjim djelovanjem. Komisija bi Europskom parlamentu i Vijeću trebala podnijeti izvješće o provedbi ove Uredbe najkasnije tri godine od datuma početka primjene.

               (29)U skladu s člankom 42. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća
                  27
                provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka, koji je dostavio mišljenje ...

               DONIJELI SU OVU UREDBU:

               Poglavlje 1.
                  Opće odredbe

               Članak 1.

               Predmet

               1.Ovom Uredbom utvrđuju se pravila o sigurnosti podataka za sve institucije i tijela Unije.

               Članak 2.

               Područje primjene

               1.Ova se Uredba primjenjuje na sve podatke s kojima postupaju i koje pohranjuju institucije i tijela Unije, uključujući podatke povezane s aktivnostima Europske zajednice za atomsku energiju, osim klasificiranih podataka Euratoma.

               2.Primjenjuje se na sljedeće stupnjeve tajnosti podataka:

               (a)tri razine neklasificiranih podataka: podaci za javnu upotrebu, uobičajeni podaci i osjetljivi neklasificirani podaci;

               (b)četiri razine klasificiranih podataka EU-a: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.

               3.Te se razine temelje na šteti koju neovlašteno otkrivanje može nanijeti legitimnim privatnim i javnim interesima, uključujući interese Unije, institucija i tijela Unije, država članica ili drugih dionika, kako bi se mogle primijeniti odgovarajuće zaštitne mjere.

               Članak 3.

               Definicije

               Za potrebe ove Uredbe, primjenjuju se sljedeće definicije:

               (a)„podaci” znači svi podaci u usmenom, vizualnom, elektroničkom, magnetskom ili fizičkom obliku ili u obliku materijala, opreme ili tehnologije te obuhvaća preslike, prijevode i materijal u izradi;

               (b)„sigurnost podataka” znači osiguranje autentičnosti, dostupnosti, povjerljivosti, cjelovitosti i nepobitnosti podataka;

               (c)„postupanje” s podacima znači sve moguće radnje kojima podaci mogu biti podvrgnuti tijekom svojeg životnog ciklusa; obuhvaća njihovo stvaranje, prikupljanje, registraciju, dodjeljivanje stupnja tajnosti, obradu, prikaz, upotrebu, prijenos, slanje, smanjenje stupnja tajnosti, deklasifikaciju, arhiviranje i uništavanje;

               (d)„pohranjivanje” znači postupak čuvanja podataka na bilo kojem mediju kako bi se osigurala njihova dostupnost za buduću upotrebu;

               (e)„institucije i tijela Unije” znači institucije, tijela, uredi i agencije Unije osnovani Ugovorom o Europskoj uniji, Ugovorom o funkcioniranju Europske unije, Ugovorom o osnivanju Europske zajednice za atomsku energiju ili zakonodavnim aktom, ili na temelju njih;

               (f)„klasificirani podaci Euratoma” znači podaci u smislu Uredbe br. 3/1958 Vijeća Europske zajednice za atomsku energiju;

               (g)„sigurnosno tijelo” znači sigurnosna funkcija svake institucije i tijela Unije utvrđena u skladu s njegovim poslovnikom ili osnivačkim aktom;

               (h)„postupak upravljanja rizikom u području sigurnosti podataka” znači cjelokupni postupak prepoznavanja, kontrole i smanjivanja učestalosti neizvjesnih događaja koji mogu utjecati na sigurnost organizacije ili sustava kojima se organizacija koristi; obuhvaća sve aktivnosti povezane s rizikom, uključujući procjenu, obradu, prihvaćanje i obavješćivanje;

               (i)„sredstvo” znači sve što ima vrijednost za instituciju ili tijelo Unije, njegove aktivnosti i njihov kontinuitet, uključujući informacijske resurse kojima se podupiru njegove zadaće;

               (j)„sigurnosni operativni postupci” znači skup dokumentiranih postupaka, kako su navedeni u Prilogu III., za upravljanje sigurnosnom zonom, komunikacijskim i informacijskim sustavom ili drugim sredstvom ili uslugom povezanom sa sigurnošću kojim se osigurava učinkovitost zone, sustava, sredstva ili usluge;

               (k)„komunikacijski i informacijski sustav” ili „CIS” znači svaki sustav koji omogućuje postupanje s podacima i njihovu pohranu u elektroničkom obliku, uključujući sva sredstva potrebna za njegovo funkcioniranje;

               (l)„informacijska sigurnost” znači sigurnost da će komunikacijski i informacijski sustavi štititi podatke s kojima postupaju i koje pohranjuju te da će funkcionirati onako kako trebaju i kada trebaju, pod nadzorom legitimnih korisnika, te pritom osigurati odgovarajuće razine autentičnosti, dostupnosti, povjerljivosti, cjelovitosti i nepobitnosti;

               (m)„akreditacija” znači službeno ovlaštenje koje tijelo za sigurnosnu akreditaciju izdaje za komunikacijski i informacijski sustav kako bi mogao obrađivati klasificirane podatke Europske unije prethodno utvrđenog stupnja tajnosti ili za sigurnosnu zonu kako bi se u njoj mogli pohranjivati ti podaci;

               (n)„akreditacijski postupak” znači koraci i radnje koje je potrebno poduzeti prije dodjele akreditacije;

               (o)„sigurnosne mjere TEMPEST” znači mjere za zaštitu svih CIS-ova u kojima se postupa s podacima ili u kojem se pohranjuju podaci stupnja tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim od ugroze takvih podataka nenamjernim elektromagnetskim zračenjem;

               (p)„CERT-EU” znači Centar za kibersigurnost institucija i tijela Unije u smislu Uredbe (EU) [...] Europskog parlamenta i Vijeća o mjerama za visoku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije;

               (q)„incident povezan s informacijskom sigurnošću” znači svaki događaj koji potencijalno ugrožava autentičnost, dostupnost, povjerljivost, cjelovitost ili nepobitnost podataka koji se pohranjuju, prenose ili obrađuju;

               (r)„nužnost pristupa podacima” znači nužnost da osoba pristupa određenim podacima s kojima se postupa ili koji se pohranjuju u instituciji ili tijelu Unije radi ispunjavanja zadaća te konkretne institucije ili tijela Unije;

               (s)„nulto povjerenje” znači sigurnosni model, skup načela za projektiranje sustava te koordinirana strategija za kibersigurnost i upravljanje sustavom koji se temelje na priznavanju postojanja prijetnji unutar i izvan tradicionalnih granica mreže;

               (t)„oznaka” znači oznaka koja se stavlja na podatke kako bi se osigurala primjena odgovarajućih sigurnosnih mjera;

               (u)„oznaka stupnja tajnosti” znači oznaka kojom se naznačuje stupanj tajnosti podataka;

               (v)„oznaka distribucije” znači oznaka kojom se naznačuju predviđeni primatelji podataka u instituciji ili tijelu Unije iz kojeg podaci potječu;

               (w)„oznaka mogućnosti objavljivanja” znači oznaka kojom se naznačuju dopušteni primatelji podataka izvan institucije ili tijela Unije iz kojeg podaci potječu;

               (x)„vlasnik sustava” znači osoba odgovorna za cjelokupnu nabavu, razvoj, integraciju, izmjenu, rad, održavanje i povlačenje komunikacijskog i informacijskog sustava;

               (y)„prijetnja sigurnosti podataka” znači događaj ili subjekt za kojeg se može razumno očekivati da će imati negativan utjecaj na sigurnost podataka ako se na njega ne odgovori i ako se ne kontrolira;

               (z)„ranjivost” znači slabost, osjetljivost ili nedostatak nekog sredstva, sustava, procesa ili kontrole koji može iskoristiti jedna ili više prijetnji;

               (aa)„rizik” znači mogući negativan učinak određene prijetnje, koja će možda iskoristiti unutarnje i vanjske ranjivosti institucije ili tijela Unije ili sustava koje ta institucija ili tijelo upotrebljava te pritom uzrokovati štetu legitimnim javnim i privatnim interesima, a mjeri se kao kombinacija vjerojatnosti pojave prijetnji i njihova učinka;

               (ab)„preostali rizik” znači rizik koji preostaje nakon provedbe sigurnosnih mjera;

               (ac)„procjena rizika” znači prepoznavanje prijetnji i ranjivosti te provedba povezane analize rizika, odnosno analize vjerojatnosti pojave i njezina učinka;

               (ad)„postupanje s rizikom” znači ublažavanje, uklanjanje, smanjivanje (odgovarajućom kombinacijom tehničkih, fizičkih, organizacijskih ili postupovnih mjera), prijenos ili praćenje rizika;

               (ae)„europski kibersigurnosni certifikat” znači certifikat u smislu članka 2. stavka 11. Uredbe EU 2019/881
                  28
               ;

               (af)„imatelj” znači propisno ovlaštena osoba s utvrđenom nužnošću pristupa podacima u čijem se posjedu nalazi podatak kojem je potrebna zaštita te je stoga odgovorna za pružanje te zaštite;

               (ag)„materijal” znači svaki dokument, nosač podataka ili uređaj ili komad opreme, bilo već izrađen bilo u postupku izrade;

               (ah)„klasificirani podaci Europske unije” ili „klasificirani podaci EU-a” znači svaki podatak ili materijal koji je označen stupnjem tajnosti EU-a i čije neovlašteno otkrivanje može uzrokovati različite stupnjeve ugroze interesa Unije ili jedne ili više država članica;

               (ai)„ovlaštenje za pristup klasificiranim podacima EU-a” znači odluka sigurnosnog tijela da se dužnosniku, drugom službeniku ili upućenom nacionalnom stručnjaku institucije ili tijela Unije može odobriti pristup klasificiranim podacima EU-a do određenog stupnja tajnosti i u određenom razdoblju;

               (aj)„nacionalno sigurnosno tijelo” ili „NST” znači državno tijelo države članice s krajnjom odgovornošću za sigurnost klasificiranih podataka u toj državi članici;

               (ak)„zaduženo sigurnosno tijelo” ili „ZST” znači tijelo države članice (NST ili drugo nadležno tijelo) koje je odgovorno za pružanje smjernica i pomoći u provedbi gospodarske sigurnosti i/ili postupaka sigurnosne provjere;

               (al)„sigurnosna istraga” znači istražni postupci koje provodi nadležno tijelo države članice u skladu s nacionalnim pravom i propisima kako bi se uvjerilo da ne postoje zapreke da se određenoj osobi odobri uvjerenje o sigurnosnoj provjeri do određenog stupnja tajnosti (CONFIDENTIEL UE/EU CONFIDENTIAL ili višeg);

               (am)„fizička sigurnost” znači primjena fizičkih, tehničkih i organizacijskih mjera na prostorije, zgrade, sobe, urede ili objekte institucije ili tijela Unije koje treba zaštititi od neovlaštenog pristupa podacima s kojima se u njima postupa, koji se u njima pohranjuju ili o kojima se u njima raspravlja;

               (an)„lokacije” znači prostorije, zgrade, sobe, uredi ili objekti institucije ili tijela Unije;

               (ao)„dubinska obrana” znači vrsta zaštite u okviru koje se primjenjuje više neovisnih razina sigurnosnih kontrola kako bi se osiguralo da će, ako jedna zakaže, druga funkcionirati;

               (ap)„kriptografski materijal (kriptomaterijal)” znači kriptografski algoritmi, kriptografski hardverski i softverski moduli te proizvodi, uključujući pojedinosti o provedbi te povezanu dokumentaciju i kriptografske ključeve;

               (aq)„kriptografski proizvod” znači proizvod čija je primarna i glavna funkcija pružanje sigurnosnih usluga (autentičnost, dostupnost, povjerljivost, cjelovitost i nepobitnost) s pomoću jednog ili više kriptografskih mehanizama;

               (ar)„autor podataka” znači institucija ili tijelo Unije, država članica, treća zemlja ili međunarodna organizacija pod čijom su nadležnošću klasificirani podaci nastali u strukturama Unije ili su uvedeni u te strukture;

               (as)„dokument” znači svaki sadržaj, neovisno o mediju (papirnati, elektronički, magnetski ili drugi), u pisanom obliku ili u obliku vizualnog odnosno audiovizualnog zapisa;

               (at)„registracija u sigurnosne svrhe” znači primjena postupaka za bilježenje životnog ciklusa materijala, uključujući njegovo širenje i uništavanje;

               (au)„deklasifikacija” znači uklanjanje svakog stupnja tajnosti;

               (av)„smanjenje stupnja tajnosti” znači smanjenje razine stupnja tajnosti;

               (aw)„klasificirani ugovor” znači okvirni ugovor ili ugovor, kako je naveden u Uredbi (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća, koji institucija ili tijelo Unije sklapa s ugovarateljem za nabavu pokretnih ili nepokretnih sredstava, izvođenje radova ili pružanje usluga čije izvršenje zahtijeva ili uključuje postupanje s klasificiranim podacima EU-a, uključujući njihovo stvaranje, ili pohranjivanje takvih podataka;

               (ax)„klasificirani sporazum o dodjeli bespovratnih sredstava” znači sporazum u okviru kojeg institucija ili tijelo Unije dodjeljuje bespovratna sredstva, kako je navedeno u glavi VIII. Uredbe (EZ, Euratom) 2018/1046, čije izvršenje zahtijeva ili podrazumijeva postupanje s klasificiranim podacima EU-a, uključujući njihovo stvaranje, ili pohranjivanje takvih podataka;

               (ay)„klasificirani podugovor” znači ugovor sklopljen između ugovaratelja ili korisnika institucije ili tijela Unije i podugovaratelja za nabavu pokretnih ili nepokretnih sredstava, izvođenje radova ili pružanje usluga čije izvršenje zahtijeva ili podrazumijeva postupanje s klasificiranim podacima EU-a, uključujući njihovo stvaranje, ili pohranjivanje takvih podataka;

               (az)„sigurnosne upute za program ili projekt” ili „SUP” znači popis sigurnosnih postupaka koji se primjenjuju na određeni program ili projekt radi standardizacije sigurnosnih postupaka;

               (ba)„pismo o sigurnosnim aspektima” ili „SAL” znači skup posebnih ugovornih uvjeta koji izdaje javni naručitelj ili tijelo za dodjelu bespovratnih sredstava, a sastavni je dio klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava koji uključuje pristup klasificiranim podacima EU-a ili njihovo stvaranje te se njime utvrđuju sigurnosni zahtjevi ili elementi ugovora ili sporazuma o dodjeli bespovratnih sredstava koji zahtijevaju sigurnosnu zaštitu;

               (bb)„vodič za stupnjeve tajnosti” ili „SCG” znači dokument u kojem su opisani klasificirani elementi programa, projekta, ugovora ili sporazuma o dodjeli bespovratnih sredstava te navedeni primjenjivi stupnjevi tajnosti.

               Članak 4.

               Opća načela

               1.Svaka institucija i tijelo Unije odgovorni su za provedbu odredaba ove Uredbe u okviru svoje organizacije, uzimajući u obzir vlastite postupke upravljanja rizikom u području sigurnosti podataka.

               2.
                      Nepridržavanje ove Uredbe, osobito neovlašteno otkrivanje podataka sa stupnjevima tajnosti navedenima u članku 2. stavku 2., osim podataka za javnu upotrebu, podliježe istrazi i može rezultirati pravnom odgovornošću osoblja u skladu s Ugovorima ili relevantnim pravilnicima o osoblju.

               3.Institucije i tijela Unije procjenjuju sve podatke s kojima postupaju i koje pohranjuju kako bi ih kategorizirali u skladu sa stupnjevima tajnosti iz članka 2. stavka 2.

               4.Institucije i tijela Unije za sve podatke s kojima postupaju i koje pohranjuju utvrđuju sigurnosne potrebe s obzirom na sljedeće aspekte:

               (a)autentičnost: jamstvo da su podaci autentični i da potječu iz dobronamjernih izvora;

               (b)dostupnost: ovlašteni subjekt na zahtjev može pristupiti podatku i koristiti se njime;

               (c)povjerljivost: neotkrivanje podataka neovlaštenim osobama, subjektima ili procesima;

               (d)cjelovitost: činjenica da je podatak potpun te da je njegova potpunost nepromijenjena;

               (e)nepobitnost: mogućnost dokazivanja da se dogodila određena radnja ili da je nastupio određeni događaj kako se radnja ili događaj poslije ne bi mogli poreći;

               5.Institucije i tijela Unije za svaki komunikacijski i informacijski sustav za koji su odgovorni utvrđuju najviši stupanj tajnosti podataka s kojima se u takvom komunikacijskom i informacijskom sustavu može postupati i koji se u njemu mogu pohranjivati, provode procjenu rizika u području sigurnosti podataka te redovito prate sigurnosne potrebe i pravilnu provedbu utvrđenih zaštitnih mjera.

               6.Sve institucije i tijela Unije osiguravaju osposobljavanje i informiranje o postupanju s neklasificiranim podacima i klasificiranim podacima EU-a te njihovoj pohrani.

               Institucije i tijela Unije koji postupaju s klasificiranim podacima EU-a i koji ih pohranjuju organiziraju obvezno osposobljavanje najmanje jedanput svakih pet godina za sve osobe ovlaštene za pristup klasificiranim podacima EU-a. Predmetne institucije i tijela Unije organiziraju posebno osposobljavanje za posebne funkcije kojima su povjerene zadaće povezane sa sigurnošću podataka.

               Institucije ili tijela Unije mogu koordinirati takve aktivnosti osposobljavanja i informiranja s drugim institucijama i tijelima Unije.

               Članak 5.

               Postupak upravljanja rizikom u području sigurnosti podataka

               1.Svaka institucija i tijelo Unije uspostavlja postupak upravljanja rizikom u području sigurnosti podataka radi zaštite podataka s kojima postupa i koje pohranjuje.

               2.Postupak upravljanja rizikom u području sigurnosti podataka obuhvaća sljedeće korake:

               (a)utvrđivanje prijetnji i ranjivosti;

               (b)procjenu rizika;

               (c)postupanje s rizikom;

               (d)prihvaćanje rizika;

               (e)obavješćivanje o riziku.

               3.Postupkom upravljanja rizikom u području sigurnosti podataka uzimaju se u obzir svi čimbenici relevantni za predmetnu instituciju ili tijelo, a osobito:

               (a)stupanj tajnosti podataka i povezane pravne obveze;

               (b)oblik i količina podataka te objekti ili CIS-ovi u kojima se s podacima postupa i u kojima se pohranjuju;

               (c)osobe koje pristupaju podacima na lokacijama ili na daljinu;

               (d)okruženje i struktura zgrada ili zona u kojima se podaci pohranjuju;

               (e)prijetnje čija su meta Unija, njezine institucije i tijela ili države članice, a koje obuhvaćaju kibernapade, napade na lance opskrbe, špijunažu, sabotažu te terorističke, subverzivne ili druge kriminalne aktivnosti;

               (f)kontinuitet poslovanja i oporavak od katastrofe;

               (g)rezultati pregleda, revizija ili posjeta radi procjene stanja, prema potrebi.

               Poglavlje 2.
                  Upravljanje i organizacija sigurnosti

               Članak 6.

               Međuinstitucijska koordinacijska skupina za sigurnost podataka

               1.Osniva se međuinstitucijska koordinacijska skupina za sigurnost podataka („koordinacijska skupina”).

               Sastoji se od svih sigurnosnih tijela institucija i tijela Unije te ima mandat za utvrđivanje njihove zajedničke politike u području sigurnosti podataka.

               2.Koordinacijska skupina djeluje uz suglasnost i u zajedničkom interesu svih institucija i tijela Unije te u tom kontekstu:

               (a)donosi svoj poslovnik i zajedničke godišnje ciljeve i prioritete;

               (b)donosi odluke o osnivanju tematskih podskupina i njihova pravila djelovanja;

               (c)donosi smjernice o provedbi ove Uredbe, prema potrebi u suradnji s Međuinstitucijskim odborom za kibersigurnost iz članka 9. Uredbe (EU) [...] o mjerama za visoku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije;

               (d)uspostavlja namjenske platforme za razmjenu primjera najbolje prakse i znanja o zajedničkim temama relevantnima za sigurnost podataka te za pružanje pomoći u slučaju incidenata povezanih sa sigurnošću podataka;

               (e)osigurava da se sigurnosne mjere prema potrebi koordiniraju s nadležnim nacionalnim sigurnosnim tijelima u svrhu zaštite klasificiranih podataka EU-a.

               3.Koordinacijska skupina među svojim članovima bira predsjednika i dva potpredsjednika na razdoblje od tri godine.

               4.Koordinacijska skupina sastaje se najmanje jedanput godišnje na prijedlog predsjednika ili na zahtjev institucije ili tijela Unije.

               5.Koordinacijska skupina ima administrativnu potporu stalnog tajništva koje osigurava Komisija.

               6.Sve institucije ili tijela Unije na odgovarajući su način zastupljeni u koordinacijskoj skupini te prema potrebi u tematskim podskupinama.

               7.Institucije i tijela Unije obavješćuju koordinacijsku skupinu o svim važnim kretanjima u području politike sigurnosti podataka u okviru svojih organizacija.

               8.U obavljanju zadaća iz stavka 2. točke (e) koordinacijskoj skupini pomaže Odbor za sigurnost podataka. Odbor se sastoji od jednog predstavnika iz svakog nacionalnog sigurnosnog tijela, a njime predsjeda tajništvo koordinacijske skupine iz stavka 5. Odbor za sigurnost podataka ima savjetodavnu ulogu.

               Članak 7.

               Tematske podskupine

               1.Kako bi se olakšala provedba ove Uredbe, koordinacijska skupina osniva sljedeće stalne tematske podskupine:

               (a)podskupinu za informacijsku sigurnost;

               (b)podskupinu za neklasificirane podatke;

               (c)podskupinu za fizičku sigurnost;

               (d)podskupinu za akreditaciju komunikacijskih i informacijskih sustava u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju;

               (e)podskupinu za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka.

               2.Koordinacijska skupina prema potrebi može osnovati ad hoc podskupine za posebne zadaće i na ograničeno vrijeme.

               3.Osim ako je u njihovim pravilima djelovanja predviđeno drukčije, podskupine se temelje na otvorenom članstvu koje predstavlja predmetnu instituciju ili tijelo Unije. Članovi podskupine stručnjaci su u području za koje su nadležni.

               4.Tajništvo koordinacijske skupine iz članka 5. stavka 5. podupire rad svih podskupina i osigurava komunikaciju među njihovim članovima.

               Članak 8.

               Organizacija sigurnosti

               1.Sve institucije i tijela Unije imenuju sigurnosno tijelo koje preuzima odgovornosti dodijeljene ovom Uredbom i, prema potrebi, njihovim unutarnjim sigurnosnim pravilima. U obavljanju svojih zadaća svako sigurnosno tijelo ima potporu odjela ili službenika kojem su povjerene zadaće povezane sa sigurnošću podataka.

               2.Prema potrebi, sigurnosno tijelo svake institucije i tijela Unije donosi unutarnja provedbena pravila za zaštitu podataka u skladu s konkretnim zadaćama te institucije ili tijela koje su mu povjerene pravom EU-a te na temelju njegove institucijske autonomije.

               3.Prema potrebi, svako sigurnosno tijelo preuzima i sljedeće funkcije:

               (a)funkciju tijela za informacijsku sigurnost nadležnog za izradu politika zaštite informacijske sigurnosti i sigurnosnih smjernica te za praćenje njihove učinkovitosti i primjerenosti;

               (b)funkciju operativnog tijela za informacijsku sigurnost odgovornog za izradu sigurnosne dokumentacije, osobito sigurnosnih operativnih postupaka i plana kriptomaterijala u okviru postupka akreditacije komunikacijskih i informacijskih sustava;

               (c)funkciju tijela za sigurnosnu akreditaciju nadležnog za akreditiranje sigurnosnih zona te CIS-a u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju;

               (d)funkciju tijela za TEMPEST odgovornog za odobravanje mjera poduzetih radi zaštite klasificiranih podataka EU-a od ugroze nenamjernim elektromagnetnim zračenjem;

               (e)funkciju tijela za odobravanje kriptomaterijala odgovornog za odobravanje upotrebe tehnologija šifriranja na temelju zahtjeva vlasnika sustava;

               (f)funkciju tijela za distribuciju kriptomaterijala odgovornog za distribuciju kriptografskog materijala koji se upotrebljava za zaštitu klasificiranih podataka EU-a (oprema za šifriranje, kriptografski ključevi, certifikati te povezani autentifikatori) odgovarajućim korisnicima.

               4.Odgovornosti jedne ili više funkcija iz stavka 3. mogu se prenijeti na druge institucije ili druga tijela Unije ako se decentralizacijom sigurnosti omogućuju znatno veća učinkovitost te ušteda resursa ili vremena.

               Poglavlje 3.
                  Informacijska sigurnost te komunikacijski i informacijski sustavi (CIS-ovi)

               Članak 9.

               Načela informacijske sigurnosti

               1.Kad je riječ o CIS-ovima, uključujući interne, eksternalizirane i hibridne CIS-ove, procjena potreba za sigurnošću podataka uzima se u obzir od početka uspostave tih sustava ili u fazi njihove nabave.

               2.Svaki CIS u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju akreditira se u skladu s poglavljem 5. odjeljkom 5. Svaki CIS u kojem se postupa s osjetljivim neklasificiranim podacima i u kojem se ti podaci pohranjuju mora ispunjavati minimalne zahtjeve za osjetljive neklasificirane podatke u CIS-ovima navedene u poglavlju 4.

               Članak 10.

               Podskupina za informacijsku sigurnost

               1.Podskupina za informacijsku sigurnost iz članka 7. stavka 1. točke (a) ima sljedeće uloge i odgovornosti:

               (a)osiguravanje smjernica i primjera najbolje prakse u pogledu označivanja podataka, postupanja s njima i njihova pohranjivanja u CIS-ovima, u bliskoj suradnji s Međuinstitucijskim odborom za kibersigurnost iz članka 9. Uredbe (EU) [XXX] o mjerama za visoku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije;

               (b)izrada sheme metapodataka za oznake i priprema svih potrebnih tehničkih podataka kako bi se pridonijelo interoperabilnoj i neometanoj razmjeni podataka u institucijama i tijelima Unije pri međusobnom povezivanju njihovih CIS-ova;

               (c)doprinos usklađenosti između pravila o sigurnosti podataka i osnovnog okvira za kibersigurnost u svim institucijama i tijelima Unije, kako je navedeno u članku 5. Uredbe (EU) [XXX] o mjerama za visoku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije.

               Članak 11.

               Zahtjevi za komunikacijske i informacijske sustave

               1.Institucije i tijela Unije obavješćuju korisnike o stupnjevima tajnosti podataka s kojima se može postupati i koji se mogu pohranjivati u CIS-u. Ako se u CIS-u postupa s podacima različitog stupnja tajnosti i ako se u njemu pohranjuju takvi podaci, za razlikovanje stupnjeva tajnosti upotrebljavaju se metapodaci i vizualne oznake.

               2.Prije odobravanja pristupa podacima bilo kojeg stupnja tajnosti, osim onih za javnu upotrebu, institucije i tijela Unije utvrđuju identitet korisnika CIS-a. Identitet korisnika provjerava se na razini sigurnosti koja odgovara stupnju tajnosti. Prema potrebi, upotrebljava se siguran zajednički sustav identifikacije.

               3.Za sve CIS-ove moraju se čuvati odgovarajući sigurnosni zapisi kako bi se u slučaju povrede sigurnosti ili curenja podataka mogla provesti brza istraga. Ti se zapisi čuvaju u razdoblju koje se utvrđuje u procjeni učinka na poslovanje ili u odgovarajućim sigurnosnim politikama, i to na način kojim se osigurava njihova nepobitnost.

               Ako se u CIS-u postupa s klasificiranim podacima EU-a i ako se u njemu pohranjuju takvi podaci, zapisi povezani s nužnošću pristupa i pristupom podacima čuvaju se dok se podaci ne deklasificiraju. Sigurnosno tijelo može pretraživati sigurnosne zapise ili im pristupati.

               4.Institucije i tijela Unije donose unutarnja pravila o sigurnosti CIS-ova kako bi se utvrdile odgovarajuće sigurnosne mjere u skladu sa sigurnosnim potrebama podataka s kojima se treba postupati i koji se trebaju pohraniti te uzimajući u obzir jurisdikcije u kojima su podaci pohranjeni, u koje se prenose i u kojima se postupa s njima. Prema potrebi, te mjere obuhvaćaju sljedeće:

               (a)ograničenja u pogledu zemljopisne lokacije;

               (b)uzimanje u obzir mogućih sukoba interesa, bojkota ili kazni koje se odnose na ugovaratelje;

               (c)ugovorne odredbe o sigurnosti podataka;

               (d)šifriranje podataka koji miruju ili se prenose;

               (e)ograničenja mogućnosti pristupa podacima institucija i tijela Unije za osoblje ugovaratelja;

               (f)zaštitu osobnih podataka u skladu s primjenjivim zakonodavstvom o zaštiti podataka.

               5.Institucije i tijela Unije upravljaju svojim CIS-ovima u skladu sa sljedećim načelima:

               (a)svaki CIS ima vlasnika sustava ili operativno tijelo za informacijsku sigurnost koje je odgovorno za njegovu sigurnost;

               (b)provodi se postupak upravljanja rizikom u području sigurnosti podataka koji obuhvaća aspekte sigurnosti podataka;

               (c)sigurnosni zahtjevi i sigurnosni operativni postupci službeno se utvrđuju, provode, provjeravaju i preispituju;

               (d)incidenti povezani sa sigurnošću podataka službeno se evidentiraju, a nakon njih poduzimaju se daljnje mjere u skladu s Uredbom (EU) [XXX] o mjerama za visoku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije.

               Poglavlje 4.
                  Neklasificirani podaci

               Članak 12.

               Podaci za javnu upotrebu

               1.Podaci za javnu upotrebu ili službeno objavljivanje ili podaci koji su već otkriveni, koji se mogu bez ograničenja dijeliti unutar ili izvan institucija i tijela Unije, kategoriziraju se kao podaci za javnu upotrebu s kojima se tako i postupa te se tako i pohranjuju.

               2.Institucije i tijela Unije mogu podatke iz stavka 1. označiti oznakom „PUBLIC USE” („za javnu upotrebu”).

               3.Sve institucije i tijela Unije osiguravaju cjelovitost i dostupnost podataka za javnu upotrebu primjenom odgovarajućih mjera na temelju njihovih sigurnosnih potreba.

               Članak 13.

               Uobičajeni podaci

               1.Podaci koji se upotrebljavaju pri obavljanju funkcija institucija ili tijela Unije koji nisu ni osjetljivi neklasificirani podaci ni podaci namijenjeni javnoj upotrebi kategoriziraju se kao uobičajeni podaci s kojima se tako i postupa te se tako i pohranjuju. Tom kategorijom obuhvaćeni su svi uobičajeni podaci za rad koji se obrađuju u predmetnoj instituciji ili tijelu Unije.

               2.Uobičajeni podaci mogu se radi vlastite zaštiti označiti vizualno ili, prema potrebi, u metapodacima, osobito ako se dijele izvan institucija i tijela Unije. U tom slučaju upotrebljava se oznaka „EU NORMAL” ili „naziv ili akronim institucije ili tijela unije NORMAL” (ovisno o slučaju).

               3.Institucije i tijela Unije utvrđuju standardne zaštitne mjere za uobičajene podatke uzimajući u obzir smjernice podskupine o neklasificiranim podacima i sve posebne rizike povezane sa svojim zadaćama i aktivnostima.

               4.Uobičajeni podaci razmjenjuju se izvan institucija i tijela Unije samo s fizičkim ili pravnim osobama kojima je pristup podacima nužan.

               Članak 14.

               Osjetljivi neklasificirani podaci

               1.Institucije i tijela Unije kategoriziraju kao osjetljive neklasificirane podatke sve podatke koji nisu klasificirani, ali ih moraju zaštititi zbog pravne obveze ili zbog štete koju njihovo neovlašteno otkrivanje može prouzročiti legitimnim privatnim i javnim interesima, uključujući interese institucija i tijela Unije, država članica ili pojedinaca, te u skladu s time postupaju s tim podacima i u skladu s time ih pohranjuju.

               2.Svaka institucija i svako tijelo Unije osjetljive neklasificirane podatke obilježava vidljivim oznakama stupnja tajnosti i utvrđuje odgovarajuće upute za postupanje s tim podacima u skladu s Prilogom I.

               3.Institucije i tijela Unije štite osjetljive neklasificirane podatke primjenom odgovarajućih mjera za postupanje s tim podacima i njihovu pohranu. Takvi podaci mogu se stavljati na raspolaganje samo unutar institucija i tijela Unije, i to osobama kojima je za obavljanje njihovih zadaća nužno omogućiti pristup tim podacima.

               4.Izvan institucija i tijela Unije osjetljivi neklasificirani podaci razmjenjuju se samo s fizičkim i pravnim osobama kojima je nužno omogućiti pristup podacima, pri čemu se poštuju prateće upute za postupanje s podacima. Sve uključene strane moraju biti upoznate s odgovarajućim uputama za postupanje.

               Članak 15.

               Zaštita neklasificiranih podataka i interoperabilnost

               1.Institucije i tijela Unije uspostavljaju postupke za prijavljivanje svih incidenata ili sumnji na incidente koji bi mogli dovesti do ugroze sigurnosti neklasificiranih podataka te za upravljanje njima.

               2.Institucije i tijela Unije prema potrebi upotrebljavaju oznake predviđene u člancima 12., 13. i 14. U iznimnim slučajevima, ako se sve strane slažu, druge jednakovrijedne oznake mogu se upotrebljavati interno i u kontaktima s izravnim suradnicima iz drugih institucija i tijela Unije ili iz država članica. O takvim iznimkama obavješćuje se podskupina za neklasificirane podatke iz članka 7. stavka 1. točke (b).

               3.Kako bi se zaštitili uobičajeni i osjetljivi neklasificirani podaci koje obrađuju vanjski pružatelji usluga, uspostavljaju se ugovorne zaštitne mjere. Zaštitne mjere moraju biti osmišljene tako da jamče razinu zaštite koja je najmanje jednakovrijedna onoj koja je predviđena ovom Uredbom, pri čemu svi relevantni pružatelji usluga uključeni u pružanje izdvojenih sustava potpisom preuzimaju obveze povjerljivosti i neobjavljivanja podataka.

               Članak 16.

               Podskupina za neklasificirane podatke

               1.Podskupina za neklasificirane podatke iz članka 7. stavka 1. točke (b) ima sljedeće uloge i odgovornosti:

               (a)pojednostavnjenje postupaka povezanih s postupanjem s neklasificiranim podacima i njihovim pohranjivanjem te izrada odgovarajućih smjernica;

               (b)koordinacija s podskupinom za informacijsku sigurnost iz članka 7. stavka 1. točke (a) o pitanjima povezanima sa sustavima za postupanje s neklasificiranim podacima i njihovo pohranjivanje;

               (c)izrada uputa za postupanje s neklasificiranim podacima različitih stupnjeva tajnosti;

               (d)pomaganje institucijama i tijelima Unije pri uspostavi jednakovrijednosti između njihovih postojećih kategorija neklasificiranih podataka i onih koje su utvrđene u člancima 12., 13. i 14.;

               (e)olakšavanje razmjene neklasificiranih podataka među institucijama i tijelima Unije pružanjem pomoći i smjernica.

               Članak 17.

               Postupanje s osjetljivim neklasificiranim podacima i njihovo pohranjivanje u CIS-ovima

               1.Institucije i tijela Unije osiguravaju da CIS-ovi pri postupanju s osjetljivim neklasificiranim podacima i njihovu pohranjivanju ispunjavaju sljedeće minimalne zahtjeve:

               (a)za pristup osjetljivim neklasificiranim podacima primjenjuje se stroga autentifikacija, a tijekom prijenosa i pohrane ti su podaci šifrirani;

               (b)institucija ili tijelo Unije odgovorno za rad CIS-a odgovorno je za kriptografske ključeve koji se upotrebljavaju za pohranu;

               (c)osjetljivi neklasificirani podaci pohranjuju se i obrađuju u Uniji;

               (d)ugovorne odredbe o sigurnosti osoblja, sredstava i podataka uključuju se u sve ugovore o vanjskim uslugama;

               (e)za bilježenje stupnja tajnosti elektroničkih dokumenata i za olakšavanje automatizacije sigurnosnih mjera upotrebljavaju se interoperabilni metapodaci;

               (f)institucije i tijela Unije provode mjere za sprečavanje i otkrivanje curenja podataka kako bi zaštitili osjetljive neklasificirane podatke;

               (g)ako je raspoloživa, upotrebljava se sigurnosna oprema s europskim kibersigurnosnim certifikatom;

               (h)provode se sigurnosne mjere na temelju načela nužnosti pristupa podacima i nultog povjerenja kako bi se smanjio pristup pružatelja usluga i ugovaratelja osjetljivim neklasificiranim podacima.

               2.Svako odstupanje od minimalnih zahtjeva navedenih u stavku 1. mora se odobriti na odgovarajućoj rukovodećoj razini predmetne institucije ili tijela Unije na temelju procjene rizika koja obuhvaća pravne i tehničke rizike za sigurnost osjetljivih neklasificiranih podataka.

               3.Tijelo za informacijsku sigurnost predmetne institucije ili tijela Unije može u bilo kojem trenutku životnog ciklusa CIS-a provjeriti usklađenost s načelima iz stavka 1.

               Poglavlje 5.
                  Klasificirani podaci EU-a

               Odjeljak 1.
                  Opće odredbe

               Članak 18.

               Stupnjevi i oznake tajnosti

               1.Klasificirani podaci EU-a klasificiraju se i označavaju prema sljedećim stupnjevima tajnosti:

               (a)TRES SECRET UE/EU TOP SECRET: podaci i materijali čije neovlašteno otkrivanje može izuzetno ozbiljno naštetiti bitnim interesima Unije ili jedne ili više država članica;

               (b)SECRET UE/EU SECRET: podaci i materijali čije neovlašteno otkrivanje može ozbiljno naštetiti bitnim interesima Unije ili jedne ili više država članica;

               (c)CONFIDENTIEL UE/EU CONFIDENTIAL: podaci i materijali čije neovlašteno otkrivanje može naštetiti bitnim interesima Unije ili jedne ili više država članica;

               (d)RESTREINT UE/EU RESTRICTED: podaci i materijali čije neovlašteno otkrivanje može nepovoljno utjecati na interese Unije ili jedne ili više država članica.

               2.Koordinacijska skupina donosi smjernice o stvaranju i klasifikaciji klasificiranih podataka EU-a.

               Članak 19.

               Prikladnost za postupanje s klasificiranim podacima EU-a i pohranu tih podataka

               1.Sve institucije i tijela Unije mogu postupati s klasificiranim podacima EU-a i pohranjivati ih ako ispunjavaju sljedeće uvjete:

               (a)uspostave pravila i postupke u skladu s ovom Uredbom, kojima se osigurava zaštita podataka prema utvrđenom stupnju tajnosti; te

               (b)bili su predmet posjeta radi procjene stanja u skladu s člankom 53., nakon kojeg je potvrđeno da mogu štititi klasificirane podatke EU-a u skladu s ovom Uredbom te, prema potrebi, u skladu sa svim drugim relevantnim pravilima i postupcima.

               2.Smatra se da članovi podskupine za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka iz članka 7. stavka 1. točke (e) automatski ispunjavaju uvjete iz stavka 1.

               Članak 20.

               Zaštita klasificiranih podataka EU-a

               1.Imatelj bilo kojeg klasificiranog podatka EU-a odgovoran je za njegovu zaštitu.

               2.Ako država članica uvodi klasificirane podatke s oznakom nacionalnog stupnja tajnosti u strukture ili mreže institucije ili tijela Unije, ta institucija ili tijelo štiti te podatke u skladu s odgovarajućom oznakom stupnja tajnosti utvrđenom u sporazumu između država članica Europske unije, koje su se sastale u okviru Vijeća, o zaštiti klasificiranih podataka koji se razmjenjuju u interesu Europske unije
                  29
               . Odgovarajuća tablica jednakovrijednosti navedena je u Prilogu VI. ovoj Uredbi.

               3.Skup klasificiranih podataka EU-a može nalagati razinu zaštite koja odgovara višem stupnju tajnosti od stupnja tajnosti njegovih pojedinačnih dijelova.

               Članak 21.

               Postupak upravljanja sigurnosnim rizikom povezanim s klasificiranim podacima EU-a

               1.Sigurnosno tijelo svake institucije i tijela Unije odobrava sigurnosne mjere za zaštitu klasificiranih podataka EU-a tijekom njihova životnog ciklusa u skladu s ishodom procjene rizika koju je provela predmetna institucija ili tijelo Unije.

               2.Sigurnosne mjere koje poduzima svaka institucija i tijelo Unije razmjerne su stupnju tajnosti podataka s kojima se postupa i koji se pohranjuju, njihovu obliku i količini te lokaciji i zaštitnim značajkama objekata u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju te lokalno procijenjenoj opasnosti od zlonamjernih ili kriminalnih aktivnosti.

               3.Sve institucije i tijela Unije izrađuju:

               (a)planove za nepredvidive situacije radi zaštite sigurnosti klasificiranih podataka EU- u izvanrednim situacijama;

               (b)planove kontinuiteta poslovanja koji obuhvaćaju preventivne mjere i mjere oporavka kako bi se smanjio učinak velikih kvarova ili sigurnosnih incidenata na postupanje s klasificiranim podacima EU-a i njihovu pohranu.

               Članak 22.

               Povrede sigurnosti i ugroza klasificiranih podataka EU-a

               1.Čin ili propust institucije ili tijela Unije ili pojedinca koji je u suprotnosti s ovom Uredbom smatra se povredom sigurnosti.

               2.Smatra se da su klasificirani podaci EU-a ugroženi ako su kao rezultat povrede u cijelosti ili djelomično otkriveni jednoj ili više osoba koje nisu ovlaštene za pristup tim podacima.

               3.Svaka ugroza ili sumnja na ugrozu klasificiranih podataka EU-a odmah se prijavljuje sigurnosnom tijelu odgovarajuće institucije ili tijela Unije, koje provodi sigurnosnu istragu i poduzima barem sljedeće mjere:

               (a)obavješćuje autora podataka;

               (b)osigurava da istragu provodi osoblje koje nije neposredno povezano s povredom kako bi se utvrdile činjenice;

               (c)procjenjuje moguću štetu nanesenu interesima Unije ili država članica;

               (d)poduzima odgovarajuće mjere za sprečavanje ponovne povrede;

               (e)obavješćuje nadležna tijela o stvarnim ili potencijalnim ugrozama te o poduzetim mjerama.

               Odjeljak 2.
                  Sigurnost osoblja

               Članak 23.

               Osnovna načela

               1.Sigurnosno tijelo institucije ili tijela Unije može osobama dodijeliti pristup klasificiranim podacima EU-a ako su ispunjeni svi sljedeći uvjeti:

               (a)osobama je nužan pristup podacima;

               (b)osobe su upoznate sa sigurnosnim pravilima i postupcima za zaštitu klasificiranih podataka EU-a i pripadajućim sigurnosnim standardima i smjernicama te su dale pismenu izjavu o preuzimanju odgovornosti povezane sa zaštitom takvih podataka;

               (c)za podatke klasificirane stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim osobama je izdano uvjerenje o sigurnosnoj provjeri i ovlaštenje do odgovarajućeg stupnja tajnosti.

               2.Institucije i tijela Unije uzimaju u obzir lojalnost, vjerodostojnost i pouzdanost osoba, kako su utvrđene sigurnosnom istragom koju provode nadležna tijela države članice čiji je podnositelj zahtjeva državljanin.

               3.Institucije i tijela Unije mogu prihvatiti sigurnosne provjere trećih zemalja i međunarodnih organizacija s kojima je Unija sklopila sporazum o sigurnosti podataka.

               4.Institucije i tijela Unije mogu samostalno upravljati postupcima sigurnosne provjere ili zatražiti sporazum o razini usluga s Komisijom u svrhu provedbe sigurnosne provjere.

               Ako je sklopljen sporazum o razini usluge, sigurnosno tijelo Komisije mora biti kontaktna točka između sigurnosnih ureda predmetne institucije i tijela Unije i nacionalnih nadležnih tijela država članica u kontekstu sigurnosne provjere.

               5.Sigurnosno tijelo svake institucije i tijela Unije vodi evidenciju sigurnosnih provjera, informiranja, pisanih potvrda i ovlaštenja za pristup klasificiranim podacima EU-a.

               6.Institucije i tijela Unije koji s Komisijom sklope sporazum o razini usluga sigurnosnom tijelu Komisije stavljaju na raspolaganje odgovarajuću evidenciju kojom je obuhvaćen najmanje stupanj tajnosti klasificiranih podataka EU-a za koji se osobi može dodijeliti pristup te datum izdavanja ovlaštenja za pristup klasificiranim podacima EU-a i njegovo razdoblje valjanosti. Ako je to opravdano, toj evidenciji mogu pristupiti druge institucije i druga tijela Unije koji su sklopili sporazum o razini usluga.

               Članak 24.

               Ovlaštenje za pristup klasificiranim podacima EU-a

               1.Svaka institucija i svako tijelo Unije utvrđuje radna mjesta u okviru svoje organizacije za koja zaposlenici, da bi mogli obavljati svoje dužnosti, moraju imati pristup podacima klasificiranima stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim.

               2.Ako osoba mora biti ovlaštena za pristup podacima klasificiranima stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim, predmetna institucija ili tijelo obavješćuje o tome nadležno sigurnosno tijelo, koje obavlja formalnosti propisane točkom 1. Priloga II.

               3.Sigurnosno tijelo svake institucije i tijela Unije odgovorno je za izdavanje, privremeno oduzimanje, povlačenje i obnavljanje ovlaštenja za pristup klasificiranim podacima EU-a osoblju svoje institucije ili tijela.

               4.U iznimnim okolnostima, ako je to opravdano interesima službe i do završetka potpune sigurnosne istrage, sigurnosno tijelo institucije ili tijela Unije može, nakon provjere pri odgovarajućem nacionalnom sigurnosnom tijelu, osobi izdati privremeno ovlaštenje za pristup klasificiranim podacima EU-a za određeno radno mjesto, ne dovodeći u pitanje odredbe o obnavljanju ovlaštenja za pristup klasificiranim podacima EU-a.

               5.Institucije i tijela Unije slijede postupke za upravljanje ovlaštenjima za pristup klasificiranim podacima EU-a utvrđene u Prilogu II.

               Članak 25.

               Priznavanje ovlaštenja za pristup klasificiranim podacima EU-a

               1.Ovlaštenje za pristup klasificiranim podacima EU-a do određenog stupnja tajnosti valjano je u svakoj instituciji i tijelu Unije kojima je osoba dodijeljena.

               2.Institucije i tijela Unije moraju prihvatiti ovlaštenja za pristup klasificiranim podacima EU-a koja su izdale druge institucije ili tijela Unije.

               3.Ako se imatelj ovlaštenja za pristup klasificiranim podacima EU-a zaposli u drugoj instituciji ili tijelu Unije, ta institucija ili tijelo Unije preko nadležnog sigurnosnog tijela obavješćuje odgovarajući NST o promjeni poslodavca.

               Članak 26.

               Informiranje povezano s klasificiranim podacima EU-a

               1.Sigurnosno tijelo institucije ili tijela Unije informira sve osobe koje moraju pristupati klasificiranim podacima EU-a o svim sigurnosnim prijetnjama i o obvezi da prijave svaku sumnjivu aktivnost. Osobe se informiraju prije dobivanja pristupa klasificiranim podacima EU-a i najmanje svakih pet godina nakon toga.

               2.Nakon informiranja iz stavka 1. sve predmetne osobe u pisanom obliku potvrđuju da su razumjele svoje obveze u pogledu zaštite klasificiranih podataka EU-a i posljedice u slučaju njihove ugroze.

               3.Informiranje iz stavka 1. obuhvaća sljedeće informacije:

               (a)protiv svake osobe odgovorne za povredu sigurnosnih pravila utvrđenih ovom Uredbom može se pokrenuti disciplinski postupak u skladu s primjenjivim pravilima i propisima;

               (b)protiv svake osobe odgovorne za ugrozu ili gubitak klasificiranih podataka EU-a može se pokrenuti disciplinski ili pravni postupak u skladu s primjenjivim pravom, pravilima i propisima.

               4.Ako osobama kojima je izdano ovlaštenje za pristup klasificiranim podacima EU-a takav pristup više nije potreban, institucije i tijela Unije osiguravaju da su takve osobe upoznate sa svojim obvezama u pogledu daljnje zaštite klasificiranih podataka EU-a te da, prema potrebi, potpišu izjavu o tome.

               5.Institucije i tijela Unije mogu među sobom podijeliti zadaće osmišljavanja informiranja i upravljanja tim informiranjima, pod uvjetom da se uzmu u obzir njihovi posebni zahtjevi.

               Odjeljak 3.
                  Fizička sigurnost

               Članak 27.

               Osnovna načela

               1.Svaka institucija i tijelo Unije utvrđuju mjere fizičke sigurnosti primjerene njihovim lokacijama u skladu s Prilogom III. i načelom dubinske obrane te na temelju procjene rizika koju je provelo njihovo sigurnosno tijelo. Mjerama se osigurava ostvarivanje sljedećih ciljeva:

               (a)sprečavanje pristupa klasificiranim podacima EU-a ili nasilnog ulaska neovlaštenih osoba;

               (b)odvraćanje od neovlaštenih radnji, njihovo sprečavanje i otkrivanje te što brža reakcija na sigurnosne incidente;

               (c)razdvajanje osoblja koje pristupa klasificiranim podacima EU-a na temelju nužnosti pristupa podacima te, prema potrebi, na temelju sigurnosne provjere.

               2.Institucije i tijela Unije uvode mjere fizičke sigurnosti za sve lokacije na kojima se raspravlja o klasificiranim podacima EU-a, na kojima se postupa s tim podacima ili na kojima se ti podaci pohranjuju, uključujući mjesta na kojima su smješteni komunikacijski i informacijski sustavi iz odjeljka 5. ovog poglavlja.

               3.Za fizičku zaštitu podataka klasificiranih stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim upotrebljava se samo sigurnosna oprema koju je odobrilo sigurnosno tijelo institucije ili tijela Unije.

               4.Nakon sklapanja sporazuma institucije i tijela Unije mogu dijeliti sigurnosne zone, kako su navedene u Prilogu III., za postupanje s klasificiranim podacima EU-a i pohranjivanje tih podataka.

               Članak 28.

               Podskupina za fizičku sigurnost

               1.Podskupina za fizičku sigurnost iz članka 7. stavka 1. točke (c) ima sljedeće uloge i odgovornosti:

               (a)izrada smjernica o pitanjima fizičke sigurnosti;

               (b)utvrđivanje općih sigurnosnih kriterija za nabavu opreme, kao što su sigurnosni spremnici, uništavači papira, brave za vrata, elektronički sustavi za kontrolu pristupa, sustavi za otkrivanje neovlaštenog ulaska i sustavi uzbunjivanja za fizičku zaštitu klasificiranih podataka EU-a;

               (c)pružanje pomoći institucijama i tijelima Unije u utvrđivanju odgovarajućih sigurnosnih mjera za njihove lokacije;

               (d)predlaganje kompenzacijskih mjera za zaštitu klasificiranih podataka EU-a ako se s tim podacima postupa izvan fizički zaštićenih zona institucija i tijela Unije.

               Članak 29.

               Fizička zaštita klasificiranih podataka EU-a

               1.Kako bi se osigurala fizička zaštita klasificiranih podataka EU-a, institucije i tijela Unije uspostavljaju sljedeće fizički zaštićene zone:

               (a)administrativne zone, navedene u Prilogu III.;

               (b)prema potrebi, sigurnosne zone uključujući sigurnosne zone I. i II. razreda i tehnički zaštićene zone, navedene u Prilogu III.

               2.Sigurnosno tijelo predmetne institucije i tijela Unije provodi unutarnju kontrolu kako bi provjerilo jesu li ispunjeni uvjeti iz Priloga III. u skladu s kojima se neko područje može proglasiti administrativnom ili sigurnosnom zonom. Ako je u izvješću o kontroli navedeno da su uvjeti ispunjeni, sigurnosno tijelo može izdati akreditaciju u skladu s kojom se u sigurnosnoj zoni mogu štititi klasificirani podaci EU-a do navedenog stupnja tajnosti u razdoblju koje nije dulje od pet godina.

               Sigurnosno tijelo predmetne institucije ili tijela Unije odgovorno je za provedbu postupka ponovne akreditacije njegovih sigurnosnih zona prije isteka akreditacije ili u slučaju promjena unutar akreditirane zone.

               3.Sve institucije i tijela Unije utvrđuju postupke za upravljanje postavkama ključeva i kombinacija za urede, sobe, trezore i sigurnosne spremnike za stupanj tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL i za više stupnjeve.

               4.Sigurnosno tijelo može odobriti pretrage pri ulasku i izlasku radi odvraćanja od neovlaštenog unošenja materijala ili neovlaštenog iznošenja klasificiranih podataka EU-a s lokacija te otkrivanja takvog unošenja ili iznošenja.

               5.Institucije i tijela Unije utvrđuju mjere za fizičku zaštitu klasificiranih podataka EU-a u skladu s Prilogom III.

               Odjeljak 4.
                  Upravljanje klasificiranim podacima EU-a

               Članak 30.

               Osnovna načela

               1.Institucije i tijela Unije evidentiraju, unose u sustav, čuvaju i na kraju brišu, uzorkuju ili prenose svoje klasificirane dokumente EU-a u odgovarajuće arhive u skladu s politikom čuvanja dokumenata i pravilima koja su specifična za dokumente svake institucije i svakog tijela Unije.

               2.Svaka institucija i svako tijelo Unije koje je autor klasificiranih podataka EU-a utvrđuje stupanj tajnosti tih podataka pri njihovu nastanku i u skladu s člankom 18. stavkom 1.

               3.Ako se podaci dostavljaju usmeno, institucije i tijela Unije jasno priopćavaju stupanj tajnosti primateljima oznakom stupnja tajnosti ili objavom.

               4.Sigurnosne mjere koje vrijede za izvorni dokument primjenjuju se i na njegove nacrte, preslike i prijevode.

               5.Institucije i tijela Unije utvrđuju mjere za upravljanje klasificiranim podacima EU-a u skladu s Prilogom IV.

               Članak 31.

               Nastanak klasificiranih podataka EU-a

               2. Institucije i tijela Unije pod čijom su nadležnošću nastali klasificirani podaci EU-a osiguravaju ispunjavanje sljedećih zahtjeva:

               (a)svaka stranica mora nositi jasnu oznaku stupnja tajnosti;

               (b)svaka stranica mora biti numerirana;

               (c)dokument mora imati referentni broj te prema potrebi registarski broj i predmet, koji sam za sebe nije klasificirani podatak EU-a, osim ako je označen kao takav;

               (d)dokument mora sadržavati datum izrade;

               (e)moraju se navesti svi prilozi i privici, po mogućnosti na prvoj stranici;

               (f)ako se distribuiraju u više primjeraka, na svakoj stranici dokumenata klasificiranih stupnjem tajnosti SECRET UE/EU SECRET ili višim mora biti naveden broj primjerka. Elektronički primjerci koji se distribuiraju izvan sustava u kojem se čuvaju moraju nositi jedinstvenu identifikacijsku oznaku utemeljenu na elektroničkom potpisu.

               Članak 32.

               Autorski nadzor

               1.Institucija ili tijelo Unije pod čijom je nadležnošću nastao klasificirani dokument EU-a ima autorski nadzor nad tim dokumentom. Autor određuje stupanj tajnosti dokumenta i odgovoran je za njegovo prvo prosljeđivanje. Ne dovodeći u pitanje Uredbu 1049/2001, mora se pribaviti prethodna pisana suglasnost autora prije nego što se podaci mogu:

               (a)deklasificirati ili im se može smanjiti stupanj tajnosti;

               (b)upotrijebiti u druge svrhe osim onih koje je utvrdio autor;

               (c)proslijediti subjektu izvan institucije ili tijela Unije u čijem se posjedu podaci nalaze, uključujući treću zemlju ili međunarodnu organizaciju, drugu instituciju ili tijelo Unije, države članice, ugovaratelja ili mogućeg ugovaratelja, korisnika ili mogućeg korisnika;

               (d)umnožavati i prevoditi u slučaju stupnja tajnosti TRES SECRET-UE/EU-TOP SECRET.

               2.Ako nije moguće utvrditi tko je autor klasificiranih dokumenata EU-a, autorski nadzor izvršava institucija ili tijelo Unije u čijem su posjedu ti podaci.

               3.Autori svih klasificiranih dokumenata EU-a vode evidenciju svih klasificiranih izvora koji su upotrijebljeni pri izradi tih dokumenata, uključujući pojedinosti o izvorima koji potječu iz država članica, međunarodnih organizacija ili trećih zemalja. Zbirni klasificirani podaci se, prema potrebi, označavaju tako da se zadrži identifikacija autorâ klasificiranih izvornih materijala koji su upotrijebljeni.

               Članak 33.

               Oznake stupnjeva tajnosti

               1.Klasificirani dokumenti EU-a mogu, prema potrebi, osim jedne od oznaka stupnjeva tajnosti, nositi dodatne oznake, kao što su oznake distribucije, oznake mogućnosti objavljivanja ili oznake kojima se navodi autor podataka.

               2.Različiti dijelovi klasificiranih dokumenata EU-a mogu zahtijevati različite stupnjeve tajnosti pa ih se u skladu s tim i označava. Cjelokupni stupanj tajnosti dokumenta ili spisa mora biti najmanje jednako visok kao stupanj tajnosti dijela dokumenta koji ima najviši stupanj tajnosti.

               3.Dokumenti koji sadržavaju dijelove s različitim stupnjevima tajnosti moraju se strukturirati tako da se dijelovi različitog stupnja tajnosti mogu lako utvrditi i prema potrebi odvojiti.

               Članak 34.

               Sustav registarskih ureda za klasificirane podatke EU-a

               1.Sve institucije i tijela Unije koji postupaju s podacima klasificiranima stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIEL ili višim i koji te podatke pohranjuju uspostavljaju jedan ili više registarskih ureda za klasificirane podatke EU-a radi registracije tih podataka u sigurnosne svrhe pri njihovu ulasku u instituciju ili tijelo Unije ili pri izlasku iz te institucije ili tijela.

               2.Svi registarski uredi za klasificirane podatke EU-a uspostavljaju se u sigurnosnim zonama, kako su navedene u Prilogu III.

               3.Za upravljanje svakim registarskim uredom za klasificirane podatke EU-a, institucije i tijela Unije imenuju nadzornog službenika registarskog ureda. Nadzorni službenik registarskog ureda ima odgovarajuće uvjerenje o sigurnosnoj provjeri i dodjeljuje mu se ovlaštenje u skladu s člankom 24. Institucije i tijela Unije osiguravaju odgovarajuće osposobljavanje za svoje nadzorne službenike registarskih ureda.

               Članak 35.

               Smanjenje stupnja tajnosti i deklasifikacija

               1.Podaci su klasificirani samo onoliko dugo koliko im je potrebna zaštita. Klasificiranim podacima EU-a kojima više nije potreban izvorni stupanj tajnosti taj se stupanj smanjuje na nižu razinu. Klasificirani podaci EU-a koje više ne treba smatrati klasificiranima moraju se deklasificirati.

               2.U trenutku stvaranja klasificiranih podataka EU-a autor po mogućnosti navodi, osobito za podatke klasificirane stupnjem tajnosti RESTREINT UE/EU RESTRICTED, može li se stupanj tajnosti klasificiranih podataka EU-a smanjiti, odnosno mogu li se oni na određeni datum ili nakon određenog događaja deklasificirati.

               3.Institucija ili tijelo Unije iz kojeg podaci potječu odgovorno je za donošenje odluke o tome može li se klasificiranom dokumentu EU-a smanjiti stupanj tajnosti odnosno može li ga se deklasificirati. Ta institucija ili tijelo redovito, a najmanje svakih pet godina, pregledava podatke i procjenjuje rizike kako bi utvrdilo je li izvorni stupanj tajnosti još uvijek prikladan.

               4.Institucije i tijela Unije u čijem se posjedu nalazi klasificirani dokument EU-a kojemu oni nisu autori ne smiju smanjiti stupanj tajnosti tog dokumenta niti ga deklasificirati, niti smiju izmijeniti ili ukloniti bilo koju od oznaka iz članka 18. stavka 1. bez prethodne pisane suglasnosti autora.

               5.Institucije i tijela Unije mogu djelomično smanjiti stupanj tajnosti podataka EU-a čiji su autori ili ih djelomično deklasificirati. U tim slučajevima izrađuje se izvadak podataka smanjenog stupnja tajnosti ili deklasificirani izvadak.

               6.Institucije i tijela Unije obavješćuju organizaciju primatelja klasificiranih podataka EU-a o smanjenju stupnja tajnosti ili deklasifikaciji tih podataka.

               Članak 36.

               Oznake na dokumentima smanjenog stupnja tajnosti ili na deklasificiranim dokumentima

               1.Ako institucije i tijela Unije odluče deklasificirati dokument koji sadržava klasificirane podatke EU-a, potrebno je razmotriti treba li on nositi oznaku distribucije za osjetljive neklasificirane podatke.

               2.Izvorna oznaka stupnja tajnosti na vrhu i na dnu svake stranice mora biti vidljivo precrtana – u elektroničkom obliku upotrebom funkcije „precrtano”, a u ispisima ručno. Izvorna oznaka stupnja tajnosti ne smije se ukloniti.

               3.Na prvoj ili na naslovnoj stranici žigom se označuje da je dokumentu smanjen stupanj tajnosti ili je deklasificiran te se dodaju pojedinosti o tijelu odgovornom za smanjenje stupnja tajnosti ili deklasifikaciju i odgovarajući datum. Smanjenje stupnja tajnosti ili deklasifikacija elektroničkih klasificiranih dokumenata EU-a dokazuje se elektroničkim potpisom pod nadležnošću autora.

               Članak 37.

               Uništavanje i brisanje klasificiranih podataka EU-a

               1.Institucije i tijela Unije najmanje svakih pet godina pregledavaju klasificirane podatke EU-a, u papirnatom obliku i u CIS-ovima, kako bi utvrdili treba li ih uništiti ili izbrisati. Ako odluče uništiti ili izbrisati klasificirane podatke EU-a, daju uputu svakomu tko je prethodno primio te podatke.

               2.Institucije i tijela Unije mogu uništiti duplikate klasificiranih podataka EU-a koji više nisu potrebni, uzimajući u obzir odgovarajuća pravila o upravljanju dokumentima kad je riječ o izvornicima.

               3.Institucije i tijela Unije uništavaju papirnate podatke klasificirane stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim samo putem svojeg nadzornog službenika registarskog ureda. Nadzorni službenik registarskog ureda u skladu s tim ažurira očevidnike i ostale registracijske podatke te zadržava ključne metapodatke uništenog dokumenta.

               Dokumente klasificirane stupnjem tajnosti SECRET UE/EU SECRET ili višim uništava samo nadzorni službenik registarskog ureda u nazočnosti svjedoka koji ima uvjerenje o sigurnosnoj provjeri najmanje za stupanj tajnosti dokumenta koji se uništava.

               4.Nadzorni službenik registarskog ureda i svjedok, ako je potreban, potpisuju potvrdu o uništavanju koja se pohranjuje u registarskom uredu. Potvrda za podatke klasificirane stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET-UE/EU-SECRET čuva se najmanje pet godina, a za podatke klasificirane stupnjem tajnosti TRES SECRET-UE/EU-TOP SECRET najmanje deset godina.

               Članak 38.

               Evakuacija i uništavanje klasificiranih podataka EU-a u izvanrednim situacijama

               1.Sve institucije i tijela Unije izrađuju, na temelju lokalnih uvjeta, planove za evakuaciju i uništavanje u izvanrednim situacijama kako bi se zaštitili klasificirani podaci EU-a za koje postoji znatan rizik da dođu u ruke neovlaštenih osoba.

               Operativne pojedinosti planova za evakuaciju i uništavanje u izvanrednim situacijama i same se klasificiraju stupnjem tajnosti RESTREINT UE/EU RESTRICTED.

               2.U izvanrednim situacijama, ako postoji neposredna opasnost od neovlaštenog otkrivanja klasificiranih podataka EU-a, institucije i tijela Unije moraju evakuirati te podatke.

               Ako evakuacija nije moguća, klasificirani podaci EU-a uništavaju se tako da se ne mogu ni djelomično ni u cijelosti rekonstruirati.

               3.O izvanrednoj evakuaciji ili uništavanju registriranih klasificiranih podataka EU-a obavješćuju se autor i izvorni registarski ured.

               4.U slučaju aktivacije planova za izvanredne situacije, prioritet se daje evakuaciji ili uništavanju klasificiranih podataka EU-a višeg stupnja tajnosti, uključujući opremu za šifriranje.

               Članak 39.

               Arhiviranje

               1.U skladu sa svojim politikama o upravljanju dokumentima institucije i tijela Unije donose odluke o tome je li klasificirane podatke EU-a potrebno arhivirati i kada te o odgovarajućim praktičnim mjerama.

               2.Klasificirani dokumenti EU-a ne prenose se u Povijesni arhiv Europske unije.

               Odjeljak 5.
                  Zaštita klasificiranih podataka EU-a u komunikacijskim i informacijskim sustavima (CIS)

               Članak 40.

               Podskupina za akreditaciju komunikacijskih i informacijskih sustava u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju

               Podskupina za akreditaciju CIS-ova u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju, kako je predviđeno u članku 7. stavku 1. točki (d), ima sljedeće uloge i odgovornosti:

               (a)pružanje pomoći institucijama i tijelima Unije u postupcima akreditacije;

               (b)davanje preporuke o standardu za akreditaciju koji će se primjenjivati u svim institucijama i tijelima Unije;

               (c)širenje i razmjena primjera najbolje prakse i smjernica u pogledu akreditacije CIS-ova.

               Članak 41.

               Komunikacijski i informacijski sustavi

               Institucije i tijela Unije moraju ispuniti sljedeće zahtjeve u pogledu CIS-ova u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju:

               (a)kako bi utvrdio zahtjeve za akreditaciju, vlasnik sustava ili operativno tijelo za informacijsku sigurnost savjetuje se s tijelom za sigurnosnu akreditaciju prije razvoja, nabave ili aktiviranja CIS-a u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju;

               (b)ključna sigurnosna načela za projektiranje CIS-a u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju primjenjuju se na početku projekta, kao dio postupka upravljanja rizikom u području sigurnosti podataka te uzimajući u obzir načela nužnosti pristupa, minimalne funkcionalnosti, dubinske obrane, najmanjih povlastica, razdvajanja dužnosti i načela „četiri oka”;

               (c)komponente CIS-a u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju, a koje se odnose na pohranu, na središnju obradu te na upravljanje mrežom, ugrađuju se u sigurnosnoj zoni, navedenoj u Prilogu III.;

               (d)primjenjuju se „sigurnosne mjere TEMPEST” koje su razmjerne riziku od iskorištavanja i stupnju tajnosti predmetnih podataka;

               (e)sve osoblje uključeno u upravljanje CIS-om u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju obavješćuje sigurnosno tijelo i odgovarajućeg vlasnika sustava ili operativno tijelo za informacijsku sigurnost o svim potencijalnim sigurnosnim slabostima, incidentima, povredama sigurnosti ili ugrozama sustava koje bi mogle utjecati na zaštitu CIS-a ili klasificiranih podataka EU-a koji se u njemu nalaze;

               (f)prema potrebi, sigurnosno tijelo obavješćuje sigurnosna tijela svih drugih relevantnih institucija i tijela Unije o potencijalnim sigurnosnim slabostima ili incidentima koji bi mogli utjecati na njihove CIS-ove u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju.

               Članak 42.

               Kriptografski proizvodi

               1.Za prijenos i pohranu klasificiranih podataka EU-a elektroničkim sredstvima upotrebljavaju se odobreni kriptografski proizvodi. Vijeće vodi popis odobrenih kriptografskih proizvoda na temelju podataka dobivenih od nacionalnih sigurnosnih tijela.

               2.Ako popis iz stavka 1. ne sadržava nijedan odgovarajući proizvod za predviđenu namjenu, tijelo za odobravanje kriptomaterijala predmetne institucije ili tijela Unije od Vijeća traži privremeno odobrenje. Ako je moguće, odabire se kriptografski proizvod koji je odobrilo nacionalno sigurnosno tijelo države članice.

               Vijeće poduzima potrebne korake kako bi se odgovarajući proizvod stavio na popis.

               3.Odobrenja za kriptografske proizvode valjana su najviše pet godina, a nakon toga se preispituju jedanput godišnje.

               4.Vijeće s popisa odobrenih kriptografskih proizvoda uklanja sve kriptografske proizvode čije je nacionalno odobrenje povučeno ili je isteklo.

               5.Koordinacijska skupina jedanput godišnje obavješćuje Vijeće o svim kriptografskim proizvodima koje na temelju ankete provedene u institucijama i tijelima Unije preporučuje za evaluaciju koju provodi tijelo za odobravanje kriptomaterijala države članice.

               Članak 43.

               Akreditacija CIS-ova u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju

               1.Akreditacijom CIS-ova u kojima se postupa s klasificiranim podacima EU-a i u kojima se ti podaci pohranjuju institucije i tijela Unije potvrđuju da su provedene sve odgovarajuće sigurnosne mjere i da je ostvarena dostatna razina zaštite klasificiranih podataka EU-a i CIS-a u skladu s ovom Uredbom.

               2.Vlasnik CIS-a ili operativno tijelo za informacijsku sigurnost odgovorno je za pripremu akreditacijskih spisa i dokumentacije, uključujući priručnike za različite vrste korisnika.

               3.Tijelo za sigurnosnu akreditaciju svake institucije i tijela Unije odgovorno je za uspostavu postupka akreditacije s jasnim uvjetima za koje je potrebno odobrenje, za sve CIS-ove pod svojom nadležnošću.

               4.Ako se CIS u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju odnosi i na institucije i tijela Unije i na nacionalna sigurnosna tijela, predmetne institucije i tijela Unije daljnjom provedbom pravila donesenih u skladu s člankom 8. stavkom 2. osnivaju zajednički Odbor za sigurnosnu akreditaciju koji je nadležan za akreditaciju sustava. Odbor se sastoji od predstavnika tijela za sigurnosnu akreditaciju uključenih strana, a njime predsjeda tijelo za sigurnosnu akreditaciju institucije ili tijela Unije koje je vlasnik CIS-a.

               Članak 44.

               Akreditacijski postupak za CIS u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju

               1.Svaki CIS u kojem se postupa s klasificiranim podacima EU-a i u kojem se ti podaci pohranjuju prolazi akreditacijski postupak koji se temelji na načelima informacijske sigurnosti i čija podrobnost mora biti razmjerna potrebnoj razini zaštite.

               2.Akreditacijski postupak rezultira izjavom o akreditaciji u kojoj se utvrđuje najviši stupanj tajnosti podataka s kojima se može postupati u CIS-u i koji se u njemu mogu pohranjivati te odgovarajući uvjeti. Izjava o akreditaciji temelji se na službenoj provjeri valjanosti procjene rizika i sigurnosnih mjera provedenih za predmetni CIS, kojima se pruža jamstvo za sljedeće elemente:

               (a)postupak upravljanja rizikom u području sigurnosti podataka pravilno je proveden;

               (b)vlasnik sustava ili vlasnik rizika svjesno prihvaća preostali rizik;

               (c)u skladu s ovom Uredbom postignuta je dostatna razina zaštite CIS-a i klasificiranih podataka EU-a s kojima se u njemu postupa i koji se u njemu pohranjuju.

               3.Tijelo za sigurnosnu akreditaciju institucije ili tijela Unije službeno provjerava valjanost izjave o akreditaciji. Nakon uspješne provjere valjanosti tijelo za sigurnosnu akreditaciju izdaje odobrenje u kojem se utvrđuju najviši stupanj tajnosti klasificiranih podataka EU-a s kojima CIS može postupati i odgovarajući uvjeti rada sustava. Odobrenje se izdaje na određeno razdoblje. Ako nije uvedena jedna ili više potrebnih mjera, ali to ne utječe znatno na cjelokupnu sigurnost, može se izdati privremeno odobrenje za rad u kojem se navodi što je potrebno popraviti.

               4.U svakom trenutku životnog ciklusa CIS-a tijelo za sigurnosnu akreditaciju predmetne institucije ili tijela Unije može poduzeti sljedeće mjere:

               (a)provesti postupak akreditacije;

               (b)provesti reviziju ili provjeru CIS-a;

               (c)ako uvjeti za rad više nisu ispunjeni, primjerice ako je zbog sigurnosnog incidenta otkrivena znatna ranjivost CIS-a, zatražiti donošenje i učinkovitu provedbu plana za jačanje sigurnosti u jasno definiranom roku, uz mogućnost povlačenja odobrenja za rad CIS-a dok se ne ispune uvjeti za rad.

               5.Vlasnik sustava ili operativno tijelo za informacijsku sigurnost jedanput godišnje tijekom razdoblja valjanosti odobrenja za rad podnosi službeno izvješće tijelu za sigurnosnu akreditaciju, uključujući sažetak svih važnih incidenata, promjena i čimbenika rizika.

               Članak 45.

               Izvanredne okolnosti

               1.Nakon odobrenja tijela za odobravanje kriptomaterijala institucije i tijela Unije mogu primijeniti posebne postupke za prijenos ili pohranu klasificiranih podataka EU-a u izvanrednim situacijama, primjerice u vrijeme prijetećih ili stvarnih kriza, sukobâ, ratova ili u izvanrednim operativnim okolnostima.

               2.U okolnostima iz stavka 1. klasificirani podaci EU-a mogu se, uz suglasnost nadležnog tijela, prenositi s pomoću kriptografskih proizvoda odobrenih za niži stupanj tajnosti ili bez šifriranja ako bi bilo kakva odgoda mogla uzrokovati štetu koja bi neupitno bila veća od štete nastale zbog otkrivanja klasificiranih materijala te pod sljedećim uvjetima:

               (a)pošiljatelj i primatelj nemaju potrebnu opremu za šifriranje;

               (b)klasificirani materijal ne može se na vrijeme prenijeti drugim sredstvima.

               3.Klasificirani podaci preneseni u skladu sa stavkom 2. ne nose oznake ni pokazatelje prema kojima se razlikuju od podataka koji nisu klasificirani ili koji se mogu zaštiti raspoloživim kriptografskim proizvodom. Primatelje se bez odgode obavješćuje o stupnju tajnosti drugim sredstvima.

               4.Odgovarajućem sigurnosnom tijelu naknadno se podnosi izvješće o prijenosu klasificiranih podataka EU-a pod okolnostima iz stavka 1.

               Odjeljak 6.
                  Gospodarska sigurnost

               Članak 46.

               Osnovna načela

               1.Svaka institucija ili tijelo Unije kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava osigurava da se na minimalne standarde gospodarske sigurnosti utvrđene u ovom odjeljku i uvjete za zaštitu klasificiranih podataka EU-a u klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava iz Priloga V. upućuje u ugovorima ili sporazumima o dodjeli bespovratnih sredstava, da se uključe u te ugovore ili sporazume te da ih se poštuje pri dodjeli klasificiranih ugovora ili klasificiranih sporazuma o dodjeli bespovratnih sredstava.

               2.Gospodarska sigurnost jest primjena mjera u skladu s kojima zaštitu klasificiranih podataka EU-a osiguravaju sljedeće osobe ili gospodarski subjekti:

               (a)u okviru izravnog upravljanja
                  30
               , unutar okvira klasificiranih ugovora:

               (i)kandidati ili ponuditelji tijekom cijelog natječajnog postupka i postupka dodjele ugovora;

               (ii)ugovaratelji ili podugovaratelji tijekom cijelog životnog ciklusa klasificiranih ugovora;

               (b)u okviru izravnog upravljanja
                  31
               , unutar okvira klasificiranih sporazuma o dodjeli bespovratnih sredstava:

               (i)podnositelji zahtjeva tijekom postupaka dodjele bespovratnih sredstava;

               (ii)korisnici ili podugovaratelji tijekom cijelog životnog ciklusa klasificiranih sporazuma o dodjeli bespovratnih sredstava.

               (c)u okviru neizravnog upravljanja, unutar okvira okvirnog sporazuma o financijskom partnerstvu i povezanih sporazuma o doprinosu: subjekti kojima je povjerena zadaća izvršenja tih sporazuma tijekom njihova životnog ciklusa.

               3.Kao subjekt koji dodjeljuje zadaću izvršenja sporazuma, institucija ili tijelo Unije u poglavlju o sigurnosti okvirnog sporazuma o financijskom partnerstvu i povezanih sporazuma o doprinosu opisuje specifične sigurnosne zahtjeve za subjekt kojemu je povjerena zadaća izvršenja sporazuma. Ti se zahtjevi temelje na sigurnosnim načelima i odredbama koji su sadržani u ovoj Uredbi i koji se odnose na klasificirane ugovore i klasificirane sporazume o dodjeli bespovratnih sredstava, a primjenjuju se mutatis mutandis.

               4.Klasificirani ugovori i klasificirani sporazumi o dodjeli bespovratnih sredstava ne smiju uključivati podatke koji su klasificirani stupnjem tajnosti TRÈS SECRET UE/EU TOP SECRET.

               5.Odredbe ovog poglavlja koje se odnose na klasificirane ugovore ili ugovaratelje ili na klasificirane ugovore o dodjeli bespovratnih sredstava ili korisnike primjenjuju se i na klasificirane podugovore ili podugovaratelje u smislu klasificiranih ugovora, odnosno klasificiranih sporazuma o dodjeli bespovratnih sredstava.

               6.Institucije i tijela Unije, kao javni naručitelji ili tijela za dodjelu bespovratnih sredstava, blisko surađuju sa sigurnosnim tijelima ili drugim nadležnim tijelima zemlje na čijem je državnom području registrirana ugovorna stranka ili primatelj bespovratnih sredstava te sa sigurnosnim tijelima ili drugim nadležnim tijelima međunarodne organizacije koja je ugovorna stranka ili primateljica bespovratnih sredstava.

               7.Kao tijela javni naručitelji ili tijela za dodjelu bespovratnih sredstava, institucije i tijela Unije komuniciraju sa sigurnosnim tijelima ili drugim nadležnim tijelima putem svojih sigurnosnih tijela.

               8.Institucije i tijela Unije, kao javni naručitelji ili tijela za dodjelu bespovratnih sredstava, putem svojih sigurnosnih tijela obavješćuju tijela iz stavka 6. o svakom potpisivanju klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava.

               Obavijest uključuje relevantne podatke, kao što su imena ugovaratelja ili korisnika, trajanje klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava te najviši mogući stupanj tajnosti.

               Institucije i tijela Unije, kao javni naručitelji ili tijela za dodjelu bespovratnih sredstava, obavješćuju tijela iz stavka 6. i o svakom prijevremenom raskidu klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava.

               9.Kao javni naručitelji ili tijela za dodjelu bespovratnih sredstava, institucije i tijela Unije mogu klasificirane ugovore ili klasificirane dijelove sporazuma o dodjeli bespovratnih sredstava dodijeliti samo subjektima koji su registrirani u trećim zemljama koje su s Unijom sklopile sporazum o sigurnosti podataka ili subjektima koje su osnovale međunarodne organizacije koje su s Unijom sklopile takav sporazum. Ako predmetni klasificirani podaci EU-a sadržavaju osobne podatke, svaki prijenos tih osobnih podataka u treću zemlju ili međunarodnu organizaciju obavlja se u skladu s Uredbom (EU) 2018/1725.

               Članak 47.

               Sigurnosni elementi klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava

               1.Klasificirani ugovori ili klasificirani sporazumi o dodjeli bespovratnih sredstava obuhvaćaju sljedeće sigurnosne elemente:

               (a)vodič za stupnjeve tajnosti;

               (b)pismo o sigurnosnim aspektima.

               2.Klasificirani ugovori ili klasificirani sporazumi o dodjeli bespovratnih sredstava mogu sadržavati sigurnosne upute za program ili projekt.

               Članak 48.

               Vodič za stupnjeve tajnosti

               1.Prije potpisivanja klasificiranog ugovora ili sporazuma o dodjeli bespovratnih sredstava institucija ili tijelo Unije, kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava, utvrđuje stupnjeve tajnosti svih podataka koje će stvoriti ugovaratelji ili korisnici ili njihovi podugovaratelji. U tu svrhu izrađuje vodič za stupnjeve tajnosti koji se upotrebljava pri izvršavanju klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava.

               2.Vodič za stupnjeve tajnosti može se mijenjati tijekom trajanja programa ili projekta iz članka 50., odnosno ugovora ili sporazuma o dodjeli bespovratnih sredstava, a određenim podacima može se promijeniti ili smanjiti stupanj tajnosti.

               3.Pri određivanju stupnja tajnosti različitih elemenata klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava primjenjuju se sljedeća načela:

               (a)pri izradi vodiča za stupnjeve tajnosti institucija ili tijelo Unije, kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava, uzima u obzir sve važne sigurnosne aspekte, uključujući stupanj tajnosti dodijeljen podacima koje je autor dostavio i odobrio za upotrebu u klasificiranom ugovoru ili klasificiranom sporazumu o dodjeli bespovratnih sredstava;

               (b)ukupan stupanj tajnosti klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava ne smije biti niži od najvišeg stupnja tajnosti bilo kojeg od njegovih elemenata;

               (c)prema potrebi, pri unošenju bilo kakvih izmjena u vodič za stupnjeve tajnosti predmetna institucija ili tijelo Unije, kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava, povezuje se, putem svojeg sigurnosnog tijela, sa sigurnosnim tijelima ili drugim nadležnim tijelima predmetne zemlje.

               Članak 49.

               Pismo o sigurnosnim aspektima

               1.U pismu o sigurnosnim aspektima svaka institucija ili tijelo Unije, kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava, opisuje posebne sigurnosne zahtjeve povezane s klasificiranim ugovorom ili klasificiranim sporazumom o dodjeli bespovratnih sredstava. To pismo sadržava vodič za stupnjeve tajnosti i sastavni je dio klasificiranog ugovora, klasificiranog sporazuma o dodjeli bespovratnih sredstava ili klasificiranog podugovora.

               2.Pismo o sigurnosnim aspektima sadržava odredbe kojima se od ugovaratelja ili korisnika te njihova podugovaratelja zahtijeva poštovanje odredaba ove Uredbe i svih dodatnih provedbenih pravila koja su donesena u skladu s člankom 8. stavkom 2., a odnose se na gospodarsku sigurnost. U pismu o sigurnosnim aspektima jasno se navodi da nepoštovanje tih odredaba može biti dovoljan razlog za raskid klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava.

               Članak 50.

               Sigurnosne upute za program ili projekt

               1.Institucije i tijela Unije, kao javni naručitelji ili tijela za dodjelu bespovratnih sredstava, mogu sastaviti sigurnosne upute za program ili projekt u bliskoj suradnji sa svojim sigurnosnim tijelima, osobito za programe i projekte šireg područja primjene, većih razmjera ili veće složenosti ili pak za programe i projekte u kojima sudjeluje veći broj ili raznovrsni profili ugovaratelja, korisnika te drugih partnera i dionika.

               2.Sigurnosno tijelo svake institucije ili tijela Unije, kao javnog naručitelja ili tijela za dodjelu bespovratnih sredstava, radi savjetovanja dostavlja posebnu uputu za program ili projekt odgovarajućem savjetodavnom sigurnosnom tijelu države članice, koje se sastoji od njezinih NST-ova i/ili ZST-ova.

               Ako institucija ili tijelo Unije nema takvo savjetodavno tijelo, sigurnosna uputa za program ili projekt dostavlja se Odboru za sigurnost podataka iz članka 6. stavka 8.

               Odjeljak 7.
                  Dijeljenje klasificiranih podataka EU-a i razmjena klasificiranih podataka

               Članak 51.

               Osnovna načela

               1.Sve institucije i tijela Unije mogu dijeliti klasificirane podatke EU-a s drugim institucijama ili tijelima Unije pod uvjetima utvrđenima u članku 54.

               2.Institucije i tijela Unije mogu dijeliti klasificirane podatke EU-a s državama članicama i Europskom zajednicom za atomsku energiju pod uvjetom da te podatke zaštite u skladu s odgovarajućom oznakom stupnja tajnosti utvrđenom u sporazumu država članica Unije, koje su se sastale u okviru Vijeća, o zaštiti klasificiranih podataka koji se razmjenjuju u interesu Unije te u odgovarajućoj tablici iz Priloga VI. ovoj Uredbi.

               3.Institucije i tijela Unije razmjenjuju klasificirane podatke samo s trećim zemljama ili međunarodnim organizacijama s kojima je sklopljen sporazum o sigurnosti podataka ili administrativni dogovor u skladu s člancima 55. i 56.

               Takvi sporazumi i dogovori sadržavaju odredbe kojima se osigurava da treće zemlje ili međunarodne organizacije koje primaju klasificirane podatke EU-a štite takve podatke razmjerno njihovu stupnju tajnosti i u skladu s minimalnim standardima koji nisu manje strogi od minimalnih standarda utvrđenih ovom Uredbom.

               4.Ako nije sklopljen sporazum ili administrativni dogovor o sigurnosti podataka, institucija ili tijelo Unije može, u iznimnim okolnostima, dostaviti klasificirane podatke EU-a drugoj instituciji ili tijelu Unije, trećoj zemlji ili međunarodnoj organizaciji u skladu s člankom 58.

               5.Institucije i tijela Unije određuju registarske urede koji služe kao glavne točke ulaska i izlaska klasificiranih podataka EU-a koji se dijele s drugim institucijama ili tijelima Unije ili klasificiranih podataka koji se razmjenjuju s trećim zemljama i međunarodnim organizacijama.

               Članak 52.

               Podskupina za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka

               1.Podskupina za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka iz članka 7. stavka 1. točke (e) ima sljedeće uloge i odgovornosti:

               (a)organizacija posjeta radi procjene stanja institucijama i tijelima Unije, trećim zemljama i međunarodnim organizacijama te izrada godišnjeg programa posjeta;

               (b)priprema i obavljanje posjeta radi procjene stanja;

               (c)sastavljanje izvješća o ishodu posjeta iz točke (a),

               osim u slučajevima iz članka 56. stavka 2.

               2.Podskupina za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka sastoji se od predstavnika Komisije, Vijeća i Europske službe za vanjsko djelovanje (ESVD), odluke donosi konsenzusom.

               Članak 53.

               Posjeti radi procjene stanja povezani s dijeljenjem klasificiranih podataka EU-a

               1.Podskupina za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka obavlja posjete radi procjene stanja u potpunoj suradnji s dužnosnicima institucije ili tijela Unije koje je predmet posjeta. Može zatražiti pomoć NST-a na čijem se državnom području nalazi institucija ili tijelo Unije.

               2.Posjeti radi procjene stanja predmetnim institucijama i tijelima Unije služe:

               (a)za provjeru jesu li ispunjeni zahtjevi za zaštitu klasificiranih podataka EU-a utvrđeni u ovoj Uredbi te posljedično jesu li provedene mjere učinkovite;

               (b)za isticanje važnosti sigurnosti i učinkovitog upravljanja rizikom u okviru organizacije koja je predmet posjeta;

               (c)za davanje preporuka o protumjerama za ublažavanje konkretnog učinka gubitka dostupnosti, povjerljivosti ili cjelovitosti klasificiranih podataka;

               (d)za poboljšanje stalnih edukacijskih programa i programa informiranja o sigurnosti koje provode sigurnosna tijela.

               3.Na kraju posjeta radi procjene stanja podskupina za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka obavlja sljedeće zadaće:

               (a)sastavlja izvješće s glavnim zaključcima procjene;

               (b)traži mišljenje Odbora za sigurnost podataka iz članka 6. stavka 8. o izvješću;

               (c)šalje izvješće sigurnosnom tijelu posjećene institucije ili tijela Unije radi poduzimanja daljnjih koraka.

               4.Ako se u izvješću predlažu korektivne mjere ili donose preporuke, organizira se naknadni posjet radi provjere jesu li poduzete takve mjere, odnosno je li se postupilo u skladu s preporukama.

               Članak 54.

               Dijeljenje klasificiranih podataka EU-a

               1.Institucija ili tijelo Unije može dijeliti klasificirane podatke EU-a s drugom institucijom ili tijelom Unije ako su ispunjeni sljedeći uvjeti:

               (a)dokazana je potreba za razmjenom;

               (b)proveden je posjet radi procjene stanja u predmetnoj instituciji ili tijelu Unije u skladu s člankom 53., a njegov ishod potvrđuje kapacitet te institucije ili tijela Unije da postupa s klasificiranim podacima EU-a određenog stupnja tajnosti i da ih pohranjuje;

               (c)sigurnosno tijelo predmetne institucije ili tijela Unije donijelo je odluku da ta institucija ili tijelo može dijeliti podatke do određenog stupnja tajnosti s drugim takvim ovlaštenim institucijama i tijelima Unije.

               2.Tajništvo koordinacijske skupine sastavlja popis stupnjeva tajnosti klasificiranih podataka EU-a s kojima može postupati i koje može pohranjivati svaka institucija i tijelo Unije koji ispunjavaju uvjete iz stavka 1. točaka (b) i (c). Popis se redovito ažurira.

               Članak 55.

               Sporazumi o sigurnosti podataka

               1.Ako je potrebno dugoročno razmjenjivati klasificirane podatke s trećom zemljom ili međunarodnom organizacijom, nadležna institucija ili tijelo nastoji postići i sklopiti sporazum o sigurnosti podataka, u skladu s člankom 218. Ugovora o funkcioniranju Europske unije.

               2.Sporazumom o sigurnosti podataka utvrđuju se osnovna načela i minimalni standardi kojima se uređuje razmjena klasificiranih podataka između Unije i treće zemlje ili međunarodne organizacije.

               3.Sporazumima o sigurnosti podataka utvrđuju se tehnički provedbeni mehanizmi koje dogovaraju nadležna sigurnosna tijela odgovarajućih institucija i tijela Unije te nadležno sigurnosno tijelo predmetne treće zemlje ili međunarodne organizacije.

               4.Prije odobravanja tehničkih provedbenih mehanizama iz stavka 3. podskupina za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka obavlja posjet radi procjene stanja u skladu s člankom 57.

               Članak 56.

               Administrativni dogovori s trećim zemljama i međunarodnim organizacijama

               1.Ako se poslovnicima i osnivačkim aktima dopušta ta mogućnost, institucije i tijela Unije mogu, nakon obavješćivanja podskupine za dijeljenje klasificiranih podataka EU-a i razmjenu klasificiranih podataka, sklapati administrativne dogovore sa svojim izravnim suradnicima u trećoj zemlji ili međunarodnoj organizaciji, ako su ispunjeni sljedeći uvjeti:

               (a)predmetna institucija ili tijelo Unije s izravnim suradnicima u trećoj zemlji ili međunarodnoj organizaciji mora dugoročno razmjenjivati podatke čiji klasificirani stupanj tajnosti u pravilu nije viši od RESTREINT UE/EU RESTRICTED;

               (b)predmetna institucija ili tijelo Unije ispunjava uvjete iz članka 54. stavka 1.;

               (c)u izvješću o posjetu radi procjene stanja iz članka 57. potvrđuje se da odgovarajući suradnik u predmetnoj trećoj zemlji ili međunarodnoj organizaciji ima kapacitet za postupanje s klasificiranim podacima EU-a određenog stupnja tajnosti te za pohranu tih podataka.

               2.Prije sklapanja administrativnog dogovora obavlja se posjet radi procjene stanja u skladu s načelima iz članka 57. Institucija ili tijelo Unije koje želi sklopiti administrativni dogovor može od podskupine za dijeljenje klasificiranih podataka EU-a zatražiti da obavi posjet radi procjene stanja u njegovo ime ili da sudjeluje u posjetu.

               3.Sigurnosno tijelo institucije ili tijela Unije koje želi sklopiti administrativni dogovor odlučuje o svim posebnim uvjetima kojima se uređuje razmjena te o najvišem stupnju tajnosti klasificiranih podataka EU-a koji se mogu razmjenjivati. Taj stupanj ne smije biti viši od stupnja koji je utvrđen za dijeljenje klasificiranih podataka EU-a s drugim institucijama i tijelima Unije u skladu s člankom 54. te, ako je primjenjivo, ne bi trebao biti viši od stupnja utvrđenog sporazumom o sigurnosti podataka koji je sklopljen s istom trećom zemljom ili međunarodnom organizacijom.

               Članak 57.

               Posjeti radi procjene stanja povezani s razmjenom klasificiranih podataka s trećim zemljama i međunarodnim organizacijama

               1.Posjet radi procjene stanja u trećoj zemlji ili međunarodnoj organizaciji obavlja se kako bi se utvrdilo može li institucija ili tijelo Unije razmjenjivati klasificirane podatke s predmetnom trećom zemljom ili međunarodnom organizacijom.

               2.Cilj je posjeta radi procjene stanja procijeniti učinkovitost sigurnosnih pravila i postupaka u predmetnoj trećoj zemlji ili međunarodnoj organizaciji povezanih sa zaštitom klasificiranih podataka EU-a određenog stupnja tajnosti. Posjet radi procjene stanja obavlja se u dogovoru s predmetnom trećom zemljom ili međunarodnom organizacijom.

               3.Tijekom posjeta radi procjene stanja ocjenjuje se najmanje sljedeće:

               (a)regulatorni okvir koji se primjenjuje na zaštitu klasificiranih podataka i njegova prikladnost za zaštitu klasificiranih podataka EU-a određenog stupnja tajnosti;

               (b)sva posebna obilježja sigurnosne politike i načina na koji je sigurnost organizirana u trećoj zemlji ili međunarodnoj organizaciji koja mogu utjecati na stupanj tajnosti klasificiranih podataka koji se mogu razmjenjivati;

               (c)stvarno uspostavljene sigurnosne mjere i postupci;

               (d)postupci sigurnosne provjere u odnosu na stupanj tajnosti klasificiranih podataka EU-a koje treba razmjenjivati.

               4.Izvješće o zaključcima posjeta dostavlja se Odboru za sigurnost podataka iz članka 6. stavka 8. prije dostavljanja klasificiranih podataka EU-a predmetnoj trećoj zemlji ili međunarodnoj organizaciji. Prema potrebi, izvješće se šalje i predmetnoj instituciji ili tijelu Unije.

               5.Sigurnosna tijela predmetne institucije ili tijela Unije priopćuju trećoj zemlji ili međunarodnoj organizaciji datum od kojeg institucija ili tijelo može razmjenjivati klasificirane podatke EU-a te najviši stupanj tajnosti klasificiranih podataka EU-a koji se mogu razmjenjivati u papirnatom obliku ili elektroničkim sredstvima.

               6.Naknadni posjeti organiziraju se ako su ispunjeni sljedeći uvjeti:

               (a)potrebno je povisiti stupanj tajnosti klasificiranih podataka EU-a koji se mogu razmjenjivati;

               (b)predmetna institucija ili tijelo Unije obaviješteni su da je došlo do važnih promjena u sigurnosnim mjerama treće zemlje ili međunarodne organizacije koje bi mogle utjecati na način na koji ona štiti klasificirane podatke EU-a;

               (c)došlo je do ozbiljnog incidenta povezanog sa sigurnošću podataka koji je uključivao neovlašteno otkrivanje klasificiranih podatka EU-a.

               Članak 58.

               Iznimno ad hoc objavljivanje klasificiranih podataka EU-a

               1.U nedostatku sporazuma ili administrativnog dogovora o sigurnosti podataka, ako institucija ili tijelo Unije utvrdi da postoji iznimna potreba za dostavljanjem klasificiranih podataka EU-a drugoj instituciji ili tijelu Unije odnosno trećoj zemlji ili međunarodnoj organizaciji, ili

               ako je sklopljen sporazum ili administrativni dogovor o sigurnosti podataka, a institucija ili tijelo Unije utvrdi da postoji iznimna potreba za dostavljanjem klasificiranih podataka EU-a s višim stupnjem tajnosti od onoga koji je već utvrđen tim sporazumom ili dogovorom, institucija ili tijelo Unije koje dostavlja klasificirane podatke EU-a poduzima sljedeće korake:

               (a)u mjeri u kojoj je to moguće provjerava sa sigurnosnim tijelima treće zemlje, međunarodne organizacije odnosno institucije ili tijela Unije koje prima podatke može li se njegovim sigurnosnim pravilima, strukturama i postupcima osigurati zaštita dostavljenih klasificiranih podataka EU-a u skladu sa standardima koji nisu ništa manje strogi od standarda utvrđenih ovom Uredbom;

               (b)traži mišljenje Odbora za sigurnost podataka iz članka 6. stavka 8. na temelju provjere provedene u skladu s točkom (a), osim ako zbog operativnih okolnosti nije potrebno hitno ad hoc dostavljanje podataka, u kojem slučaju se Odbor za sigurnost podataka obavješćuje naknadno.

               2.Svi dokumenti dostavljeni u skladu s ovim člankom nose oznaku o mogućnosti objavljivanja na kojoj je navedena treća zemlja, međunarodna organizacija ili institucija ili tijelo Unije kojem se dokument dostavlja.

               3.Prije ili nakon dostavljanja institucija ili tijelo Unije koje dostavlja klasificirane podatke EU-a traži da se druga strana u pisanom obliku obveže da će štititi primljene klasificirane podatke EU-a. Prema potrebi, od nje se traži da se obveže da će štititi klasificirane podatke EU-a u skladu s osnovnim načelima i minimalnim standardima koji su utvrđeni ovom Uredbom.

               Poglavlje 6.
                  Završne odredbe

               Članak 59.

               Provedba

               1.Koordinacijska skupina utvrđuje smjernice za sigurnost podataka za provedbu ove Uredbe.

               2.Institucije i tijela Unije na temelju svojih specifičnih potreba mogu donijeti unutarnja pravila radi provedbe ove Uredbe, u skladu s člankom 8. stavkom 2.

               Članak 60.

               Prijelazne odredbe

               1.Unutarnja pravila o sigurnosti podataka koja je pojedina institucija ili tijelo Unije donijelo prije [dd. mm. gggg. datum početka primjene], moraju se preispitati najkasnije do [tri godine nakon stupanja na snagu ove Uredbe].

               2.Smatra se da sve institucije i tijela Unije koje su Komisija, Vijeće ili ESVD prije [dd. mm. gggg. datum početka primjene] ocijenili prikladnima za postupanje s klasificiranim podacima EU-a i pohranu tih podataka ispunjavaju uvjete utvrđene u članku 19. stavku 1.

               3.Svi administrativni dogovori koje su institucije i tijela Unije sklopili s trećim zemljama i međunarodnim organizacijama prije [dd. mm. gggg. datum početka primjene] ostaju valjani.

               4.Ako su države članice na čijem su državnom području registrirani korisnici Komisijina sporazuma o dodjeli bespovratnih sredstava u okviru Europskog programa industrijskog razvoja u području obrane odlučile uspostaviti poseban sigurnosti okvir za zaštitu nacionalno klasificiranih podataka povezanih s predmetnim sporazumom o dodjeli bespovratnih sredstava i za postupanje s tim podacima, Komisija će, pri primjeni postupaka gospodarske sigurnosti sadržanih u ovoj Uredbi, poštovati taj sigurnosni okvir do kraja životnog ciklusa predmetnog sporazuma o dodjeli bespovratnih sredstava.

               Članak 61.

               Praćenje i evaluacija

               1.Komisija podnosi izvješće o provedbi ove Uredbe Europskom parlamentu i Vijeću najkasnije do [dd. mm. gggg. tri godine nakon datuma početka primjene].

               2.Najranije [5 godina nakon datuma početka primjene] i svakih pet godina nakon toga Komisija provodi evaluaciju ove Uredbe i podnosi izvješće o glavnim zaključcima Europskom parlamentu i Vijeću.

               Članak 62.

               Stupanje na snagu i primjena

               1.Ova Uredba stupa na snagu dvadesetog dana od dana objave u Službenom listu Europske unije.

               2.Primjenjuje se od [datum: prvi dan mjeseca koji slijedi nakon razdoblja od 2 godine od dana stupanja na snagu]

               Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.

               Sastavljeno u Bruxellesu,

                  Za Europski parlament
                        Za Vijeće

                  Predsjednica
                        Predsjednik

                  [...]
                        [...]

               ZAKONODAVNI FINANCIJSKI IZVJEŠTAJ

               1.OKVIR PRIJEDLOGA/INICIJATIVE

               1.1.Naslov prijedloga/inicijative

               1,2.Predmetna područja politike

               1.3.Prijedlog/inicijativa odnosi se na:

               1.4.Ciljevi

               1.4.1.Opći ciljevi

               1.4.2.Posebni ciljevi

               1.4.3.Očekivani rezultati i učinak

               1.4.4.Pokazatelji uspješnosti

               1,5.Osnova prijedloga/inicijative

               1.5.1.Zahtjevi koje treba ispuniti u kratkoročnom ili dugoročnom razdoblju, uključujući detaljan vremenski plan provedbe inicijative

               1.5.2.Dodana vrijednost sudjelovanja Unije (može proizlaziti iz različitih čimbenika, npr. prednosti koordinacije, pravne sigurnosti, veće djelotvornosti ili komplementarnosti). Za potrebe ove točke „dodana vrijednost sudjelovanja Unije” vrijednost je koja proizlazi iz intervencije Unije i predstavlja dodatnu vrijednost u odnosu na vrijednost koju bi države članice inače ostvarile same.

               1.5.3.Pouke iz prijašnjih sličnih iskustava

               1.5.4.Usklađenost s višegodišnjim financijskim okvirom i moguće sinergije s drugim prikladnim instrumentima

               1.5.5.Ocjena različitih dostupnih mogućnosti financiranja, uključujući mogućnost preraspodjele

               1,6.Trajanje i financijski učinak prijedloga/inicijative

               1,7.Predviđeni načini upravljanja

               2.MJERE UPRAVLJANJA

               2.1.Pravila praćenja i izvješćivanja

               2.2.Sustavi upravljanja i kontrole

               2.2.1.Obrazloženje načina upravljanja, mehanizama provedbe financiranja, načina plaćanja i predložene strategije kontrole

               2.2.2.Informacije o utvrđenim rizicima i uspostavljenim sustavima unutarnje kontrole za ublažavanje rizika

               2.2.3.Procjena i obrazloženje troškovne učinkovitosti kontrola (omjer troškova kontrole i vrijednosti sredstava kojima se upravlja) i procjena očekivane razine rizika od pogreške (pri plaćanju i pri zaključenju)

               2.3.Mjere za sprečavanje prijevara i nepravilnosti

               3.PROCIJENJENI FINANCIJSKI UČINAK PRIJEDLOGA/INICIJATIVE

               3.1.Naslovi višegodišnjeg financijskog okvira i proračunske linije rashoda na koje prijedlog/inicijativa ima učinak

               3.2.Procijenjeni financijski učinak prijedloga na odobrena sredstva

               3.2.1.Sažetak procijenjenog učinka na odobrena sredstva za poslovanje

               3.2.2.Procijenjeni rezultati financirani odobrenim sredstvima za poslovanje

               3.2.3.Sažetak procijenjenog učinka na administrativna odobrena sredstva

               3.2.4.Usklađenost s aktualnim višegodišnjim financijskim okvirom

               3.2.5.Doprinos trećih strana

               3.3.Procijenjeni učinak na prihode

               ZAKONODAVNI FINANCIJSKI IZVJEŠTAJ

               1.OKVIR PRIJEDLOGA/INICIJATIVE

               1.1.Naslov prijedloga/inicijative

                  Prijedlog UREDBE EUROPSKOG PARLAMENTA I VIJEĆA o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije

               1.2.Predmetna područja politike

                  Europska javna uprava

                  Pravila o sigurnosti podataka u institucijama i tijelima Unije zajednički bi trebala činiti sveobuhvatan i cjelovit opći okvir za zaštitu podataka u europskoj upravi te osigurati jednakovrijednost temeljnih načela i minimalnih standarda. Stupanj zaštite koji se dodjeljuje podacima trebao bi isto tako biti jednakovrijedan u svim institucijama i tijelima Unije.

               1.3.Prijedlog/inicijativa odnosi se na:

               novo djelovanje

               ◻ novo djelovanje nakon pilot-projekta/pripremnog djelovanja
                  32

               ◻ produženje postojećeg djelovanja

               ◻ spajanje ili preusmjeravanje jednog ili više djelovanja u drugo/novo djelovanje

               1.4.Ciljevi

               1.4.1.Opći ciljevi

                  Opći cilj inicijative jest utvrditi pravila o sigurnosti podataka za sve institucije i tijela Unije kako bi se osigurala snažnija i dosljedna zaštita od novih prijetnji njihovim podacima.

               1.4.2.Posebni ciljevi

                  • PC 1: Uspostaviti usklađene i sveobuhvatne kategorije podataka te zajedničke zahtjeve za postupanje za sve podatke s kojima se postupa u okviru europske uprave te olakšati sigurnu razmjenu podataka među institucijama i tijelima Unije uz minimalan učinak na države članice.

                  • PC 2: Osigurati da sve institucije i tijela Unije utvrde sve sigurnosne nedostatke u svojim postupcima i provedu mjere potrebne za osiguravanje jednakih uvjeta u području sigurnosti podataka.

                  • PC 3: Uspostaviti racionalan program suradnje u području sigurnosti podataka među institucijama i tijelima Unije, kojim se može potaknuti koherentna kultura sigurnosti podataka u cijeloj europskoj upravi.

                  • PC 4: Modernizirati politike sigurnosti podataka na svim razinama klasifikacije/kategorizacije za sve institucije i tijela Unije, uzimajući u obzir digitalnu transformaciju i razvoj rada na daljinu kao strukturne prakse.

               1.4.3.Očekivani rezultati i učinak

               Navesti očekivane učinke prijedloga/inicijative na ciljane korisnike/skupine.

                  Prijedlog će imati sljedeće učinke na institucije i tijela Unije:

               –preispitivanje njihovih unutarnjih pravila i postupaka radi usklađivanja s Uredbom;

               –kategoriziranje svih podataka s kojima se postupa u skladu sa sustavom koji je utvrđen u Uredbi;

               –osiguravanje usklađenosti njihovih komunikacijskih i informacijskih sustava sa zahtjevima utvrđenima u Uredbi;

               –sudjelovanje u međuinstitucijskoj koordinacijskoj skupini za sigurnost podataka („koordinacijska skupina”).

                  Ova će Uredba koristiti državama članicama jer bi se suradnja s institucijama i tijelima Unije u svim relevantnim područjima (sigurnost osoblja, gospodarska sigurnost ili razmjena podataka) temeljila na istim konceptima, pravilima i postupcima.

               1.4.4.Pokazatelji uspješnosti

               Navesti pokazatelje za praćenje napretka i postignuća.

                  Pokazatelji relevantni za posebni cilj br. 1

               –donošenje odgovarajućih smjernica

               –uvođenje novih oznaka

               –objavljivanje ažuriranih uputa za postupanje sa svim kategorijama podataka

               –uvođenje zajedničkih sustava za postupanje s osjetljivim neklasificiranim podacima i klasificiranim podacima EU-a

                  Pokazatelji relevantni za posebni cilj br. 2

               –broj donesenih/provedenih preporuka

               –broj slučajeva curenja podataka u institucijama i tijelima

                  Pokazatelji relevantni za posebni cilj br. 3

               –statistički podaci o centraliziranoj u odnosu na lokalnu nabavu

               –izvješća o provjeri

               –broj upita koje je rješavalo tajništvo koordinacijske skupine za sigurnost podataka

                  Pokazatelji relevantni za posebni cilj br. 4

               –broj korisnika na osposobljavanju

               –razina informiranosti osoblja o pravilima o sigurnosti podataka

               –postotak osoblja koje je osposobljeno za korištenje sigurne opreme za rad na daljinu

               1.5.Osnova prijedloga/inicijative

               1.5.1.Zahtjevi koje treba ispuniti u kratkoročnom ili dugoročnom razdoblju, uključujući detaljan vremenski plan provedbe inicijative

                  Ova će se inicijativa provesti postupno, kako slijedi:

               –2022./2023.: donošenje Uredbe, stupanje na snagu

               –2024./2025.: preispitivanje unutarnjih pravila o sigurnosti podataka u svim institucijama i tijelima Unije radi njihova usklađivanja s Uredbom

               –2025.: organizacijski rad na uspostavi koordinacijske skupine i njezina tajništva te tehničkih podskupina

               –2024./2025.: početak primjene Uredbe

               –2025./2026.: donošenje poslovnika za koordinacijsku skupinu i tehničke podskupine

               –2026.–2028.: rad na smjernicama za potporu provedbi Uredbe, razmjena primjera najbolje prakse u institucijama i tijelima

               –2029./2030.: priprema prve evaluacije Uredbe (svakih pet godina od datuma početka primjene)

               –2030.:  prva evaluacija Uredbe.

               1.5.2.Dodana vrijednost sudjelovanja Unije (može proizlaziti iz različitih čimbenika, npr. prednosti koordinacije, pravne sigurnosti, veće djelotvornosti ili komplementarnosti). Za potrebe ove točke „dodana vrijednost sudjelovanja Unije” vrijednost je koja proizlazi iz intervencije Unije i predstavlja dodatnu vrijednost u odnosu na vrijednost koju bi države članice inače ostvarile same.

                  Inicijativa pridonosi pružanju pomoći institucijama i tijelima Unije u ostvarivanju njihovih zadaća s pomoću otvorene, učinkovite i neovisne uprave.

                  Zaštitom institucija i tijela od vanjskih upletanja i špijunskih aktivnosti pridonosi općem nacionalnom zalaganju država članica u području sigurnosti EU-a.

               1.5.3.Pouke iz prijašnjih sličnih iskustava

                  Nije primjenjivo

               1.5.4.Usklađenost s višegodišnjim financijskim okvirom i moguće sinergije s drugim prikladnim instrumentima

                  Projekt zahtijeva premještaj/zapošljavanje dvaju EPRV-a za potrebe tajništva koordinacijske skupine za sigurnost podataka.

                  Drugi projekti, kao što je razvoj zajedničkih alata i centralizacija određenih aktivnosti, djelomično su već u tijeku te su obuhvaćeni sporazumima o razini usluge i okvirnim ugovorima.

               1.5.5.Ocjena različitih dostupnih mogućnosti financiranja, uključujući mogućnost preraspodjele

                  Vidjeti prethodni odjeljak.

               1.6.Trajanje i financijski učinak prijedloga/inicijative

               ◻ Ograničeno trajanje

               –◻
                     na snazi od [DD/MM]GGGG do [DD/MM]GGGG

               –◻
                     financijski učinak od GGGG do GGGG za odobrena sredstva za preuzete obveze i od GGGG do GGGG za odobrena sredstva za plaćanje

               – Neograničeno trajanje

               1.7.Predviđeni načini upravljanja
                  33

                 izravno upravljanje koje provodi Komisija te svaka institucija i tijelo Unije

               – putem svojih službi, uključujući osoblje u delegacijama Unije

               –◻
                     putem izvršnih agencija

               ◻ podijeljeno upravljanje s državama članicama

               ◻ neizravno upravljanje povjeravanjem zadaća izvršenja proračuna:

               –◻ trećim zemljama ili tijelima koja su one odredile

               –◻ međunarodnim organizacijama i njihovim agencijama (navesti)

               –◻ EIB-u i Europskom investicijskom fondu

               –◻ tijelima iz članaka 70. i 71. Financijske uredbe

               –◻ tijelima javnog prava

               –◻ tijelima uređenima privatnim pravom koja pružaju javne usluge, u mjeri u kojoj su im dana odgovarajuća financijska jamstva

               –◻ tijelima uređenima privatnim pravom države članice kojima je povjerena provedba javno-privatnog partnerstva i kojima su dana odgovarajuća financijska jamstva

               –◻ osobama kojima je povjerena provedba određenih djelovanja u području ZVSP-a u skladu s glavom V. UEU-a i koje su navedene u odgovarajućem temeljnom aktu.

               –Ako je navedeno više načina upravljanja, potrebno je pojasniti u odjeljku „Napomene”.

               Napomene

               2.MJERE UPRAVLJANJA

               2.1.Pravila praćenja i izvješćivanja

               Navesti učestalost i uvjete.

                  Komisija će svakih pet godina provoditi evaluaciju Uredbe i podnositi izvješća o svojim zaključcima Vijeću i Europskom parlamentu.

               2.2.Sustavi upravljanja i kontrole

               2.2.1.Obrazloženje načina upravljanja, mehanizama provedbe financiranja, načina plaćanja i predložene strategije kontrole

                  U ovoj Uredbi utvrđuju se pravila o sigurnosti podataka koja se primjenjuju na sve institucije i tijela Unije. Praćenje njezine pravilne provedbe odvijat će se putem koordinacijske skupine koja obuhvaća sva sigurnosna tijela institucija i tijela.

                  Puna odgovornost za sigurnost ostaje u rukama sigurnosnog tijela svake institucije ili tijela te podliježe postojećem okviru za unutarnju kontrolu svake institucije ili tijela.

               2.2.2.Informacije o utvrđenim rizicima i uspostavljenim sustavima unutarnje kontrole za ublažavanje rizika

                  Uredbom će se stvoriti osnovni okvir za pravila o sigurnosti podataka i osigurati transparentnost sigurnosnih mjera za razmjenu podataka među institucijama i tijelima Unije te će se tako smanjiti ukupni rizici povezani sa sigurnošću podataka.

                  Uredba je usklađena sa standardima unutarnje kontrole te uključuje pristup oblikovanju politika koji se temelji na procjeni rizika.

               2.2.3.Procjena i obrazloženje troškovne učinkovitosti kontrola (omjer troškova kontrole i vrijednosti sredstava kojima se upravlja) i procjena očekivane razine rizika od pogreške (pri plaćanju i pri zaključenju)

                  Primjenjivat će se postojeći kontrolni mehanizmi za institucije i tijela. O usklađenosti s Uredbom i o rizicima povezanima sa sigurnošću podataka trebalo bi izvješćivati u okviru godišnjih izvješća o rizicima koja podnose institucije i tijela.

               2.3.Mjere za sprečavanje prijevara i nepravilnosti

               Navesti postojeće ili predviđene mjere za sprečavanje i zaštitu, npr. iz strategije za borbu protiv prijevara.

                  Nije primjenjivo

               3.PROCIJENJENI FINANCIJSKI UČINAK PRIJEDLOGA/INICIJATIVE

               3.1.Naslovi višegodišnjeg financijskog okvira i proračunske linije rashoda na koje prijedlog/inicijativa ima učinak

               ·Postojeće proračunske linije

               Prema redoslijedu naslova višegodišnjeg financijskog okvira i proračunskih linija.

                        Naslov višegodišnjeg financijskog okvira

                        Proračunska linija

                        Vrsta
                        rashoda

                        Doprinos

                        Broj

                        dif./nedif.
                           34

                        zemalja EFTA-e
                           35

                        zemalja kandidatkinja
                           36

                        trećih zemalja

                        u smislu članka 21. stavka 2. točke (b) Financijske uredbe

                        H7

                        20 01 02 01

                        Nedif.

                        NE

                        NE

                        NE

                        NE

               ·Zatražene nove proračunske linije

               Prema redoslijedu naslova višegodišnjeg financijskog okvira i proračunskih linija.

                        Naslov višegodišnjeg financijskog okvira

                        Proračunska linija

                        Vrsta
                        rashoda

                        Doprinos

                        Broj

                        dif./nedif.

                        zemalja EFTA-e

                        zemalja kandidatkinja

                        trećih zemalja

                        u smislu članka 21. stavka 2. točke (b) Financijske uredbe

                        Nema

                        DA/NE

                        DA/NE

                        DA/NE

                        DA/NE

               3.2.Procijenjeni financijski učinak prijedloga na odobrena sredstva

               3.2.1.Sažetak procijenjenog učinka na odobrena sredstva za poslovanje

               –
                     Za prijedlog/inicijativu nisu potrebna odobrena sredstva za poslovanje.

               –
                     
                     Za prijedlog/inicijativu potrebna su sljedeća odobrena sredstva za poslovanje:

               U milijunima EUR (do 3 decimalna mjesta)

                        Naslov višegodišnjeg financijskog
                        okvira

                        Broj

                        Glavna uprava: <…….>

                        Godina
                        N
                           37

                        Godina
                        N+1

                        Godina
                        N+2

                        Godina
                        N+3

                        Unijeti onoliko godina koliko je potrebno za prikaz trajanja učinka (vidjeti točku 1.6.)

                        UKUPNO

                        • Odobrena sredstva za poslovanje

                        Proračunska linija
                           38

                        Obveze

                        (1a)

                        Plaćanja

                        (2a)

                        Proračunska linija

                        Obveze

                        (1b)

                        Plaćanja

                        (2b)

                        Administrativna odobrena sredstva koja se financiraju iz omotnice za posebne programe
                           39

                        Proračunska linija

                        (3)

                        UKUPNA odobrena sredstva
                        za Glavnu upravu <…….>

                        Obveze

                        =1a+1b+3

                        Plaćanja

                        =2a+2b

                        +3

                        • UKUPNA odobrena sredstva za poslovanje

                        Obveze

                        (4)

                        Plaćanja

                        (5)

                        • UKUPNA administrativna odobrena sredstva koja se financiraju iz omotnice za posebne programe

                        (6)

                        UKUPNA odobrena sredstva
                        iz NASLOVA <….>
                        višegodišnjeg financijskog okvira

                        Obveze

                        =4+6

                        Plaćanja

                        =5+6

               Ako prijedlog/inicijativa utječe na više od jednog naslova za poslovanje, ponovite prethodni odjeljak:

                        • UKUPNA odobrena sredstva za poslovanje (svi naslovi za poslovanje)

                        Obveze

                        (4)

                        Plaćanja

                        (5)

                         UKUPNA administrativna odobrena sredstva koja se financiraju iz omotnice za posebne programe (svi naslovi za poslovanje)

                        (6)

                        UKUPNA odobrena sredstva
                        iz NASLOVA 1.–6.
                        višegodišnjeg financijskog okvira
                        (referentni iznos)

                        Obveze

                        =4+6

                        Plaćanja

                        =5+6

                        Naslov višegodišnjeg financijskog
                        okvira

                        7.

                        „Administrativni rashodi”

               U ovaj se dio unose „administrativni proračunski podaci”, koji se najprije unose u

                  prilog zakonodavnom financijskom izvještaju

                (Prilog V. unutarnjim pravilima), koji se učitava u sustav DECIDE za potrebe savjetovanja među službama.

               U milijunima EUR (do 3 decimalna mjesta)

                        Godina
                        2023.

                        Godina
                        2024.

                        Godina
                        2025.

                        Godina
                        2026.

                        Godina
                        2027.

                        UKUPNO

                        Glavna uprava: HR

                        • Ljudski resursi

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

                        • Ostali administrativni rashodi

                        GLAVNA UPRAVA <…….> UKUPNO

                        Odobrena sredstva

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

                        UKUPNA odobrena sredstva
                        iz NASLOVA 7.
                        višegodišnjeg financijskog okvira

                        (ukupne obveze = ukupna plaćanja)

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

               U milijunima EUR (do 3 decimalna mjesta)

                        Godina
                        2023.

                        Godina
                        2024.

                        Godina
                        2025.

                        Godina
                        2026.

                        Godina
                        2027.

                        UKUPNO

                        UKUPNA odobrena sredstva
                        iz NASLOVA 1.–7.
                        višegodišnjeg financijskog okvira

                        Obveze

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

                        Plaćanja

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

               3.2.2.Procijenjeni rezultati financirani odobrenim sredstvima za poslovanje

               Odobrena sredstva za preuzimanje obveza u milijunima EUR (do 3 decimalna mjesta)

                        Navesti ciljeve i rezultate

                        ⇩

                        Godina
                        N

                        Godina
                        N+1

                        Godina
                        N+2

                        Godina
                        N+3

                        Unijeti onoliko godina koliko je potrebno za prikaz trajanja učinka (vidjeti točku 1.6.)

                        UKUPNO

                        REZULTATI

                        Vrsta
                           40

                        Prosječni trošak

                        Broj

                        Trošak

                        Broj

                        Trošak

                        Broj

                        Trošak

                        Broj

                        Trošak

                        Broj

                        Trošak

                        Broj

                        Trošak

                        Broj

                        Trošak

                        Ukupni broj

                        Ukupni trošak

                        POSEBNI CILJ br. 1
                           41
                        …

                        – Rezultat

                        – Rezultat

                        – Rezultat

                        Međuzbroj za posebni cilj br. 1

                        POSEBNI CILJ br. 2...

                        – Rezultat

                        Međuzbroj za posebni cilj br. 2

                        UKUPNO

               3.2.3.Sažetak procijenjenog učinka na administrativna odobrena sredstva

               –◻
                     Za prijedlog/inicijativu nisu potrebna administrativna odobrena sredstva.

               –Za prijedlog/inicijativu potrebna su sljedeća administrativna odobrena sredstva:

               U milijunima EUR (do 3 decimalna mjesta)

                        Godina
                        2023.

                        Godina
                        2024.

                        Godina
                        2025.

                        Godina
                        2026.

                        Godina
                        2027.

                        UKUPNO

                        NASLOV 7.
                        višegodišnjeg financijskog okvira

                        Ljudski resursi

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

                        Ostali administrativni rashodi

                        Međuzbroj za NASLOV 7.
                        višegodišnjeg financijskog okvira

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

                        Izvan NASLOVA 7.
                           42

                           višegodišnjeg financijskog okvira

                        Ljudski resursi

                        Ostali administrativni
                        rashodi

                        Međuzbroj
                        izvan NASLOVA 7.
                        višegodišnjeg financijskog okvira

                        UKUPNO

                        0,314

                        0,314

                        0,314

                        0,314

                        0,314

                        1,570

               Potrebna odobrena sredstva za ljudske resurse i ostale administrativne rashode pokrit će se odobrenim sredstvima glavne uprave koja su već dodijeljena za upravljanje djelovanjem i/ili su preraspodijeljena unutar glavne uprave te, prema potrebi, dodatnim sredstvima koja se mogu dodijeliti nadležnoj glavnoj upravi u okviru godišnjeg postupka dodjele sredstava uzimajući u obzir proračunska ograničenja.

               3.2.3.1.Procijenjene potrebe u pogledu ljudskih resursa

               –◻
                     Za prijedlog/inicijativu nisu potrebni ljudski resursi.

               –Za prijedlog/inicijativu potrebni su sljedeći ljudski resursi:

               Procjenu navesti u ekvivalentima punog radnog vremena

                        Godina
                        2023.

                        Godina
                        2024.

                        Godina

                        2025.

                        Godina 2026.

                        Godina 2027.

                        20 01 02 01 (sjedište i predstavništva Komisije)

                        2

                        2

                        2

                        2

                        2

                        20 01 02 03 (delegacije)

                        01 01 01 01 (neizravno istraživanje)

                         01 01 01 11 (izravno istraživanje)

                        Druge proračunske linije (navesti)

                        20 02 01 (UO, UNS, UsO iz „globalne omotnice”)

                        20 02 03 (UO, LO, UNS, UsO i MSD u delegacijama)

                        XX 01  xx yy zz
                           43

                        – u sjedištima

                        – u delegacijama

                        01 01 01 02 (UO, UNS, UsO – neizravno istraživanje)

                         01 01 01 12 (UO, UNS, UsO – izravno istraživanje)

                        Druge proračunske linije (navesti)

                        UKUPNO

                        2

                        2

                        2

                        2

                        2

               XX se odnosi na odgovarajuće područje politike ili glavu proračuna.

               Potrebe za ljudskim resursima pokrit će se osobljem glavne uprave kojemu je već povjereno upravljanje djelovanjem i/ili koje je preraspoređeno unutar glavne uprave te, prema potrebi, resursima koji se mogu dodijeliti nadležnoj glavnoj upravi u okviru godišnjeg postupka dodjele sredstava uzimajući u obzir proračunska ograničenja.

               Opis zadaća:

                        Dužnosnici i privremeno osoblje

                        Tajništvo koordinacijske skupine za sigurnost podataka: 1 administrativni dužnosnik + 1 asistent

                        Vanjsko osoblje

               3.2.4.Usklađenost s aktualnim višegodišnjim financijskim okvirom

               Prijedlog/inicijativa:

               –može se u potpunosti financirati preraspodjelom unutar relevantnog naslova višegodišnjeg financijskog okvira (VFO).

                  Prijedlogom se zahtijeva dodjeljivanje dvaju članova osoblja stalnom tajništvu međuinstitucijske koordinacijske skupine, smještenom u odjelu HR.DS.

               –◻
                     zahtijeva upotrebu nedodijeljene razlike u okviru relevantnog naslova VFO-a i/ili upotrebu posebnih instrumenata kako su definirani u Uredbi o VFO-u.

                  Objasniti što je potrebno te navesti predmetne naslove i proračunske linije, odgovarajuće iznose te instrumente čija se upotreba predlaže.

               –◻
                     zahtijeva reviziju VFO-a.

                  Objasniti što je potrebno te navesti predmetne naslove i proračunske linije te odgovarajuće iznose.

               3.2.5.Doprinos trećih strana

               Prijedlogom/inicijativom:

               –
                     ne predviđa se sudjelovanje trećih strana u sufinanciranju.

               –◻
                     predviđa se sudjelovanje trećih strana u sufinanciranju prema sljedećoj procjeni:

               Odobrena sredstva u milijunima EUR (do 3 decimalna mjesta)

                        Godina
                        N
                           44

                        Godina
                        N+1

                        Godina
                        N+2

                        Godina
                        N+3

                        Ukupno

                        Navesti tijelo koje sudjeluje u financiranju

                        UKUPNO sufinancirana odobrena sredstva

                  Napomena: prijedlogom će se intenzivirati trenutačna suradnja u području sigurnosti podataka na temelju sporazumâ o razini usluge.

               3.3.Procijenjeni učinak na prihode

               –Prijedlog/inicijativa nema financijski učinak na prihode.

               –◻
                     Prijedlog/inicijativa ima sljedeći financijski učinak:

               na vlastita sredstva

               na ostale prihode

               navesti jesu li prihodi namijenjeni proračunskim linijama rashoda

                    U milijunima EUR (do 3 decimalna mjesta)

                        Proračunska linija prihoda:

                        Odobrena sredstva dostupna za tekuću financijsku godinu

                        Učinak prijedloga/inicijative
                           45

                        Godina
                        N

                        Godina
                        N+1

                        Godina
                        N+2

                        Godina
                        N+3

               Za namjenske prihode navesti odgovarajuće proračunske linije rashoda.

               Ostale napomene (npr. metoda/formula za izračun učinka na prihode ili druge informacije)

                     (1)

                        Komunikacija o strategiji EU-a za sigurnosnu uniju, COM(2020) 605, 24. srpnja 2020. (strateški prioritet – „sigurnosno okruženje otporno na promjene u budućnosti”).

                     (2)

                        EUCO 9/19.

                     (3)

                        14972/19.

                     (4)

                        WK 10563/2018 INIT, odjeljak 9.

                     (5)

                        Direktiva (EU) 2016/1148 Europskog parlamenta i Vijeća od 6. srpnja 2016. o mjerama za visoku zajedničku razinu sigurnosti mrežnih i informacijskih sustava širom Unije (SL L 194/1).

                     (6)

                        C(2020) 605.

                     (7)

                        Strategija EU-a za kibersigurnost za digitalno desetljeće | Izgradnja digitalne budućnosti Europe (europa.eu), uključujući Zajedničku komunikaciju s Visokim predstavnikom Unije za vanjske poslove i sigurnosnu politiku (JOIN(2020) 18) te revidiranu Direktivu o mrežnoj i informacijskoj sigurnosti (NIS) (COM(2020) 823).

                     (8)

                        Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39.).

                     (9)

                        Uredba (EZ) br. 1049/2001 Europskog parlamenta i Vijeća od 30. svibnja 2001. o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije (SL L 145, 31.5.2001., str. 43.).

                     (10)

                        Povelja Europske unije o temeljnim pravima (SL C 326, 26.10.2012., str. 391.–407.).

                     (11)

                        Članak 41. Povelje Europske unije o temeljnim pravima.

                     (12)

                        Članak 8. Povelje Europske unije o temeljnim pravima.

                     (13)

                        Članak 42. Povelje Europske unije o temeljnim pravima.

                     (14)

                        Članak 17. Povelje Europske unije o temeljnim pravima.

                     (15)

                        Direktiva 2001/29/EZ Europskog parlamenta i Vijeća od 22. svibnja 2001. o usklađivanju određenih aspekata autorskog i srodnih prava u informacijskom društvu (SL L 167, 22.6.2001., str. 10.–19.).

                     (16)

                        Članak 11. Povelje Europske unije o temeljnim pravima.

                     (17)

                        Uredba (Euratom) br. 3/1958 o provedbi članka 24. Ugovora o osnivanju Europske zajednice za atomsku energiju (SL 17, 6.10.1958., str. 406.).

                     (18)

                        SL 45, 14.6.1962., str. 1385.

                     (19)

                        Uredba (EZ) br. 1049/2001 Europskog parlamenta i Vijeća od 30. svibnja 2001. o javnom pristupu dokumentima Europskog parlamenta, Vijeća i Komisije (SL L 145, 31.5.2001., str. 43.).

                     (20)

                        Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018., str. 39.).

                     (21)

                        Uredba Vijeća (EEZ, Euratom) br. 354/83 od 1. veljače 1983. o otvaranju za javnost povijesnih arhiva Europske ekonomske zajednice i Europske zajednice za atomsku energiju (SL L 43, 15.2.1983., str. 1.).

                     (22)

                        Uredba (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća od 18. srpnja 2018. o financijskim pravilima koja se primjenjuju na opći proračun Unije, o izmjeni uredaba (EU) br. 1296/2013, (EU) br. 1301/2013, (EU) br. 1303/2013, (EU) br. 1304/2013, (EU) br. 1309/2013, (EU) br. 1316/2013, (EU) br. 223/2014, (EU) br. 283/2014 i Odluke br. 541/2014/EU te o stavljanju izvan snage Uredbe (EU, Euratom) br. 966/2012 (SL L 193, 30.7.2018., str. 1.).

                     (23)

                        Uredba (EU) 2021/697 Europskog parlamenta i Vijeća od 29. travnja 2021. o uspostavi Europskog fonda za obranu i stavljanju izvan snage Uredbe (EU) 2018/1092 (SL L 170, 12.5.2021., str. 149.).

                     (24)

                        Uredba […] Europskog parlamenta i Vijeća o mjerama za visoku zajedničku razinu kibersigurnosti u institucijama, tijelima, uredima i agencijama Unije (treba je donijeti).

                     (25)

                        Vijeće Europske zajednice za atomsku energiju (EZAE): Uredba br. 3 o provedbi članka 24. Ugovora o osnivanju Europske zajednice za atomsku energiju (SL 17, 6.10.1958., str. 406.).

                     (26)

                        Međuinstitucijski sporazum Europskog parlamenta, Vijeća Europske unije i Europske komisije o boljoj izradi zakonodavstva (SL L 123, 12.5.2016., str. 1.–14.).

                     (27)

                        Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL L 295, 21.11.2018.).

                     (28)

                        Uredba (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. o ENISA-i (Agencija Europske unije za kibersigurnost) te o kibersigurnosnoj certifikaciji u području informacijske i komunikacijske tehnologije i stavljanju izvan snage Uredbe (EU) br. 526/2013 (Akt o kibersigurnosti) (SL L 151, 7.6.2019., str. 15.–69.).

                     (29)

                        SL C 202, 8.7.2011., str. 13.

                     (30)

                        Uredba (EU, Euratom) 2018/1046 Europskog parlamenta i Vijeća.

                     (31)

                        Idem.

                     (32)

                        Kako je navedeno u članku 58. stavku 2. točkama (a) ili (b) Financijske uredbe.

                     (33)

                        Informacije o načinima upravljanja i upućivanja na Financijsku uredbu dostupni su na internetskim stranicama BudgWeb:
                  https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx

                     (34)

                        Dif. = diferencirana odobrena sredstva; nedif. = nediferencirana odobrena sredstva.

                     (35)

                        EFTA: Europsko udruženje slobodne trgovine.

                     (36)

                        Zemlje kandidatkinje i, ako je primjenjivo, potencijalni kandidati sa zapadnog Balkana.

                     (37)

                        Godina N je godina početka provedbe prijedloga/inicijative. Umjesto „N” upisati predviđenu prvu godinu provedbe (na primjer: 2021.). Isto vrijedi i za ostale godine.

                     (38)

                        Prema službenoj proračunskoj nomenklaturi.

                     (39)

                        Tehnička i/ili administrativna pomoć i rashodi za potporu provedbi programa i/ili djelovanja EU-a (prijašnje linije „BA”), neizravno istraživanje, izravno istraživanje.

                     (40)

                        Rezultati se odnose na proizvode i usluge koji se isporučuju (npr.: broj financiranih studentskih razmjena, kilometri izgrađenih prometnica itd.).

                     (41)

                        Kako je opisan u odjeljku 1.4.2. „Posebni ciljevi…”.

                     (42)

                        Tehnička i/ili administrativna pomoć i rashodi za potporu provedbi programa i/ili djelovanja EU-a (prijašnje linije „BA”), neizravno istraživanje, izravno istraživanje.

                     (43)

                        U okviru gornje granice za vanjsko osoblje iz odobrenih sredstava za poslovanje (prijašnje linije „BA”).

                     (44)

                        Godina N je godina početka provedbe prijedloga/inicijative. Umjesto „N” upisati predviđenu prvu godinu provedbe (na primjer: 2021.). Isto vrijedi i za ostale godine.

                     (45)

                        Kad je riječ o tradicionalnim vlastitim sredstvima (carine, pristojbe na šećer) navedeni iznosi moraju biti neto iznosi, to jest bruto iznosi nakon odbitka od 20 % na ime troškova naplate.

    ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final

            PRILOG

            Prijedlogu UREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               PRILOG I.

               Zaštitne mjere za postupanje s osjetljivim neklasificiranim podacima

               Označivanje osjetljivih neklasificiranih podataka i postupanje s tim podacima

               1.Dokumenti koji sadržavaju osjetljive neklasificirane podatke moraju se označiti oznakom stupnja tajnosti te, prema potrebi, jednom ili više oznaka distribucije ili oznaka na kojima se navodi ciljana publika. Standardna oznaka stupnja tajnosti je riječ „SENSITIVE” pisana velikim slovima, osim u slučajevima iz članka 15. stavka 2.

               2.Dokumentima koji sadržavaju osjetljive neklasificirane podatke smiju moći pristupati samo primatelji kojima je pristup tim podacima nužan u službene svrhe. Ako se upotrebljavaju oznake distribucije, dopuštenje za proširenje distribucije dokumenta mora se tražiti od institucije ili tijela Unije koje je autor podataka.

               3.Sve osobe koje postupaju s osjetljivim neklasificiranim podacima moraju biti upoznate s uputama za postupanje.

               4.Stupanj tajnosti dokumenata s oznakom SENSITIVE smanjuje se na EU NORMAL ili PUBLIC USE uklanjanjem ili precrtavanjem oznaka.

               5.Kad institucije i tijela Unije uništavaju dokumente koji sadržavaju osjetljive neklasificirane podatke, to moraju učiniti tako da se ne mogu jednostavno rekonstruirati. Papirnati primjerci moraju se uništiti uništavačem dokumenata, a elektronički primjerci moraju se na siguran način izbrisati, fizički uništiti ili na drugi način učiniti neobnovljivima.

               Zaštita osjetljivih neklasificiranih podataka tijekom rada izvan lokacija institucija i tijela Unije

               6.Osjetljivi neklasificirani podaci moraju se zaštititi od prisluškivanja i promatranja tijekom rada na daljinu i službenih putovanja te se s njima ne smije postupati niti ih se smije pohranjivati u javnosti.

               7.Za postupanje s dokumentima koji sadržavaju osjetljive neklasificirane podatke i pohranjivanje tih dokumenata dopušteno je upotrebljavati isključivo opremu ili aplikacije koje su na odgovarajući način zaštićene u okviru odgovornosti institucija i tijela Unije.

               8.Institucije i tijela Unije moraju osigurati sredstva za sprečavanje pristupa neovlaštenih osoba, među ostalim članova obitelji, osjetljivim neklasificiranim podacima s kojima se postupa ili koje se pohranjuje s pomoću opreme institucije ili tijela Unije pri radu izvan mjesta rada.

               9.Institucije i tijela Unije moraju uputiti svoje osoblje da:

               (a)opremu institucija i tijela Unije s pomoću koje se postupa s osjetljivim neklasificiranim podacima štiti od krađe, gubitka i oštećenja te da odmah prijavi svaki štetan sigurnosni događaj koji utječe na njihove uređaje ili podatke u njima;

               (b)ne dijeli svoje uređaje s neovlaštenim osobama;

               (c)ne upotrebljava opremu za aktivnosti koje nisu povezane s radom.

               10.Institucije i tijela Unije moraju se pobrinuti da se izvan njihovih lokacija za postupanje s osjetljivim neklasificiranim dokumentima i njihovo pohranjivanje u elektroničkom obliku u najvećoj mogućoj mjeri upotrebljava njihova oprema ili njihove primjereno zaštićene aplikacije. Postupanje s fizičkim primjercima osjetljivih neklasificiranih dokumenata izvan ureda treba izbjegavati.

               11.Ako se upotrebljavaju alati za telekonferencije ili videokonferencije, institucije i tijela Unije moraju primjerenim utvrđivanjem identiteta sudionika i upotrebom šifriranih komunikacijskih alata koji su kompatibilni s načelom nužnosti pristupa podacima na najmanju moguću mjeru svesti rizik od toga da rasprave vide ili čuju neovlaštene osobe.

               12.Institucije i tijela Unije pružaju osposobljavanje osoblju koje tijekom rada izvan ureda na daljinu postupa s osjetljivim neklasificiranim podacima.

               Dijeljenje osjetljivih neklasificiranih podataka

               13.Dokumenti koji sadržavaju osjetljive neklasificirane podatke mogu se dijeliti među institucijama i tijelima Unije bez dodatnih formalnosti.

               14.Institucije i tijela Unije smiju dijeliti dokumente koji sadržavaju osjetljive neklasificirane podatke izvan svih institucija i tijela Unije samo na temelju dogovora kojim se strane obvezuju da će poštovati upute za postupanje.

               15.Institucije i tijela Unije moraju obavijestiti primatelje osjetljivih neklasificiranih podataka o obvezi da podatke ne smiju dijeliti s osobama koje nisu navedene u oznakama distribucije, osim ako je to dopustio autor.

               16.Institucije i tijela Unije moraju zaštititi osjetljive neklasificirane podatke koji se pružaju ili dijele elektronički, odgovarajućim sigurnosnim mjerama koje uključuju enkripciju pri prijenosu primjenom odgovarajućih kriptografskih mehanizama.

    ---documentbreak--- NA ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final

            PRILOG

            Prijedlogu UREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               PRILOG II.

               Postupci za upravljanje ovlaštenjima za pristup klasificiranim podacima Europske unije

               Definicije

               Za potrebe ovog Priloga primjenjuju se sljedeće definicije:

               1. „uvjerenje o sigurnosnoj provjeri osobe” znači izjava relevantnog tijela države članice koja je sastavljena nakon završetka sigurnosne istrage koju provodi nadležno tijelo i kojom se potvrđuje da se osobi može odobriti pristup klasificiranim podacima EU-a do određenog stupnja tajnosti (CONFIDENTIEL UE/EU CONFIDENTIAL ili višeg) i na određeno razdoblje;

               2. „certifikat o sigurnosnoj provjeri osobe” znači certifikat koji izdaje nadležno tijelo i kojim se utvrđuje da osoba ima valjano uvjerenje o sigurnosnoj provjeri, ili jednakovrijedan dokument, ili sigurnosno ovlaštenje te u kojem je naveden stupanj tajnosti klasificiranih podataka EU-a do kojeg se osobi može odobriti pristup (CONFIDENTIEL UE/EU CONFIDENTIAL ili viši), datum valjanosti relevantnog uvjerenja o sigurnosnoj provjeri ili sigurnosnog ovlaštenja te datum isteka samog certifikata.

               Izdavanje ovlaštenja za pristup klasificiranim podacima EU-a

               1.Sigurnosno tijelo predmetne institucije i predmetnog tijela Unije mora tražiti pisanu suglasnost osobe za postupak sigurnosne provjere prije slanja ispunjenog upitnika za sigurnosnu provjeru nacionalnom sigurnosnom tijelu države članice čiji je podnositelj zahtjeva državljanin.

               2.Ako podaci važni za sigurnosnu istragu o osobi koja je podnijela zahtjev za sigurnosnu provjeru radi pristupa klasificiranim podacima EU-a postanu poznati instituciji ili tijelu Unije, nadležno sigurnosno tijelo, postupajući u skladu s ovom Uredbom, mora o tome obavijestiti odgovarajuće nacionalno sigurnosno tijelo.

               3.Nakon što ga odgovarajuće nacionalno sigurnosno tijelo obavijesti o svojoj ukupnoj ocjeni nalaza sigurnosne istrage, nadležno sigurnosno tijelo:

               (a)može toj osobi izdati ovlaštenje za pristup klasificiranim podacima EU-a do odgovarajućeg stupnja na ograničeno razdoblje ako se sigurnosnom istragom utvrdi lojalnost, vjerodostojnost i pouzdanost osobe;

               (b)mora obavijestiti podnositelja zahtjeva, u skladu sa svojim odgovarajućim internim pravilima, ako sigurnosna istraga ne rezultira takvim jamstvom.

               4.Ako osoba ne započne službu u roku od 12 mjeseci ili više od datuma obavijesti o rezultatu sigurnosne istrage ili ako osoba ima prekid obavljanja službe od 12 mjeseci, nadležno sigurnosno tijelo mora od odgovarajućeg nacionalnog sigurnosnog tijela zatražiti potvrdu o valjanosti sigurnosne provjere.

               Suspenzija i povlačenje ovlaštenja

               5.Ako instituciji ili tijelu Unije postanu poznati podaci o sigurnosnom riziku povezanom s osobom s ovlaštenjem za pristup klasificiranim podacima EU-a, nadležno sigurnosno tijelo te institucije ili tog tijela Unije mora o tome obavijestiti odgovarajuće nacionalno sigurnosno tijelo te može suspendirati pristup te osobe klasificiranim podacima EU-a ili povući ovlaštenje za pristup tim podacima.

               6.Ako nacionalno sigurnosno tijelo obavijesti odgovarajuću instituciju ili odgovarajuće tijelo Unije da više ne postoji jamstvo za osobu koja ima pristup klasificiranim podacima EU-a, sigurnosno tijelo te institucije ili tog tijela Unije mora povući svoje sigurnosno ovlaštenje i onemogućiti toj osobi pristup klasificiranim podacima EU-a u skladu sa svojim relevantnim internim pravilima.

               Produljenje ovlaštenja

               7.Nakon prvog izdavanja sigurnosnog ovlaštenja i pod uvjetom da je osoba bez prekida obavljala službu u instituciji ili tijelu Unije te da joj je i dalje potreban pristup klasificiranim podacima EU-a, sigurnosno ovlaštenje za pristup klasificiranim podacima EU-a mora se preispitati radi produljenja prije nego što istekne.

               8.Sigurnosno tijelo te institucije ili tog tijela Unije može produljiti valjanost sigurnosnog ovlaštenja za pristup klasificiranim podacima EU-a na razdoblje do 12 mjeseci, pod uvjetom da odgovarajuće nacionalno sigurnosno tijelo ili drugo nadležno nacionalno tijelo nije dostavilo nikakve nepovoljne podatke u roku od 2 mjeseca od datuma slanja zahtjeva za produljenje ovlaštenja i odgovarajućeg upitnika za provjeru.

               Ako na kraju razdoblja od 12 mjeseci iz prvog podstavka sigurnosna istraga još nije završena, osobi se ne smiju dodijeliti dužnosti za koje je potrebna sigurnosna provjera.

               9.Osoba mora završiti tečaj za obnovu znanja o postupanju s klasificiranim podacima EU-a i njihovoj pohrani svaki put kad joj se produlji uvjerenje o sigurnosnoj provjeri.

               Iznimno privremeno sigurnosno ovlaštenje

               10.Sigurnosno tijelo institucije ili tijela Unije može iznimno izdati privremeno ovlaštenje za pristup klasificiranim podacima EU-a pod uvjetom da je nadležno nacionalno sigurnosno tijelo provelo preliminarnu provjeru, na temelju ispunjenog i poslanog sigurnosnog upitnika, kako bi potvrdilo da nisu poznati nikakvi nepovoljni podaci.

               11.Privremeno ovlaštenje za pristup klasificiranim podacima EU-a može biti valjano samo jedno razdoblje od najviše šest mjeseci i njime se ne smije dopustiti pristup podacima klasificiranima stupnjem tajnosti TRES SECRET UE/EU TOP SECRET.

               12.Nakon što ih se informira u skladu s člankom 26. sve osobe kojima je izdano privremeno ovlaštenje za pristup klasificiranim podacima EU-a moraju u pisanom obliku potvrditi da razumiju svoje obveze u pogledu zaštite tih podataka i posljedice ugroze tih podataka. Sigurnosno tijelo predmetne institucije ili predmetnog tijela Unije mora voditi evidenciju tih pisanih potvrda.

               Nacionalni stručnjaci upućeni u institucije i tijela Unije

               13.Sve institucije i tijela Unije moraju se pobrinuti da nacionalni stručnjaci koji su im upućeni na radno mjesto za koje je potrebna sigurnosna provjera prije preuzimanja dužnosti predoče nadležnom sigurnosnom tijelu valjano uvjerenje ili certifikat o sigurnosnoj provjeri osobe u skladu s nacionalnim zakonima i propisima. Pod uvjetom da su ispunjeni zahtjevi iz članka 23. stavka 1., sigurnosno tijelo zatim može izdati ovlaštenje za pristup klasificiranim podacima EU-a do stupnja tajnosti ekvivalentnog onome koji je naveden u nacionalnom uvjerenju o sigurnosnoj provjeri, pri čemu valjanost tog ovlaštenja ne može biti dulja od trajanja njihove dužnosti.

               Pristup povjerljivim sastancima

               14.Kad je riječ o organizaciji sastanaka na kojima će se raspravljati o podacima klasificiranima stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim, institucije i tijela Unije moraju se pobrinuti da svi sudionici imaju uvjerenje o sigurnosnoj provjeri odnosno da je poznat status njihova sigurnosnog ovlaštenja.

               15.Na temelju evidencije pristupa klasificiranim podacima EU-a nadležno sigurnosno tijelo predmetne institucije ili predmetnog tijela Unije može osobi izdati certifikat o sigurnosnoj provjeri osobe ako joj je potreban za sudjelovanje na sastancima izvan institucije ili tijela Unije. U certifikatu o sigurnosnoj provjeri osobe mora se navesti stupanj tajnosti klasificiranih podataka EU-a do kojeg se osobi može odobriti pristup (CONFIDENTIEL UE/EU CONFIDENTIAL ili viši), datum valjanosti odgovarajućeg ovlaštenja za pristup klasificiranim podacima EU-a i datum isteka samog certifikata.

    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final

            PRILOG

            Prijedlogu UREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               PRILOG III.

               Mjere fizičke zaštite klasificiranih podataka Europske unije

               Oprema i organizacijske mjere za fizičku zaštitu klasificiranih podataka EU-a

               1.Administrativna zona mora ispunjavati sljedeće zahtjeve:

               (a)ima vidljivo određen prostor koji omogućuje provjeru osoba i, ako je moguće, vozila;

               (b)prozori koji mogu omogućiti neovlašteni vizualni pristup klasificiranim podacima EU-a unutar zone su neprozirni ili opremljeni žaluzinama, zastorima ili drugim prekrivačima;

               (c)pristup bez pratnje odobrava se samo osobama koje je propisno ovlastilo sigurnosno tijelo predmetne institucije ili predmetnog tijela Unije;

               (d)ostale osobe imaju stalnu pratnju ili podliježu istovjetnim kontrolama.

               2.Uz zahtjeve iz stavka 1., sigurnosna zona mora ispunjavati sljedeće zahtjeve:

               (a)ima vidljivo određen i zaštićen prostor kroz koji se ulasci i izlasci nadziru u svakom trenutku;

               (b)u njoj nema neovlaštenih komunikacijskih linija, neovlaštenih telefona ili drugih neovlaštenih komunikacijskih uređaja i električne ili elektroničke opreme;

               (c)opremljena je sustavom za kontrolu pristupa i sustavom za otkrivanje neovlaštenog ulaska („IDS”) u stvarnom vremenu te ima interventno osoblje;

               (d)pregledava se na kraju uobičajenog radnog vremena i u nasumičnim vremenskim razmacima izvan uobičajenog radnog vremena ako u njoj nema osoblja na dužnosti 24 sata na dan i nije opremljena IDS-om za praćenje u stvarnom vremenu;

               (e)njome upravlja osposobljeno zaštitarsko osoblje koje je pod nadzorom i koje je prošlo odgovarajuću sigurnosnu provjeru;

               (f)ima sigurnosno-operativne postupke koji uključuju sljedeće elemente:

               i.stupanj tajnosti klasificiranih podataka EU-a s kojima se može postupati u zoni, o kojima se u njoj može raspravljati te koji se u njoj mogu pohranjivati;

               ii.mjere nadzora i zaštitne mjere koje je potrebno primjenjivati;

               iii.osobe ovlaštene za pristup zoni bez pratnje na temelju njihova ovlaštenja za pristup klasificiranim podacima EU-a i nužnosti pristupa podacima;

               iv.prema potrebi, postupke za pratitelje ili za zaštitu klasificiranih podataka EU-a ako se druge osobe ovlašćuje za pristup zoni;

               v.sve ostale odgovarajuće mjere i postupke.

               3.Ako se ulazak u sigurnosnu zonu može smatrati izravnim pristupom klasificiranim podacima koji se u njoj nalaze, ta se zona mora uspostaviti kao zona I. razreda, a ako to nije slučaj, mora se uspostaviti kao zona II. razreda.

               Za sigurnosne zone obaju razreda iz prvog podstavka, povrh zahtjeva iz točke 2., odjel/službenik za sigurnost predmetne institucije ili predmetnog tijela Unije mora jasno navesti najviši stupanj tajnosti podataka koji se obično nalaze u zoni te jasno odrediti prostor koji omogućuje provjeru osoba i, ako je moguće, vozila.

               Institucije i tijela Unije moraju se pobrinuti da osobe koje imaju pristup sigurnosnoj zoni ispunjavaju sljedeće kriterije:

               (a)zatražile su posebno ovlaštenje za ulazak u zonu;

               (b)imaju stalnu pratnju;

               (c)prošle su odgovarajuću sigurnosnu provjeru, osim ako su poduzeti koraci kojima se onemogućuje pristup klasificiranim podacima EU-a.

               4.Sigurnosna zona zaštićena od pasivnog ili aktivnog prisluškivanja mora se označiti kao tehnički zaštićena sigurnosna zona. Uz zahtjeve za sigurnosne zone, primjenjuju se sljedeći zahtjevi:

               (a)mora biti opremljena IDS-om, zaključana ako u njoj nema nikoga i pod zaštitom ako je netko u njoj. Svim se ključevima mora upravljati u skladu s člankom 29. stavkom 3.;

               (b)sigurnosno tijelo predmetne institucije ili predmetnog tijela Unije mora redovito provoditi fizički ili tehnički pregled te zone ili oba pregleda. Takvi se pregledi moraju provoditi i nakon svakog neovlaštenog ulaska ili sumnje na takav ulazak;

               (c)mora imati odgovarajuću zvučnu zaštitu i uspostavljene sigurnosne mjere TEMPEST.

               5.Sve osobe koje ulaze u tehnički zaštićene sigurnosne zone moraju ispunjavati zahtjeve iz točke 3.

               6.Sigurnosne zone i tehnički zaštićene sigurnosne zone mogu se privremeno uspostaviti unutar administrativne zone koja se koristi za povjerljive sastanke ili u druge slične svrhe.

               7.Unutar sigurnosnih zona moraju se izgraditi trezori. Trezori su prostorije s pojačanom fizičkom konstrukcijom kojima sigurnosno tijelo predmetne institucije ili tijela Unije odobrava zidove, podove, stropove, prozore i vrata koja se mogu zaključati. Takve prostorije moraju pružati zaštitu jednaku onoj koju pruža sigurnosni spremnik odobren za pohranu klasificiranih podataka EU-a jednakog stupnja tajnosti.

               Fizičke mjere zaštite za postupanje s klasificiranim podacima EU-a i njihovo pohranjivanje

               8.S podacima EU-a klasificiranima stupnjem tajnosti RESTREINT UE/EU RESTRICTED mora se postupati i mora ih se pohranjivati unutar jedne od sljedećih zona:

               (a)u sigurnosnoj zoni;

               (b)u administrativnoj zoni uz uvjet da su klasificirani podaci EU-a zaštićeni od pristupa neovlaštenih osoba;

               (c)izvan sigurnosne ili administrativne zone pod uvjetom da se imatelj obvezao poštovati kompenzacijske mjere koje je utvrdilo sigurnosno tijelo svake institucije i svakog tijela Unije.

               9.Podaci EU-a klasificirani stupnjem tajnosti RESTREINT UE/EU RESTRICTED moraju se pohranjivati u zaključanom uredskom namještaju u administrativnoj ili sigurnosnoj zoni. Privremeno se mogu pohraniti izvan administrativne ili sigurnosne zone pod uvjetom da se imatelj obvezao pohraniti predmetne dokumente u odgovarajući zaključani uredski namještaj dok se ne čitaju ili se o njima ne raspravlja.

               10.Institucije i tijela Unije mogu postupati s podacima klasificiranima stupnjem tajnosti RESTREINT UE/EU RESTRICTED i pohranjivati ih izvan svojih lokacija pod uvjetom da su relevantni podaci zaštićeni na odgovarajući način. U tu se svrhu institucije i tijela Unije moraju pridržavati mjera iz točke 8. podtočke (c).

               11.S podacima klasificiranima stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET mora se postupati i mora ih se pohranjivati unutar jedne od sljedećih zona:

               (a)u sigurnosnoj zoni;

               (b)u administrativnoj zoni uz uvjet da su klasificirani podaci EU-a zaštićeni od pristupa neovlaštenih osoba;

               (c)izvan sigurnosne ili administrativne zone u slučaju ograničene količine i ograničenog vremena te pod uvjetom da se imatelj obvezao poštovati kompenzacijske mjere koje je utvrdilo sigurnosno tijelo predmetne institucije ili predmetnog tijela Unije. Usto, imatelj klasificiranih podataka EU-a mora poduzeti sljedeće korake:

               i.obavijestiti odgovarajući registarski ured o tome da se s klasificiranim dokumentima postupa izvan zaštićenih zona;

               ii.imati dokumente pod nadzorom u svakom trenutku.

               12.Podaci klasificirani stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET moraju se pohraniti u sigurnosni spremnik ili u trezor unutar sigurnosne zone koju je do tog stupnja akreditiralo nadležno tijelo za sigurnosnu akreditaciju predmetne institucije ili predmetnog tijela Unije.

               13.Dokumente klasificirane stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim može umnožavati samo odgovarajući registarski ured.

               14.S podacima klasificiranima stupnjem tajnosti TRES SECRET UE/EU TOP SECRET mora se postupati i mora ih se pohranjivati unutar sigurnosne zone akreditirane do tog stupnja. U tu svrhu institucije i tijela Unije mogu sklopiti potrebne dogovore za upotrebu sigurnosne zone koju je do tog stupnja akreditiralo tijelo za sigurnosnu akreditaciju druge institucije ili drugog tijela Unije te koja se nalazi u prostorijama tog tijela za sigurnosnu akreditaciju.

               15.Podaci klasificirani stupnjem tajnosti TRES SECRET UE/EU TOP SECRET moraju se pohraniti u sigurnosnu zonu, koju je do tog stupnja akreditiralo tijelo za sigurnosnu akreditaciju predmetne nadležne institucije ili predmetnog nadležnog tijela Unije, tako da bude ispunjen jedan od sljedećih uvjeta:

               (a)u sigurnosni spremnik koji je odobrilo sigurnosno tijelo svake institucije i svakog tijela Unije, uz primjenu jedne od sljedećih dodatnih mjera:

               i.stalne zaštite ili provjere koju provodi zaštitarsko osoblje ili osoblje na dužnosti koje je prošlo sigurnosnu provjeru;

               ii.odobrenog IDS-a u kombinaciji s interventnim osobljem;

               (b)u trezor opremljen IDS-om u kombinaciji s interventnim osobljem.

    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final

            PRILOG

            Prijedlogu UREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               PRILOG IV.

               Sigurnosne mjere za upravljanje klasificiranim podacima Europske unije

               Za potrebe ovog Priloga „komercijalna kurirska služba” znači nacionalne poštanske službe i privatne kurirske službe koje za naknadu nude uslugu dostave dokumenata osobno ručnim prijenosom ili uz praćenje.

               Prijenos klasificiranih podataka EU-a

               1.Kad god je to moguće, institucije i tijela Unije koji iznose klasificirane podatke EU-a izvan sigurnosnih ili administrativnih zona moraju te podatke poslati elektronički, odgovarajućim akreditiranim sredstvima, ili ih zaštititi odobrenim kriptografskim proizvodima.

               2.Pri prijenosu klasificiranih podataka EU-a institucije i tijela Unije moraju primijeniti zaštitne mjere koje ispunjavaju sljedeće zahtjeve:

               (a)razmjerne su stupnju tajnosti klasificiranih podataka EU-a koji se prenose;

               (b)prilagođene su specifičnim uvjetima prijenosa te vrsti i obliku klasificiranih podataka EU-a koji se prenose.

               3.Ako se fizički prenose ručno u obliku papirnatih dokumenata ili na prenosivim medijima za pohranu, klasificirani podaci EU-a moraju biti u posjedu nositelja i ne smiju se otvarati dok ne stignu do krajnjeg odredišta.

               4.Osobe ili kurirske službe koje prenose podatke klasificirane stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim moraju imati sigurnosno ovlaštenje, biti upoznate sa svojim odgovornostima u pogledu sigurnosti i, prema potrebi, imati kurirsku potvrdu koju je izdao registarski ured za klasificirane podatke EU-a unutar odgovarajuće službe.

               5.Zaštitari i pratnja moraju proći sigurnosnu provjeru za odgovarajući stupanj tajnosti i biti upoznate sa sigurnosnim postupcima za zaštitu klasificiranih podataka EU-a.

               6.Pri upotrebi prenosivih medija za pohranu institucije i tijela Unije moraju zaštititi medij kriptografskim proizvodom ili šifrirati same dokumente.

               Ambalaža za klasificirane podatke EU-a

               7.Kad je riječ o ambalaži za klasificirane podatke EU-a, institucije i tijela Unije moraju se pobrinuti da se sadržaj ne vidi.

               8.Podaci klasificirani stupnjem tajnosti RESTREINT UE/EU RESTRICTED moraju se prenositi u neprozirnoj ambalaži od najmanje jednog sloja, kao što su omotnice, neprozirne mape ili aktovke. Podaci klasificirani stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim moraju se prenositi u neprozirnoj ambalaži od najmanje dva sloja.

               9.Na vanjskoj ambalaži ne smije biti oznaka vrste ili stupnja tajnosti sadržaja. Na unutarnjem sloju ambalaže mora biti oznaka klasificiranih podataka EU-a. Na oba sloja mora se navesti ime predviđenog primatelja, naziv radnog mjesta i adresa te povratna adresa za slučaj da dostavu nije moguće izvršiti.

               Prijevoz komercijalnom kurirskom službom

               10.Komercijalne kurirske službe mogu dostavljati podatke klasificirane stupnjem tajnosti RESTREINT UE/EU RESTRICTED i CONFIDENTIEL UE/EU CONFIDENTIAL unutar države članice te iz jedne države članice u drugu. Komercijalne kurirske službe mogu dostavljati podatke klasificirane stupnjem tajnosti SECRET UE/EU SECRET samo unutar države članice i ako imaju odobrenje odgovarajućeg nacionalnog sigurnosnog tijela. Podaci klasificirani stupnjem tajnosti TRES SECRET UE/EU TOP SECRET ne smiju se povjeriti komercijalnim kurirskim službama.

               11.Komercijalne kurirske službe smiju dostaviti pošiljke stupnja tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višeg samo nadzornom službeniku registarskog ureda, njegovu propisno ovlaštenom zamjeniku ili predviđenom primatelju. U unutarnju omotnicu ili unutarnji sloj ambalaže mora se staviti obrazac potvrde primitka koji primatelj ispunjava i vraća. Na potvrdi primitka, koja sama po sebi nije tajna, mora biti naveden referentni broj, datum i broj primjerka dokumenta, ali ne i naslov dokumenta.

               12.Potvrda dostave mora se nalaziti u vanjskoj omotnici ili vanjskom sloju ambalaže. Na potvrdi dostave, koja sama po sebi nije tajna, mora biti naveden referentni broj, datum i broj primjerka dokumenta, ali ne i naslov dokumenta.

               13.Kurirska služba mora dobiti i pošiljatelju dati dokaz o dostavi pošiljke u evidenciji potpisa ili kurir mora dobiti potvrde ili brojeve paketa.

               14.Pošiljatelj se mora povezati s imenovanim primateljem prije slanja pošiljke radi dogovora o prikladnom datumu i vremenu dostave.

               15.Komercijalne kurirske službe mogu angažirati podugovaratelja.

               16.Usluge komercijalnih kurirskih službi koje preporučeno poslane dokumente prenose elektroničkim putem ne smiju se upotrebljavati za klasificirane podatke EU-a.

               Mjere povezane s povjerljivim sastancima

               17.Institucije i tijela Unije moraju unaprijed upozoriti sudionike na namjeru da se na sastanku raspravlja o povjerljivim temama te na odgovarajuće sigurnosne mjere koje će se primjenjivati.

               18.Institucije i tijela Unije moraju provjeriti je li sudionicima povjerljivih sastanaka nužan pristup podacima te sudionici, prema potrebi, moraju proći sigurnosnu provjeru i/ili biti ovlašteni za odgovarajući stupanj tajnosti.

               19.Institucije i tijela Unije smiju raspravljati o klasificiranim podacima EU-a stupnja tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višeg samo u prostoriji za sastanke koja je akreditirana za odgovarajući stupanj tajnosti ili viši. Slično tome, ako se tijekom sastanka prenose klasificirani podaci, mora se upotrebljavati samo akreditirana informatička oprema. Predsjedatelj sastanka mora se pobrinuti da se svi neovlašteni prijenosni elektronički uređaji nalaze izvan prostorije za sastanke.

               20.Institucije i tijela Unije koji su organizatori sastanka moraju obavijestiti svoje sigurnosno tijelo o svim vanjskim posjetiteljima koji će sudjelovati na sastanku klasificiranom stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili višim koji se će se održati u prostorijama predmetne institucije ili tijela Unije.

               21.Za virtualne sastanke na kojima se prenose klasificirani podaci smiju se upotrebljavati samo komunikacijski i informacijski sustavi akreditirani u skladu s poglavljem 5. odjeljkom 5. ove Uredbe.

    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final

            PRILOG

            Prijedlogu UREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               PRILOG V.

               Zaštita klasificiranih podataka Europske unije u klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava

               Za potrebe ovog Priloga, uz definicije iz priloga II. i IV., „uvjerenje o sigurnosnoj provjeri pravne osobe” ili „USPPO” znači administrativna odluka nacionalnog sigurnosnog tijela, zaduženog sigurnosnog tijela ili bilo kojeg drugog nadležnog sigurnosnog tijela da, sa stajališta sigurnosti, pravna osoba može pružiti odgovarajuću razinu zaštite klasificiranih podataka EU-a do određenog stupnja tajnosti.

               Pristup osoblja ugovaratelja i korisnika klasificiranim podacima EU-a

               1.Svaka institucija ili tijelo Unije kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava osigurava da klasificirani ugovori ili klasificirani sporazumi o bespovratnim sredstvima sadržavaju odredbe prema kojima se osoblju ugovaratelja, podugovaratelja ili korisnika kojem je, za potrebe izvršenja klasificiranog ugovora, podugovora ili sporazuma o dodjeli bespovratnih sredstava, potreban pristup klasificiranim podacima EU-a, taj pristup omogućuje samo ako su ispunjeni sljedeći uvjeti:

               (a)za osoblje je utvrđena nužnost pristupa podacima;

               (b)nacionalno sigurnosno tijelo, zaduženo sigurnosno tijelo ili bilo koje drugo nadležno sigurnosno tijelo dodijelilo je osoblju uvjerenje o sigurnosnoj provjeri osobe (USP) odgovarajuće razine za podatke klasificirane stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET;

               (c)osoblje je upoznato s primjenjivim sigurnosnim pravilima za zaštitu klasificiranih podataka EU-a te je preuzelo odgovornost za zaštitu takvih podataka.

               2.Ako ugovaratelj ili korisnik želi na radno mjesto za koje je potreban pristup klasificiranim podacima EU-a stupnja tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET zaposliti državljanina zemlje koja nije članica EU-a, odgovornost je tog ugovaratelja ili korisnika da pokrene postupak za sigurnosnu provjeru te osobe u skladu s nacionalnim zakonima i propisima koji se primjenjuju na lokaciji na kojoj je potrebno odobriti pristup klasificiranim podacima EU-a.

               Uvjerenje o sigurnosnoj provjeri pravne osobe (USPPO)

               3.Uvjerenje o sigurnosnoj provjeri pravne osobe dodjeljuje nacionalno sigurnosno tijelo, zaduženo sigurnosno tijelo ili bilo koje drugo nadležno sigurnosno tijelo države članice kako bi naznačilo da u skladu s nacionalnim zakonima i propisima subjekt može zaštititi klasificirane podatke EU-a na odgovarajućem stupnju tajnosti (CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET) unutar svojih objekata.

               4.Institucija ili tijelo Unije kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava mora, putem svojeg sigurnosnog tijela, obavijestiti odgovarajuće nacionalno sigurnosno tijelo, zaduženo sigurnosno tijelo ili drugo nadležno sigurnosno tijelo o tome da je za izvršenje ugovora ili sporazuma o dodjeli bespovratnih sredstava potreban USPPO.

               5.USPPO je potreban ako se podaci EU-a klasificirani stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET moraju dostaviti u objekte kandidata, ponuditelja ili podnositelja zahtjeva tijekom natječajnog postupka ili postupka dodjele bespovratnih sredstava.

               6.Institucija ili tijelo Unije kao javni naručitelj ili tijelo za dodjelu bespovratnih sredstava mora, putem svojeg sigurnosnog tijela, dobiti potvrdu o USPPO-u za kandidata, ponuditelja ili ugovaratelja, odnosno za podnositelja zahtjeva za bespovratna sredstva ili korisnika, prije nego što mu odobri pristup klasificiranim podacima EU-a.

               7.Ako države članice ne izdaju USPPO-e za određene ustanove na temelju nacionalnih zakona, javni naručitelj ili tijelo za dodjelu bespovratnih sredstava mora provjeriti kod predmetnog nacionalnog sigurnosnog tijela ili zaduženog sigurnosnog tijela mogu li te ustanove postupati s klasificiranim podacima EU-a na potrebnom stupnju.

               8.Uz iznimku slučajeva iz točke 7., institucija ili tijelo Unije kao javni naručitelj ne smije potpisati klasificirani ugovor ili klasificirani sporazum o dodjeli bespovratnih sredstava prije nego što, putem svojeg sigurnosnog tijela, dobije potvrdu od relevantnog nacionalnog sigurnosnog tijela, zaduženog sigurnosnog tijela ili drugog nadležnog nacionalnog tijela da je odgovarajući USPPO izdan.

               9.Ako relevantno nacionalno sigurnosno tijelo, zaduženo sigurnosno tijelo ili drugo nadležno sigurnosno tijelo povuče USPPO, to je javnom naručitelju ili tijelu za dodjelu bespovratnih sredstava dovoljan razlog za raskid klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava ili za isključivanje kandidata, ponuditelja ili podnositelja zahtjeva iz natječaja.

               Odredbe za natječajni postupak povezan s klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava te njihovu provedbu

               10.Ako se klasificirani podaci EU-a dostave kandidatu, ponuditelju ili podnositelju zahtjeva tijekom postupka nabave ili odabira, u pozivu na natječaj ili pozivu na podnošenje prijedloga kandidata, ponuditelja ili podnositelja zahtjeva koji nije izabran mora se obvezati da sve klasificirane dokumente vrati u određenom roku.

               11.Nakon raskida klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava ili nakon prestanka sudjelovanja korisnika bespovratnih sredstava ugovaratelj ili korisnik bespovratnih sredstava u pravilu je dužan javnom naručitelju ili tijelu za dodjelu bespovratnih sredstava vratiti sve klasificirane podatke EU-a u svojem posjedu.

               12.Posebne odredbe o raspolaganju klasificiranim podacima EU-a tijekom provedbe ili nakon raskida klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava moraju se utvrditi u pismu o sigurnosnim aspektima.

               13.Ako je ugovaratelj ili korisnik bespovratnih sredstava po raskidu klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava ovlašten zadržati klasificirane podatke EU-a, dužan je i dalje poštovati minimalne standarde iz ove Uredbe te štititi povjerljivost klasificiranih podataka EU-a.

               14.Uvjeti relevantni za zaštitu klasificiranih podataka EU-a pod kojima ugovaratelj ili korisnik može sklopiti podugovor moraju se utvrditi u pozivu na natječaj ili u pozivu na podnošenje prijedloga te u klasificiranom ugovoru ili klasificiranom sporazumu o dodjeli bespovratnih sredstava.

               15.Ugovaratelj ili korisnik mora prije podugovaranja bilo kojeg dijela klasificiranog ugovora ili klasificiranih dijelova sporazuma o dodjeli bespovratnih sredstava dobiti dopuštenje javnog naručitelja ili tijela za dodjelu bespovratnih sredstava.

               16.Ugovaratelj ili korisnik mora osigurati da su sve aktivnosti podugovaranja poduzete u skladu s minimalnim standardima utvrđenima ovom Uredbom i ne smije dostavljati klasificirane podatke EU-a podugovaratelju bez prethodne pisane suglasnosti javnog naručitelja ili tijela za dodjelu bespovratnih sredstava.

               17.Kad je riječ o klasificiranim podacima EU-a koje je stvorio ugovaratelj ili korisnik, institucija ili tijelo Unije koje je javni naručitelj ili tijelo za dodjelu bespovratnih sredstava smatra se autorom tih podataka i ostvaruje prava koja pripadaju autoru podataka.

               18.Ako države članice na temelju svojih nacionalnih zakona i propisa zahtijevaju USPPO ili uvjerenje o sigurnosnoj provjeri osobe za ugovore, sporazume o dodjeli bespovratnih sredstava ili podugovore stupnja tajnosti RESTREINT UE/EU RESTRICTED, institucije i tijela Unije kao javni naručitelji ili tijela za dodjelu bespovratnih sredstava ne smiju na temelju tih nacionalnih zahtjeva nalagati dodatne obveze drugim državama članicama niti iz povezanih ugovora, sporazuma o dodjeli bespovratnih sredstava ili podugovora ili nadmetanja za njih isključivati ponuditelje, podnositelje zahtjeva, ugovaratelje, korisnike ili podugovaratelje iz država članica koje nemaju takve zahtjeve u pogledu USPPO-a ili uvjerenja o sigurnosnoj provjeri za pristup podacima stupnja tajnosti RESTREINT UE/EU RESTRICTED.

               Posjeti povezani s klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava

               19.Ako je institucijama i tijelima Unije, ugovarateljima, korisnicima ili podugovarateljima u kontekstu provedbe klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava potreban pristup podacima klasificiranima stupnjem tajnosti SECRET UE/EU SECRET u prostorijama jednih ili drugih, posjeti se moraju organizirati u dogovoru s predmetnim nacionalnim sigurnosnim tijelima, zaduženim sigurnosnim tijelima ili drugim nadležnim sigurnosnim tijelima.

               20.Na posjete iz stavka 19. primjenjuju se sljedeći zahtjevi:

               (a)posjeti se moraju obavljati u službene svrhe povezane s klasificiranim ugovorom ili klasificiranim sporazumom o dodjeli bespovratnih sredstava;

               (b)za pristup klasificiranim podacima EU-a koji su korišteni ili nastali pri provedbi klasificiranog ugovora ili klasificiranog sporazuma o dodjeli bespovratnih sredstava posjetitelji moraju imati uvjerenje o sigurnosnoj provjeri potrebne razine i utvrđenu nužnost pristupa podacima;

               (c)najmanje 15 dana prije datuma posjeta relevantnom nacionalnom sigurnosnom tijelu ili zaduženom sigurnosnom tijelu pravne osobe ili sigurnosnom tijelu predmetne institucije ili tijela Unije mora se dostaviti službeni zahtjev za posjet.

               21.U okviru konkretnih projekata relevantno nacionalno sigurnosno tijelo ili zaduženo sigurnosno tijelo i sigurnosno tijelo predmetne institucije ili tijela Unije mogu dogovoriti postupak kojim posjetiteljev službenik za sigurnost i službenik za sigurnost pravne osobe koju se posjećuje mogu izravno organizirati posjete povezane s konkretnim klasificiranim ugovorom ili klasificiranim sporazumom o dodjeli bespovratnih sredstava. Takav izvanredni postupak mora se utvrditi u sigurnosnim uputama za program ili projekt ili drugim posebnim aranžmanima.

               22.Posjeti koji uključuju pristup podacima klasificiranima stupnjem tajnosti RESTREINT UE/EU RESTRICTED moraju se organizirati izravno između subjekta koji šalje i subjekta koji prima posjetitelja.

               Elektroničko slanje klasificiranih podataka EU-a povezano s klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava

               23.Elektroničko postupanje s klasificiranim podacima EU-a i elektroničko slanje tih podataka moraju se obavljati u skladu s poglavljem 5. odjeljkom 5.

               Komunikacijske i informacijske sustave („CIS”) u vlasništvu ugovaratelja, korisnika ili podugovaratelja koji se upotrebljavaju za postupanje s klasificiranim podacima EU-a u svrhu provedbe ugovora ili sporazuma o dodjeli bespovratnih sredstava mora akreditirati tijelo za sigurnosnu akreditaciju zemlje ili međunarodne organizacije pod čijom nadležnošću djeluje ugovaratelj, korisnik ili podugovaratelj.

               Svako elektroničko slanje klasificiranih podataka EU-a u kontekstu klasificiranih ugovora i klasificiranih sporazuma o dodjeli bespovratnih sredstava mora biti zaštićeno kriptografskim proizvodima odobrenima u skladu s člankom 42.

               24.Sigurnosna akreditacija CIS-a ugovaratelja ili korisnika koji postupa s klasificiranim podacima EU-a stupnja tajnosti RESTREINT UE/EU RESTRICTED i svako njihovo međusobno povezivanje mogu se delegirati službeniku za sigurnost ugovaratelja ili korisnika ako je to dopušteno nacionalnim zakonima i propisima.

               Ako se zadaća sigurnosnog akreditiranja delegira, ugovaratelj ili korisnik mora biti odgovoran za to da su pri postupanju s podacima stupnja tajnosti RESTREINT UE/EU RESTRICTED u njegovu CIS-u ispunjeni sigurnosni zahtjevi opisani u pismu o sigurnosnim aspektima. Relevantna nacionalna sigurnosna tijela i tijela za sigurnosnu akreditaciju i dalje su odgovorni za zaštitu podataka stupnja tajnosti RESTREINT UE/EU RESTRICTED s kojima postupa ili koje pohranjuje ugovaratelj ili korisnik i zadržavaju pravo na inspekciju sigurnosnih mjera koje je poduzeo ugovaratelj ili korisnik.

               Nadalje, ugovaratelj ili korisnik mora instituciji i tijelu Unije kao javnom naručitelju ili tijelu za dodjelu bespovratnih sredstava i, ako se to zahtijeva nacionalnim zakonima i propisima, nadležnom nacionalnom tijelu za sigurnosnu akreditaciju podnijeti izjavu o sukladnosti kojom potvrđuje da su CIS ugovaratelja ili korisnika i povezane međusobne veze akreditirani za postupanje s klasificiranim podacima EU-a stupnja tajnosti RESTREINT UE/EU RESTRICTED i njihovo pohranjivanje.

               Ručni prijenos klasificiranih podataka EU-a povezano s klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava

               25.Na ručni prijenos klasificiranih podataka povezan s klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava moraju se primjenjivati strogi sigurnosni zahtjevi.

               26.Osoblje ugovaratelja ili korisnika može ručno prenositi podatke stupnja tajnosti RESTREINT UE/EU RESTRICTED unutar Europske unije ako su ispunjeni sljedeći zahtjevi:

               (a)upotrebljava se neprozirna omotnica ili ambalaža bez oznake stupnja tajnosti sadržaja;

               (b)nositelj cijelo vrijeme drži klasificirane podatke uza se;

               (c)omotnica ili ambalaža ne otvara se dok ne stigne do krajnjeg odredišta.

               27.Ručni prijenos podataka klasificiranih stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET UE/EU SECRET koji osoblje korisnika obavlja unutar države članice dogovara se unaprijed između subjekata koji šalju i primaju podatke.

               Tijelo ili pravna osoba koja šalje podatke obavješćuje tijelo ili pravnu osobu koja prima podatke o detaljima pošiljke, među ostalim o referentnoj oznaci, stupnju tajnosti, očekivanom vremenu dolaska i imenu kurirske službe. Ručni prijenos dopušten je ako su ispunjeni sljedeći zahtjevi:

               (a)klasificirani podaci prenose se u dvostrukoj omotnici ili ambalaži;

               (b)vanjska omotnica ili ambalaža dobro je zatvorena i nema oznaku tajnosti sadržaja, dok se na unutarnjoj omotnici navodi stupanj tajnosti;

               (c)nositelj cijelo vrijeme drži klasificirane podatke EU-a uza se;

               (d)omotnica ili ambalaža ne otvara se dok ne stigne do krajnjeg odredišta;

               (e)omotnica ili ambalaža prenosi se u aktovci koja se može zaključati ili sličnom odobrenom spremniku čija veličina i masa omogućuju da ih nositelj cijelo vrijeme drži uza se;

               (f)kurir nosi kurirsku potvrdu koju mu je izdalo njegovo nadležno sigurnosno tijelo i kojom ga to tijelo ovlašćuje za prijenos utvrđene klasificirane pošiljke.

               28.Uz zahtjeve utvrđene u točki 27., na ručni prijenos podataka klasificiranih stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET iz jedne države članice u drugu primjenjuju se sljedeća dodatna pravila:

               (a)kurir je odgovoran za sigurno čuvanje klasificiranog materijala koji nosi sve do njegove predaje primatelju;

               (b)u slučaju povrede sigurnosti nacionalno sigurnosno tijelo ili zaduženo sigurnosno tijelo pošiljatelja može zatražiti da tijela u zemlji u kojoj se dogodila povreda provedu istragu, izvijeste o njezinim rezultatima i, prema potrebi, poduzmu primjerene pravne ili druge mjere;

               (c)kurira se mora upoznati sa svim sigurnosnim obvezama kojih se treba pridržavati pri prijenosu te on mora potpisati odgovarajuću izjavu;

               (d)upute kuriru moraju se priložiti kurirskoj potvrdi;

               (e)kuriru se mora dati opis pošiljke i plan kretanja;

               (f)nakon završetka putovanja kurirska potvrda i povezani dokumenti moraju se vratiti nacionalnom sigurnosnom tijelu ili zaduženom sigurnosnom tijelu koje ih je izdalo ili ih primatelj kurirske potvrde mora držati dostupnima za potrebe praćenja;

               (g)ako carina, tijelo nadležno za imigraciju ili granična policija zatraži pregled i inspekciju pošiljke, mora im se dopustiti otvaranje pošiljke i pregled njezinih dijelova koji su dovoljni da se utvrdi da pošiljka sadržava samo prijavljeni materijal;

               (h)carinska tijela trebalo bi pozvati da poštuju službenu ovlast otpremnih dokumenata i dokumenata odobrenja koje prenosi kurir.

               Ako carina otvara pošiljku, treba je otvoriti izvan vidokruga neovlaštenih osoba i, ako je moguće, u prisutnosti kurira. Kurir mora od tijela koja provode inspekciju zahtijevati da se pošiljka prepakira i tražiti da pošiljku ponovno zapečate i u pisanom obliku potvrde da su je oni otvorili.

               29.Na ručni prijenos podataka klasificiranih stupnjem tajnosti SECRET UE/EU SECRET u treću zemlju ili međunarodnu organizaciju koji obavlja osoblje ugovaratelja ili korisnika primjenjuju se odredbe sporazuma o sigurnosti podataka koji je Europska unija sklopila s tom trećom zemljom ili međunarodnom organizacijom.

               Prijevoz klasificiranih podataka EU-a komercijalnim kurirskim službama i kao tereta povezan s klasificiranim ugovorima i klasificiranim sporazumima o dodjeli bespovratnih sredstava

               30.Prijevoz klasificiranih podataka EU-a komercijalnim kurirskim službama mora se obavljati u skladu s odgovarajućim odredbama Priloga IV.

               31.Pri utvrđivanju sigurnosnih mjera za prijevoz klasificiranog materijala kao tereta moraju se primijeniti sljedeća načela:

               (a)zaštita mora biti osigurana u svim fazama prijevoza od mjesta podrijetla do konačnog odredišta;

               (b)stupanj zaštite dodijeljen pošiljci mora se odrediti na temelju najvišeg stupnja tajnosti materijala sadržanog u pošiljci;

               (c)poduzeća koja obavljaju prijevoz moraju pribaviti USPPO za odgovarajući stupanj. U takvim slučajevima osoblje koje rukuje pošiljkom mora proći sigurnosnu provjeru;

               (d)prije prekograničnog kretanja materijala klasificiranog stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ili SECRET UE/EU SECRET pošiljatelj mora sastaviti plan prijevoza koji mora odobriti predmetno nacionalno sigurnosno tijelo ili zaduženo sigurnosno tijelo ili bilo koje drugo nadležno sigurnosno tijelo;

               (e)putovanja moraju biti izravna u mjeri u kojoj je to moguće te završiti u najkraćem mogućem vremenu koje dopuštaju okolnosti;

               (f)kad god je to moguće, rute moraju prolaziti samo kroz države članice. Rutama kroz treće zemlje smije se prolaziti samo ako to odobri nacionalno sigurnosno tijelo, zaduženo sigurnosno tijelo ili drugo nadležno sigurnosno tijelo države pošiljatelja i države primatelja.

    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak---

               EUROPSKA KOMISIJA
            Bruxelles, 22.3.2022.
            COM(2022) 119 final

            PRILOG

            PrijedloguUREDBE EUROPSKOG PARLAMENTA I VIJEĆA
            o sigurnosti podataka u institucijama, tijelima, uredima i agencijama Unije
            {SWD(2022) 65 final} - {SWD(2022) 66 final}

               PRILOG VI.

               Ekvivalentnost stupnjeva tajnosti

               Ekvivalentni stupnjevi tajnosti država članica i EURATOM-a

                        EU

                        TRES SECRET UE/EU TOP SECRET

                        SECRET UE/EU SECRET

                        CONFIDENTIEL UE/EU CONFIDENTIAL

                        RESTREINT UE/EU RESTRICTED

                        EURATOM

                        EURA TOP SECRET

                        EURA SECRET

                        EURA CONFIDENTIAL

                        EURA RESTRICTED

                        Belgija

                        Très Secret (Loi 11.12.1998.)

                        Zeer Geheim (Wet 11.12.1998.)

                        Secret (Loi 11.12.1998.)

                        Geheim (Wet 1.12.1998.)

                        Confidentiel (Loi 11.12.1998.)

                        Vertrouwelijk (Wet 11.12.1998.)

                        napomena
                           1
                         u nastavku

                        Bugarska

                        Строго секретно

                        Секретно

                        Поверително

                        За служебно ползване

                        Češka

                        Přísně tajné

                        Tajné

                        Důvěrné

                        Vyhrazené

                        Danska

                        YDERST HEMMELIGT

                        HEMMELIGT

                        FORTROLIGT

                        TIL TJENESTEBRUG

                        Njemačka

                        STRENG GEHEIM

                        GEHEIM

                        VS
                           2
                         — VERTRAULICH

                        VS — NUR FÜR DEN DIENSTGEBRAUCH

                        Estonija

                        Täiesti salajane

                        Salajane

                        Konfidentsiaalne

                        Piiratud

                        Irska

                        Top Secret

                        Secret

                        Confidential

                        Restricted

                        Grčka

                        Άκρως Απόρρητο

                        Kratica: ΑΑΠ

                        Απόρρητο

                        Kratica: (ΑΠ)

                        Εμπιστευτικό

                        Kratica: (ΕΜ)

                        Περιορισμένης Χρήσης

                        Kratica: (ΠΧ)

                        Španjolska

                        SECRETO

                        RESERVADO

                        CONFIDENCIAL

                        DIFUSIÓN LIMITADA

                        Francuska

                        TRÈS SECRET

                        TRÈS SECRET DÉFENSE
                           3

                        SECRET

                        SECRET DÉFENSE (3)

                        CONFIDENTIEL DÉFENSE (3)
                           4

                        napomena
                           5
                         u nastavku

                        Hrvatska

                        VRLO TAJNO

                        TAJNO

                        POVJERLJIVO

                        OGRANIČENO

                        Italija

                        Segretissimo

                        Segreto

                        Riservatissimo

                        Riservato

                        Cipar

                        Άκρως Απόρρητο

                        Kratica: (ΑΑΠ)

                        Απόρρητο

                        Kratica: (ΑΠ)

                        Εμπιστευτικό

                        Kratica: (ΕΜ)

                        Περιορισμένης Χρήσης

                        Kratica: (ΠΧ)

                        Latvija

                        Sevišķi slepeni

                        Slepeni

                        Konfidenciāli

                        Dienesta vajadzībām

                        Litva

                        Visiškai slaptai

                        Slaptai

                        Konfidencialiai

                        Riboto naudojimo

                        Luksemburg

                        Très Secret Lux

                        Secret Lux

                        Confidentiel Lux

                        Restreint Lux

                        Mađarska

                        Szigorúan titkos!

                        Titkos!

                        Bizalmas!

                        Korlátozott terjesztésű!

                        Malta

                        L-Ogħla Segretezza

                        Top Secret

                        Sigriet

                        Secret

                        Kunfidenzjali

                        Confidential

                        Ristrett

                        Restricted
                           6

                        Nizozemska

                        Stg. ZEER GEHEIM

                        Stg. GEHEIM

                        Stg. CONFIDENTIEEL

                        Dep. VERTROUWELIJK

                        Austrija

                        Streng Geheim

                        Geheim

                        Vertraulich

                        Eingeschränkt

                        Poljska

                        Ściśle Tajne

                        Tajne

                        Poufne

                        Zastrzeżone

                        Portugal

                        Muito Secreto

                        Secreto

                        Confidencial

                        Reservado

                        Rumunjska

                        Strict secret de importanță deosebită

                        Strict secret

                        Secret

                        Secret de serviciu

                        Slovenija

                        STROGO TAJNO

                        TAJNO

                        ZAUPNO

                        INTERNO

                        Slovačka

                        Prísne tajné

                        Tajné

                        Dôverné

                        Vyhradené

                        Finska

                        ERITTÄIN SALAINEN

                        YTTERST HEMLIG

                        SALAINEN

                        HEMLIG

                        LUOTTAMUKSELLINEN

                        KONFIDENTIELL

                        KÄYTTÖ RAJOITETTU

                        BEGRÄNSAD TILLGÅNG

                        Švedska

                        Kvalificerat hemlig

                        Hemlig

                        Konfidentiell

                        Begränsat hemlig

                     (1)

                        Diffusion Restreinte/Beperkte Verspreiding nije stupanj tajnosti u Belgiji. Belgija postupa s podacima klasificiranima stupnjem tajnosti „RESTREINT UE/EU RESTRICTED” i štiti ih kako je utvrđeno u Sporazumu između država članica Europske unije, koje su se sastale u okviru Vijeća, o zaštiti klasificiranih podataka koji se razmjenjuju u interesu Europske unije (2011/C 202/05).

                     (2)

                        Njemačka: VS = Verschlusssache.

                     (3)

                        S podacima koje je Francuska stvorila prije 1. srpnja 2021. i koje su klasificirane stupnjem tajnosti „TRÈS SECRET DÉFENSE”, „SECRET DÉFENSE” i „CONFIDENTIEL DÉFENSE” i dalje se postupa te ih se i dalje štiti na ekvivalentnom stupnju tajnosti kao „TRÈS SECRET UE/EU TOP SECRET”, „SECRET UE/EU SECRET” i „CONFIDENTIEL UE/EU CONFIDENTIAL”.

                     (4)

                        Francuska s podacima klasificiranima stupnjem tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL postupa i štiti ih u skladu s francuskim sigurnosnim mjerama za zaštitu podataka stupnja tajnosti „Secret”.

                     (5)

                        Francuska u svojem nacionalnom sustavu ne upotrebljava stupanj tajnosti „RESTREINT”. Francuska postupa s podacima klasificiranima stupnjem tajnosti „RESTREINT UE/EU RESTRICTED” i štiti ih kako je utvrđeno u Sporazumu između država članica Europske unije, koje su se sastale u okviru Vijeća, o zaštiti klasificiranih podataka koji se razmjenjuju u interesu Europske unije (2011/C 202/05).

                     (6)

                        Za Maltu se mogu upotrebljavati oznake i na malteškom i na engleskom jeziku.