title: Az Unió külügyi és biztonságpolitikai főképviselőjének határozata ( 2013. április 19. ) az Európai Külügyi Szolgálat biztonsági szabályairól

text:
               29.6.2013

               HU

               Az Európai Unió Hivatalos Lapja

               C 190/1

         AZ UNIÓ KÜLÜGYI ÉS BIZTONSÁGPOLITIKAI FŐKÉPVISELŐJÉNEK HATÁROZATA
   (2013. április 19.)
   az Európai Külügyi Szolgálat biztonsági szabályairól
   (2013/C 190/01)
   AZ UNIÓ KÜLÜGYI ÉS BIZTONSÁGPOLITIKAI FŐKÉPVISELŐJE,
   tekintettel az Európai Külügyi Szolgálat (1) (EKSZ) szervezetének és működésének a megállapításáról szóló, 2010. július 26-i 2010/427/EU tanácsi határozatra,
   tekintettel az Európai Külügyi Szolgálat biztonsági szabályairól szóló, 2011. június 15-i főképviselői határozat (2) 9. cikke (6) bekezdésében említett bizottság véleményére,
   tekintettel az Európai Külügyi Szolgálat szervezetének és működésének megállapításáról szóló, 2010. július 26-i 2010/427/EU tanácsi határozat 10. cikke (1) bekezdésében említett bizottság véleményére,
   mivel:

               (1)

               Az EKSZ-nek az Európai Unió önálló, függetlenül működő szerveként a 2010/427/EU tanácsi határozat 10. cikkének (1) bekezdése szerinti biztonsági szabályokkal kell rendelkeznie;

               (2)

               Az Unió külügyi és biztonságpolitikai főképviselője (a továbbiakban: főképviselő) határoz az EKSZ működésének valamennyi biztonsági szempontjára kiterjedő biztonsági szabályzatról, annak érdekében, hogy az EKSZ hatékonyan kezelje a felelőssége alá tartozó személyzetet, a fizikai eszközeit, a birtokában lévő adatokat és a látogatóit veszélyeztető kockázati tényezőket, valamint hogy e tekintetben eleget tegyen gondossági kötelezettségének;

               (3)

               Különösen az EKSZ felelőssége alá tartozó személyzetnek, az EKSZ fizikai eszközeinek, – beleértve a kommunikációs és információs rendszereket –, a birtokában lévő adatoknak és a látogatóinak kell olyan szintű védelmet biztosítani, ami összhangban áll a Tanács, a Bizottság, a tagállamok és adott esetben nemzetközi szervezetek bevált gyakorlataival;

               (4)

               Az EKSZ biztonsági szabályainak segítenie kell koherensebb átfogó, általános keretet kialakítani az Európai Unión belül az EU-minősített adatok (EUCI) védelmére, az Európai Unió Tanácsa (a továbbiakban: a Tanács) biztonsági szabályai és a Bizottság biztonsági rendelkezései alapján és és azokkal a lehető legkoherensebb módon;

               (5)

               Az EKSZ, a Tanács és a Bizottság elkötelezett aziránt, hogy egyenértékű biztonsági előírásokat alkalmazzanak az EU-minősített adatok védelmére vonatkozóan;

               (6)

               Ez a határozat nem érinti az Európai Unió működéséről szóló szerződés (EUMSZ) 15. és 16. cikkét, valamint az azokat végrehajtó jogi aktusokat;

               (7)

               Szükség van az EKSZ-en belüli biztonsági szervezet kialakítására, valamint a biztonsági feladatoknak az EKSZ szervezetén belüli felosztására;

               (8)

               A főképviselő a szükséges mértékig igénybe veszi a tagállamok, a Tanács Főtitkársága és a Bizottság szakértelmét;

               (9)

               A főképviselő a tagállamok, a Tanács Főtitkársága és a Bizottság támogatásával megtesz minden megfelelő intézkedést, amelyek e szabályok végrehajtásához szükségesek.

         ELFOGADTA A KÖVETKEZŐ HATÁROZATOT:
   1. cikk
   Tárgy és hatály
   A határozat az Európai Külügyi Szolgálat biztonsági szabályait fekteti le (a továbbiakban: az EKSZ biztonsági szabályai).
   Az Európai Külügyi Szolgálat szervezetének és működésének a megállapításáról szóló, 2010. július 26-i 2010/427/EU tanácsi határozat 10. cikkének (1) bekezdése értelmében a biztonsági szabályokat az EKSZ személyzetére és az uniós küldöttségek teljes személyzetére kell alkalmazni, függetlenül az egyes személyek jogállásától vagy kinevezésének módjától, valamint meg kell határoznia az általános szabályozási keretet, a 2. cikkben említettek szerint az EKSZ felelőssége alá tartozó személyzettel, az EKSZ helyiségeivel, a fizikai eszközeivel, a birtokában lévő adatokkal és a látogatóival kapcsolatos kockázatok hatékony kezelése tekintetében.
   2. cikk
   Fogalommeghatározások
   E határozat alkalmazásában:
   a)   Az „EKSZ személyzete”: az EKSZ tisztviselői és egyéb alkalmazottai, beleértve a tagállamok diplomáciai szolgálatainak ideiglenes alkalmazottként kinevezett tagjait, kirendelt nemzeti szakértőket, az Európai Külügyi Szolgálat szervezetének és működésének a megállapításáról szóló, 2010. július 26-i 2010/427/EU tanácsi határozat 6. cikkében meghatározottaknak megfelelően.
   b)   Az „EKSZ felelőssége alá tartozó személyzet”: az EKSZ személyzete és az uniós küldöttségek teljes személyzete, függetlenül az egyes személyek jogállásától vagy kinevezésének módjától, valamint e határozat összefüggésében a főképviselő és, adott esetben az EKSZ székhelyének helyiségeiben tevékenykedő egyéb személyzete.
   c)   Az „eltartott családtagok”: az uniós küldöttségeken az EKSZ felelőssége alá tartozó személyzet háztartásában élő családtagok, a fogadó állam külügyminisztériumának tett bejelentésnek megfelelően.
   d)   Az „EKSZ helyiségei”: az EKSZ létesítményei, beleértve az épületeket, irodákat, termeket és egyéb területeket, valamint az olyan területeket, amelyek kommunikációs és információs rendszereknek adnak helyet (beleértve az EU-minősített adatokat kezelő területeket), ahol az EKSZ állandó vagy ideiglenes tevékenységet folytat.
   e)   Az „EKSZ biztonsági érdekeltségei”: az EKSZ felelőssége alá tartozó személyzete, az EKSZ helyiségei, az eltartott családtagok, a fizikai eszközök, beleértve a kommunikációs és információs rendszereket, a birtokában lévő adatok és a látogatók.
   f)   Az „EU-minősített adat”: bármely olyan EU biztonsági minősítéssel ellátott adat és anyag, amelynek engedély nélküli hozzáférhetővé tétele különböző mértékben sértheti az Európai Unió, illetve egy vagy több tagállam érdekeit.
   Egyéb meghatározások a vonatkozó mellékletekben és az A. függelékben szerepelnek.
   3. cikk
   Gondossági kötelezettség
   (1)   Az EKSZ biztonsági szabályok célja, hogy megfeleljen az EKSZ gondossági kötelezettségével kapcsolatos feladatoknak.
   (2)   Az EKSZ gondossági kötelezettségeibe beletartozik a kellő gondosság valamennyi ésszerű lépés megtételére a biztonsági intézkedések végrehajtása érdekében az EKSZ biztonsági érdekeltségeit érintő ésszerűen előre látható károk megelőzésére.
   Az felöleli a biztonsági és a védelmi elemeket, beleértve a vészhelyzetből vagy válságból adódóakat, azok jellegétől függetlenül.
   (3)   Figyelembe véve a tagállamok, az uniós intézmények vagy szervek és az uniós küldöttségeken és/vagy az uniós küldöttségek helyiségeiben személyzettel rendelkező egyéb érdekelt felek, gondossági kötelezettségeit, vagy az ilyen felelősséget, amely az EKSZ-re hárul, amennyiben az uniós küldöttségeknek a fent említett egyéb érdekelt felek helyiségei adnak otthont, az EKSZ-nek igazgatási megállapodásokat kell kötnie a fenti szervezetek mindegyikével, amelyekben ki kell térni a rájuk vonatkozó szerepre, felelősségi körre, feladatokra és együttműködési mechanizmusokra.
   4. cikk
   Fizikai és infrastruktúra-biztonság
   (1)   Az EKSZ-nek megfelelő (állandó vagy ideiglenes) biztonsági intézkedéseket kell foganatosítania, beleértve a hozzáférés-ellenőrzési intézkedéseket, az EKSZ minden helyiségében az EKSZ biztonsági érdekeltségeinek védelmére. Az ilyen intézkedéseket figyelembe kell venni az új helyiségek kialakításánál és tervezésénél vagy meglévő helyiségek bérlése előtt.
   (2)   A harmadik országokban az EKSZ-nek további megfelelő állandó vagy ideiglenes fizikai)biztonsági intézkedéseket is be kell vezetnie biztonsági érdekeltségeinek védelmére.
   Ennek érdekében az EKSZ felelőssége alá tartozó személyzet és eltartott családtagjaik számára biztonsági okokból különleges kötelezettségeket és korlátozásokat írhatnak elő meghatározott időszakra meghatározott területeken.
   (3)   Az (1) és (2) bekezdésben említett intézkedéseknek arányosnak kell lenniük a becsült kockázatokkal.
   5. cikk
   A minősített adatok védelme
   (1)   Az EU-minősített adatok védelmére az ebben a határozatban, és különösen az A. mellékletben megállapított követelmények vonatkoznak. Az EU-minősített adatok birtokosai felelősek az adatok e határozat szerinti védelméért.
   (2)   Az EKSZ biztosítja, hogy a minősített adatokhoz való hozzáférést csak olyan személyeknek adják meg, akik megfelelnek az A. melléklet 5. cikkében előírt feltételeknek.
   (3)   A főképviselőnek kell meghatároznia azokat a feltételeket is, amelyek alapján a helyi alkalmazottak hozzáférhetnek az EU-minősített adatokhoz, az e határozat A. mellékletében előírt, az EU-minősített adatok védelmére vonatkozó szabályokkal összhangban.
   (4)   Az EKSZ Biztonsági Igazgatósága kezeli az EKSZ felelőssége alá tartozó személyzet és az EKSZ-szel szerződéses jogviszonyban álló vállalkozók biztonsági tanúsítványának állapotára vonatkozó adatbázist.
   (5)   Ha egy tagállam nemzeti biztonsági minősítési jelzéssel ellátott minősített adatot visz be az EKSZ struktúráiba vagy hálózatába, az EKSZ az EU-minősített adatokra alkalmazandó, megfelelő szintű előírásoknak megfelelően védi az ilyen adatokat, az e határozat A. melléklete alapján alkalmazandó szabályok szerint.
   (6)   Az EKSZ-hez tartozó területeken a CONFIDENTIEL UE/EU CONFIDENTIAL vagy ennél magasabb, vagy ezeknek megfelelő minősítésű dokumentumok tárolására szolgáló helyiségeket biztonsági területként alakítják ki az e határozat A. mellékletéből következő szabályoknak megfelelően, amelyeket az EKSZ biztonsági hatóságának jóvá kell hagyni.
   (7)   A főképviselőnek az EU-minősített adatok harmadik államokkal vagy nemzetközi szervezetekkel történő cseréjére vonatkozó megállapodások vagy igazgatási megállapodások szerinti feladataival kapcsolatos eljárások leírása e határozat A. és A.VI. mellékleteiben szerepel.
   6. cikk
   Biztonsági események és vészhelyzetek
   (1)   A biztonsági eseményekre időben történő hatékony válaszadás érdekében az EKSZ eljárást alakít ki az ilyen incidensekről és vészhelyzetekről szóló jelentésre vonatkozóan, amelynek a hét minden napján, napi huszonnégy órában kell működnie, és kiterjed az EKSZ biztonsági érdekeltségeit érintő bármely biztonsági eseményre vagy fenyegetésre (például a baleset, konfliktus, rosszhiszemű cselekmény, bűncselekmény, emberrablás és túszejtés vagy egészségügyi vészhelyzet, a kommunikációs és információs rendszerrel kapcsolatos incidensek, informatikai támadások, stb.).
   (2)   Vészhelyzeti összeköttetési csatornákat hoznak létre az EKSZ székhelye, az uniós küldöttségek, a Tanács, a Bizottság, az EU különleges képviselői és a tagállamok között, a személyzetet érintő súlyos biztonsági események és következményeik kezelésében történő támogatásuk érdekében, beleértve a vészhelyzeti tervezést is.
   (3)   A biztonsági események kezelése többek között az alábbiakra terjed ki:

               —

               a politikai döntéshozatal hatékony támogatására vonatkozó eljárások a személyzetet érintő súlyos biztonsági eseménnyel kapcsolatban, beleértve a misszió kivonásával vagy felfüggesztésével kapcsolatos döntéseket is; továbbá

               —

               az alkalmazottak mentésére irányuló politika és eljárások — pl. a személyzet tagjainak eltűnése vagy emberrablás és túszejtés esetén, figyelembe véve a tagállamok, az uniós intézmények és az EKSZ különleges feladatait e tekintetben. A tagállamok által rendelkezésre bocsátható források szem előtt tartásával kerül mérlegelésre, hogy szükség van-e ezekre vonatkozó különleges képességekre az ilyen műveletek irányítása során.

         (4)   Az EKSZ megfelelő adminisztratív intézkedéseket vezet be az uniós küldöttségeken bekövetkező biztonsági eseményekről szóló jelentésekre vonatkozóan. Szükség esetén tájékoztatják a tagállamokat, a Bizottságot, az egyéb érintett hatóságot, valamint az érintett biztonsági bizottságokat.
   (5)   Szükség van az incidenskezelési eljárások rendszeres gyakorlására és felülvizsgálatára.
   7. cikk
   A kommunikációs és információs rendszerek biztonsága
   (1)   Az EKSZ védelmet biztosít a kommunikációs és információs rendszerek által kezelt adatoknak a bizalmas kezelésüket, sértetlenségüket, hozzáférhetőségüket, hitelességüket és letagadhatatlanságukat érintő fenyegetések ellen.
   (2)   Az EKSZ tulajdonában lévő vagy általa üzemeltetett valamennyi kommunikációs és információs rendszer védelmére vonatkozó szabályokat, biztonsági politikát és biztonsági programot az EKSZ biztonsági hatóságának kell jóváhagynia a 12. cikk, I. szakaszának (1) bekezdésében meghatározottak szerint.
   (3)   A szabályoknak, a politikának és a programnak összhangban kell lennie és végrehajtásukat szorosan össze kell hangolni a Tanács és a Bizottság szabályaival, politikáival és programjaival és adott esetben a tagállamok által alkalmazott biztonsági politikákkal.
   (4)   Minden minősített adatot kezelő kommunikációs és információs rendszert akkreditációs eljárásnak kell alávetni. Az EKSZ a Tanács Főtitkárságával és a Bizottsággal konzultálva a biztonsági akkreditációt irányító rendszert alkalmaz.
   (5)   Ha az EKSZ által kezelt EU-minősített adatok védelmét kriptográfiai termékekkel biztosítják, az ilyen termékeket az EKSZ kriptográfiai jóváhagyó hatósága hagyja jóvá a Tanács Biztonsági Bizottságának ajánlása alapján.
   (6)   Az EKSZ biztonsági hatósága a szükséges mértékig a következő információvédelmi feladatköröket hozza létre:

               a)

               információvédelmi hatóság;

               b)

               TEMPEST-hatóság;

               c)

               kriptográfiai jóváhagyó hatóság;

               d)

               kriptográfiai terjesztési hatóság.

         (7)   Minden rendszerhez az EKSZ biztonsági hatósága a következő tisztségeket hozza létre:

               (a)

               biztonsági akkreditációs hatóság;

               (b)

               információvédelmi üzemeltetési hatóság.

         (8)   Az e cikk végrehajtására vonatkozó rendelkezéseket az EU-minősített adatok védelmének tekintetében az A. és az A.IV. mellékletek tartalmazzák.
   8. cikk
   A biztonsági szabályok megsértése és az EU-minősített adatok illetéktelen tudomására jutása
   (1)   A biztonsági szabályok megsértése az e határozatban foglalt biztonsági szabályokkal és/vagy az annak végrehajtásához szükséges intézkedéseket megállapító, a 20. cikk (1) bekezdésével összhangban jóváhagyott biztonsági politikákkal vagy iránymutatásokkal ellentétes cselekmény vagy mulasztás eredményeként következik be.
   (2)   Az EU-minősített adatok illetéktelen tudomására jutása akkor következik be, ha az adatok részben vagy egészben illetéktelen személyek tudomására jutnak.
   (3)   A biztonsági szabályok megsértését vagy azok feltételezett megsértését minden esetben haladéktalanul jelenteni kell az EKSZ Biztonsági Igazgatóságának, amely az A. mellékletben előírtak alapján megteszi a szükséges intézkedéseket.
   (4)   Az e határozatban megállapított biztonsági szabályokat megsértő, vagy a minősített adatok illetéktelen tudomására jutásáért felelős személy a vonatkozó jogszabályok és rendelkezések és szabályzatok szerint fegyelmi és/vagy jogi eljárás alá vonható, az A. melléklet 11. cikke (3) bekezdésének megfelelően.
   9. cikk
   A biztonsági események, a biztonsági szabályok megsértésének és/vagy a minősített adatok illetéktelenek tudomására jutásának vizsgálata, valamint a korrekciós intézkedések
   (1)   Az EKSZ Biztonsági Igazgatósága, amelyet adott esetben a tagállamok és/vagy más uniós intézmények szakértői segítenek, és szükség esetén az operatív igazgató engedélyével:

               a)

               vizsgálatokat vagy ellenőrzéseket folytat, adott esetben:

                           i.

                           amennyiben tudomására jut vagy alapos okkal feltételezhető az EKSZ-minősített adatok illetéktelen tudomására jutása vagy elvesztése;

                           ii.

                           a biztonsági szabályok bármely tényleges vagy feltételezett megszegésével vagy egyéb biztonsági eseményekkel vagy az EKSZ biztonsági érdekeltségeit érintő fenyegetésekkel kapcsolatosan;

               b)

               a vizsgálatok eredményeként, adott esetben végrehajtja a szükséges korrekciós intézkedéseket.

         (2)   A vizsgálatot végző személyek hozzáférnek az ilyen vizsgálat lefolytatásához szükséges valamennyi adathoz és e tekintetben megkapnak minden támogatást valamennyi EKSZ szolgálataitól.
   A vizsgálók megfelelő intézkedéseket tehetnek a bizonyítékok nyomvonalának oly módon történő megóvása érdekében, amely arányos a vizsgálat tárgyát képező kérdés súlyával.
   (3)   Amennyiben az adatokhoz való hozzáférés személyes adatokhoz kapcsolódik, beleértve a kommunikációs és információs rendszerekben tárolt adatokat is, az ilyen hozzáféréshez való jognak meg kell felelnie a 45/2001/EK rendeletnek.
   (4)   Amennyiben a vizsgálathoz személyes adatokat tartalmazó adatbázis létrehozására van szükség, értesíteni kell az európai adatvédelmi biztost a fent említett rendelettel összhangban.
   10. cikk
   Biztonsági kockázatkezelés
   (1)   Védelmi biztonsági szükségleteinek meghatározása érdekében az EKSZ-nek átfogó biztonsági kockázatértékelési módszereket kell kialakítania, szorosan együttműködve a Bizottság Biztonsági Igazgatóságával, valamint adott esetben a Tanács Főtitkárságának Biztonsági Hivatalával.
   (2)   Az EKSZ biztonsági érdekeltségeit fenyegető kockázatokat folyamatként kell kezelni. E folyamat célja az ismert biztonsági kockázatok meghatározása, az ilyen kockázatok elfogadható szintre csökkentését szolgáló biztonsági intézkedések meghatározása, valamint a mélységi védelem elvével összhangban álló intézkedések alkalmazása. A fenti intézkedések hatékonyságát, valamint a kockázat mértékét folyamatosan értékelni kell.
   (3)   A határozatban rögzített szerepek, felelősségek és feladatok nem érintik az EKSZ felelőssége alá tartozó személyzet egyes tagjainak felelősségét, különösen a harmadik országokban kiküldetésben lévő uniós személyzet esetében, amelynek saját védelme és biztonsága tekintetében a józan észre és ítélőképességére kell hagyatkoznia és meg kell felelnie valamennyi alkalmazandó biztonsági szabálynak, előírásnak, eljárásnak és útmutatásnak.
   (4)   Az EKSZ megtesz minden ésszerű intézkedést a biztonsági érdekeltségeinek biztosítása, valamint azok előre látható károsodásának ésszerű megakadályozása érdekében.
   (5)   Az EKSZ-ben a minősített adatok teljes életciklusa során biztosított védelem érdekében hozott intézkedéseknek arányosnak kell lenniük különösen a biztonsági minősítés fokával, az adat vagy az anyag formájával és terjedelmével, a minősített információ tárolására szolgáló létesítmények elhelyezkedésével és építésével, valamint a fenyegetéssel, ide értve a helyi szinten észlelt fenyegetést, a kártékony és/vagy bűncselekménynek minősülő tevékenységeket, köztük a kémkedést, a szabotázst és a terrorizmust is.
   11. cikk
   A biztonsági problémákkal kapcsolatos tudatosság és képzés
   (1)   Az EKSZ biztonsági hatósága biztosítja, hogy megfelelő biztonság-tudatossági és képzési programok készülnek és valósulnak meg, és hogy az EKSZ felelőssége alá tartozó személyzet – és adott esetben eltartott családtagjaik – megfelelő, a tartózkodási- vagy munkahelyükön tapasztalható kockázatokkal arányban álló felvilágosítást és képzést kapnak a biztonsági problémákról.
   (2)   Mielőtt hozzáférést kapnának az EU-minősített adatokhoz, valamint ezt követően rendszeres időközönként, a személyzet tájékoztatást kap és vállalja a felelősséget az EU-minősített adatok védelméért az 5. cikken alapuló szabályokkal összhangban.
   12. cikk
   Az EKSZ biztonsági szervezete
   (1)   Az operatív igazgató az EKSZ biztonsági hatósága. E minőségében az operatív igazgató biztosítja, hogy:

               a)

               a biztonsági intézkedéseket szükség szerint koordinálják a tagállamok, a Tanács Főtitkársága és a Bizottság, valamint adott esetben harmadik államok vagy nemzetközi szervezetek illetékes hatóságai között az EKSZ tevékenységéhez kapcsolódó valamennyi kérdésben, ide értve az EKSZ biztonsági érdekeltségeit veszélyeztető fenyegetések jellegét, és az ezek elleni védekezés eszközeit;

               b)

               a biztonsági szempontokat kezdettől teljes mértékben figyelembe veszik az EKSZ minden tevékenysége során;

               c)

               a minősített adatokhoz való hozzáférést csak olyan személyeknek adják meg, akik megfelelnek az A. melléklet 5. cikkében előírt feltételeknek;

               d)

               nyilvántartási rendszert hoznak létre, ami biztosítja, hogy a CONFIDENTIEL UE/EU CONFIDENTIAL vagy ennél szigorúbb minősítésű adatokat e határozatnak megfelelően kezelik az EKSZ-en belül, valamint az uniós tagállamok, uniós intézmények, szervek vagy ügynökségek vagy egyéb felhatalmazott címzettekkel történő közlése során. Külön nyilvántartást kell vezetni az EKSZ által harmadik államok vagy nemzetközi szervezetek rendelkezésére bocsátott valamennyi EU-minősített adatról, valamint a harmadik államoktól vagy nemzetközi szervezetektől kapott valamennyi minősített adatról;

               e)

               a 15. cikkben említett biztonsági ellenőrzéseket hajtanak végre;

               f)

               a biztonsági szabályok bármely tényleges vagy feltételezett megszegése, valamint az EKSZ birtokában lévő vagy az EKSZ-nél keletkezett minősített adatok illetéktelen tudomására jutásának tényleges vagy feltételezett esetei, illetve az ilyen adatok elvesztése esetén vizsgálatot rendelnek el, és felkérik a megfelelő biztonsági hatóságokat, hogy nyújtsanak segítséget a vizsgálatban;

               g)

               megfelelő incidens- és következménykezelő terveket és mechanizmusokat hoznak létre, hogy kellő időben és hatékonyan reagálhassanak a biztonsági eseményekre;

               h)

               megfelelő intézkedéseket hoznak abban az esetben, ha az alkalmazottak nem tartják be az e határozatban foglaltakat.

               i)

               megfelelő fizikai és szervezeti intézkedések történnek az EKSZ biztonsági érdekeltségei védelmében.
               Ebben a tekintetben, az ügyvezető főtitkárral konzultálva, az operatív igazgató:

                           —

                           a Bizottsággal konzultálva, meghatározza a küldöttségek biztonsági kategóriáit,

                           —

                           a főképviselővel folytatott konzultációt követően dönt a küldöttségek személyzetének kimenekítéséről, amennyiben a biztonsági helyzet megköveteli azt,

                           —

                           dönt az eltartott családtagok védelmében alkalmazandó intézkedésekről, adott esetben, figyelembe véve az uniós intézményekkel kötött, a 3. cikk (3) bekezdésében említettek szerinti megállapodásokat;

                           —

                           jóváhagyja a kriptográfiai kommunikációra vonatkozó politikát, különösen a kriptográfiai termékek és mechanizmusok telepítésének programját.

         (2)   Az operatív igazgatót e feladat ellátásában az igazgatási és pénzügyi főigazgató, az EKSZ Biztonsági Igazgatóságának vezetője, valamint szükség esetén a válságkezelésért és műveleti koordinációért felelős ügyvezető igazgató segíti.
   (3)   Az operatív igazgató az EKSZ biztonsági hatóságaként eljárva, adott esetben átruházhat feladatokat ebben a tekintetben.
   (4)   Valamennyi osztály-/részlegvezető felelős az EU-minősített adatok védelmére vonatkozó szabályok végrehajtásáért az osztályán/részlegén belül.
   Miközben továbbra is felelősek a fent említett feladatokért, az egyes osztály-/részlegvezetők kijelölik a személyzetet az osztály biztonsági koordinátor funkciójára, amelyhez a forrásoknak arányosnak kell lenniük az osztály/részleg által kezelt EU-minősített adatok mennyiségével.
   Az osztály biztonsági koordinátorai, amikor és amennyiben szükséges, segítik és támogatják osztály-részlegvezetőjüket a biztonsággal kapcsolatos feladataik ellátásában, mint például:

               a)

               további biztonsági követelmények kidolgozása, az osztály/részleg sajátos igényeinek megfelelően;

               b)

               rendszeres biztonsági tájékoztatók az osztály/részleg munkatársai számára;

               c)

               a szükséges ismeret elve tiszteletben tartásának biztosítása az osztályukon/részlegükön;

               d)

               a biztonságos kódok és kulcsok naprakész listájának karbantartása;

               e)

               a biztonsági eljárások és biztonsági intézkedések fenntartása;

               f)

               jelentés mind az igazgatójuk, valamint a Biztonsági Igazgatóság felé a biztonsági szabályok megsértéséről és/vagy az EU-minősített adatok illetéktelen tudomására jutásáról;

               g)

               értékelő megbeszélés a személyzet azon tagjaival, akiknek megszűnik az EKSZ-nél való foglalkoztatása;

               h)

               rendszeres jelentéstétel a vezetőik útján az osztály/részleg biztonsági kérdéseiben;

               i)

               kapcsolattartás biztonsági kérdésekben az EKSZ Biztonsági Igazgatóságával.

         Bármely olyan tevékenységről vagy kérdésről, amely hatással lehet a biztonságra, időben tájékoztatni kell az EKSZ Biztonsági Igazgatóságát.
   (5)   Az Unió küldöttségének vezetői felelősek a küldöttség biztonságával kapcsolatos valamennyi intézkedés végrehajtásáért.
   (1)   Az EKSZ Biztonsági Igazgatósággal rendelkezik. A Biztonsági Igazgatóság:

               a)

               irányítja, koordinálja, felügyeli és/vagy végrehajtja az összes biztonsági intézkedést az EKSZ felügyelete alatt álló valamennyi helyiségében, a székhelyen, az EU-belül és harmadik államokban;

               b)

               biztosítja a koherenciát és következetességet e határozattal és bármely olyan tevékenység végrehajtási rendelkezéseivel, amelynek hatása lehet az EKSZ biztonsági érdekeltségeinek védelmére;

               c)

               a főképviselő, az ügyvezető főtitkár és az operatív igazgató vezető tanácsadója valamennyi biztonsággal kapcsolatos kérdésben;

               d)

               a Biztonsági Igazgatóságot, az Európai Külügyi Szolgálat szervezetének és működésének a megállapításáról szóló 2010/427/EU tanácsi határozat 10. cikkének (3) bekezdésével összhangban a tagállamok illetékes szolgálatai segítik;

               e)

               támogatja az EKSZ biztonsági akkreditációs hatóságot az EU-minősített adatokat kezelő kommunikációs és információs rendszerek, valamint az EU-minősített adatok kezelésére és tárolására engedélyezett helyiségek általános biztonsági környezetének (GSE) / helyi biztonsági környezetének (LSE) fizikai biztonságára vonatkozó értékelés elvégzésében.

         (2)   Az EKSZ Biztonsági Igazgatóságának vezetője felelős az alábbiakért:

               a)

               az EKSZ biztonsági érdekeltségeinek teljes védelme;

               b)

               a biztonsági szabályok kidolgozása, ellenőrzése, frissítése, valamint a biztonsági intézkedések koordinálása a tagállamok illetékes hatóságaival és adott esetben, a harmadik országok illetékes hatóságaival és nemzetközi szervezetekkel, amelyek biztonsági megállapodásokkal és/vagy intézkedésekkel kapcsolódnak az EU-hoz;

               c)

               az EKSZ Biztonsági Bizottság eljárásainak támogatása e határozat 14. cikk (1) bekezdésével összhangban;

               d)

               adott esetben, kapcsolattartás biztonsági kérdésekben a fenti (b) pontban említettektől eltérő partnerekkel vagy hatóságokkal;

               e)

               prioritások meghatározása és javaslatok megtétele a biztonsággal kapcsolatos költségvetés végrehajtására vonatkozóan a székhelyen és uniós küldöttségeken.

         (3)   Az EKSZ Biztonsági Igazgatóságának vezetője:

               a)

               biztosítja, hogy a biztonsági szabályok megsértését és az EU-minősített adatok illetéktelen tudomására jutását rögzítik és szükség esetén vizsgálatokat indítanak és folytatnak le;

               b)

               rendszeresen találkozik a Tanács Főtitkárságának Biztonsági Igazgatójával és az Európai Bizottság Biztonsági Igazgatóságának igazgatójával, és amikor szükséges, egyeztetnek a közös érdeklődésre számot tartó kérdésekről.

         (4)   Az EKSZ Biztonsági Igazgatósága kapcsolatot hoz létre és szoros együttműködést tart fenn a következőkkel:

               —

               a tagállami külügyminisztériumok biztonságért felelős szervezeti egységei;

               —

               a tagállamok nemzeti biztonsági hatóságai és/vagy egyéb illetékes biztonsági hatóságai, azok segítségét igénybe véve azon információk tekintetében, amelyekre az EKSZ-re, annak személyzetére, tevékenységeire, eszközeire és forrásaira és minősített adataira leselkedő veszélyek és fenyegetések értékeléséhez szüksége van;

               —

               a tagállamok vagy fogadó államok illetékes biztonsági hatóságai, amelyek területén az EKSZ tevékenységet folytathat, a személyzetének, tevékenységeinek, eszközeinek és forrásainak, valamint minősített adatainak védelmével kapcsolatos bármely kérdésre vonatkozóan, amíg azok az adott állam területén tartózkodnak.

               —

               a Tanács Főtitkárságának Biztonsági Hivatala és a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatóságának Biztonsági Igazgatósága, és adott esetben az egyéb uniós intézmények, szervek és ügynökségek biztonsággal kapcsolatos szervezeti egységei;

               —

               a harmadik államok vagy nemzetközi szervezetek biztonsággal kapcsolatos szervezeti egységei, bármely hasznos koordináció érdekében; továbbá

               —

               A tagállamok nemzeti biztonsági hatóságai, az EU-minősített adatok védelmével kapcsolatos kérdések tekintetében.

         (1)   Az Unió küldöttségének vezetői felelősek az EKSZ biztonsági érdekeltségeinek védelmével kapcsolatos valamennyi intézkedés helyi végrehajtásáért és irányításáért az Unió küldöttségének helyiségein és hatáskörén belül.
   Szükség esetén a fogadó állam illetékes hatóságaival konzultálva, meghoz minden ésszerűen megvalósítható intézkedést, hogy megfelelő fizikai és szervezeti intézkedések történnek e cél megvalósítása érdekében.
   A küldöttség vezetője kidolgozza az eltartott családtagok védelmében alkalmazandó biztonsági eljárásokat a 2. cikk c) pontjával összhangban, adott esetben, figyelembe véve az igazgatási megállapodásokat a 3. cikk (3) bekezdésében említettek szerint. A küldöttség vezetője évente jelentést tesz az EKSZ Biztonsági Igazgatósága vezetőjének a hatáskörébe tartozó valamennyi biztonsággal kapcsolatos kérdésről.
   A küldöttségvezetőt e feladatok ellátásában az EKSZ Biztonsági Igazgatósága, a küldöttség biztonsági feladatok és funkciók ellátására kijelölt EKSZ-személyzete, valamint szükség esetén külön kirendelt biztonsági személyzet segíti.
   (2)   Ezen túlmenően a küldöttség vezetője:

               —

               kidolgozza a küldöttség részletes biztonsági és vészhelyzeti intézkedési terveit, az általános szabványos operatív eljárások alapján;

               —

               a küldöttség tevékenységi körében felmerülő biztonsági események kezelésére a hét minden napján huszonnégy órában hatékony rendszert működtet;

               —

               biztosítja, hogy a küldöttség teljes személyzete rendelkezzen a helyi feltételek által megkövetelt biztosítással;

               —

               biztosítja, hogy az Unió küldöttsége személyzetének valamennyi tagja megfelelő biztonsági felkészítő képzésben részesüljön a küldöttségre való érkezése előtt vagy az érkezéskor; továbbá

               —

               biztosítja, hogy a biztonsági értékeléseket követően tett ajánlásokat végrehajtsák, és rendszeres időközönként írásos jelentést nyújtsanak be az EKSZ biztonsági hatósága számára ezek végrehajtásáról és egyéb biztonsági kérdésekről;

         (3)   Bár továbbra is ő felel és elszámoltatható a biztonság megőrzéséért, valamint a testületi reziliencia biztosításáért, a küldöttség vezetője átruházhatja biztonsággal kapcsolatos feladatainak végrehajtását a küldöttség biztonsági koordinátorára, aki a küldöttség helyettes vezetője vagy amennyiben nem kerül sor kijelölésre, alternatív megoldást választhat.
   Különösen a következő feladatokat lehet a küldöttség biztonsági koordinátorára átruházni:

               —

               kapcsolattartás biztonsági kérdésekben a fogadó ország illetékes biztonsági hatóságaival, valamint a megfelelő partnerekkel a tagállamok nagykövetségein és diplomáciai képviseletein.

               —

               az EKSZ biztonsági érdekeltségeivel kapcsolatos megfelelő biztonságirányítási eljárások végrehajtása, beleértve az EU-minősített adatok védelmét;

               —

               a személyzet tájékoztatása a rájuk vonatkozó biztonsági előírásokról, valamint a sajátos kockázatokról a fogadó országban;

               —

               kérelmek benyújtása az EKSZ Biztonsági Igazgatóságának, azokra az álláshelyekre vonatkozóan, amelyek esetében kötelező a személyi biztonsági tanúsítvány, továbbá

               —

               a küldöttség vezetőjének, a regionális biztonsági tisztviselőnek és az EKSZ Biztonsági Igazgatóságának folyamatos tájékoztatása az azon a területen történő incidensek vagy fejlemények tekintetében, amelyek hatással vannak az EKSZ biztonsági érdekeltségeinek védelmére.

         (4)   A küldöttség vezetője átruházhatja az adminisztratív vagy technikai jellegű biztonsági feladatokat az igazgatás vezetőjének vagy a küldöttség személyzetéhez tartozó más tagoknak.
   (5)   Az Unió küldöttségének munkáját a regionális biztonsági tisztviselő segíti. A regionális biztonsági tisztviselők az alább meghatározott szerepeket töltik be a küldöttségen a megfelelő földrajzi illetékességi körükön belül.
   Bizonyos körülmények között, amennyiben az uralkodó biztonsági helyzet megköveteli, egy arra kijelölt regionális biztonsági tisztviselőt lehet kirendelni egy adott küldöttséghez állandó ott-tartózkodással.
   A regionális biztonsági tisztviselőt áthelyezhetik a jelenlegi illetékességi körén kívüli területre, beleértve a brüsszeli székhelyet vagy, felkérhetik egy állandó tartózkodással járó álláshely betöltésére a vonatkozó biztonsági helyzet függvényében bármely országban, valamint az EKSZ Biztonsági Igazgatósága előírásainak megfelelően.
   (6)   A regionális biztonsági tisztviselők az EKSZ Biztonsági Igazgatósága közvetlen alárendeltségébe tartozó ellenőrzése alatt állnak, azonban az érintett küldöttség vezetőjének közvetlen szervezeti és igazgatási ellenőrzése alatt. A regionális biztonsági tisztviselők segítik a küldöttség vezetőjét és a küldöttség személyzetét valamennyi fizikai, szervezeti és eljárási biztonsági intézkedés megszervezésében és végrehajtásában, amelyek a küldöttség teljes személyzetének biztonságával kapcsolatosak, az érintettek kinevezésének módjától függetlenül.
   (7)   A regionális biztonsági tisztviselők tanácsokkal látják el és támogatják a küldöttség vezetőjét és a küldöttség személyzetét. Szükség esetén különösen, amennyiben a kijelölt regionális biztonsági tisztviselő állandóan ott tartózkodik, segíti az Uniós küldöttséget a biztonsággal kapcsolatos kérdések kezelésében és végrehajtásában, beleértve a biztonsági szerződések előkészítését, az akkreditációk és biztonsági ellenőrzések irányítását.
   13. cikk
   KBVP-műveletek és az EU különleges képviselői
   Az EKSZ Biztonsági Igazgatósága segíti és tanácsokkal látja el a Válságkezelési és Tervezési Igazgatóságot (CMPD), az Európai Unió Katonai Törzsét (EUKT), a Polgári Tervezési és Végrehajtási Szolgálat (CPCC) polgári műveleti parancsnokát, valamint az EU katonai műveleti parancsnokait a KBVP-műveletek biztonsági vonatkozásában, az EU különleges képviselőit megbízásuk biztonsági vonatkozásában, kiegészítve a Tanács által elfogadott vonatkozó szakpolitikákban e szempontból jelenleg hatályos különleges rendelkezéseket.
   14. cikk
   Az EKSZ Biztonsági Bizottság
   (1)   Létrejön az EKSZ Biztonsági Bizottság.
   A Biztonsági Bizottság elnöke az operatív igazgató, vagy kijelölt képviselője; e bizottság az elnök utasítására vagy bármely tagjának kérésére ülésezik. Az EKSZ Biztonsági Igazgatóság támogatja az elnököt ebben a tisztségében és szükség esetén adminisztratív segítséget nyújt a bizottsági eljárásokhoz.
   (2)   Az EKSZ Biztonsági Bizottság tagjai:

               —

               az egyes tagállamok;

               —

               a Tanács Főtitkárságának Biztonsági Hivatala;

               —

               a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatósága.

         Az EKSZ Biztonsági Bizottságának a tagállamokból delegált képviselői:

               —

               az egyes tagállamok nemzeti biztonsági hatósága és/vagy a kijelölt biztonsági hatósága,

               —

               a tagállami külügyminisztériumok biztonságért felelős szervezeti egységei.

         (3)   A Biztonsági Bizottság képviselőit, amennyiben szükségesnek ítélik, szakértők segíthetik és tanácsokkal láthatják el. Más uniós intézmények, ügynökségek vagy szervek képviselői, is meghívást kaphatnak az üléseken való részvételre, ha a biztonságukat érintő kérdéseket vitatnak meg.
   (4)   Az alábbi (5) bekezdés sérelme nélkül, az EKSZ Biztonsági Bizottság segíti az EKSZ-t, az EKSZ tevékenységeivel, a székhellyel és az Unió küldöttségeivel kapcsolatos valamennyi biztonsági kérdésről szóló konzultáció útján.
   Az alábbi (5) bekezdés sérelme nélkül, az EKSZ Biztonsági Bizottsággal különösen:

               a)

               a következő kérdésekben konzultálnak:

                           —

                           biztonsági politikák, iránymutatások, koncepciók vagy a biztonsággal kapcsolatos egyéb módszertani dokumentumok, különös tekintettel a minősített információk védelmére, valamint az abban az esetben végrehajtandó intézkedésekre, ha az EKSZ személyzete nem tartja be a biztonsági szabályokat;

                           —

                           műszaki biztonsági szempontok, amelyek a főképviselő arra vonatkozó döntését befolyásolhatják, hogy ajánlást terjesszen a Tanács elé az A. melléklet 10. cikke (1) bekezdésének a) pontjában említett adatbiztonsági megállapodások megkötésére irányuló tárgyalások megkezdésére.

                           —

                           e határozat bármely módosítása.

               b)

               konzultálhatnak vagy adott esetben tájékoztathatják a személyzet és az eszközök biztonságával kapcsolatos kérdésekről az EKSZ székhelyen vagy az Unió küldöttségein belül a 3. cikk (3) bekezdésének sérelme nélkül;

               c)

               tájékoztatják arról, ha EU-minősített adatok jutottak illetéktelen személy tudomására vagy vesztek el az EKSZ-en belül.

         (5)   Az EU-minősített adatok védelmével kapcsolatos, e határozatban és A. mellékletében szereplő szabályok bármely módosításához az szükséges, hogy az EKSZ Biztonsági Bizottságban képviselt tagállamok egyhangúlag kedvező véleményt nyilvánítsanak. Az ilyen egyhangú véleményre az alábbiakat megelőzően is szükség van:

               —

               az A. melléklet 10. cikke (1) bekezdésének b) pontjában említett igazgatási megállapodások megkötésére irányuló tárgyalások megkezdése;

               —

               minősített adatok átadása az A.VI. melléklet 9., 11. és 12. pontjaiban említett rendkívüli körülményeknek megfelelően;

               —

               felelősségvállalás az adatkibocsátásért az A. melléklet 10. cikke (4) bekezdésének utolsó mondatában említett körülményeknek megfelelően.

         Amennyiben egyhangúlag kedvező vélemény szükséges, ez a feltétel akkor teljesül, ha a tagállamok küldöttségei nem emelnek kifogást a bizottsági eljárás alatt.
   (6)   Az EKSZ Biztonsági Bizottság teljes mértékben figyelembe veszi a Tanács és a Bizottság hatályos biztonsági politikáit és iránymutatásait.
   (7)   Az EKSZ Biztonsági Bizottság megkapja az éves EKSZ ellenőrzések listáját, valamint az ellenőrzésekről szóló jelentéseket, azok lezárását követően.
   (8)   Az ülések szervezése:

               —

               Az EKSZ Biztonsági Bizottság évente legalább két alkalommal ülésezik. Az elnök szervezésében vagy a Biztonsági Bizottság tagjainak kérésére további ülésekre kerülhet sor, akár teljes összetételben, akár a nemzeti biztonsági hatóság/kijelölt biztonsági hatóság vagy a külügyminisztérium biztonságért felelős részlegeinek keretében.

               —

               Az EKSZ Biztonsági Bizottságnak úgy kell megszerveznie tevékenységét, hogy a biztonság meghatározott területei tekintetében ajánlásokat tudjon tenni. A Biztonsági Bizottság szükség esetén egyéb szakértői alcsoportokat hoz létre. Elkészíti a szakértői alcsoportok feladatmeghatározását, és tevékenységükről jelentéseket kap azoktól.

               —

               Az EKSZ Biztonsági Bizottság felelős a megvitatandó témák előkészítéséért. Az elnök minden ülésre ideiglenes napirendet készít. A Biztonsági Bizottság tagjai további megvitatandó témákra tehetnek javaslatot.

         15. cikk
   Biztonsági ellenőrzések
   (1)   Az EKSZ biztonsági hatóság biztosítja, hogy rendszeresen biztonsági ellenőrzésekre kerül sor az EKSZ székhelyén és az Unió küldöttségein belül a biztonsági intézkedések megfelelőségének értékelése és e határozatnak való megfelelésük ellenőrzése érdekében. Az EKSZ Biztonsági Igazgatóság szükség esetén kijelölhet szakértőket az EUSZ V. címének 2. fejezete alapján létrehozott uniós ügynökségeknél és szerveknél lefolytatandó biztonsági ellenőrzésekben való részvételre.
   (2)   Az EKSZ biztonsági ellenőrzéseit az EKSZ Biztonsági Igazgatóság felügyelete alatt és adott esetben a más uniós intézményeket vagy tagállamokat képviselő biztonsági szakértők támogatásával végzik, különösen a 3. cikk (3) bekezdésében említett megállapodásokkal összefüggésben.
   (3)   Az EKSZ szükség esetén a tagállamok, a Tanács Főtitkársága és a Bizottság szakértelmére támaszkodhat.
   Szükség esetén a tagállamok harmadik országokban lévő képviseletein dolgozó biztonsági szakértők és/vagy a tagállamok diplomáciai biztonsági szervezeti egységeinek képviselői is meghívást kaphatnak az Unió küldöttségének biztonsági ellenőrzésében való részvételre.
   (4)   Az e cikk végrehajtására vonatkozó rendelkezéseket az EU-minősített adatok védelmének tekintetében az A.III. melléklet tartalmazza.
   16. cikk
   Értékelő látogatások
   A harmadik államokban vagy nemzetközi szervezeteknél az A. melléklet 10. cikke (1) bekezdésének b) pontja szerint egy igazgatási megállapodás értelmében kicserélt EU-minősített adatok védelmére bevezetett biztonsági intézkedések hatékonyságának megállapítása céljából értékelő látogatásokra kerül sor.
   Az EKSZ Biztonsági Igazgatóság kijelölhet szakértőket az olyan harmadik államokban vagy nemzetközi szervezeteknél teendő értékelő látogatásokon való részvételre, amelyekkel az EU az A. melléklet 10. cikke (1) bekezdésének a) pontjában említett adatbiztonsági megállapodást kötött.
   17. cikk
   Rendszerműködés-folyamatossági tervezés
   Az EKSZ általános rendszerműködés-folyamatossági tervezése részeként az EKSZ Biztonsági Igazgatósága segíti az operatív igazgatót az EKSZ rendszerműködés-folyamatossági eljárásainak biztonsághoz kapcsolódó kérdéseinek kezelésében.
   18. cikk
   Utazási tanácsok az EU-n kívüli missziók számára
   Az EKSZ Biztonsági Igazgatósága biztosítja az EKSZ felelőssége alá tartozó személyzet EU-n kívüli misszióira vonatkozó utazási tanácsok elérhetőségét, az EKSZ valamennyi érintett szolgálatának, – különösen a SITROOM és az INTCEN, a földrajzi szervezeti egységek és az Unió küldöttségeinek – forrásaira támaszkodva.
   Az EKSZ Biztonsági Igazgatósága kérésre, és a fent említett forrásokra támaszkodva, konkrét utazási tanácsokat szolgáltat az EKSZ felelőssége alá tartozó személyzet missziói tekintetében az olyan harmadik országokban, amelyek nagy kockázatot vagy nagyobb kockázati szintet jelentenek.
   19. cikk
   Egészség és biztonság
   AZ EKSZ biztonsági szabályai kiegészítik az EKSZ-nek a főképviselő által elfogadott, az egészség és biztonság védelmére vonatkozó szabályait.
   20. cikk
   Végrehajtás és felülvizsgálat
   (1)   Az EKSZ biztonsági hatósága, adott esetben az EKSZ Biztonsági Bizottsággal folytatott konzultációt követően, jóváhagyja az e szabályoknak az EKSZ-en belüli végrehajtásához szükséges intézkedéseket meghatározó biztonsági politikákat és iránymutatásokat, és kiépíti a biztonság minden szempontjának lefedéséhez szükséges kapacitásokat a tagállamok illetékes hatóságaival szorosan együttműködve és az uniós intézmények érintett szolgálatainak támogatásával.
   (2)   Az Európai Külügyi Szolgálat szervezetének és működésének a megállapításáról szóló, 2010. július 26-i 2010/427/EU tanácsi határozat 4. cikke (5) bekezdésével összhangban, a Tanács Főtitkársága és a Bizottság érintett szolgálataival kötött szolgálat szintű megállapodások útján szükség esetén átmeneti intézkedések alkalmazhatók.
   (3)   A főképviselő biztosítja a határozat alkalmazásának általános konzisztenciáját és folyamatosan felülvizsgálja ezeket a biztonsági szabályokat.
   (4)   Az EKSZ biztonsági szabályokat a tagállamok illetékes hatóságaival, a Tanács Főtitkárságának Biztonsági Hivatalával, valamint a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatóságának Biztonsági Igazgatóságával szorosan együttműködve hajtják végre.
   (5)   Az EKSZ biztosítja, hogy a védelmi folyamat valamennyi szempontját figyelembe veszik az EKSZ válságkezelési rendszerén belül.
   (6)   Az operatív igazgató, biztonsági hatóságként, valamint az EKSZ Biztonsági Igazgatóságának vezetője biztosítja e határozat végrehajtását.
   21. cikk
   A korábbi határozatok hatályon kívül helyezése
   (1)   Ez a határozat hatályon kívül helyezi az Európai Külügyi Szolgálat biztonsági szabályairól szóló, 2011. június 15-i főképviselői határozatot (3), és annak helyébe lép.
   (2)   Ez a határozat hatályon kívül helyezi az Európai Külügyi Szolgálat biztonsági hatóságának kijelöléséről és feladatairól szóló, 2011. február 23-i főképviselői határozatot.
   22. cikk
   Záró rendelkezések
   Ez a határozat az aláírása napján lép hatályba.
   A határozatot az Európai Unió Hivatalos Lapjában ki kell hirdetni.

      Az EKSZ illetékes hatóságai kellő módon és időben tájékoztatják a határozat és mellékletei hatálya alá tartozó személyzet valamennyi tagját, annak tartalmáról, hatályba lépéséről és esetleges későbbi módosításairól.
      Kelt Brüsszelben, 2013. április 19-én.

            főképviselő

         C. ASHTON

      (1)  HL L 201., 2010.8.3., 30. o.

      (2)  HL C 304., 2011.10.15., 5. o.;

      (3)  HL C 304., 2011.10.15., 5. o.;

      A. MELLÉKLET

         AZ EU-MINŐSÍTETT ADATOKRA VONATKOZÓ ELVEK ÉS SZABVÁNYOK

      1. cikk
      Cél, hatály és fogalommeghatározások
      (1)   E melléklet megállapítja az EU-minősített adatok védelmére vonatkozó alapelveket és minimumszabályokat.
      (2)   Ezen alapelvek és minimumszabályok az EKSZ-re és az EKSZ felelőssége alá tartozó személyzetre alkalmazandók az e határozat 1., illetve 2. cikkében említettek és meghatározottak szerint.
      2. cikk
      Az EU-minősített adat fogalmának meghatározása, minősítési szintek és minősítési jelölések
      (1)   „EU-minősített adat”: bármely olyan EU biztonsági minősítéssel ellátott adat és anyag, amelynek engedély nélküli hozzáférhetővé tétele különböző mértékben sértheti az Európai Unió, illetve egy vagy több tagállam érdekeit.
      (2)   Az EU-minősített adatok minősítési szintjei a következők:

                  a)

                  TRES SECRET UE/EU TOP SECRET: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele rendkívül súlyosan sértheti az Európai Unió illetve egy vagy több tagállam alapvető érdekeit.

                  b)

                  SECRET UE/EU SECRET: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele súlyosan sértheti az Európai Unió vagy egy vagy több tagállam alapvető érdekeit.

                  c)

                  CONFIDENTIEL UE/EU CONFIDENTIAL: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele sértheti az Európai Unió vagy egy vagy több tagállam alapvető érdekeit.

                  d)

                  RESTREINT UE/EU RESTRICTED: olyan adatok és anyagok, amelyeknek engedély nélküli hozzáférhetővé tétele hátrányosan érintheti az Európai Unió vagy egy vagy több tagállam alapvető érdekeit.

            (3)   Az EU-minősített adatokat a (2) bekezdés szerinti biztonsági minősítési jelöléssel kell ellátni. Az adatok ezenkívül tartalmazhatnak az érintett tevékenységi terület és a kibocsátó azonosítására, a terjesztés, valamint a felhasználás korlátozására vagy az átadhatóságra vonatkozó jelöléseket.
      3. cikk
      A minősítés szabályai
      (1)   Az EKSZ biztosítja az EU-minősített adatok megfelelő minősítését, minősített adatokként való egyértelmű azonosíthatóságát és azt, hogy minősítési szintjüket csak a szükséges ideig őrizzék meg.
      (2)   A kibocsátó előzetes írásbeli hozzájárulása nélkül nem lehet az EU-minősített adatokat visszaminősíteni vagy a minősítés alól feloldani, továbbá nem lehet azoknak a 2. cikk (3) bekezdésében említett jelöléseit módosítani vagy eltávolítani.
      (3)   Az EKSZ biztonsági hatóság, az EKSZ Biztonsági Bizottsággal folytatott konzultációt követően az e határozat 14. cikke (5) bekezdésével összhangban, az EU-minősített adatok létrehozására vonatkozó biztonsági politikát hagy jóvá, amely gyakorlati minősítési útmutatót is tartalmaz.
      4. cikk
      A minősített adatok védelme
      (1)   Az EU-minősített adatokat e határozattal összhangban kell védeni.
      (2)   Az EU-minősített adatok birtokosai felelősek az adatok e határozat szerinti védelméért.
      (3)   Amennyiben a tagállamok nemzeti minősítési jelöléssel ellátott minősített adatokat visznek be az EKSZ struktúráiba vagy hálózataiba, az EKSZ ezeket az adatokat az azonos szintű EU-minősített adatokra alkalmazandó előírásoknak megfelelően védi a biztonsági minősítéseknek az EU-minősített adatok védelmét szolgáló biztonsági szabályokról szóló, 2011. március 31-i 2011/292/EU tanácsi határozat B. függelékben szereplő egyenértékűségi táblázatában foglaltak szerint.
      AZ EKSZ megfelelő eljárásokat hoz létre a pontos nyilvántartás érdekében a következőkre vonatkozóan:

                  —

                  minősített adatok, amelyeket az EKSZ a kibocsátótól kap, továbbá

                  —

                  forrásanyagok, amelyeket felhasználtak az EKSZ-nél keletkező minősített adatokban.

            Az EKSZ Biztonsági Bizottság tagjait tájékoztatják ezekről az eljárásokról.
      (4)   Nagy mennyiségű EU-minősített adat vagy ilyen adatok gyűjteménye magasabb minősítési szintnek megfelelő védelmet tehet indokolttá, mint amely az alkotóelemei esetében szükséges.
      5. cikk
      Személyi biztonság az EU-minősített adatok kezelésére vonatkozóan
      (1)   A személyi biztonság olyan intézkedések alkalmazását jelenti, amelyek biztosítják, hogy csak azon személyek kapjanak hozzáférést az EU-minősített adatokhoz, akiknek esetében:

                  —

                  a „szükséges ismeret” feltétele teljesül;

                  —

                  a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférést engedélyezték, megfelelő szintű biztonsági felhatalmazással rendelkeznek, vagy a nemzeti jogszabályokkal és rendelkezésekkel összhangban más módon, feladatkörénél fogva megfelelő felhatalmazást kapott; továbbá

                  —

                  akiket tájékoztattak felelősségükről.

            (2)   A személyi biztonsági tanúsítvánnyal (PSC) kapcsolatos eljárások meghatározzák, hogy egy adott személy számára – lojalitását, szavahihetőségét és megbízhatóságát figyelembe véve – engedélyezhető-e az EU-minősített adatokhoz való hozzáférés.
      (3)   Az EU-minősített adatokhoz való hozzáférés engedélyezését megelőzően, majd azt követően rendszeres időközönként minden egyes személyt tájékoztatni kell az EU-minősített adatok e határozat szerinti védelmével kapcsolatos felelősségről, amelyet e személyeknek írásban kell tudomásul venni.
      (4)   Az e cikk végrehajtására vonatkozó rendelkezéseket az A.I. melléklet tartalmazza.
      6. cikk
      Az EU-minősített adatok fizikai biztonsága
      (1)   A fizikai biztonság az EU-minősített adatokhoz való illetéktelen hozzáférés megakadályozását célzó fizikai és technikai védelmi intézkedések alkalmazása.
      (2)   A fizikai biztonsági intézkedések célja jogosulatlan személyek titokban történő vagy erőszakos behatolásának a megakadályozása, jogosulatlan cselekményektől való elrettentés, azok megakadályozása és észlelése, valamint a személyzet tagjainak megkülönböztetése az EU-minősített adatokhoz való hozzáférés tekintetében, a szükséges ismeret elve alapján. Ezek az intézkedések kockázatkezelési eljáráson alapulnak.
      (3)   Fizikai biztonsági intézkedéseket kell bevezetni valamennyi helyiségben, épületekben, irodában, teremben és egyéb területen, ahol EU-minősített adatokat kezelnek vagy tárolnak, ideértve azon területeket is, ahol a 8. cikk (2) bekezdésében meghatározott kommunikációs és információs rendszereket tárolják.
      (4)   Az A.II. mellékletnek megfelelően biztonsági területként kell meghatározni és az EKSZ biztonsági hatóságnak jóvá kell hagynia azokat a területeket, ahol CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb minősítéssel rendelkező EU-minősített adatot tárolnak.
      (5)   A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb minősítési szintű EU-minősített adat védelmére kizárólag jóváhagyott berendezés vagy eszköz használható fel.
      (6)   Az e cikk végrehajtására vonatkozó rendelkezéseket az A.II. melléklet tartalmazza.
      7. cikk
      A minősített adatok kezelése
      (1)   A minősített adatok kezelése az EU-minősített adatok teljes életciklusán keresztüli ellenőrzésére szolgáló adminisztratív intézkedések alkalmazását jelenti, amely kiegészíti az 5., 6. és 8. cikkben meghatározott intézkedéseket, és ezáltal hozzájárul az ilyen adatoknak szándékosan vagy véletlenszerűen illetéktelen tudomására jutásától vagy elvesztésétől való elrettentéshez, annak észleléséhez és a kár helyreállításához. Az ilyen intézkedések különösen az EU-minősített adat előállítására, nyilvántartásba vételére, másolására, fordítására, szállítására, kezelésére, tárolására és megsemmisítésére vonatkoznak.
      (2)   A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat továbbítás előtt és kézhezvételkor biztonsági célokból nyilvántartásba kell venni. Az EKSZ illetékes hatóságai gondoskodnak az erre a célra szolgáló nyilvántartási rendszer kiépítéséről. A TRES SECRET UE/EU TOP SECRET minősítésű adatokat erre kijelölt nyilvántartásokban kell kezelni.
      (3)   Az EKSZ biztonsági hatóságnak rendszeresen ellenőriznie kell azokat a szolgálatokat és helyiségeket, ahol EU-minősített adatokat kezelnek vagy tárolnak.
      (4)   Az EU-minősített adatoknak a szolgálatok és helyiségek között történő, a fizikailag védett területeken kívüli továbbítása az alábbiak szerint történik:

                  a)

                  az EU-minősített adatokat – főszabályként – az e határozat 7. cikke (5) bekezdésével összhangban jóváhagyott kriptográfiai termékekkel védett elektronikus úton és egyértelműen meghatározott biztonsági üzemeltetési eljárások (SecOp) szerint továbbítják;

                  b)

                  amennyiben nem használnak az a) pontban említett eszközöket, az EU-minősített adatok szállítása az alábbiak szerint történik:

                              i.

                              vagy az e határozat 7. cikk (5) bekezdésével összhangban jóváhagyott kriptográfiai termékekkel védett elektronikus eszközökön (pl. USB-kulcsokon, CD-ken, merevlemezeken); vagy

                              ii.

                              bármely egyéb esetben az EKSZ biztonsági hatóság által az A.III. melléklet V. szakaszában megállapított vonatkozó védelmi intézkedésekkel összhangban előírt módon.

            (5)   Az e cikk végrehajtására vonatkozó rendelkezéseket az A.III. melléklet tartalmazza.
      8. cikk
      A kommunikációs és információs rendszerekben kezelt EU-minősített adatok védelme
      (1)   Az információvédelem a kommunikációs és információs rendszerek tekintetében azt jelenti, hogy az ilyen rendszerek megvédik az általuk kezelt adatot, továbbá a szükséges módon, a szükséges időben, a jogszerű felhasználók ellenőrzése alatt működnek. A hatékony információvédelem biztosítja az adatok megfelelő bizalmasságát, sértetlenségét, rendelkezésre állását, letagadhatatlanságát és hitelességét. Az információvédelem kockázatkezelési eljáráson alapul.
      (2)   A „Kommunikációs és információs rendszer” (CIS) az elektronikus formában történő információkezelést lehetővé tevő rendszer. A kommunikációs és információs rendszer magában foglalja a működéséhez szükséges valamennyi eszközt, beleértve az infrastruktúrát, a szervezetet, a személyzetet és az információs forrásokat. E mellékletet az EU-minősített adatokat kezelő EKSZ kommunikációs és információs rendszerekre kell alkalmazni.
      (3)   A CIS az információvédelem koncepciójával összhangban kezeli az EU-minősített adatokat.
      (4)   Valamennyi EU-minősített adatokat kezelő CIS-t akkreditálni kell. Az akkreditáció célja, hogy biztosítva legyen, hogy e határozattal összhangban minden megfelelő biztonsági intézkedés végrehajtásra került, valamint az EU-minősített adatok és a CIS megfelelő szintű védelme biztosított. Az akkreditációs nyilatkozat meghatározza a minősített adatoknak azt a megengedett legmagasabb minősítési szintjét, amelyet a CIS kezelhet, valamint a kapcsolódó feltételeket.
      (5)   A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat kezelő CIS-eket olyan módon kell védeni, hogy a minősített adatok bizalmassága ne sérüljön nem szándékos elektromágneses kisugárzás révén („TEMPEST biztonsági intézkedések”).
      (6)   Amennyiben az EU-minősített adatok védelmét kriptográfiai termékek biztosítják, e termékek jóváhagyása e határozat 7. cikkének (5) bekezdésével összhangban történik:
      (7)   EU-minősített adatok elektronikus eszközökkel történő továbbítása során jóváhagyott kriptográfiai termékeket kell használni. E követelmény ellenére szükséghelyzet esetén vagy az A.IV. mellékletben meghatározott speciális technikai konfigurációk esetén különleges eljárások alkalmazhatók.
      (8)   E határozat 7. cikkének (6) bekezdése értelmében, a következő információvédelmi funkciókat hozzák létre a szükséges mértékben:

                  (a)

                  információvédelmi hatóság;

                  (b)

                  TEMPEST-hatóság;

                  (c)

                  kriptográfiai jóváhagyó hatóság;

                  (d)

                  kriptográfiai terjesztési hatóság.

            (9)   E határozat 7. cikkének (7) bekezdése értelmében, minden rendszer tekintetében létrehozzák a következőket:

                  a)

                  biztonsági akkreditációs hatóság;

                  b)

                  információvédelmi üzemeltetési hatóság.

            (10)   Az e cikk végrehajtására vonatkozó rendelkezéseket az A.IV. melléklet tartalmazza.
      9. cikk
      Iparbiztonság
      (1)   Az iparbiztonság olyan intézkedések alkalmazása, amelyek célja az EU-minősített adatok védelmének vállalkozók vagy alvállalkozók általi biztosítása a minősített szerződések megkötését megelőző tárgyalások és a szerződések teljes életciklusa során. Az ilyen szerződések – főszabályként – nem járhatnak TRES SECRET UE/EU TOP SECRET szintű minősített adatokhoz való hozzáféréssel.
      (2)   Az EKSZ az EU-minősített adatokhoz való hozzáférést, vagy azok kezelését vagy tárolását magában foglaló vagy azzal járó feladatokkal szerződés keretében olyan gazdálkodó vagy más szervezetet bízhat meg, amely valamely tagállamban vagy olyan harmadik államban van bejegyezve, amelyekkel az A. melléklet 10. cikkének (1) bekezdése szerinti adatbiztonsági megállapodást vagy igazgatási megállapodást kötött.
      (3)   Az EKSZ – mint szerződő hatóság – a minősített szerződések gazdálkodó vagy egyéb szervezetek részére történő odaítélésekor gondoskodik arról, hogy az iparbiztonságnak az e határozatban és a szerződésben foglalt minimumszabályait betartsák. Az ilyen minimumszabályok betartását az érintett nemzeti biztonsági hatóság/kijelölt biztonsági hatóság útján biztosítja.
      (4)   Az adott tagállamban nyilvántartásba vett, saját létesítményeikben CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adathoz való hozzáférést igénylő minősített vállalkozói vagy alvállalkozói szerződésekben részt vevő vállalkozók vagy alvállalkozók – akár e szerződések teljesítése, akár e szerződéseket megelőző szakaszban – rendelkeznek az említett tagállamok nemzeti biztonsági hatósága, kijelölt biztonsági hatósága vagy egyéb illetékes biztonsági hatósága által kibocsátott, megfelelő minősítési szintű telephely biztonsági tanúsítvánnyal.
      (5)   Vállalkozók vagy alvállalkozók azon foglalkoztatottjai, akiknek a minősített szerződés teljesítéséhez CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adatokhoz való hozzáféréssel kell rendelkeznie, az adott nemzeti biztonsági hatóság, kijelölt biztonsági hatóság vagy bármely más illetékes biztonsági hatóság személyi biztonsági tanúsítványt (PSC) bocsát ki a nemzeti jogszabályokkal és rendelkezésekkel, valamint az A.I. mellékletben foglalt biztonsági minimumszabályokkal összhangban.
      (6)   Az e cikk végrehajtására vonatkozó rendelkezéseket az A.V. melléklet tartalmazza.
      10. cikk
      Minősített adatok harmadik államokkal és nemzetközi szervezetekkel való cseréje
      (1)   Az EKSZ csak abban az esetben cserélhet EU-minősített adatokat harmadik állammal vagy nemzetközi szervezettel amennyiben:

                  a)

                  az EU és a harmadik állam vagy nemzetközi szervezet között, az EUMSZ 37. cikkével és 218. cikkével összhangban megkötött adatbiztonsági megállapodás van hatályban; vagy

                  b)

                  a főképviselő és a harmadik állam vagy nemzetközi szervezet illetékes hatósága között, elvben legfeljebb RESTREINT UE/EU RESTRICTED minősítési szintű adat átadására vonatkozó, e határozat 14. cikke (5) bekezdésével összhangban megkötött igazgatási megállapodás van hatályban; vagy

                  c)

                  az EU és a harmadik állam között a válságkezelési KBVP-műveletek összefüggésében az EUMSZ 37. cikkével és 218. cikkével összhangban megkötött részvételről szóló keretmegállapodás vagy részvételről szóló ad hoc megállapodás alkalmazandó;

            és az ebben az eszközben előírt feltételek teljesülnek.
      A fenti főszabályra vonatkozó kivételeket az A.VI. melléklet V. szakasza tartalmazza.
      (2)   A (1) bekezdés b) pontjában említett igazgatási megállapodások rendelkezéseket tartalmaznak annak biztosítására, hogy amennyiben a harmadik állam vagy a nemzetközi szervezet EU-minősített adatot kap, az ilyen adatot a minősítési szintjének és az e határozatban foglaltakkal legalább azonos szintű minimumszabályoknak megfelelő védelemben részesítsék.
      Az (1) bekezdés c) pontjában említett megállapodások alapján kicserélt adatokat e megállapodások alapján és azok rendelkezéseivel összhangban az olyan KBVP-műveletekre vonatkozó adatokra kell korlátozni, amelyekben a szóban forgó harmadik állam részt vesz.
      (3)   A harmadik államokban vagy nemzetközi szervezeteknél e határozat 16. cikke szerint a kicserélt EU-minősített adatok védelmére bevezetett biztonsági intézkedések hatékonyságának megállapítása céljából értékelő látogatásokra kerül sor.
      (4)   Az EKSZ által birtokolt EU-minősített adatok harmadik állam vagy nemzetközi szervezet részére történő átadásáról eseti alapon döntenek, az adat jellegétől és tartalmától, az átvevő számára szükséges ismeret elvétől, valamint az EU számára jelentkező előnyök mértékétől függően.
      Az EKSZ törekszik bármely olyan szervezet írásbeli hozzájárulására, amely minősített anyagot szolgáltatott az EKSZ-nél keletkezett EU-minősítésű adatok forrásaként, annak megállapítása érdekében, hogy nem emelnek kifogást az átadással kapcsolatban.
      Ha az átadni kért minősített adat kibocsátója nem az EKSZ, akkor az EKSZ-nek a kibocsátó előzetes írásbeli beleegyezését kell kérnie az adat átadásához.
      Ha azonban az EKSZ nem képes a kibocsátó megállapítására, a kibocsátó felelősségét az EKSZ biztonsági hatósága vállalja magára, miután megkapta az EKSZ Biztonsági Bizottságban képviselt tagállamok egyhangúlag kedvező véleményét.
      (5)   Az e cikk végrehajtására vonatkozó rendelkezéseket az A.VI. melléklet tartalmazza.
      11. cikk
      A biztonsági szabályok megsértése és az EU-minősített adatok illetéktelen tudomására jutása
      (1)   A biztonsági szabályok megsértését vagy azok feltételezett megsértését minden esetben haladéktalanul jelenteni kell az EKSZ Biztonsági Igazgatóságának, amely adott esetben tájékoztatja a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatóságának Biztonsági Igazgatóságát, valamint a Tanács Főtitkárságának Biztonsági Hivatalát, az érintett tagállamo(ka)t vagy más érintett szervezeteket.
      (2)   Amennyiben ismert vagy alapos okkal gyanítható az EU-minősített adatok illetéktelen tudomására jutása vagy elvesztése, az EKSZ Biztonsági Igazgatósága tájékoztatja a Bizottság Biztonsági Igazgatóságát, a Tanács Főtitkárságának Biztonsági Hivatalát vagy az érintett tagállam(ok) nemzeti biztonsági hatóságát, vagy más érintett szervezeteket, és adott esetben megteszi a szükséges intézkedéseket a vonatkozó jogszabályokkal és rendelkezésekkel összhangban:

                  a)

                  az EU vagy a tagállamok érdekei tekintetében okozott esetleges károk felmérésére;

                  b)

                  az ismételt előfordulás megelőzése érdekében;

                  c)

                  a bizonyítékok megőrzésére;

                  d)

                  annak biztosítására, hogy a tények megállapítása érdekében az esetet olyan személyek vizsgálják ki, akiket a biztonsági szabályok megsértése közvetlenül nem érint;

                  e)

                  értesíti a megfelelő hatóságokat az esemény hatásairól és a megtett lépésekről; továbbá

                  f)

                  a kibocsátó tájékoztatására.

            (3)   Az EKSZ felelőssége alá tartozó személyzet e határozatban megállapított biztonsági szabályokat megsértő tagja a vonatkozó szabályok és rendelkezések szerint fegyelmi eljárás alá vonható.
      A minősített adatok illetéktelen tudomására jutásáért vagy elvesztéséért felelős személy a vonatkozó jogszabályok és rendelkezések szerint fegyelmi és/vagy jogi eljárás alá vonható.
      Szükség esetén haladéktalanul tájékoztatni kell a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatóságának Biztonsági Igazgatóságát, a Tanács Főtitkárságának Biztonsági Hivatalát, vagy az érintett tagállam(ok) nemzeti biztonsági hatóságát vagy más érintett szervezeteket.
      (4)   A biztonsági szabályok megsértésével és/vagy illetéktelen tudomására jutásával kapcsolatos vizsgálatok idején, az EKSZ Biztonsági Igazgatóságának vezetője felfüggesztheti az adott személy hozzáférését az EU-minősített adatokhoz és EKSZ-helyiségekhez. E döntésről haladéktalanul tájékozatni kell a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatóságának Biztonsági Igazgatóságát, a Tanács Főtitkárságának Biztonsági Hivatalát, vagy az érintett tagállam(ok) nemzeti biztonsági hatóságát vagy más érintett szervezeteket.

      A.I. MELLÉKLET

         SZEMÉLYI BIZTONSÁG

      I.   BEVEZETÉS

                  1.

                  Ez a melléklet az A. melléklet 5. cikkének végrehajtására vonatkozó rendelkezéseket határoz meg. Különösen az EKSZ által annak meghatározására alkalmazandó kritériumokat állapítja meg, hogy egy adott személy – lojalitását, szavahihetőségét és megbízhatóságát figyelembe véve – engedélyt kaphat-e EU-minősített adatokhoz való hozzáférésre, és tartalmazza az e célból követendő vizsgálati és adminisztratív eljárásokat.

                  2.

                  A „személyi biztonsági tanúsítvány” (a továbbiakban: PSC) EU-minősített dokumentumokhoz való hozzáféréshez a valamely tagállam illetékes hatóságai által elvégzett biztonsági ellenőrzést követően a tagállam valamely illetékes hatósága által tett nyilatkozat, amely tanúsítja, hogy egy adott személy részére – amennyiben esetében a szükséges ismeret feltétele teljesül – meghatározott (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb) szintig és meghatározott időpontig hozzáférés biztosítható EU-minősített adatokhoz; a fentieknek megfelelő személy megjelölése „biztonsági ellenőrzésen átesett” személy;

                  3.

                  A „személyi biztonsági tanúsítványról szóló igazolás” (a továbbiakban: PSCC) az EKSZ biztonsági hatóság által kiadott igazolás, amely tartalmazza, hogy az adott személy biztonsági ellenőrzésen átesett, valamint, hogy milyen szintű EU-minősített adatokhoz férhet hozzá, a vonatkozó PSC érvényességi idejét és az igazolás lejártának időpontját.

                  4.

                  Az „Felhatalmazás EU-minősített adatokhoz való hozzáférésre” az EKSZ biztonsági hatósága által e határozattal összhangban adott felhatalmazás, a valamely tagállam illetékes hatóságai által adott személyi biztonsági tanúsítványt követően, amely tanúsítja, hogy egy adott személy részére – amennyiben esetében a szükséges ismeret feltétele teljesül – meghatározott (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb) szintig és meghatározott időpontig hozzáférés biztosítható EU-minősített adatokhoz; a fentieknek megfelelő személy megjelölése „biztonsági ellenőrzésen átesett” személy.

            II.   FELHATALMAZÁS AZ EU-MINŐSÍTETT ADATOKHOZ VALÓ HOZZÁFÉRÉSRE

                  5.

                  A RESTREINT UE/EU RESTRICTED minősítési szintű adatokhoz való hozzáférés esetében nem kötelező a személyi biztonsági tanúsítvány és a kiadják a következőket követően:

                              a)

                              megállapítást nyert az adott személy személyzeti szabályzaton vagy szerződéses jogviszonyon alapuló kapcsolata az EKSZ-szel,

                              b)

                              megállapítást nyert, hogy esetében a „szükséges ismeret” feltétele teljesül,

                              c)

                              tájékoztatást kapott az EU-minősített adatok védelmére szolgáló biztonsági szabályokról és eljárásokról, és írásban tudomásul vette az EU-minősített adatok védelmével kapcsolatos felelősségét e határozattal összhangban.

                  6.

                  Egy adott személy csak akkor kaphat felhatalmazást a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférésre, ha:

                              a)

                              megállapítást nyert, hogy esetében a „szükséges ismeret” feltétele teljesül;

                              b)

                              rendelkezik a megfelelő szintű PSC-vel, vagy a nemzeti jogszabályokkal és rendelkezésekkel összhangban más módon, feladatkörénél fogva megfelelő felhatalmazást kapott; továbbá

                              c)

                              tájékoztatást kapott az EU-minősített adatok védelmére szolgáló biztonsági szabályokról és eljárásokról, és írásban tudomásul vette az ilyen adatok védelmével kapcsolatos felelősségét.

                  7.

                  Az EKSZ meghatározza szervezeti felépítésében azokat a beosztásokat, amelyek CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adathoz való hozzáférést tesznek szükségessé, és ezért megfelelő szintű PSC-t igényelnek a fenti 4. cikkel összhangban.

                  8.

                  Az EKSZ személyzete nyilatkozik arról, hogy rendelkezik-e egynél több ország állampolgárságával.

         A PSC-kérelemmel kapcsolatos eljárások az EKSZ-ben

                  9.

                  Az EKSZ személyzete tekintetében az EKSZ kinevezésre jogosult hatósága küldi el a kitöltött személyi biztonsági kérdőívet az érintett személy állampolgársága szerinti tagállam nemzeti biztonsági felügyeletének, és kéri, hogy végezzenek olyan minősítési szintű biztonsági ellenőrzést, amilyen szintű EU-minősített adatokhoz az érintett személynek hozzá kell férnie.

                  10.

                  Amennyiben az adott személy több mint egy ország állampolgárságával rendelkezik, az átvilágításra irányuló kérelmet annak az országnak a nemzeti biztonsági hatóságához intézik, amelynek állampolgáraként az adott személyt felvették.

                  11.

                  Amennyiben olyan személy biztonsági ellenőrzésével kapcsolatos releváns információ jut az EKSZ tudomására, aki PSC-ért folyamodott, az EKSZ a vonatkozó szabályokkal és rendelkezésekkel összhangban értesíti erről az érintett nemzeti biztonsági felügyeletet.

                  12.

                  A biztonsági ellenőrzés elvégzését követően az érintett nemzeti biztonsági hatóság értesíti az EKSZ Biztonsági Igazgatóságát a vizsgálat eredményéről.

                              a)

                              Amennyiben a biztonsági ellenőrzés során megállapítást nyer, hogy az adott személy lojalitását, szavahihetőségét és megbízhatóságát semmilyen ismert kedvezőtlen tény nem kérdőjelezi meg, az EKSZ biztonsági hatósága megadhatja az érintettnek a felhatalmazást, és adott időpontig és meghatározott szintig engedélyezheti számára az EU-minősített adatokhoz való hozzáférést.

                              b)

                              Az EKSZ megtesz minden szükséges intézkedést annak biztosítására, hogy a nemzeti biztonsági hatóság által meghatározott feltételeket vagy korlátozásokat kellően végrehajtják. A nemzeti biztonsági hatóságot értesítik a vizsgálat eredményéről.

                              c)

                              Amennyiben a biztonsági ellenőrzés kedvezőtlen eredménnyel jár, az EKSZ biztonsági hatósága értesíti az érintett személyt, aki kérheti, hogy az EKSZ biztonsági hatósága hallgassa meg. Az EKSZ biztonsági hatósága felkérheti az illetékes nemzeti biztonsági felügyeletet, hogy ha a nemzeti jogszabályok és rendelkezések alapján módjában áll, adjon további felvilágosítást. Ha az eredmény megerősítést nyer, a felhatalmazást az EU-minősített adatokhoz való hozzáférésre nem lehet megadni. Ebben az esetben az EKSZ megteszi a szükséges intézkedéseket annak biztosítására, hogy a kérelmezőtől megtagadják az EU-minősített adatokhoz való hozzáférést.

                  13.

                  A biztonsági ellenőrzésre és a kapott eredményekre, – amelyekre az EKSZ azon döntését alapozza, hogy megadja-e vagy sem a felhatalmazást az EU-minősített adatokhoz való hozzáférésre, – az érintett tagállamban hatályos megfelelő jogszabályok és rendelkezések vonatkoznak, beleértve a jogorvoslattal kapcsolatos rendelkezéseket is. Az EKSZ biztonsági hatóságának határozata ellen a 259/68/EGK, Euratom, ESZAK rendeletben (1) foglalt, az Európai Unió tisztviselőinek személyzeti szabályzatával és az Európai Unió egyéb alkalmazottainak alkalmazási feltételeivel (a továbbiakban: „személyzeti szabályzat”) összhangban lehet fellebbezni.

                  14.

                  A PSC, amennyiben az annak alapját képező vizsgálat megállapításai továbbra is érvényesek, az érintett személy által az EKSZ-ben, a Tanács Főtitkárságán vagy a Bizottságban végzett valamennyi feladat tekintetében érvényes.

                  15.

                  Amennyiben az adott személy szolgálati jogviszonya a biztonsági ellenőrzés eredményéről az EKSZ biztonsági hatóságának részére küldött értesítés dátumától számított 12 hónapon belül nem kezdődik meg, vagy amennyiben a szolgálati jogviszony 12 hónapig vagy annál hosszabb ideig szünetel, és ez idő alatt a személy nem áll alkalmazásban az EKSZ-nél, más uniós intézménynél, ügynökségnél vagy szervnél, vagy valamely tagállam nemzeti közigazgatási szerveinél, amelyek esetében szükség van minősített adatokhoz való hozzáférésre, az érintett nemzeti biztonsági felügyelettől kell kérni annak megerősítését, hogy az eredmény továbbra is érvényes és megfelelő.

                  16.

                  Amennyiben egy PSC-vel rendelkező személy által jelentett biztonsági kockázattal kapcsolatos információ jut az EKSZ tudomására, az EKSZ a vonatkozó szabályokkal és rendelkezésekkel összhangban értesíti erről az érintett nemzeti biztonsági felügyeletet. Ha valamely nemzeti biztonsági felügyelet egy EU-minősített adatokhoz való hozzáférésre érvényes felhatalmazással rendelkező személyre vonatkozó, a 12. pont a) alpontjával összhangban tett megállapítás visszavonásáról értesíti az EKSZ-t, az EKSZ biztonsági hatósága felkérheti az illetékes nemzeti biztonsági hatóságot, hogy ha a nemzeti jogszabályok és rendelkezések alapján módjában áll, adjon további felvilágosítást. Ha a kedvezőtlen információkat megerősítik, a fent említett felhatalmazást vissza kell vonni, és a személyt ki kell zárni az EU-minősített adatokhoz való hozzáférésből, valamint azokból a beosztásokból, amelyekben az ilyen hozzáférés lehetséges, vagy amelyekben a személy a biztonságot veszélyeztetheti.

                  17.

                  Az EU-minősített adatokhoz való hozzáférésre vonatkozó felhatalmazásnak az EKSZ személyzet tagjától való visszavonásáról szóló határozatot és adott esetben annak indokait közölni kell az érintett személlyel, aki kérheti az EKSZ biztonsági hatóság általi meghallgatását. A nemzeti biztonsági felügyeletek által rendelkezésre bocsátott információkra az érintett tagállamban hatályos megfelelő jogszabályok és rendelkezések vonatkoznak, beleértve az esetleges jogorvoslattal kapcsolatos rendelkezéseket is. Az EKSZ biztonsági hatóságának határozata ellen a személyzeti szabályzattal összhangban lehet fellebbezni.

                  18.

                  Az EKSZ-hez CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz való hozzáférést igénylő beosztásba kirendelt nemzeti szakértőknek tevékenységük megkezdését megelőzően EU-minősített adathoz való hozzáféréshez szükséges, érvényes PSC-t kell benyújtaniuk az EKSZ biztonsági hatóságához. A fenti eljárást a küldő tagállamnak kell lefolytatnia.

         A PSC nyilvántartása

                  19.

                  Az EKSZ felelőssége alá tartozó személyzet és az EKSZ-szel szerződéses jogviszonyban álló vállalkozók biztonsági tanúsítványának állapotára vonatkozó adatbázist az EKSZ kezeli. E nyilvántartásnak tartalmaznia kell az EU-minősített adatok minősítési szintjét, amelyhez az adott személy részére hozzáférés biztosítható (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb), a PSC kibocsátásának dátumát és érvényességének időtartamát.

                  20.

                  Megfelelő koordinációs eljárásokra van szükség a tagállamokkal és más uniós intézményekkel, ügynökségekkel és szervekkel annak biztosítása érdekében, hogy az EKSZ a felelőssége alá tartozó személyzet és a szerződéses jogviszonyban álló vállalkozók biztonsági tanúsítványának állapotára vonatkozóan pontos és átfogó nyilvántartást vezet.

                  21.

                  Az EKSZ biztonsági hatóság személyi biztonsági tanúsítványról szóló igazolást (PSCC) adhat ki, amely tartalmazza, hogy az adott személy milyen szintű EU-minősített adatokhoz férhet hozzá (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb), valamint tartalmazza a vonatkozó PSC érvényességi idejét és az igazolás lejártának időpontját.

         Mentességek a PSC-re vonatkozó követelmények alól

                  22.

                  A tagállamokban a feladatkörüknél fogva EU-minősített adatokhoz való hozzáférésre megfelelően felhatalmazott személyeket a nemzeti jogszabályokkal és rendelkezésekkel összhangban, adott esetben az EKSZ Biztonsági Igazgatóság tájékoztatja az EU-minősített adatok védelmével kapcsolatos biztonsági kötelezettségeikről.

            III.   BIZTONSÁGI OKTATÁS ÉS TUDATOSSÁG

                  23.

                  Az EU-minősített adatokhoz való hozzáférés engedélyezése előtt az adott személynek írásban nyilatkoznia kell arról, hogy megértette az EU-minősített adatok védelmével kapcsolatos kötelezettségeit, valamint az EU-minősített adatok illetéktelen tudomására jutásának következményeit. Az ilyen írásbeli nyilatkozatokról az EKSZ-nek nyilvántartást kell vezetnie.

                  24.

                  Mindazon személyekben, akik engedéllyel rendelkeznek EU-minősített adatokhoz való hozzáférésre, vagy akiknek ilyen adatokat kell kezelniük, kezdetben, majd később rendszeres időközönként tudatosítani kell a biztonságot fenyegető veszélyeket, és e személyeknek haladéktalanul jelenteniük kell a megfelelő biztonsági hatóságoknak az általuk gyanúsnak vagy szokatlannak ítélt közeledést vagy tevékenységet.

                  25.

                  Mindazon személyeket, akik számára engedélyezték az EU-minősített adatokhoz való hozzáférést, folyamatos személyi biztonsági ellenőrzéseknek (azaz utógondozás) kell alávetni az EU-minősített adatok kezelésének ideje alatt. A folyamatos személyi biztonsági ellenőrzés a következők felelősségi körébe tartozik:

                              a)

                              Azok a személyek, akik engedéllyel rendelkeznek az EU-minősített adatokhoz való hozzáféréshez: E személyek személyesen felelnek saját biztonsággal kapcsolatos magatartásukért és haladéktalanul jelenteniük kell a megfelelő biztonsági hatóságoknak az általuk gyanúsnak vagy szokatlannak ítélt közeledést vagy tevékenységet, valamint a személyi körülményeikben bekövetkezett bármely változást, amely hatással lehet személyi biztonsági tanúsítványukra vagy az EU-minősített adatokhoz való hozzáférés engedélyezésére.

                              b)

                              Közvetlen felettesek: A következőkért felelnek: annak biztosítása, hogy a személyzet ismeri a biztonsággal kapcsolatos intézkedéseket és feladatokat az EU-minősített adatok védelmére vonatkozóan, személyzetük biztonsággal kapcsolatos magatartásának figyelemmel kísérése, továbbá hogy vagy saját maguk foglalkoznak az aggodalomra okot adó biztonsági kérdésekkel vagy jelentik a megfelelő biztonsági hatóságoknak a kedvezőtlen információkat, amelyek hatással lehetnek személyzetük személyi biztonsági tanúsítványára vagy az EU-minősített adatokhoz való hozzáférés engedélyezésére.

                              c)

                              Az EKSZ biztonsági szervezetének biztonsági szereplői az e határozat 12. cikkében említettek szerint: A következőkért felelnek: megfelelő biztonság-tudatossági tájékoztató programok biztosítása, hogy a területükhöz tartozó személyzet rendszeresen felvilágosítást kapjon, felelősségi körükben magasfokú biztonsági kultúra előmozdítása, intézkedések bevezetése a személyzet biztonsággal kapcsolatos magatartásának figyelemmel kísérésére, valamint a kedvezőtlen információk jelentése a megfelelő biztonsági hatóságoknak, amelyek hatással lehetnek az adott személyek személyi biztonsági tanúsítványára.

                              d)

                              Az EKSZ és a tagállamok: Létre kell hozniuk a szükséges kommunikációs csatornákat az olyan információk továbbítására, amelyek hatással lehetnek az adott személyek személyi biztonsági tanúsítványára vagy az EU-minősített adatokhoz való hozzáférésük engedélyezésére.

                  26.

                  Bármely személyben, akit nem alkalmaznak tovább az EU-minősített adatokhoz való hozzáférést megkövetelő feladatok ellátására, tudatosítani kell az EU-minősített adatok folyamatos védelmével kapcsolatos kötelezettségét, és adott esetben az érintett személyeknek erről írásbeli nyilatkozatot kell tenniük.

            IV.   RENDKÍVÜLI KÖRÜLMÉNYEK

                  27.

                  Az EKSZ biztonsági hatósága – szükséghelyzetből adódóan, amennyiben azt az EKSZ érdekei kellően indokolják, és a teljes biztonsági ellenőrzés lezárulásáig az érintett állampolgársága szerinti tagállam nemzeti biztonsági felügyeletével folytatott konzultációt követően, valamint a kizáró tényezők hiányát kereső első vizsgálatok eredményére is figyelemmel – meghatározott feladat tekintetében ideiglenes engedélyt adhat az EKSZ tisztviselőinek és egyéb alkalmazottainak EU-minősített adatokhoz való hozzáférésre. A teljes körű biztonsági ellenőrzést a lehető leghamarabb el kell végezni. Az ideiglenes engedély érvényességének időtartama legfeljebb hat hónap lehet, és nem teheti lehetővé a TRES SECRET UE/EU TOP SECRET minősítésű adatokhoz való hozzáférést. Minden ideiglenes engedéllyel rendelkező személynek írásban nyilatkoznia kell arról, hogy megértette az EU-minősített adatok védelmével kapcsolatos kötelezettségeit, valamint az EU-minősített adatok illetéktelen tudomására jutásának következményeit. Az ilyen írásbeli nyilatkozatokról az EKSZ-nek nyilvántartást kell vezetnie.

                  28.

                  Amennyiben egy adott személyt olyan beosztásba készülnek kinevezni, amelyhez az érintett által jelenleg birtokoltnál eggyel magasabb szintű PSC szükséges, a kinevezés ideiglenes jelleggel végrehajtható, amennyiben:

                              a)

                              a magasabb szintű EU-minősített adatokhoz való, sürgős feladat miatti hozzáférés szükségességét a személy felettese írásban igazolja;

                              b)

                              a hozzáférés meghatározott EU-minősített adatokra korlátozódik a feladat elvégzése érdekében;

                              c)

                              az érintett személy érvényes PSC-vel rendelkezik;

                              d)

                              intézkedés történt a beosztáshoz szükséges szintű hozzáférés engedélyeztetésére;

                              e)

                              az illetékes hatóság megfelelően ellenőrizte, hogy az érintett biztonsági szabályokat súlyosan vagy ismétlődően nem sértett meg;

                              f)

                              az érintett megbízását az illetékes EKSZ hatóság jóváhagyta; és

                              g)

                              az érintett nemzeti vagy kijelölt biztonsági hatósággal konzultáltak és azoktól nem érkezett kifogás;

                              h)

                              a kivételes esetet – beleértve azon adat leírását, amelyhez a hozzáférést jóváhagyták – az illetékes nyilvántartó vagy alnyilvántartó feljegyzi.

                  29.

                  A fenti eljárás az annál eggyel magasabb szintű EU-minősített adatokhoz való hozzáférés megadására alkalmazandó, mint amilyen szintre vonatkozóan a személy biztonsági ellenőrzését elvégezték. Ez az eljárás nem alkalmazható ismétlődő jelleggel.

                  30.

                  Különösen kivételes körülmények között – például ellenséges környezetben végrehajtott missziók során vagy növekvő nemzetközi feszültség idején, amennyiben a sürgősségi intézkedések ezt megkívánják, különösen életmentés céljából – a főképviselő, az ügyvezető főtitkár vagy az operatív igazgató lehetőség szerint írásban hozzáférést adhat CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű információ adatokhoz olyan személyek számára, akik nem rendelkeznek a szükséges PSC-vel, feltéve, hogy ez az engedély feltétlenül szükséges, és nem merülnek fel megalapozott kétségek az érintett személy lojalitását, szavahihetőségét és megbízhatóságát illetően. A megadott engedélyt nyilvántartásba kell venni, és fel kell jegyezni, hogy milyen adatokhoz adtak hozzáférést.

                  31.

                  A TRES SECRET UE/EU TOP SECRET minősítésű adat esetében az ilyen sürgősségi hozzáférést olyan uniós polgárokra kell korlátozni, akik a TRES SECRET UE/EU TOP SECRET szint nemzeti megfelelőjéhez vagy SECRET UE/EU SECRET minősítésű adatokhoz hozzáféréssel rendelkeznek.

                  32.

                  Az EKSZ Biztonsági Bizottságot tájékoztatni kell azon esetekről, amikor a 29. és 30. pontban foglalt eljárást ismétlődő jelleggel alkalmazzák.

                  33.

                  Az EKSZ Biztonsági Bizottság részére éves jelentést kell készíteni az e szakaszban meghatározott eljárások alkalmazásáról.

            V.   AZ EKSZ SZÉKHELYÉN ÉS AZ UNIÓ KÜLDÖTTSÉGEIN TARTOTT ÜLÉSEKEN VALÓ RÉSZVÉTEL

                  34.

                  Az EKSZ székhelyen és az Unió küldöttségein tartott, CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat tárgyaló üléseken a részvétellel megbízott személyek csak PSC-jük állapotának megerősítését követően vehetnek részt. A tagállamok képviselői, a Főtitkárság és a Bizottság tisztviselői esetében a PSCC-t vagy a PSC egyéb bizonyítékát a megfelelő hatóságok továbbítják az EKSZ Biztonsági Igazgatóságának, az uniós küldöttség biztonsági koordinátorának vagy azt kivételes esetben az érintett személy is benyújthatja. Adott esetben összesített névjegyzék használható, amely a PSC meglétét bizonyítja.

                  35.

                  Amennyiben az EU-minősített adatokhoz való hozzáférésre szóló PSC-t visszavonják egy olyan személytől, akinek feladatai megkövetelik az EKSZ székhelyen vagy az Unió küldöttségein tartott, CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokat tárgyaló üléseken való részvételt, az illetékes hatóság tájékoztatja erről az EKSZ-t.

            VI.   AZ EU-MINŐSÍTETT ADATOKHOZ VALÓ POTENCIÁLIS HOZZÁFÉRÉS

                  36.

                  Amennyiben egyes személyeket olyan körülmények között alkalmaznak, amelyek között potenciálisan hozzáférnek a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szintű minősített adatokhoz, e személyeknek megfelelő biztonsági ellenőrzésen kell átesniük, vagy mindenkor kísérettel kell ellátni őket.

                  37.

                  A futároknak, a biztonsági őröknek és a kísérőknek megfelelő szintű biztonsági ellenőrzésen kell átesniük, vagy a nemzeti jogszabályoknak és rendelkezéseknek megfelelő egyéb vizsgálaton kell átesniük, rendszeres időközönként tájékoztatni kell őket az EU-minősített adatok védelmére szolgáló biztonsági eljárásokról és a rájuk bízott, vagy olyan minősített adatok védelmét érintő feladataikról, amelyekhez véletlen folytán hozzáférhetnek.

         (1)  HL L 56., 1968.3.4., 1. o.

      A.II. MELLÉKLET

         EU-MINŐSÍTETT ADATOK FIZIKAI BIZTONSÁGA

      I.   BEVEZETÉS

                  1.

                  Ez a melléklet az A. melléklet 6. cikkének végrehajtására vonatkozó rendelkezéseket határoz meg. Megállapítja az olyan helyiségek, épületek, irodák, termek és egyéb területek – többek között a CIS-nek helyet adó területek – fizikai védelmének minimumkövetelményeit, ahol EU-minősített adatokat kezelnek és tárolnak.

                  2.

                  A fizikai biztonsági intézkedések célja az EU-minősített adatokhoz való jogosulatlan hozzáférés megakadályozása az alábbiak révén:

                              a)

                              az EU-minősített adatok megfelelő módon való kezelésének és tárolásának a biztosítása;

                              b)

                              a személyzet tagjainak szigorúan a szükséges ismeret elve, és szükség szerint személyi biztonsági tanúsítványuk alapján történő megkülönböztetése az EU-minősített adatokhoz való hozzáférés tekintetében;

                              c)

                              a jogosulatlan cselekményektől való elrettentés, azok megakadályozása és észlelése; továbbá

                              d)

                              behatolók titokban történő vagy erőszakos behatolásának megakadályozása vagy késleltetése.

            II   FIZIKAI BIZTONSÁGI KÖVETELMÉNYEK ÉS INTÉZKEDÉSEK

                  3.

                  Az EKSZ kockázatkezelési eljárást alkalmaz az EU-minősített adatoknak a saját területükön történő védelmére, a felmért kockázattal arányos mértékű fizikai védelem biztosítása érdekében. A kockázatkezelési folyamat figyelembe veszi az összes vonatkozó tényezőt, különösen az alábbiakat:

                              a)

                              az EU-minősített adatok minősítési szintje;

                              b)

                              az EU-minősített adatok megjelenési formája és mennyisége, szem előtt tartva, hogy nagy mennyiségű EU-minősített adat vagy ilyen adatok gyűjteménye szigorúbb védelmi intézkedések alkalmazását teheti szükségessé;

                              c)

                              azon épületek vagy területek közvetlen környezete és kialakítása, ahol EU-minősített adatok adatokat kezelnek, illetve tárolnak;

                              d)

                              az INTCEN által, különösen az uniós küldöttségek jelentései alapján kidolgozott, harmadik országról szóló fenyegetésértékelés, valamint

                              e)

                              az EU vagy a tagállamok ellen tevékenykedő hírszerző szolgálatok tevékenységéből eredő fenyegetések, valamint a szabotázs, terrorizmus, felforgató tevékenységek vagy más bűncselekmények miatt fenyegető veszélyek.

                  4.

                  Az EKSZ biztonsági hatóság a mélységi védelem elvének alkalmazásával meghatározza a végrehajtandó fizikai biztonsági intézkedések megfelelő kombinációját. Ezek közé az alábbiakban felsoroltak közül egy vagy több tartozhat:

                              a)

                              kordon: fizikai akadály, amely védi a védelmet igénylő terület határát;

                              b)

                              behatolásjelző rendszerek (IDS): behatolásjelző rendszereket a kordon nyújtotta védelem növelésére vagy termekben és épületekben a biztonsági személyzet helyett vagy annak támogatására lehet használni;

                              c)

                              belépés-ellenőrzés: a belépés-ellenőrzés kiterjedhet egy adott helyszínre, egy adott helyszínen található épületre vagy épületekre, valamint épületen belüli területekre vagy termekre. Az ellenőrzés történhet elektronikus vagy elektromechanikus eszközökkel, a biztonsági személyzet és/vagy a recepciós által vagy bármilyen más fizikai eszközzel;

                              d)

                              biztonsági személyzet: képzett, felügyelt és – szükség esetén – megfelelő biztonsági ellenőrzésen átesett biztonsági személyzetet lehet alkalmazni többek között a titkos behatolást tervező személyek elrettentésére;

                              e)

                              zártláncú kamera rendszer (CCTV): nagy kiterjedésű területeken vagy körzetekben a biztonsági személyzet CCTV segítségével ellenőrizheti a biztonsági eseményeket és a behatolásjelző rendszer riasztásait;

                              f)

                              biztonsági világítás: biztonsági világítás használható a lehetséges behatolók elrettentésére, valamint a biztonsági személyzet általi közvetlen vagy a CCTV-rendszeren keresztüli közvetett, hatékony megfigyeléshez szükséges megvilágítás biztosítására; továbbá

                              g)

                              bármely más megfelelő fizikai intézkedés, amelynek célja az EU-minősített adatokhoz való jogosulatlan hozzáférés, vagy az ilyen adat elvesztésének vagy megrongálódásának megakadályozása vagy észlelése.

                  5.

                  Az EKSZ Biztonsági Igazgatóság a be- és kiléptetésnél átvizsgálást végezhet a nem engedélyezett anyagok bevitelétől vagy EU-minősített adatoknak a helyiségből vagy épületből történő engedély nélküli kivitelétől való elrettentés céljából.

                  6.

                  Amennyiben EU-minősített adatokat – akár véletlenszerűen is – rálátás veszélye fenyeget, megfelelő intézkedéseket kell hozni e veszély kivédésére.

                  7.

                  Az új létesítmények esetében a fizikai biztonsági követelményeket és azok funkcionális jellemzőit már a létesítmények tervezése során meg kell határozni. A már meglevő létesítmény esetében a fizikai biztonsági követelményeket a lehető legteljesebb mértékben meg kell valósítani.

            III.   AZ EU-MINŐSÍTETT ADATOK FIZIKAI VÉDELMÉRE SZOLGÁLÓ BERENDEZÉSEK

                  8.

                  Az EU-minősített adatok fizikai védelmét szolgáló felszerelések (például biztonsági tárolóeszközök, iratmegsemmisítő gépek, ajtózárak, elektronikus beléptető rendszerek, behatolásjelző-rendszerek, riasztórendszerek) beszerzésekor az EKSZ biztonsági hatóság biztosítja, hogy a felszerelések megfeleljenek a jóváhagyott műszaki szabványoknak és minimumkövetelményeknek.

                  9.

                  Az EU-minősített adatok fizikai védelmére szolgáló felszerelések műszaki jellemzőit az EKSZ Biztonsági Bizottság által jóváhagyandó biztonsági iránymutatások tartalmazzák.

                  10.

                  A biztonsági rendszereket rendszeres időközönként ellenőrizni kell, a felszereléseket pedig rendszeresen karban kell tartani. A karbantartás során figyelembe kell venni az ellenőrzések eredményét annak biztosítása érdekében, hogy a felszerelések továbbra is a lehető leghatékonyabban működjenek.

                  11.

                  Az egyes biztonsági intézkedések és a teljes biztonsági rendszer hatékonyságát minden ellenőrzés során újra kell értékelni.

            IV.   FIZIKAI VÉDELEMBEN RÉSZESÜLŐ TERÜLETEK

                  12.

                  Az EU-minősített adatok fizikai védelmére két típusú, fizikai védelemben részesülő terület – vagy azok nemzeti megfelelői – kerül megállapításra:

                              a)

                              adminisztratív zónák; és

                              b)

                              biztonsági területek (köztük a technikailag biztosított biztonsági területek).

                  13.

                  Az EKSZ biztonsági hatóság megállapítja, hogy az adott terület megfelel-e az adminisztratív zónaként, biztonsági területként, technikailag biztosított biztonsági területként való kijelölés követelményeinek.

                  14.

                  Az adminisztratív zónák esetében:

                              a)

                              láthatóan elhatárolt körzetet kell meghatározni, amely lehetővé teszi a személyek és lehetőség szerint a járművek ellenőrzését;

                              b)

                              a kíséret nélküli belépést csak az EKSZ Biztonsági Igazgatóság megfelelő engedélyével rendelkező személyek számára lehet megadni; és

                              c)

                              minden más személy mellé folyamatos kíséretet kell adni vagy ezzel egyenértékű ellenőrzésnek kell alávetni.

                  15.

                  A biztonsági területek esetében:

                              a)

                              láthatóan elhatárolt és védett körzetet kell meghatározni, amelyen minden be- és kilépést beléptető vagy személyazonosító rendszerrel ellenőriznek;

                              b)

                              kíséret nélküli belépés kizárólag olyan személyek számára biztosítható, akik megfelelő szintű biztonsági ellenőrzésen estek át, és a szükséges ismeret elve alapján különleges engedéllyel rendelkeznek a területre való belépésre;

                              c)

                              minden más személy mellé folyamatos kíséretet kell adni vagy ezzel egyenértékű ellenőrzésnek kell alávetni.

                  16.

                  Amennyiben a biztosított területre való belépés az ott található minősített adatokhoz való közvetlen – bármilyen gyakorlati célt szolgáló – hozzáférést tesz lehetővé, az alábbi kiegészítő követelményeket kell alkalmazni:

                              a)

                              az adott területen általában tárolt adatok legmagasabb minősítési szintjét egyértelműen fel kell tüntetni,

                              b)

                              minden látogatónak különleges engedéllyel kell rendelkeznie a területre való belépéshez, minden látogató mellé folyamatos kíséretet kell rendelni és valamennyi látogatónak megfelelő biztonsági ellenőrzésen kell átesnie, kivéve ha intézkedéseket tettek annak biztosítására, hogy EU-minősített adatokhoz ne legyen lehetséges a hozzáférés;

                              c)

                              elektronikus eszközöket a területen kívül kell hagyni.

                  17.

                  A lehallgatás ellen védett biztonsági területek a technikailag biztosított biztonsági terület megjelölést kapják. E területekre a következő kiegészítő követelmények vonatkoznak:

                              a)

                              az ilyen területeket behatolásjelző rendszerrel szerelik fel, használaton kívül zárva tartják, használat esetén pedig őrzik. A melléklet VI. szakaszával összhangban valamennyi kulcsot ellenőrizni kell;

                              b)

                              az e területekre belépő személyeket és anyagokat ellenőrizni kell;

                              c)

                              e területeket rendszeres fizikai és/vagy technikai ellenőrzéseknek kell alávetni az EKSZ biztonsági hatóság előírásainak megfelelően. Ezeket az ellenőrzéseket illetéktelen behatolás vagy annak gyanúja esetén is el kell végezni; továbbá

                              d)

                              az ilyen területeken nem lehetnek engedély nélküli kommunikációs vonalak, engedély nélküli telefonvonalak és más engedély nélküli eszközök és elektromos vagy elektronikus berendezések;

                  18.

                  A 17. pont d) alpontja ellenére minden kommunikációs, elektromos vagy elektronikus berendezést – mielőtt olyan területen használnák őket, ahol SECRET UE/EU SECRET vagy magasabb szintű minősített adatokat érintő üléseket tartanak vagy munkát végeznek, valamint az EU-minősített adatot fenyegető, nagy kockázatúnak értékelt veszély esetén – először az EKSZ biztonsági hatóságnak meg kell vizsgálnia annak biztosítása érdekében, hogy ilyen berendezés révén véletlenül vagy tiltott módon ne közvetíthessenek értelmezhető adatokat az adott biztosított területen kívülre.

                  19.

                  Azokat a biztosított területeket, ahol nem tartózkodik napi 24 órán át munkavégző személyzet, adott esetben a rendes munkaidő végén ellenőrizni, valamint a rendes munkaidőn kívül szúrópróbaszerűen ellenőrizni kell, amennyiben az említett területeken nem működik behatolásjelző rendszer.

                  20.

                  Biztonsági területeket és technikailag biztosított biztonsági területeket ideiglenesen is fel lehet állítani egy adminisztratív zónán belül, minősített üléshez vagy más hasonló célból.

                  21.

                  Minden egyes biztonsági terület tekintetében ki kell dolgozni a biztonsági szabályzatot, amely az alábbiakat tartalmazza:

                              a)

                              a területen kezelt és tárolt EU-minősített adatok minősítési szintje;

                              b)

                              a fenntartandó ellenőrzési és védelmi intézkedések;

                              c)

                              a szükséges ismeret elve és biztonsági tanúsítvány alapján a területre kíséret nélkül való belépésre engedéllyel rendelkező személyek;

                              d)

                              adott esetben a kíséretre vagy az EU-minősített adatok védelmére vonatkozó eljárások minden más személynek a területre való belépése engedélyezésekor;

                              e)

                              minden más vonatkozó intézkedés és eljárás.

                  22.

                  A biztonsági területeken megerősített helyiségeket kell kialakítani. Az EKSZ biztonsági hatóságnak ellenőriznie kell a falakat, padlókat, plafonokat, ablakokat és zárható ajtókat, amelyek az ugyanilyen minősítési szintű EU-minősített adat tárolásához jóváhagyott tárolóeszköz által nyújtottal egyenértékű védelmet kell biztosítaniuk.

            V.   AZ EU-MINŐSÍTETT ADAT KEZELÉSÉRE ÉS TÁROLÁSÁRA VONATKOZÓ FIZIKAI VÉDELMI INTÉZKEDÉSEK

                  23.

                  Az olyan EU-minősített adatot, amely RESTREINT UE/EU RESTRICTED minősítésű, az alábbi helyeken lehet kezelni:

                              a)

                              biztonsági területen;

                              b)

                              adminisztratív zónában, amennyiben az EU-minősített adat védelemben részesül az engedéllyel nem rendelkező egyének hozzáférésével szemben; vagy

                              c)

                              biztonsági területen vagy adminisztratív zónán kívül, amennyiben az adat birtokosa az A.III. melléklet 30–42. pontjával összhangban szállítja az EU-minősített adatot, és vállalta, hogy eleget tesz az EKSZ biztonsági hatóság által az EU-minősített adatok engedéllyel nem rendelkező személyek általi hozzáféréssel szembeni védelme céljából kiadott biztonsági utasításokban foglalt kiegészítő intézkedéseknek.

                  24.

                  Az olyan EU-minősített adatot, amely RESTREINT UE/EU RESTRICTED minősítésű, megfelelően zárható irodabútorokban kell tárolni igazgatási vagy biztosított területen. Ideiglenesen biztosított területen vagy igazgatási területen kívül is lehet tárolni, amennyiben az adat birtokosa vállalta, hogy eleget tesz az EKSZ biztonsági hatóság által kiadott biztonsági utasításokban foglalt kiegészítő intézkedéseknek.

                  25.

                  Az olyan EU-minősített adatot, amely CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű, az alábbi helyeken lehet kezelni:

                              a)

                              biztonsági területen;

                              b)

                              adminisztratív zónában, amennyiben az EU-minősített adat védve van az engedéllyel nem rendelkező egyének hozzáférésétől; or

                              c)

                              biztonsági területen vagy adminisztratív zónán kívül, amennyiben az adat birtokosa:

                                          i.

                                          az A.III. melléklet 30–42. pontjával összhangban szállítja az EU-minősített adatot;

                                          ii.

                                          vállalta, hogy eleget tesz az EKSZ biztonsági hatóság által az EU-minősített adatok engedéllyel nem rendelkező személyek általi hozzáféréssel szembeni védelme céljából kiadott biztonsági utasításokban foglalt kiegészítő intézkedéseknek;

                                          iii.

                                          az EU-minősített adatot mindenkor személyes felügyelete alatt tartja; továbbá

                                          iv.

                                          papíralapú dokumentumok esetében értesítette erről az érintett nyilvántartót.

                  26.

                  A CONFIDENTIEL UE/EU CONFIDENTIAL és SECRET UE/EU SECRET minősítésű adatot a biztonsági területen belül kell tárolni biztonsági tárolóeszközben vagy megerősített helyiségben.

                  27.

                  A TRES SECRET UE/EU TOP SECRET minősítésű adatokat biztonsági területen kell kezelni.

                  28.

                  A TRES SECRET UE/EU TOP SECRET minősítésű adatokat a székhely biztonsági területén az alábbi módok valamelyike szerint kell tárolni:

                              a)

                              a 8. pont szerinti biztonsági tárolóeszközben, az alábbiak közül egy vagy több kiegészítő ellenőrzés kíséretében:

                                          i.

                                          i. ellenőrzött biztonsági vagy munkavégző személyzet általi folyamatos védelem vagy ellenőrzés;

                                          ii.

                                          jóváhagyott behatolásjelző rendszer, a biztonságért felelős elhárító személyzettel együttesen;

                                    vagy

                              b)

                              behatolásjelző rendszerrel ellátott megerősített helyiségben, a biztonságért felelős elhárító személyzettel együttesen.

                  29.

                  Az EU-minősített adatok fizikailag védett területeken kívüli szállítására vonatkozó szabályokat az A.III. melléklet tartalmazza.

            VI.   AZ EU-MINŐSÍTETT ADATOK VÉDELMÉRE SZOLGÁLÓ KULCSOK ÉS KOMBINÁCIÓK ELLENŐRZÉSE

                  30.

                  Az EKSZ biztonsági hatóság meghatározza az irodák, termek, megerősített helyiségek és biztonsági tárolóeszközök kulcsainak és kombinációinak kezelésére vonatkozó eljárásokat. Ezek az eljárások a jogosulatlan hozzáféréssel szembeni védelmet biztosítják.

                  31.

                  A kombinációkat kívülről meg kell tanulnia annak a lehető legkisebb számú személyzetnek, akinek azokat ismernie kell. Az EU-minősített adatok tárolására szolgáló biztonsági tárolóeszközök és megerősített helyiségek kombinációit az alábbi esetekben meg kell változtatni:

                              a)

                              új tárolóeszköz átvételekor;

                              b)

                              a kombinációt ismerő személyzet minden változásakor;

                              c)

                              ha azok ténylegesen illetéktelen tudomására jutottak vagy ennek gyanúja merült fel;

                              d)

                              amikor a záron javítást vagy karbantartást végeztek; és

                              e)

                              legalább 12 havonta.

      A.III. MELLÉKLET

         A MINŐSÍTETT ADATOK KEZELÉSE

      I.   BEVEZETÉS

                  1.

                  Ez a melléklet az A. melléklet 7. cikkének végrehajtására vonatkozó rendelkezéseket határoz meg. Megállapítja az EU-minősített adat teljes életciklusán keresztüli ellenőrzésére szolgáló adminisztratív intézkedéseket az ilyen adat szándékos vagy véletlenszerű illetéktelen tudomására jutásától vagy elvesztésétől való elrettentéshez, annak észleléséhez és a kár helyreállításához való hozzájárulás érdekében.

            II.   A MINŐSÍTÉS SZABÁLYAI

         Minősítések és jelölések

                  2.

                  Az adatokat akkor kell minősíteni, ha a titkosságuk biztosításához védelemre van szükségük.

                  3.

                  Az EU-minősített adatok minősítési szintjének a megfelelő minősítési útmutató szerinti meghatározásáért és a címzettekhez történő továbbításáért az adat kibocsátója felel.

                  4.

                  Az EU-minősített adatok minősítési szintjét az A. melléklet 2. cikkének (2) bekezdésével összhangban, valamint az A. melléklet 3. cikke (3) bekezdésével összhangban jóváhagyandó biztonsági politikára hivatkozással kell meghatározni.

                  5.

                  A tagállamoknak az EKSZ-hez továbbított minősített adatai számára a védelem azonos szintjét kell biztosítani, mint amelyet az egyenértékű minősítéssel rendelkező EU-minősített adatok élveznek. Egyenértékűségi táblázat található a biztonsági minősítéseknek az EU-minősített adatok védelmét szolgáló biztonsági szabályokról szóló, 2011. március 31-i 2011/292/EU tanácsi határozat B. függelékében.

                  6.

                  A minősítést és jelölést, és adott esetben azon időpontot vagy konkrét eseményt, amelyet követően a minősített adat visszaminősíthető vagy a minősítés feloldható, egyértelműen és helyesen fel kell tüntetni, tekintet nélkül arra, hogy az EU-minősített adat papír, szóbeli, elektronikus vagy egyéb formájú.

                  7.

                  Egy adott dokumentum egyes részei (például oldalai, bekezdései, szakaszai, mellékletei, függelékei, toldalékai és csatolmányai) eltérő minősítést igényelhetnek, és ennek megfelelő jelölést kell kapniuk, többek között az elektronikus formában történő tárolásuk alkalmával.

                  8.

                  A különböző minősítési szintű részeket tartalmazó dokumentumokat lehetőség szerint úgy kell szerkeszteni, hogy az eltérő minősítésű részek könnyen felismerhetők és szükség esetén leválaszthatók legyenek.

                  9.

                  A dokumentum vagy a fájl egésze a legmagasabb minősítési szintű rész minősítését kapja. Ha egy dokumentumot különböző forrásokból származó adatokból állítanak össze, a kész anyagot a minősítési szint meghatározása céljából át kell nézni, mivel összességében magasabb szintű minősítést igényelhet, mint egyes részei külön-külön.

                  10.

                  A mellékleteket kísérő levél vagy feljegyzés ugyanolyan minősítést kap, mint legmagasabb minősítési szintű melléklete. A kibocsátónak megfelelő jelöléssel egyértelműen jeleznie kell, hogy a kísérő levél vagy feljegyzés milyen szintű minősítést kap, ha a mellékleteitől elválasztják, például a következő formában:
                  CONFIDENTIEL UE/EU CONFIDENTIAL
                  A RESTREINT UE/EU RESTRICTED minősítésű melléklet(ek) nélkül

         Megjelölés

                  11.

                  Az A. melléklet 2. cikke (2) bekezdésében meghatározott minősítési jelölések mellett az EU-minősített adatok további jelölésekkel láthatók el, úgymint:

                              a)

                              kibocsátójelölő-azonosító;

                              b)

                              különleges kezelési utasítás, kód vagy betűszó a dokumentum által érintett tevékenységi terület vagy a szükséges ismeret elve alapján történő továbbítási vagy felhasználási korlátozások meghatározására;

                              c)

                              a kiadhatóságra vonatkozó jelölések.

                  12.

                  Az EU-minősített adatoknak harmadik állam vagy nemzetközi szervezet részére történő átadására vonatkozó döntést követően az EKSZ Biztonsági Igazgatósága továbbítja az érintett dokumentumot, amelyen szerepel az átvevő harmadik államot vagy nemzetközi szervezetet feltüntető átadásra jogosító jelölés is.

                  13.

                  Az EKSZ biztonsági hatósága el fogja fogadni az engedélyezett jelölések listáját.

         Rövidített minősítési jelölések

                  14.

                  Egy adott szöveg egyes bekezdései minősítési szintjének jelölésére egységes rövidített minősítési jelölések használhatók. A rövidítések nem helyettesítik a teljesen kiírt minősítési jelöléseket.

                  15.

                  Az EU-minősített dokumentumokon belül a szöveg egy oldalnál kisebb terjedelmű szakaszainak vagy részeinek minősítési szintje a következő egységes rövidítésekkel jelölhető:

                              TRES SECRET UE/EU TOP SECRET

                              TS-UE/EU-TS

                              SECRET UE/EU SECRET

                              S-UE/EU-S

                              CONFIDENTIEL UE/EU CONFIDENTIAL

                              C-UE/EU-C

                              RESTREINT UE/EU RESTRICTED

                              R-UE/EU-R

         EU-minősített dokumentumok létrehozása

                  16.

                  EU-minősített dokumentum létrehozásakor:

                              a)

                              minden egyes oldalon jól láthatóan szerepeltetni kell a minősítési jelölést;

                              b)

                              minden egyes oldalt számozni kell;

                              c)

                              a dokumentumnak nyilvántartási számmal és tárggyal kell rendelkeznie, amely önmagában nem minősített adat, kivéve ha akként jelölik;

                              d)

                              a dokumentumot dátummal kell ellátni;

                              e)

                              a CONFIDENTIEL UE/EU CONFIDENTIAL és magasabb minősítési szintű dokumentumok minden egyes oldalán fel kell feltüntetni a példány sorszámát, ha azokat több példányban továbbítják.

                  17.

                  Amennyiben az EU-minősített adatokra a 15. pont nem alkalmazható, az e határozat értelmében kialakítandó biztonsági iránymutatásoknak megfelelő egyéb intézkedéseket kell hozni.

         EU-minősített adatok visszaminősítése és a minősítés feloldása

                  18.

                  Az adat létrehozásakor – amennyiben lehetséges, és különösen RESTREINT UE/EU RESTRICTED minősítésű adat esetén – a kibocsátó jelöli, hogy adott időpontban vagy konkrét eseményt követően az EU-minősített adat visszaminősíthető-e vagy minősítése megszüntethető-e.

                  19.

                  Az EKSZ rendszeresen felülvizsgálja az általa őrzött EU-minősített adatokat annak megállapítására, hogy minősítésük még érvényes-e. Az EKSZ kialakít egy rendszert az általa kibocsátott, nyilvántartásban lévő EU-minősített adatok minősítésének legalább ötévenkénti felülvizsgálatára. Nincs szükség ilyen felülvizsgálatra akkor, ha a kibocsátó már kezdetben jelezte, hogy egy adott időpontban az adatot automatikusan vissza fogják minősíteni vagy a minősítését meg fogják szüntetni, és az adatot ennek megfelelően jelölték.

            III.   EU-MINŐSÍTETT ADATOK BIZTONSÁGI CÉLÚ NYILVÁNTARTÁSBA VÉTELE

                  20.

                  A székhelyen központi nyilvántartót hoznak létre. Az EKSZ keretében működő, EU-minősített adatot kezelő valamennyi szervezeti egységnél ki kell alakítani a központi nyilvántartónak alárendelt nyilvántartót, amely biztosítja, hogy az EU-minősített adatok kezelése e határozattal összhangban történjen. A nyilvántartókat az A. mellékletben meghatározott biztonsági területeken kell létrehozni.
                  Az egyes uniós küldöttségek létrehozzák az EU-minősített adatokat kezelő saját nyilvántartójukat.
                  Az EKSZ biztonsági hatósága kijelöli e nyilvántartók vezető iktatási tisztviselőjét.

                  21.

                  E határozat alkalmazásában a biztonsági célú nyilvántartásba vétel (a továbbiakban: nyilvántartásba vétel) olyan eljárások alkalmazása, amelyek során rögzítésre kerül az adat életciklusa, beleértve a továbbítását és a megsemmisítését is. CIS esetében a végrehajtandó nyilvántartási eljárások a CIS-beli folyamatok keretében is elvégezhetők.

                  22.

                  Valamennyi CONFIDENTIEL UE/EU CONFIDENTIAL és annál magasabb minősítésű anyagot a szervezeti egységhez – beleértve az uniós küldöttségeket – való beérkezés vagy onnan történő elküldés alkalmával nyilvántartásokban kell kezelni. A TRES SECRET UE/EU TOP SECRET minősítésű adatokat erre kijelölt nyilvántartásokban kell kezelni.

                  23.

                  Az EKSZ székhelyén található központi nyilvántartó a minősített adatok harmadik államokkal és nemzetközi szervezetekkel való cseréjének fő beérkezési és kiküldési helyeként működik. A központi nyilvántartó nyilvántartást vezet valamennyi ilyen adatcseréről.

                  24.

                  A főképviselő jóváhagyja az EU-minősített adatoknak biztonsági célú nyilvántartásba vételére vonatkozó biztonsági politikát e határozat 14. cikkével összhangban.

         Tres secret UE/EU top secret nyilvántartók

                  25.

                  Az EKSZ székhelyén ki kell jelölni a TRES SECRET UE/EU TOP SECRET minősítésű adatok központosított kézhez vételével és elosztásával megbízott központi nyilvántartót. Szükség esetén ennek alárendelt nyilvántartók is kijelölhetők ezen adatok nyilvántartására és kezelésére.

                  26.

                  Az alárendelt nyilvántartók nem továbbíthatnak közvetlenül TRES SECRET UE/EU TOP SECRET dokumentumokat az ugyanazon TRES SECRET UE/EU TOP SECRET minősítéssel rendelkező, központi nyilvántartóhoz tartozó többi alárendelt nyilvántartó számára vagy kifelé e központi nyilvántartó kifejezett írásbeli jóváhagyása nélkül.

            IV.   EU-MINŐSÍTETT DOKUMENTUMOK MÁSOLÁSA ÉS FORDÍTÁSA

                  27.

                  TRES SECRET EU/EU TOP SECRET minősítésű dokumentumok kizárólag a kibocsátó előzetes írásbeli hozzájárulásával másolhatók vagy fordíthatók le.

                  28.

                  Amennyiben a SECRET UE/EU SECRET és ennél alacsonyabb minősítésű dokumentumok kibocsátója a másolásra vagy fordításra vonatkozóan nem szabott korlátozásokat, e dokumentumok a titokbirtokos utasítására másolhatók vagy fordíthatók.

                  29.

                  Az eredeti dokumentumra vonatkozó biztonsági intézkedéseket a másolatokra és a fordításokra is alkalmazni kell. A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb minősítési szintű adatokról másolatok kizárólag a vonatkozó alárendelt nyilvántartóban biztonságos másolóval készülhetnek. A másolatokat nyivántartásba kell venni.

            V.   EU-MINŐSÍTETT ADATOK SZÁLLÍTÁSA

                  30.

                  Az EU-minősített adatok szállítására a 31–41. pontban szereplő védelmi intézkedések vonatkoznak. Az EU-minősített adatok elektronikus eszközökön történő szállítása során – az A. melléklet 7. cikke (4) bekezdésétől eltérően – az alább előírt védelmi intézkedéseket – az elvesztés vagy az illetéktelen tudomására jutás kockázatának minimalizálása érdekében – kiegészíthetik az EKSZ biztonsági hatóság által előírt, megfelelő technikai ellenintézkedések.

                  31.

                  Az EKSZ biztonsági hatósága utasításokat bocsát ki az EU-minősített adatok e határozattal összhangban történő szállítására vonatkozóan.

         Épületen vagy zárt épületcsoporton belüli szállítás

                  32.

                  A valamely épületen vagy zárt épületcsoporton belül szállított EU-minősített adatokat az azok tartalmába való betekintés megakadályozása érdekében le kell takarni.

                  33.

                  TRES SECRET UE/EU TOP SECRET minősítésű adatokat adott épületen vagy zárt épületcsoporton belül lezárt borítékban, megfelelő biztonsági ellenőrzésen átesett személyek által kell szállítani, amelyen kizárólag a címzett neve tüntethető fel.

         Az Európai Unión belül

                  34.

                  Az EU-n belül épületek vagy létesítmények között szállított EU-minősített adatokat oly módon kell becsomagolni, hogy azok védettek legyenek az illetéktelen hozzáféréstől.

                  35.

                  A SECRET UE/EU SECRET szinttel bezárólag a minősített adatoknak az EU-n belüli szállítása az alábbi módok valamelyikén történik:

                              a)

                              katonai, kormányzati vagy diplomáciai futár, az esetnek megfelelően;

                              b)

                              kézi szállítás, amennyiben:

                                          i.

                                          az EU-minősített adat a szállítást végző személy birtokában marad, kivéve ha azt az A.II. mellékletben foglalt követelményekkel összhangban tárolják;

                                          ii.

                                          az EU-minősített adatot tartalmazó csomagot útközben nem nyitják ki vagy olvassák nyilvános helyen;

                                          iii.

                                          az érintett személyek megfelelő szintű biztonsági ellenőrzésen esnek át, és tájékoztatják őket a biztonsággal kapcsolatos felelősségükről;

                                          iv.

                                          az érintetteket szükség esetén futárigazolvánnyal látják el;

                              c)

                              postaszolgálatok vagy kereskedelmi futárszolgálatok, feltéve hogy:

                                          i.

                                          i. azokat a megfelelő nemzeti biztonsági hatóság a nemzeti jogszabályokkal és rendelkezésekkel összhangban jóváhagyta;

                                          ii.

                                          azok az e határozat 20. cikke (1) bekezdése értelmében kialakítandó biztonsági iránymutatásokban meghatározandó minimális követelményeknek megfelelő védelmi intézkedéseket alkalmaznak.

                        Egyik tagállamból másikba történő szállítás esetén a c) alpont rendelkezései kizárólag a CONFIDENTIEL UE/EU CONFIDENTIAL és annál alacsonyabb minősítésű adatokra alkalmazandók.

                  36.

                  Az olyan CONFIDENTIEL UE/EU CONFIDENTIAL és SECRET UE/EU SECRET minősítésű anyagokat (pl. gépek vagy berendezések), amelyek a 34. pontban említett módon nem szállíthatók, kereskedelmi fuvarozók az A.V. mellékletnek megfelelően szállítmányként szállítják.

                  37.

                  A TRES SECRET UE/EU TOP SECRET minősítésű adatok szállítása az EU-n belül épületek vagy létesítmények között az adott esetnek megfelelően katonai, kormányzati vagy diplomáciai futár révén történik.

         Szállítás az EU-ból valamely harmadik állam területére, vagy uniós szervezeti egységek között harmadik államokban

                  38.

                  Az EU-ból valamely harmadik állam területére, vagy uniós szervezeti egységek között harmadik államokban szállított EU-minősített adatot úgy kell becsomagolni, hogy az védve legyen az illetéktelen hozzáféréstől.

                  39.

                  A CONFIDENTIEL UE/EU CONFIDENTIAL és a SECRET UE/EU SECRET minősítésű adatoknak az EU-ból valamely harmadik állam területére, valamint a minősített adatoknak a SECRET UE/EU SECRET szinttel bezárólag az uniós szervezeti egységek között harmadik államokban történő szállítása az alábbi módok valamelyikén történik:

                              a)

                              katonai vagy diplomáciai futár;

                              b)

                              kézi szállítás, amennyiben:

                                          i.

                                          a csomag hivatalos pecséttel van ellátva, vagy oly módon van becsomagolva, amelyből kiderül, hogy az hivatalos küldemény és nem képezi vámvizsgálat vagy biztonsági ellenőrzés tárgyát;

                                          ii.

                                          a szállítást végző személyek a csomagot azonosító és őket a csomag szállítására felhatalmazó futárigazolvánnyal rendelkeznek;

                                          iii.

                                          az EU-minősített adat a szállítást végző személy birtokában marad, kivéve ha azt az A.II. mellékletben foglalt követelményekkel összhangban tárolják;

                                          iv.

                                          az EU-minősített adatot tartalmazó csomagot útközben nem nyitják ki vagy olvassák nyilvános helyen; továbbá

                                          v.

                                          az érintett személyek megfelelő szintű biztonsági ellenőrzésen esnek át, és tájékoztatják őket a biztonsággal kapcsolatos felelősségükről.

                  40.

                  A CONFIDENTIEL UE/EU CONFIDENTIAL és a SECRET UE/EU SECRET minősítésű, az EU által harmadik állam vagy nemzetközi szervezet részére átadott adatok szállítását az A. melléklet 10. cikk (2) bekezdése szerinti adatbiztonsági megállapodások vagy igazgatási megállapodások vonatkozó rendelkezéseivel összhangban kell végezni.

                  41.

                  RESTREINT UE/EU RESTRICTED minősítésű adatok az EU-ból valamely harmadik állam területére postaszolgálatok vagy kereskedelmi futárszolgálatok révén is szállíthatók.

                  42.

                  TRES SECRET UE/EU TOP SECRET minősítésű adatoknak az EU-ból harmadik állam területére, vagy uniós szervezeti egységek között harmadik államokban történő szállítása katonai vagy diplomáciai futár útján történik.

            VI.   EU-MINŐSÍTETT ADATOK MEGSEMMISÍTÉSE

                  43.

                  A már nem szükséges EU-minősített dokumentumok – az archiválásra vonatkozó szabályok és rendelkezések sérelme nélkül – megsemmisíthetők.

                  44.

                  A dokumentumok birtokosainak vagy az illetékes hatóságnak az utasítására a felelős nyilvántartó hivatal semmisíti meg azokat a dokumentumokat, amelyekre az A. melléklet 7. cikke (2) bekezdésével összhangban nyilvántartásba vétel vonatkozik. Az iktatókönyveket és egyéb nyilvántartásokat ennek megfelelő módon aktualizálni kell.

                  45.

                  A SECRET UE/EU SECRET vagy TRES SECRET UE/EU TOP SECRET minősítésű dokumentumok esetében a megsemmisítést tanú jelenlétében kell végrehajtani, akinek a megsemmisítendő dokumentum minősítési szintjével legalább megegyező minősítési szintű adatok megismerésére jogosító személyi biztonsági tanúsítvánnyal kell rendelkeznie.

                  46.

                  Az ügykezelő és – amennyiben annak jelenléte kötelező – a tanú aláírja a megsemmisítési jegyzőkönyvet, amelyet a nyilvántartóban kell iktatni. A nyilvántartó a megsemmisítési jegyzőkönyveket TRES SECRET UE/EU TOP SECRET minősítésű dokumentumok esetében legalább tíz évig, a CONFIDENTIEL UE/EU CONFIDENTIAL és a SECRET UE/EU SECRET minősítésű dokumentumok esetében pedig legalább öt évig őrzi meg.

                  47.

                  A minősített dokumentumokat – ideértve a RESTREINT UE/EU RESTRICTED minősítéssel rendelkezőket is – a vonatkozó EU vagy az ezzel egyenértékű szabványoknak, vagy a tagállamok által a nemzeti műszaki szabványokkal összhangban jóváhagyott szabványoknak megfelelően kell megsemmisíteni, megakadályozandó az adott dokumentum egészének vagy egy részének helyreállítását.

                  48.

                  Az EU-minősített adatok tárolására szolgáló számítógépes adathordozókat az A.IV. melléklet 36. pontjával összhangban kell megsemmisíteni.

            VII.   BIZTONSÁGI ELLENŐRZÉSEK

         EKSZ Biztonsági ellenőrzések

                  49.

                  Az EKSZ biztonsági ellenőrzése e határozat 15. cikkével összhangban a következőket öleli fel:

                              a)

                              általános biztonsági ellenőrzések, amelyek célja az EKSZ székhely, az uniós küldöttségek és valamennyi azokhoz tartozó vagy azokhoz kapcsolódó helyiség általános biztonsági szintjének értékelése, különösen az EKSZ biztonsági érdekeltségeinek védelmében végrehajtott biztonsági intézkedések hatékonyságának értékelése érdekében;

                              b)

                              EU-minősített adatokra vonatkozó biztonsági ellenőrzések, amelyek célja, általában akkreditáció tekintetében, az EKSZ székhelyen és az uniós küldöttségeken az EU-minősített adatok védelmében végrehajtott intézkedések hatékonyságának értékelése.
                              Ellenőrzéseket többek között különösen a következők céljából kell végezni:

                                          i.

                                          az EU-minősített adatok védelme tekintetében az e határozatban megállapított minimumszabályok tiszteletben tartásának a biztosítása;

                                          ii.

                                          a biztonság fontosságának és a hatékony kockázatkezelésnek a hangsúlyozása az ellenőrzött szervezeteken belül;

                                          iii.

                                          ellenintézkedések ajánlása a minősített adatok bizalmas jellegének, sértetlenségének vagy rendelkezésre állásának sérülése által okozott hatás enyhítésére; és

                                          iv.

                                          a biztonsági hatóságok folyamatban lévő biztonsági oktatási és tudatosságnövelő programjainak erősítése.

         Az EKSZ biztonsági ellenőrzések lefolytatása és az ezekről szóló jelentéstétel

                  50.

                  Az EKSZ biztonsági ellenőrzéseket az EKSZ Biztonsági Igazgatóságának ellenőrző csoportja végzi és szükség esetén igénybe veszik más uniós intézmények vagy a tagállamok biztonsági szakértőinek segítségét.
                  Az ellenőrző csoport hozzáféréssel rendelkezik minden olyan helyszínhez, ahol EU-minősített adatot kezelnek, különösen a nyilvántartókhoz és a CIS kapcsolódási pontjaihoz.

                  51.

                  Az EKSZ biztonsági ellenőrzéseket az uniós küldöttségeken szükség esetén a tagállamok harmadik országokban működő nagykövetségein dolgozó biztonsági tisztviselők segítségével végezhetik.

                  52.

                  Az EKSZ biztonsági hatósága minden naptári év végéig elfogadja az EKSZ következő évre vonatkozó biztonsági ellenőrzési programját.

                  53.

                  A fenti programban nem szereplő biztonsági ellenőrzéseket szükség esetén az EKSZ biztonsági hatósága végezheti.

                  54.

                  A biztonsági ellenőrzés végeztével a főbb következtetéseket és ajánlásokat ismertetni kell az ellenőrzött szervezettel. Ezt követően az ellenőrző csoportnak az ellenőrzésről jelentést kell készítenie. Amennyiben korrekciós intézkedéseket javasolnak és ajánlásokat fogalmaznak meg, úgy a jelentésnek elegendő adatot kell tartalmaznia a levont következtetések alátámasztására. A jelentést továbbítani kell az EKSZ biztonsági hatósága és az ellenőrzött szervezet vezetője részére.
                  Az EKSZ Biztonsági Igazgatóságának felelőssége mellett rendszeresen jelentést kell készíteni az egy adott időszakban végrehajtott ellenőrzésekből levont tanulságok kiemelése céljából, amely jelentést az EKSZ Biztonsági Bizottságnak meg kell vizsgálnia.

         Az EUSZ V. címének 2. fejezete alapján létrehozott uniós ügynökségeknél és szerveknél végzett biztonsági ellenőrzések lefolytatása és az ezekről szóló jelentéstétel

                  55.

                  Az EKSZ Biztonsági Bizottsága szükség esetén kijelölhet szakértőket az EUSZ V. címének 2. fejezete alapján létrehozott uniós ügynökségeknél és szerveknél biztonsági ellenőrzéseket végző közös uniós nyomozócsoportokban való részvételre.

         Az EKSZ biztonsági ellenőrzések során használt ellenőrző lista

                  56.

                  Az EKSZ Biztonsági Igazgatósága az EKSZ biztonsági ellenőrzések során használandó, az ellenőrizendő elemeket tartalmazó ellenőrző listát készít és azt frissíti. Ezt az ellenőrző listát továbbítani kell az EKSZ Biztonsági Bizottság részére.

                  57.

                  Az ellenőrző lista kitöltéséhez szükséges adatokat – különösen az ellenőrzés során – az ellenőrzött szervezet biztonsági vezetőitől kell beszerezni. Az ellenőrző listát a részletes kitöltést követően az ellenőrzött szervvel egyetértésben minősíteni kell. E lista nem képezi az ellenőrzési jelentés részét.

      A.IV. MELLÉKLET

         A CIS-EN KEZELT EU-MINŐSÍTETT ADATOK VÉDELME

      I.   BEVEZETÉS

                  1.

                  Ez a melléklet az A. melléklet 8. cikke végrehajtására vonatkozó rendelkezéseket határoz meg.

                  2.

                  A kommunikációs és információs rendszerekben (CIS) folytatott műveletek biztonsága és helyes működése tekintetében alapvető fontosságúak az információvédelem következő jellemzői és szempontjai:

                              Hitelesség

                              :

                              annak garanciája, hogy az információ valódi és jóhiszemű forrásokból származik;

                              Rendelkezésre állás

                              :

                              az engedéllyel rendelkező szervezet kérelemére megvalósuló hozzáférhetőség és felhasználhatóság;

                              Bizalmasság

                              :

                              annak garanciája, hogy az információ nem hozzáférhető illetéktelen személy, szervezet vagy folyamat részére;

                              Sértetlenség

                              :

                              az információk és eszközök hitelességének és teljességének védelme;

                              Letagadhatatlanság

                              :

                              egy cselekmény vagy esemény megtörténtének bizonyíthatósága annak érdekében, hogy ezt a cselekedetet vagy eseményt később ne lehessen letagadni.

            II.   INFORMÁCIÓVÉDELMI ELVEK

                  3.

                  Az alábbiakban foglalt rendelkezések képezik az EU-minősített adatokat kezelő minden CIS biztonságosságának alapját. E rendelkezések végrehajtásának részletes követelményeit az információvédelmi biztonsági előírások és biztonsági iránymutatások határozzák meg.

         Biztonsági kockázatkezelés

                  4.

                  A biztonsági kockázatkezelés a CIS meghatározásának, kialakításának, működtetésének és fenntartásának szerves részét képezi. A kockázatkezelést (értékelés, tulajdonképpeni kezelés, elfogadás, kommunikáció) ismétlődő folyamatként kell elvégezni, a rendszertulajdonosok, projekthatóságok, működtető hatóságok és biztonsági jóváhagyó hatóságok képviselőivel közösen, egy kipróbált, átlátható és teljes mértékben érthető kockázatértékelési folyamat alkalmazásával. A CIS alkalmazási körét és eszközeit a kockázatkezelési folyamat kezdetekor egyértelműen meg kell határozni.

                  5.

                  Az EKSZ illetékes hatóságoknak át kell tekinteniük a CIS-t fenyegető potenciális veszélyeket, valamint naprakész és pontos, az aktuális működési környezetet tükröző fenyegetésértékeléssel kell rendelkezniük. A változó információtechnológiai környezettel való lépéstartás érdekében folyamatosan frissíteniük kell a sebezhetőségi kérdésekkel kapcsolatos ismereteiket, és rendszeresen felül kell vizsgálniuk a sebezhetőségi értékeléseket.

                  6.

                  A biztonsági kockázatkezelés célja olyan biztonsági intézkedések alkalmazása, melyek eredményeképpen kielégítő egyensúly teremthető a felhasználók igényei és a fennmaradó biztonsági kockázatok között.

                  7.

                  Egy adott CIS akkreditálásának vonatkozásában a megfelelő biztonsági akkreditációs hatóság (SAA) által meghatározott különös követelményeknek, nagyságrendnek és részletességnek arányban kell állnia a valamennyi vonatkozó tényező figyelembe vételével – a CIS-ben kezelt EU-minősített adatok minősítési szintjét is beleértve – megállapított kockázattal. Az akkreditáció magában foglalja a fennmaradó kockázat hivatalos megállapítását és a fennmaradó kockázatnak a felelős hatóság általi elfogadását.

         Biztonság a CIS teljes életciklusán keresztül

                  8.

                  A biztonság a CIS teljes életciklusa alatt követelmény, az indítástól kezdve egészen a működésből való kivonásig.

                  9.

                  Az életciklus minden szakaszára meg kell állapítani a CIS-ben érintett egyes résztvevők biztonsági szerepét és a biztonság tekintetében a többi résztvevővel folytatott interakcióját.

                  10.

                  A CIS-t – a technikai és nem technikai biztonsági intézkedéseket is beleértve – az akkreditációs folyamat során biztonsági tesztelésnek kell alávetni a végrehajtott biztonsági intézkedések kellő biztonsági szintjéről való meggyőződés érdekében, valamint annak ellenőrzése céljából, hogy azt helyesen telepítették, integrálták és konfigurálták.

                  11.

                  A biztonsági értékeléseket, ellenőrzéseket és felülvizsgálatokat a CIS működése és karbantartása során, valamint rendkívüli körülmények felmerülése esetén rendszeresen ismételni kell.

                  12.

                  A CIS biztonsági dokumentációja az életciklusa alatt a változás- és konfigurációkezelés szerves részeként folyamatosan fejlődik.

         Legjobb gyakorlat

                  13.

                  Az EKSZ együttműködik a Főtitkársággal, a Bizottsággal és a tagállamokkal a CIS-en kezelt EU-minősített adatok védelmére vonatkozó legjobb gyakorlat kialakítása érdekében. A legjobb gyakorlatra vonatkozó iránymutatások tartalmazzák a CIS-szel kapcsolatos, az adott fenyegetésekkel és sebezhetőségekkel szemben bizonyítottan hatékony technikai, fizikai, szervezeti és eljárási biztonsági intézkedéseket.

                  14.

                  A CIS-ben kezelt EU-minősített adatok védelme az információvédelemben részt vevő – az EU-n belüli és kívüli – szervezetek által levont tanulságokra épül.

                  15.

                  A legjobb gyakorlat terjesztése és azt követő végrehajtása hozzájárul az EKSZ által működtetett, EU-minősített adatot kezelő különböző CIS-ek azonos biztonsági szintjének eléréséhez.

         Mélységi védelem

                  16.

                  A CIS-t fenyegető veszélyek enyhítése érdekében technikai és nem technikai biztonsági intézkedéseket kell végrehajtani, melyek többszörös biztonsági réteget alkotnak. E rétegek az alábbiak:
                  a)   elrettentés: a CIS megtámadását tervező bármely ellenség elrettentését célzó biztonsági intézkedések;
                  b)   megelőzés: a CIS megtámadásának megakadályozását célzó biztonsági intézkedések;
                  c)   észlelés: a CIS megtámadásának észlelését célzó biztonsági intézkedések;
                  d)   ellenálló képesség: a támadás hatásának az információk vagy CIS-eszközök minimumára való korlátozását és a további kár megelőzését célzó biztonsági intézkedések; és
                  e)   helyreállítás: a CIS biztonságos helyzetének helyreállítását célzó biztonsági intézkedések.
                  Az ilyen biztonsági intézkedések szigorúságának és alkalmazhatóságának mértékét kockázatfelmérés alapján kell meghatározni.

                  17.

                  Az EKSZ illetékes hatóságok biztosítják, hogy képesek legyenek a szervezeti vagy nemzeti határokon esetlegesen átnyúló eseményekre való reagálásra a reagálások összehangolására, az ilyen eseményekről és a kapcsolódó kockázatokról való információcsere érdekében (számítógépes szükséghelyzeti válaszadási képességek).

         A minimalitás és a legkisebb kiváltság elve

                  18.

                  A szükségtelen kockázat elkerülése érdekében kizárólag a működési követelmények teljesítéséhez szükséges funkcionalitásokat, eszközöket és szolgáltatásokat kell végrehajtani.

                  19.

                  A CIS felhasználói és az automatizált folyamatok kizárólag a feladataik elvégzéséhez szükséges hozzáférésekkel, kiváltságokkal vagy engedélyekkel rendelkezhetnek a balesetek, hibák vagy a CIS-erőforrások illetéktelen felhasználásából eredő károk korlátozása érdekében.

                  20.

                  A CIS által végrehajtott nyilvántartási eljárásokat – szükség esetén – az akkreditációs folyamat részeként ellenőrizni kell.

         Információvédelmi tudatosság

                  21.

                  A CIS biztonsága védelmének első vonalát a kockázatok és a rendelkezésre álló biztonsági intézkedések ismerete képezi. A CIS életciklusában érintett valamennyi személynek – a felhasználókat is beleértve – tudatában kell lennie különösen annak, hogy:

                              a)

                              a biztonsági hiányosságok jelentősen károsíthatják a CIS-t és az egész szervezetet;

                              b)

                              az összekapcsolódásból és egymásra utaltságból adódóan másokat milyen károk érhetnek; és

                              c)

                              a rendszerben és folyamatokban betöltött szerepeik szerint személyesen felelősek és elszámoltathatók a CIS biztonságáért.

                  22.

                  A biztonsággal kapcsolatos felelősség ismeretének biztosítása érdekében valamennyi érintett személy – beleértve a vezető tisztviselőket és a CIS-felhasználókat is – számára kötelező információvédelmi oktatást és tudatosságnövelő képzést kell szervezni.

         Az IT biztonsági termékek értékelése és jóváhagyása

                  23.

                  A biztonsági intézkedések – védelmi szintként meghatározott – szükséges megbízhatósági szintjét a kockázatkezelési eljárás eredménye alapján és a vonatkozó biztonsági előírásokkal és biztonsági iránymutatásokkal összhangban kell meghatározni.

                  24.

                  A védelmi szintet nemzetközileg elismert vagy nemzeti szinten jóváhagyott folyamatok és módszerek alkalmazásával kell ellenőrizni. Ez elsősorban értékelés, ellenőrzés és auditálás lehet.

                  25.

                  Az EU-minősített adatok védelmére szolgáló kriptográfiai termékeket valamely tagállam nemzeti kriptográfiai jóváhagyó hatósága (CAA) értékeli és jóváhagyja.

                  26.

                  Az EKSZ kriptográfiai jóváhagyó hatósága általi jóváhagyásra irányuló ajánlást megelőzően, az e határozat 7. cikke (5) bekezdésének megfelelően, ezeket az EU-minősített adat védelmére szolgáló kriptográfiai termékeket a berendezés tervezésében vagy gyártásában részt nem vevő tagállam megfelelő minősítéssel rendelkező hatósága (AQUA) általi második értékelésnek kell alávetni, amelyen azoknak meg kell felelniük. A második értékelés során a vizsgálat részletessége az érintett termékek által védendő EU-minősített adat tervezett legmagasabb minősítési szintjétől függ.

                  27.

                  Az EKSZ kriptográfiai jóváhagyó hatósága – konkrét működési indokok alapján – a Tanács Biztonsági Bizottságának ajánlására figyelmen kívül hagyhatja a 25. és a 26. pontban foglalt követelményeket, és meghatározott időtartamra ideiglenes jóváhagyást biztosíthat e határozat 7. cikkének (5) bekezdésével összhangban.

                  28.

                  A megfelelő minősítéssel rendelkező hatóság valamely tagállam kriptográfiai jóváhagyó hatósága, amely a Tanács által meghatározott szempontok alapján akkreditációt nyert az EU-minősített adatok védelmére szolgáló kriptográfiai termékek második értékelésének elvégzésére.

                  29.

                  A főképviselő a nem kriptográfiai IT biztonsági termékek minősítésére és jóváhagyására vonatkozó biztonsági politikát hagy jóvá.

         Adattovábbítás biztonságos területeken belül

                  30.

                  E határozat rendelkezései ellenére, amennyiben az EU-minősített adatok továbbítása biztonságos területekre korlátozódik, rejtjelezetlen továbbítás vagy alacsonyabb szintű rejtjelezés alkalmazható a kockázatkezelési folyamat eredményére alapozva és a biztonsági akkreditációs hatóság jóváhagyásával.

         A CIS-ek biztonságos összekapcsolása

                  31.

                  E határozat alkalmazásában a rendszerek összekapcsolása két vagy több információtechnológiai rendszer adatok és egyéb információforrások megosztása (pl. kommunikáció) céljából történő, egyirányú vagy többirányú, közvetlen összekapcsolását jelenti.

                  32.

                  A CIS valamennyi vele összekapcsolt információtechnológiai rendszert nem megbízhatóként kezel, és a minősített adatok cseréjének ellenőrzése céljából védelmi intézkedéseket hajt végre.

                  33.

                  A CIS más információtechnológiai rendszerrel való minden összekapcsolása tekintetében a következő alapkövetelményeknek kell eleget tenni:

                              a)

                              az ilyen összekapcsolások üzleti vagy üzemeltetési követelményeit az illetékes hatóságok határozzák meg és hagyják jóvá;

                              b)

                              az összekapcsolást kockázatkezelési és akkreditációs eljárásnak kell alávetni, és ahhoz az illetékes biztonsági akkreditációs hatóság (SAA) jóváhagyása szükséges; és

                              c)

                              valamennyi CIS körzethatárán határvédelmi szolgáltatásokat (BPS) kell létesíteni.

                  34.

                  Akkreditált CIS nem kapcsolható össze nem védett vagy nyilvános hálózattal, kivéve, ha a CIS jóváhagyott, a CIS és a nyilvános hálózat között e célból telepített határvédelmi szolgáltatással rendelkezik. Az ilyen összekapcsolásra vonatkozó biztonsági intézkedéseket az illetékes CIS információvédelmi hatóságnak felül kell vizsgálnia, és az illetékes biztonsági akkreditációs hatóságnak jóvá kell hagynia.
                  Amennyiben a nem védett vagy nyilvános hálózatot kizárólag adatközvetítésre használják, és az adatokat az e határozat 7. cikke (5) bekezdésének megfelelően jóváhagyott kriptográfiai termékkel kódolták, az ilyen kapcsolat nem tekintendő összekapcsolásnak.

                  35.

                  Tilos a TRES SECRET UE/EU TOP SECRET minősítésű adatok kezelésére akkreditált CIS közvetlen vagy kaszkád módon való összekapcsolása nem védett vagy nyilvános hálózattal.

         Számítógépes adathordozók

                  36.

                  A számítógépes adathordozókat az EKSZ biztonsági hatóság által jóváhagyott eljárásokkal összhangban meg kell semmisíteni.

                  37.

                  A számítógépes adathordozókat az e határozat 7. cikkének (2) bekezdése szerint kidolgozandó biztonsági politikával összhangban kell újrafelhasználni vagy visszaminősíteni, továbbá e politikával összhangban kell a minősítésüket megszüntetni.

         Szükséghelyzet

                  38.

                  Az e határozatban foglalt rendelkezések ellenére, szükséghelyzetben – például fenyegető vagy ténylegesen fennálló válság-, konfliktus- vagy háborús helyzetben – vagy rendkívüli üzemeltetési körülmények között korlátozott ideig az alábbiakban leírt különös eljárások alkalmazhatók.

                  39.

                  EU-minősített adatok az illetékes hatóság beleegyezésével továbbíthatók alacsonyabb minősítési szintre jóváhagyott kriptográfiai termékek felhasználásával vagy rejtjelezés nélkül, amennyiben a késedelem által okozott kár egyértelműen meghaladná a minősített adatok illetéktelen hozzáférhetővé tétele által okozott kárt, és ha:

                              a)

                              a küldő, illetve az átvevő nem rendelkezik az előírt rejtjelezési lehetőséggel vagy egyáltalán rejtjelezési lehetőséggel; és

                              b)

                              a minősített anyag más eszközökkel nem továbbítható időben.

                  40.

                  A 39. pontban meghatározott körülmények esetén továbbított minősített adat nem látható el olyan jelöléssel vagy jelzéssel, amely azt a nem minősített adatoktól vagy elérhető kriptográfiai eszköz által védhető adattól megkülönbözteti. Az átvevőket késedelem nélkül, egyéb módon értesíteni kell a minősítési szintről.

                  41.

                  Amennyiben a 39. pontban említett eljárás alkalmazására kerül sor, ezt követően jelentést kell tenni az EKSZ Biztonsági Igazgatósága felé, és így az EKSZ Biztonsági Bizottságának is. A jelentés megjelöli minden egyes EU-minősített adatra vonatkozóan legalább a küldőt, a címzettet és a kibocsátót.

            III.   INFORMÁCIÓVÉDELMI FELADATKÖRÖK ÉS HATÓSÁGOK

                  42.

                  Az EKSZ-nél a következő információvédelmi feladatköröket határozzák meg. E feladatkörök nem igényelnek külön szervezeti egységeket. Külön megbízatással kell rendelkezniük. Mindazonáltal, e feladatkörök és az azokat kísérő felelősségi körök ugyanazon szervezeti egységen belül kombinálhatók vagy integrálhatók, vagy különböző szervezeti egységek között lehet őket megosztani, feltéve hogy elkerülhető a belső összeférhetetlenség vagy a feladatok ütközése.

         Információvédelmi hatóság

                  43.

                  Az információvédelmi hatóság felelős az alábbiakért:

                              a)

                              információvédelmi biztonsági politikák és biztonsági iránymutatások kidolgozása, és azok hatékonyságának és helyénvalóságának figyelemmel kísérése;

                              b)

                              a kriptográfiai termékekkel kapcsolatos technikai információk védelme és igazgatása;

                              c)

                              annak biztosítása, hogy az EU-minősített adatok védelmére kiválasztott információvédelmi intézkedések megfeleljenek a jogosultságot és kiválasztást szabályozó, vonatkozó politikáknak;

                              d)

                              annak biztosítása, hogy a kriptográfiai termékek kiválasztása a jogosultságot és kiválasztást szabályozó politikáknak megfelelően történjen;

                              e)

                              az információvédelemmel kapcsolatos képzés és tudatosságnövelés koordinálása;

                              f)

                              konzultáció a rendszerszolgáltatóval, a biztonsági szereplőkkel és a felhasználók képviselőivel az információvédelmi biztonsági politikák és biztonsági iránymutatások tekintetében; és

                              g)

                              megfelelő szakértelem rendelkezésre állásának biztosítása az EKSZ Biztonsági Bizottság információvédelmi kérdésekkel foglalkozó szakértőinek alcsoportjában.

         TEMPEST-hatóság

                  44.

                  A TEMPEST-hatóság felelős azért, hogy a CIS megfeleljen a TEMPEST-politikáknak és -iránymutatásoknak. Megadja a jóváhagyást a működési környezetükben meghatározott minősítési szintig EU-minősített adatok védelmét szolgáló berendezésekre és termékekre vonatkozó TEMPEST-ellenintézkedésekre.

         Kriptográfiai jóváhagyó hatóság (CAA)

                  45.

                  A kriptográfiai jóváhagyó hatóság (CAA) felel annak biztosításáért, hogy a kriptográfiai termékek megfeleljenek a vonatkozó kriptográfiai előírásoknak. A kriptográfiai termékek tekintetében jóváhagyja, hogy azok működési környezetükben meghatározott minősítési szintig EU-minősített adatokat részesítsenek védelemben.

         Kriptográfiai terjesztési hatóság (CDA)

                  46.

                  A kriptográfiai terjesztési hatóság a következőkért felelős:

                              a)

                              az EU kriptográfiai anyag igazgatása és könyvelése;

                              b)

                              annak biztosítása, hogy valamennyi EU kriptográfiai anyag könyvelése, biztonságos kezelése, tárolása és terjesztése tekintetében a megfelelő eljárásokat alkalmazzák és csatornákat hozzák létre; továbbá

                              c)

                              az EU kriptográfiai anyag továbbításának biztosítása az azt felhasználó egyénektől vagy szolgálatoktól, vagy azok felé.

         Biztonsági akkreditációs hatóság (SAA)

                  47.

                  Minden egyes rendszer biztonsági akkreditációs hatósága a következő feladatokat látja el:

                              a)

                              annak biztosítása, hogy a CIS megfeleljen a vonatkozó biztonsági politikáknak és biztonsági iránymutatásoknak, jóváhagyási tanúsítvány kiadása arról, hogy a CIS működési környezetében meghatározott minősítési szintig EU-minősített adatokat kezelhet, az akkreditáció feltételeinek és azon kritériumoknak a meghatározása, amelyek esetében ismételt jóváhagyás szükséges;

                              b)

                              biztonsági akkreditációs folyamat létrehozása a vonatkozó politikákkal összhangban, egyértelműen megállapítva a jóváhagyási feltételeket a felelőssége alá tartozó CIS tekintetében;

                              c)

                              biztonsági akkreditációs stratégia kialakítása, amely a megkövetelt biztonsági szinttel arányosan meghatározza az akkreditációs eljárás részletességének mértékét;

                              d)

                              a biztonsággal kapcsolatos dokumentáció, többek között a kockázatkezelés és fennmaradó kockázat megállapítása, a rendszerspecifikus biztonsági követelmények megállapítása (a továbbiakban SSRS), a biztonsági végrehajtás ellenőrzési dokumentációja és a biztonsági üzemeltetési eljárások (a továbbiakban: SecOP) megvizsgálása és jóváhagyása, és annak biztosítása, hogy az összhangban álljon az EKSZ biztonsági szabályaival és politikájával;

                              e)

                              a CIS-szel kapcsolatos biztonsági intézkedések végrehajtásának ellenőrzése biztonsági értékelések, ellenőrzések vagy felülvizsgálatok végrehajtása vagy támogatása révén;

                              f)

                              biztonsági követelmények meghatározása (pl. személyi biztonsági tanúsítványok szintjei) a CIS tekintetében betöltött szenzitív beosztások tekintetében;

                              g)

                              a CIS biztonságát szolgáló engedélyezett kriptográfiai és TEMPEST-termékek kiválasztásának jóváhagyása;

                              h)

                              CIS másik CIS-szel való összekapcsolódásának jóváhagyása, vagy adott esetben a közös engedélyezésben való részvétel; és

                              i)

                              a rendszerszolgáltatóval, a biztonsági szereplőkkel és a felhasználók képviselőivel való konzultálás a biztonsági kockázatkezelés tekintetében – különös tekintettel a fennmaradó kockázatra –, valamint a jóváhagyási tanúsítvány kiadási feltételei tekintetében.

                  48.

                  Az EKSZ biztonsági akkreditációs hatósága felel az EKSZ hatáskörében működő valamennyi CIS akkreditálásáért.

         Biztonsági Akkreditációs Bizottság (SAB)

                  49.

                  Közös biztonsági akkreditációs bizottság (SAB) felel a mind az EKSZ, mind a tagállamok biztonsági akkreditációs hatóságai hatáskörébe tartozó CIS akkreditálásáért. A SAB az egyes tagállamok biztonsági akkreditációs hatóságainak képviselőiből áll, és ülésein részt vesz a Főtitkárság és a Bizottság biztonsági akkreditációs hatóságának egy képviselője. A CIS-hez kapcsolódó egyéb szervezetek meghívást kapnak az adott rendszerrel foglalkozó ülésekre.
                  A SAB elnöke az EKSZ biztonsági akkreditációs hatóságának a képviselője. A SAB a CIS-hez kapcsolódó intézmények, tagállamok és más szervezetek biztonsági akkreditációs hatóságai képviselőinek konszenzusos határozatai alapján jár el. Rendszeres időközönként jelentést tesz tevékenységeiről az EKSZ Biztonsági Bizottságnak, és azt valamennyi akkreditációs tanúsítványról értesíti.

         Információvédelmi üzemeltetési hatóság

                  50.

                  Minden egyes rendszer információvédelmi üzemeltetési hatósága felelős az alábbiakért:

                              a)

                              biztonsági dokumentáció kidolgozása a biztonsági politikákkal és biztonsági iránymutatásokkal összhangban, különösen a rendszerspecifikus biztonsági követelmények megállapítása (SSRS), ideértve a fennmaradó kockázat megállapítását, a biztonsági üzemeltetési eljárásokat (SecOP) és a CIS akkreditációs folyamatának részét képező kriptográfiai tervet;

                              b)

                              részvétel a rendszerspecifikus technikai biztonsági intézkedések, eszközök és szoftverek kiválasztásában és tesztelésében, a végrehajtásuk felügyelete és annak biztosítása, hogy azokat a vonatkozó biztonsági dokumentációnak megfelelően, biztonságosan telepítsék, konfigurálják és tartsák karban;

                              c)

                              részvétel a TEMPEST biztonsági intézkedések és eszközök kiválasztásában, amennyiben az a rendszerspecifikus biztonsági követelmények szerint szükséges, és annak biztosítása, hogy azokat a TEMPEST-hatósággal együttműködésben, biztonságosan telepítsék és tartsák karban;

                              d)

                              a biztonsági üzemeltetési eljárások végrehajtásának és alkalmazásának ellenőrzése és szükség esetén a működési biztonsággal kapcsolatos felelősségnek a rendszertulajdonosra ruházása;

                              e)

                              a kriptográfiai termékek igazgatása és kezelése, biztosítva a kriptográfiai és ellenőrzött elemek védelmét és – adott esetben – biztosítva a kriptográfiai változók generálását;

                              f)

                              biztonsági elemzések felülvizsgálatának és tesztelésének a kivitelezése, különösen a vonatkozó kockázati jelentéseknek a biztonsági akkreditációs hatóság (SAA) előírásai szerinti elkészítése céljából;

                              g)

                              CIS-specifikus információvédelmi képzés nyújtása;

                              h)

                              CIS-specifikus biztonsági intézkedések végrehajtása és működtetése.

      A.V. MELLÉKLET

         IPARBIZTONSÁG

      I.   BEVEZETÉS

                  1.

                  Ez a melléklet az A. melléklet 9. cikke végrehajtására vonatkozó rendelkezéseket határoz meg. A melléklet meghatározza az EKSZ által odaítélt minősített szerződések megkötését megelőző tárgyalások és a szerződések teljes életciklusa során a gazdálkodó vagy más szervezetekre alkalmazandó általános biztonsági rendelkezéseket.

                  2.

                  A főképviselő az iparbiztonságra vonatkozó politikát hagy jóvá, amely felvázolja különösen a telephely-biztonsági tanúsítványokra, a biztonsági vonatkozások záradékára, a látogatásokra, az EU-minősített adatok továbbítására és szállítására vonatkozó részletes követelményeket.

            II.   A MINŐSÍTETT SZERZŐDÉSEKBEN TALÁLHATÓ BIZTONSÁGI ELEMEK

         Minősítési útmutató (SCG)

                  3.

                  A pályázati felhívás kiírását vagy a minősített szerződés odaítélését megelőzően az EKSZ szerződő hatóságként meghatározza a pályázók és vállalkozók részére nyújtandó bármely adat biztonsági minősítését, valamint a vállalkozó által létrehozandó bármely adat biztonsági minősítését. E célból az EKSZ elkészíti a szerződés teljesítése során alkalmazandó SCG-t.

                  4.

                  A minősített szerződés különféle elemeire vonatkozó biztonsági minősítések meghatározása érdekében az alábbi elveket kell alkalmazni:

                              a)

                              az SCG elkészítése során az EKSZ-nek figyelembe kell vennie valamennyi vonatkozó biztonsági szempontot, köztük a nyújtott adathoz rendelt és az adat kibocsátója által a szerződéshez való használatra jóváhagyott biztonsági minősítést;

                              b)

                              a szerződés minősítésének általános szintje nem lehet alacsonyabb bármely elemének legmagasabb minősítési szintjénél; és

                              c)

                              adott esetben az EKSZ kapcsolatba lép a tagállamok nemzeti biztonsági hatóságaival/kijelölt biztonsági hatóságaival vagy más érintett illetékes biztonsági hatósággal, egy szerződés teljesítése során a vállalkozók által létrehozott vagy azok részére nyújtott adat minősítését érintő bármilyen változás esetén és az SCG bármilyen további változása esetén.

         Biztonsági vonatkozások záradéka (SAL)

                  5.

                  A szerződésspecifikus biztonsági követelményeket a biztonsági vonatkozások záradékában (SAL) kell leírni. Adott esetben a SAL tartalmazza az SCG-t, és a minősített vállalkozói vagy alvállalkozói szerződésnek szerves részét képezi.

                  6.

                  A SAL tartalmazza a vállalkozók és alvállalkozók részére az e határozatban foglalt minimumszabályok teljesítését előíró rendelkezéseket. A minimumszabályok be nem tartása elegendő indokot jelenthet a szerződés felbontására.

         Adott programra/projektre vonatkozó biztonsági utasítások (PSI)

                  7.

                  Az EU-minősített adatokhoz való hozzáférést, vagy azok kezelését vagy tárolását magában foglaló program vagy projekt hatályának függvényében a program vagy projekt irányítására kijelölt szerződő hatóság az adott programra/projektre vonatkozó biztonsági utasításokat (a továbbiakban: PSI) dolgozhat ki. A PSI-hez a tagállamoknak a programban/projektben részt vevő nemzeti biztonsági hatósága/kijelölt biztonsági hatósága vagy bármely más illetékes biztonsági hatóság általi jóváhagyás szükséges, és a PSI-k további biztonsági követelményeket tartalmazhatnak.

            III.   TELEPHELY-BIZTONSÁGI TANÚSÍTVÁNY (FSC)

                  8.

                  Az EKSZ Biztonsági Igazgatóságának kérésére az érintett tagállam nemzeti biztonsági hatósága/kijelölt biztonsági hatósága vagy bármely más illetékes biztonsági hatósága telephely-biztonsági tanúsítványt bocsát ki annak jelzésére, hogy – a nemzeti jogszabályokkal és rendelkezésekkel összhangban – egy gazdálkodó vagy más szervezet képes az EU-minősített adatnak a telephelyükön, megfelelő minősítési szinten (CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET) való védelmére. A telephely-biztonsági tanúsítvány EKSZ-nek történő bemutatásáig a vállalkozó, alvállalkozó vagy potenciális vállalkozó vagy alvállalkozó számára nem biztosítanak vagy engedélyeznek az EU-minősített adatokhoz való hozzáférést.

                  9.

                  Adott esetben az EKSZ szerződő hatóságként értesíti a megfelelő nemzeti vagy kijelölt biztonsági hatóságot vagy bármely más illetékes biztonsági hatóságot, hogy a szerződést megelőző szakaszban vagy a szerződés teljesítéséhez FSC-re van szükség. FSC-re vagy PSC-re akkor van szükség a szerződéskötés előtti szakaszban, ha a pályázati eljárás során CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adatot kell átadni.

                  10.

                  Az EKSZ szerződő hatóságként nem köthet minősített szerződést a megfelelőnek tartott pályázóval azt megelőzően, hogy kézhez kapná az érintett vállalkozó vagy alvállalkozó bejegyzésének helye szerinti tagállam nemzeti biztonsági hatósága/kijelölt biztonsági hatósága által kiállított megerősítést arról, hogy szükség szerint megfelelő FSC-vel rendelkeznek.

                  11.

                  Az EKSZ mint szerződő hatóság felkéri az FSC-t kibocsátó nemzeti vagy kijelölt biztonsági hatóságot vagy bármely más illetékes biztonsági hatóságot, hogy értesítse az EKSZ-t az FSC-t érintő bármely kedvezőtlen információról. Alvállalkozói szerződés esetén a nemzeti vagy kijelölt biztonsági hatóságot, illetve bármely egyéb illetékes biztonsági hatóságot ennek megfelelően tájékoztatni kell.

                  12.

                  Az FSC-nek az adott nemzeti vagy kijelölt biztonsági hatóság vagy bármely más illetékes biztonsági hatóság általi visszavonása elegendő indokot szolgáltat az EKSZ-nek mint szerződő hatóságnak a minősített szerződés megszüntetésére vagy a pályázónak a versenyből való kizárására.

            IV.   SZEMÉLYI BIZTONSÁGI TANÚSÍTVÁNY (PSC) A VÁLLALKOZÓK SZEMÉLYZETE SZÁMÁRA

                  13.

                  A CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb EU-minősített adatokhoz való hozzáférést igénylő munkát végző, vállalkozók alkalmazásában álló személyzet valamennyi tagjának át kell esnie a megfelelő biztonsági ellenőrzésen, és teljesülnie kell a „szükséges ismeret” feltételének esetükben. Bár nem követelmény a PSC a RESTREINT UE/EU RESTRICTED minősítésű EU-minősített adatokhoz való hozzáféréshez, az ilyen hozzáféréshez is teljesülnie kell a „szükséges ismeret” feltételének.

                  14.

                  A vállalkozók személyzetére vonatkozó PSC-kérelmeket a szervezeti egységért felelős nemzeti vagy kijelölt biztonsági hatósághoz kell benyújtani.

                  15.

                  Az EKSZ hangsúlyozza azon vállalkozóknak, akik harmadik állam állampolgárát kívánnak foglalkoztatni olyan beosztásban, amely megköveteli az EU-minősített adatokhoz való hozzáférést, hogy az érintett személyt alkalmazó szervezet helye szerinti tagállam nemzeti vagy kijelölt biztonsági hatóságának felelőssége annak meghatározása, hogy e határozat szerint az érintett személynek megadható-e az ilyen adatokhoz való hozzáférés, valamint annak megerősítése, hogy a kibocsátónak hozzájárulását kellett adnia az ilyen hozzáférés engedélyezése előtt.

            V.   MINŐSÍTETT VÁLLALKOZÓI ÉS ALVÁLLALKOZÓI SZERZŐDÉSEK

                  16.

                  Amikor egy pályázó részére a szerződést megelőző szakaszban EU-minősített adatot adnak át, a pályázati felhívásnak tartalmaznia kell egy olyan kitételt, amely azt a pályázót, aki végül nem nyújtja be pályázatát, vagy akit nem választanak ki, arra kötelezi, hogy adott időn belül valamennyi minősített dokumentumot szolgáltassa vissza.

                  17.

                  Amint sor kerül egy minősített vállalkozói vagy alvállalkozói szerződés odaítélésére, az EKSZ szerződő hatóságként értesíti a vállalkozó vagy alvállalkozó nemzeti vagy kijelölt biztonsági hatóságát vagy bármely más illetékes biztonsági hatóságát a minősített szerződés biztonsági előírásairól.

                  18.

                  Amennyiben egy ilyen szerződést felmondanak vagy azok lejárnak, az EKSZ szerződő hatóságként (és/vagy a nemzeti vagy kijelölt biztonsági hatóság vagy adott esetben bármely más illetékes biztonsági hatóság, alvállalkozói szerződés esetén) késedelem nélkül értesíti azon tagállam nemzeti vagy kijelölt biztonsági hatóságát vagy bármely más illetékes biztonsági hatóságát, amelyben a vállalkozót vagy alvállalkozót bejegyezték.

                  19.

                  Általános szabály, hogy a vállalkozó vagy alvállalkozó a minősített vállalkozói vagy alvállalkozói szerződés felmondását vagy lejártát követően köteles valamennyi EU-minősített adatot visszaszolgáltatni a szerződő hatóságnak

                  20.

                  Az EU-minősített adatoknak a szerződés teljesítése során vagy a szerződés felmondásával vagy lejártával történő megsemmisítésére vonatkozó egyedi rendelkezéseket a SAL-ban kell lefektetni.

                  21.

                  Amennyiben a vállalkozó vagy alvállalkozó engedélyt kap az EU-minősített adatok megtartására a szerződés felmondását vagy lejártát követően, továbbra is be kell tartani az e határozatban foglalt minimumszabályokat, és a vállalkozónak vagy alvállalkozónak védenie kell az EU-minősített adatok bizalmasságát.

                  22.

                  A pályázati felhívás és a szerződés határozza meg azon feltételeket, amelyek szerint a vállalkozó alvállalkozói szerződést köthet.

                  23.

                  Mielőtt a vállalkozó a minősített szerződés bármely részére alvállalkozókat szerződtetne, ehhez engedélyt kér az EKSZ-től mint szerződő hatóságtól. Nem köthető alvállalkozói szerződés az olyan nem uniós államban bejegyzett gazdálkodó vagy más szervezetekkel, amely nem kötött adatbiztonsági megállapodást az EU-val.

                  24.

                  A vállalkozó felel annak biztosításáért, hogy minden alvállalkozói tevékenységet az e határozatban foglalt minimumszabályokkal összhangban folytassanak, és az alvállalkozó részére nem ad át EU-minősített adatot vagy anyagot az azt kibocsátó előzetes írásbeli engedélye nélkül.

                  25.

                  A vállalkozó vagy az alvállalkozó által létrehozott vagy kezelt EU-minősített adatok tekintetében a kibocsátót megillető jogokat a szerződő hatóság gyakorolja.

            VI.   MINŐSÍTETT SZERZŐDÉSEKKEL KAPCSOLATOS LÁTOGATÁSOK

                  26.

                  Amennyiben az EKSZ-nek, a vállalkozóknak vagy az alvállalkozóknak egy minősített szerződés teljesítéséhez egymás telephelyén CONFIDENTIEL UE/EU CONFIDENTIAL vagy SECRET UE/EU SECRET minősítésű adathoz kell hozzáférniük, a látogatásokat a nemzeti vagy kijelölt biztonsági hatóságokkal vagy bármely más érintett illetékes biztonsági hatósággal összeköttetésben kell megszervezni. Ez nem érinti a nemzeti vagy kijelölt biztonsági hatóságoknak azt a jogát, hogy egyes konkrét projektekre vonatkozóan megállapodjanak egy olyan eljárásról, amely alapján közvetlenül meg lehet szervezni e látogatásokat.

                  27.

                  Minden látogatónak megfelelő PSC-vel kell rendelkeznie, és teljesítenie kell a „szükséges ismeret” feltételét az EKSZ szerződésével kapcsolatos EU-minősített adatokhoz való hozzáféréshez.

                  28.

                  A látogatók csak a látogatás céljához kapcsolódó EU-minősített adatokhoz kapnak hozzáférést.

            VII.   EU-MINŐSÍTETT ADATOK TOVÁBBÍTÁSA ÉS SZÁLLÍTÁSA

                  29.

                  Az EU-minősített adatok elektronikus úton történő továbbítása tekintetében az A. melléklet 8. cikkének és az A.IV. melléklet vonatkozó rendelkezéseit kell alkalmazni.

                  30.

                  Az EU-minősített adatok szállítására az A.III. melléklet vonatkozó rendelkezéseit kell alkalmazni, a nemzeti jogszabályokkal és rendelkezésekkel összhangban.

                  31.

                  Az EU-minősített adatok szállítmányként való szállítása biztonsági előírásainak meghatározása során az alábbi elveket kell alkalmazni:

                              a)

                              a szállítás valamennyi szakasza alatt garantálni kell a biztonságot, a kiindulási helytől a végső úti célig;

                              b)

                              egy adott szállítmányra megállapított védelmi szintet az abban foglalt anyag legmagasabb minősítési szintje határozza meg;

                              c)

                              a szállítást végző vállalatok megfelelő szintű FSC-vel rendelkeznek, amennyiben a vállalkozó létesítményeiben tárolnak minősített adatokat. Ilyen esetekben a szállítmányt kezelő személyzetnek megfelelő biztonsági ellenőrzésen kell átesnie az A.I. melléklettel összhangban;

                              d)

                              a SECRET UE/EU SECRET vagy CONFIDENTIEL UE/EU CONFIDENTIEL adatként minősített anyag bármilyen, határokon át történő szállítását megelőzően a feladó szállítási tervet készít, amelyet az EKSZ, adott esetben mind a feladó, mind a címzett államának nemzeti vagy kijelölt biztonsági hatóságaival kapcsolatot tartva, vagy bármely más érintett illetékes biztonsági hatóság jóváhagy;

                              e)

                              az útvonalak lehetőség szerint közvetlenek, és a szállítást a körülmények engedte lehető leggyorsabban hajtják végre;

                              f)

                              az útvonalak lehetőség szerint kizárólag tagállamokon keresztül vezetnek. Nem uniós tagállamokon keresztül vezető útvonalakon kizárólag az EKSZ vagy mind a feladó, mind a címzett államának más illetékes biztonsági hatósága által kiadott jóváhagyást követően lehet haladni.

            VIII.   EU-MINŐSÍTETT ADAT ÁTADÁSA HARMADIK ÁLLAMOKBAN MŰKÖDŐ VÁLLALKOZÓK RÉSZÉRE

                  32.

                  Az EU-minősített adatok olyan harmadik államokban működő vállalkozók vagy alvállalkozók részére való átadása, amelyeknek érvényes biztonsági megállapodása van az EU-val, az EKSZ mint szerződő hatóság és azon harmadik állam nemzeti vagy kijelölt biztonsági hatósága által elfogadott biztonsági intézkedésekkel összhangban történik, ahol a vállalkozót bejegyezték.

            IX.   A RESTREINT UE/EU RESTRICTED MINŐSÍTÉSŰ ADATOK KEZELÉSE ÉS TÁROLÁSA

                  33.

                  Az EKSZ mint szerződő hatóság adott esetben a tagállam nemzeti vagy kijelölt biztonsági hatóságával összeköttetésben a szerződéses rendelkezések alapján látogatásokat tehet a vállalkozók/alvállalkozók létesítményeibe annak ellenőrzése céljából, hogy a RESTREINT UE/EU RESTRICTED szintű minősítéssel rendelkező adatok védelméhez szükséges, szerződésben előírt biztonsági intézkedéseket megvalósították.

                  34.

                  A nemzeti jogszabályok és rendelkezések szerint szükséges mértékben az EKSZ-nek mint szerződő hatóságnak értesítenie kell a nemzeti vagy kijelölt biztonsági hatóságokat vagy bármely más illetékes biztonsági hatóságot a RESTREINT UE/EU RESTRICTED minősítésű adatot tartalmazó szerződésekről és alvállalkozói szerződésekről.

                  35.

                  A RESTREINT UE/EU RESTRICTED minősítésű adatot magukban foglaló, az EKSZ által odaítélt szerződések esetén az FSC, illetve PSC nem kötelező a vállalkozók, alvállalkozók és alkalmazottaik számára.

                  36.

                  Az EKSZ mint szerződő hatóság megvizsgálja azon szerződésekre kiírt pályázati felhívásokra érkezett válaszokat, amelyek RESTREINT UE/EU RESTRICTED minősítésű adatokhoz való hozzáférést igényelnek, a nemzeti jogszabályok és rendelkezések értelmében az FSC-vel és a PSC-vel kapcsolatban esetleg meglévő bármely követelmény sérelme nélkül.

                  37.

                  Azon feltételeknek, amelyek alapján a vállalkozó alvállalkozót szerződtethet, összhangban kell lenniük a 22-24. pontokkal.

                  38.

                  Amennyiben egy adott szerződés RESTREINT UE/EU RESTRICTED minősítési szintű adatok vállalkozó által működtetett CIS-ben (kommunikációs és információs rendszer) való kezelésére is kiterjed, az EKSZ mint szerződő hatóság biztosítja, hogy a szerződés vagy alvállalkozói szerződés meghatározza a CIS akkreditálásához szükséges, valamennyi kockázati tényezőre kiterjedő technikai és adminisztratív követelményeket. Az ilyen CIS akkreditációjának hatályáról a szerződő hatóság és az érintett nemzeti vagy kijelölt biztonsági hatóság állapodik meg.

      A.VI. MELLÉKLET

         MINŐSÍTETT ADATOK CSERÉJE HARMADIK ÁLLAMOKKAL ÉS NEMZETKÖZI SZERVEZETEKKEL

      I.   BEVEZETÉS

                  1.

                  Ez a melléklet az A. melléklet 10. cikke végrehajtására vonatkozó rendelkezéseket határoz meg.

            II.   A MINŐSÍTETT ADATOK CSERÉJÉT SZABÁLYOZÓ KERETEK

                  2.

                  Az EKSZ EU-minősített adatokat cserélhet harmadik államokkal vagy nemzetközi szervezetekkel az A. melléklet 10. cikkének (1) bekezdésének értelmében.
                  A főképviselőnek az EUMSZ 218. cikkében előírt feladatai ellátásának támogatására:

                              a)

                              az EKSZ érintett földrajzi vagy tematikus szervezeti egysége, az EKSZ Biztonsági Igazgatóságával konzultálva, adott esetben meghatározza a minősített adatok harmadik államokkal vagy nemzetközi szervezetekkel való cseréjének hosszú távú szükségességét;

                              b)

                              az EKSZ Biztonsági Igazgatósága az EKSZ érintett földrajzi szervezeti egységével konzultálva, adott esetben a főképviselő elé terjeszti a Tanács elé benyújtandó javaslatok szövegtervezeteit az EUMSZ 218. cikkének (3), (5) és (6) bekezdésével összhangban;

                              c)

                              az EKSZ Biztonsági Igazgatósága támogatja a főképviselőt a tárgyalások folyamán, egyeztetve a Bizottság érintett szolgálataival és a Tanács Főtitkárságával;

                              d)

                              a harmadik államokkal kötött egyezmények és megállapodások összefüggésében, azok válságkezelési KBVP-műveletekben való részvételére vonatkozóan az A. melléklet 10. cikke (1) bekezdésének c) pontjában említettek szerint, az EKSZ Válságkezelési és Tervezési Igazgatósága, az érintett EKSZ szolgálatokkal konzultálva, adott esetben a főképviselő elé terjeszti a Tanács elé benyújtandó javaslatok szövegtervezeteit az EUMSZ 218. cikkének (3), (5) és (6) bekezdésével összhangban, és támogatja a főképviselőt a tárgyalások folyamán, egyeztetve a Bizottság érintett szolgálataival és a Tanács Főtitkárságával.

                  3.

                  Amennyiben az adatbiztonsági megállapodások rendelkeznek technikai végrehajtási szabályokról is, amelyeket az EKSZ Biztonsági Igazgatósága – a Bizottság Humánerőforrásügyi és Biztonsági Főigazgatóságának Biztonsági Igazgatóságával, valamint a Tanács Főtitkárságának Biztonsági Hivatalával egyeztetve – és a szóban forgó harmadik állam vagy nemzetközi szervezet illetékes biztonsági hatósága közösen alakít ki, az ilyen megállapodások figyelembe veszik az érintett harmadik állam vagy nemzetközi szervezet hatályos biztonsági szabályai, struktúrái és eljárásai által biztosított védelmi szintet.

                  4.

                  Amennyiben az EKSZ esetében harmadik állammal vagy nemzetközi szervezettel legfeljebb RESTREINT UE/EU RESTRICTED minősítési jelölésű adatok hosszú távú cseréjére van szükség, és amennyiben megállapítást nyert, hogy az érintett fél nem rendelkezik kellőképpen fejlett biztonsági rendszerrel ahhoz, hogy lehetséges legyen az adatbiztonsági megállapodás megkötése, a főképviselő – miután megkapta az EKSZ Biztonsági Bizottság egyhangúlag kedvező véleményét e határozat 14. cikkének (5) bekezdésével összhangban – igazgatási megállapodást köthet a szóban forgó harmadik állam vagy nemzetközi szervezet illetékes biztonsági hatóságaival.

                  5.

                  Az EU-minősített adatok elektronikus eszközökkel történő cseréje harmadik állammal vagy nemzetközi szervezettel nem megengedett, kivéve ha az adatbiztonsági megállapodás vagy igazgatási megállapodás erről kifejezetten rendelkezik.

                  6.

                  A minősített adatok cseréjéről szóló igazgatási megállapodás értelmében mind az EKSZ-nek, valamint a harmadik államnak vagy nemzetközi szervezetnek a minősített adatok cseréjének fő beérkezési és kiküldési helyeként működő nyilvántartó hivatalt kell kijelölnie. Az EKSZ esetében ezt a szerepet az EKSZ központi nyilvántartója tölti be.

                  7.

                  Az igazgatási megállapodást főszabályként levélváltás formájában kötik.

            III   ÉRTÉKELŐ LÁTOGATÁSOK

                  8.

                  Az értékelő látogatásokra e határozat 16. cikkének megfelelően, az érintett harmadik állammal vagy nemzetközi szervezettel való kölcsönös megállapodás alapján kerül sor, és a látogatások során az alábbiak értékelését kell elvégezni:

                              a)

                              a minősített adatok védelmére alkalmazandó szabályozási keret;

                              b)

                              a harmadik állam vagy nemzetközi szervezet biztonsági politikájának, biztonsági jogszabályainak és szabályozásának vagy eljárásainak bármely sajátos jellemzője, amely befolyásolhatja a kicserélhető minősített adatok legmagasabb szintjét;

                              c)

                              a minősített adatok védelmére vonatkozó jelenleg hatályos biztonsági intézkedések és eljárások; és

                              d)

                              az átadandó EU-minősített adatok szintjére vonatkozó biztonsági ellenőrzési eljárások.

                  9.

                  Nem kerülhet sor EU-minősített adatok cseréjére értékelő látogatás előtt, valamint azt megelőzően, hogy a felek a kicserélhető minősített adatok szintjét az egyenértékű védelem szintje alapján meghatározták volna, amelyet annak számára biztosítani fognak.
                  Amennyiben ilyen értékelő látogatásig bármely olyan kivételes vagy sürgős ok jut a főképviselő tudomására, amely a minősített adatok cseréjét teszi szükségessé, az EKSZ a következők szerint jár el:

                              a)

                              először a kibocsátó írásbeli beleegyezését kéri, hogy az nem emel kifogást az átadással kapcsolatban.

                              b)

                              Az EKSZ biztonsági hatóságához fordul, amely dönthet az átadásról, miután megkapta az EKSZ Biztonsági Bizottságban képviselt tagállamok egyhangúlag kedvező véleményét.

                        Ha az EKSZ nem képes a kibocsátó megállapítására, a kibocsátó felelősségét az EKSZ biztonsági hatósága vállalja magára, miután megkapta az EKSZ Biztonsági Bizottság egyhangúlag kedvező véleményét.

            IV.   EU-MINŐSÍTETT ADATOK HARMADIK ÁLLAMOK VAGY NEMZETKÖZI SZERVEZETEK RÉSZÉRE VALÓ ÁTADÁSÁRA VONATKOZÓ FELHATALMAZÁS

                  10.

                  Amennyiben létezik a minősített adatok harmadik államokkal vagy nemzetközi szervezetekkel való cseréjének az A. melléklet 10. cikke (1) bekezdés szerinti kerete, az EU-minősített adatoknak az érintett harmadik állam vagy nemzetközi szervezet részére történő átadásáról az EKSZ biztonsági hatósága határoz, amely ezt a felhatalmazást átruházhatja a Főtitkárság valamely vezető tisztviselőjére vagy a felügyelete alatt álló más személyre.

                  11.

                  Ha az átadni kért minősített adat kibocsátója – beleértve az abban esetlegesen jelen lévő forrásanyag kibocsátóit – nem az EKSZ, akkor az EKSZ először a kibocsátó írásbeli beleegyezését kéri, hogy az nem emel kifogást az átadással kapcsolatban. Ha az EKSZ nem képes a kibocsátó megállapítására, a kibocsátó felelősségét az EKSZ biztonsági hatósága vállalja magára, miután megkapta az EKSZ Biztonsági Bizottságban képviselt tagállamok egyhangúlag kedvező véleményét.

            V.   EU-MINŐSÍTETT ADATOK RENDKÍVÜLI AD HOC ÁTADÁSA

                  12.

                  Az A. melléklet 10. cikk (1) bekezdésében említett keretek egyikének hiányában, és amennyiben az az Európai Unió, illetve egy vagy több tagállam érdekei politikai, műveleti vagy sürgősségi okokból az EU-minősített adatok harmadik államnak vagy nemzetközi szervezetnek történő átadását követelik meg, az EU-minősített adatok kivételesen átadhatók harmadik államnak vagy nemzetközi szervezetnek amennyiben a következő intézkedéséket meghozzák:
                  Az EKSZ Biztonsági Igazgatóság miután biztosította a fenti 11. pontban említett feltételek teljesülését:

                              a)

                              a lehetséges mértékben ellenőrzi, hogy az adott harmadik állam vagy nemzetközi szervezet biztonsági hatóságainak biztonsági szabályai, struktúrái és eljárásai garantálni tudják, hogy a részére átadott EU-minősített adatok az e határozatban foglaltaknál nem kevésbé szigorú szabályoknak megfelelő védelemben részesüljenek;

                              b)

                              felkéri az EKSZ Biztonsági Bizottságot, hogy a rendelkezésre álló információk alapján alakítsa ki véleményét az EU-minősített adatokat átvevő harmadik állam vagy nemzetközi szervezet biztonsági szabályainak, struktúráinak és eljárásainak megbízhatósága tekintetében;

                              c)

                              Az EKSZ biztonsági hatóságához fordul, amely dönthet az átadásról, miután megkapta az EKSZ Biztonsági Bizottságban képviselt tagállamok egyhangúlag kedvező véleményét.

                  13.

                  Az A. melléklet 10. cikk (1) bekezdésében említett keretek egyikének hiányában, a szóban forgó harmadik fél írásban vállalja az EU-minősített adatok megfelelő védelmét.

      A. FÜGGELÉK
      FOGALOMMEGHATÁROZÁSOK
      E határozat alkalmazásában:

                  „akkreditáció”: a biztonsági akkreditációs hatóság (SAA) arra vonatkozó hivatalos nyilatkozatát megelőző eljárás, miszerint a rendszer alkalmas arra, hogy működési környezetében meghatározott minősítési szinten, konkrét biztonsági üzemmódban és elfogadható kockázati szinten működjön, feltételezve azt, hogy jóváhagyott műszaki, fizikai, szervezeti és eljárási biztonsági intézkedéseket alkalmaznak;

                  „eszköz”: valamely szervezet, szokásos tevékenységei és azok folytonossága szempontjából értéket képviselő elemek összessége, beleértve a szervezet misszióját támogató információforrásokat is;

                  „felhatalmazás EU-minősített adatokhoz való hozzáférésre”: a valamely tagállam illetékes hatóságai által elvégzett biztonsági ellenőrzést követően, e határozatnak megfelelően az EKSZ biztonsági hatósága által adott felhatalmazás, amely tanúsítja, hogy egy adott személy részére – amennyiben esetében a szükséges ismeret feltétele teljesül – meghatározott (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb) szintig és meghatározott időpontig hozzáférés biztosítható EU-minősített adatokhoz – lásd az A.I. melléklet 2. cikkét;

                  „biztonsági szabályok megsértése”: az e határozatban foglalt biztonsági szabályokkal és/vagy az annak végrehajtásához szükséges intézkedéseket megállapító biztonsági politikákkal vagy iránymutatásokkal ellentétes cselekmény vagy mulasztás;

                  „a CIS életciklusa”: a CIS létezésének teljes időtartama, amely magában foglalja a következőket: javaslat, javaslat elfogadása, tervezés, követelményelemzés, kidolgozás, kifejlesztés, tesztelés, végrehajtás, üzemelés és karbantartás, valamint leállítás;

                  „minősített szerződés”: az EKSZ által egy adott vállalkozóval árubeszerzés, munkálatok elvégzése vagy szolgáltatásnyújtás céljából kötött szerződés, amelynek teljesítése EU-minősített adatokhoz való hozzáférést vagy ilyen adatok létrehozását teszi szükségessé vagy foglalja magában;

                  „minősített alvállalkozói szerződés”: az EKSZ által egy másik vállalkozóval (azaz alvállalkozóval) áruellátás, munkálatok elvégzése vagy szolgáltatásnyújtás céljából kötött szerződés, amelynek teljesítése EU-minősített adatokhoz való hozzáférést vagy ilyen adatok létrehozását teszi szükségessé vagy foglalja magában;

                  „Kommunikációs és információs rendszer” az elektronikus formában történő információkezelést lehetővé tevő rendszer. A kommunikációs és információs rendszer magában foglalja a működéséhez szükséges valamennyi eszközt, beleértve az infrastruktúrát, a szervezetet, a személyzetet és az információs forrásokat; – lásd az A. melléklet 8. cikkének (2) bekezdését;

                  „EU-minősített adatok illetéktelen tudomására jutása”: az EU-minősített adatoknak illetéktelen személyek vagy szervezetek számára történő teljes vagy részbeni felfedését jelenti – lásd a 8. cikk (2) bekezdését;

                  „vállalkozó”: szerződéskötési képességgel rendelkező természetes vagy jogi személy;

                  „kriptogárfiai termékek”: kriptográfiai algoritmusok, kriptográfiai hardver- és szoftvermodulok, valamint rejtjelező eszközök, beleértve a végrehajtás leírását és a kapcsolódó dokumentációt, valamint a kulcs generálására szolgáló anyagokat;

                  „KBVP-művelet”: az EUSZ V. címének 2. fejezete szerint létrehozott katonai vagy polgári válságkezelési művelet;

                  „a minősítés feloldása”: bármely biztonsági minősítés hatályának megszüntetése;

                  „mélységi védelem”: többszintű védelembe szervezett biztonsági intézkedések alkalmazása;

                  „kijelölt biztonsági hatóság” (DSA): egy adott tagállam nemzeti biztonsági hatóságának (NSA) felelős hatóság, amelynek feladata az ipari és egyéb szervezetek tájékoztatása az iparbiztonságot érintő ügyekre vonatkozó nemzeti politikáról, valamint iránymutatás és segítségnyújtás biztosítása e politikák végrehajtása során. A DSA feladatait az NSA vagy bármely más illetékes hatóság is elvégezheti;

                  „dokumentum”: bármilyen rögzített adat, fizikai formájától vagy jellemzőitől függetlenül;

                  „visszaminősítés”: a minősítési szint leszállítása.

                  „EU-minősített adat” (EUCI): bármely olyan EU biztonsági minősítéssel ellátott adat és anyag, amelynek engedély nélküli hozzáférhetővé tétele különböző mértékben sértheti az Európai Unió, illetve egy vagy több tagállam érdekeit – lásd a 2. cikk f) pontját;

                  „telephely-biztonsági tanúsítvány”: annak az NSA vagy DSA által történő hivatalos meghatározása, hogy egy adott létesítmény biztonsági szempontból megfelelő szintű biztonsági védelmet tud-e nyújtani meghatározott biztonsági minősítésű szintű EU-minősített adatoknak, valamint hogy a telephelynek az EU-minősített adatokhoz hozzáférést igénylő személyzete átesett-e a megfelelő biztonsági ellenőrzésen, és tájékoztatták-e őket az EU-minősített adatokhoz való hozzáféréshez és azok védelméhez szükséges vonatkozó biztonsági követelményekről;

                  EU-minősített adat „kezelése”: minden olyan lehetséges tevékenység, amelynek az EU-minősített adat életciklusa során ki lehet téve. Beletartozik az adat előállítása, feldolgozása, szállítása, visszaminősítése, a rá vonatkozó minősítés feloldása és az adat megsemmisítése. A CIS-szel összefüggésben ezen felül az adat gyűjtését, megjelenítését, átadását és tárolását is tartalmazza;

                  „birtokos”: olyan, megfelelő engedéllyel rendelkező, a „szükséges ismeret” feltételének eleget tévő személy, aki EU-minősített adat birtokában van, és ennek megfelelően felel annak védelméért;

                  „ipari vagy egyéb szervezet”: árubeszerzésben, munkálatok elvégzésében vagy szolgáltatásnyújtásban érintett szervezet; ez magában foglalhat ipari, kereskedelmi, szolgáltatói, tudományos, kutatási, oktatási vagy fejlesztési tevékenységet végző szervezeteket, vagy önálló vállalkozói tevékenységet végző személyt;

                  Az „iparbiztonság”: olyan intézkedések alkalmazása, amelyek célja az EU-minősített adatok védelmének vállalkozók vagy alvállalkozók általi biztosítása a minősített szerződések megkötését megelőző tárgyalások és a szerződések teljes életciklusa során. – lásd az A. melléklet 9. cikkének (1) bekezdését;

                  „információvédelem”: a kommunikációs és információs rendszerek tekintetében azt jelenti, hogy az ilyen rendszerek megvédik az általuk kezelt adatot, továbbá a szükséges módon, a szükséges időben, a jogszerű felhasználók ellenőrzése alatt működnek. A hatékony információvédelem biztosítja az adatok megfelelő bizalmasságát, sértetlenségét, rendelkezésre állását, letagadhatatlanságát és hitelességét. Az információvédelem kockázatkezelési eljáráson alapul – lásd az A. melléklet 8. cikke (1) bekezdését;

                  „rendszerek összekapcsolása”: e határozat alkalmazásában két vagy több információtechnológiai rendszer adatok és egyéb információforrások megosztása (pl. kommunikáció) céljából történő, egyirányú vagy többirányú, közvetlen összekapcsolását jelenti – lásd az A.IV. melléklet 31. pontját;

                  „minősített adatok kezelése”: az EU-minősített adatok teljes életciklusán keresztüli ellenőrzésére szolgáló adminisztratív intézkedések alkalmazása az 5., 6. és 8. cikkben meghatározott intézkedések kiegészítéseként, és ezáltal az ilyen adatoknak szándékosan vagy véletlenszerűen illetéktelen tudomására jutásától vagy elvesztésétől való elrettentéshez, annak észleléséhez és a kár helyreállításához való hozzájárulásként. Az ilyen intézkedések különösen az EU-minősített adat előállítására, nyilvántartásba vételére, másolására, fordítására, szállítására és megsemmisítésére vonatkoznak – lásd az A. melléklet 7. cikke (1) bekezdését;

                  „anyag”: dokumentum, vagy bármely készre gyártott vagy gyártás alatt álló gép vagy berendezés;

                  „kibocsátó”: olyan EU-intézmény, -ügynökség vagy -szerv, tagállam, harmadik állam vagy nemzetközi szervezet, amelynek fennhatósága alatt minősített adatokat hoztak létre és/vagy vittek be az uniós struktúrákba;

                  A „személyi biztonság”: olyan intézkedések alkalmazása, amelyek biztosítják, hogy csak azon személyek kapjanak hozzáférést az EU-minősített adatokhoz:

                              —

                              akiknek esetében a „szükséges ismeret” feltétele teljesül,

                              —

                              átesett a CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb szinű minősített információkhoz való hozzáféréshez szükséges megfelelő szintű biztonsági ellenőrzésen, vagy a nemzeti jogszabályokkal és rendelkezésekkel összhangban más módon, feladatkörénél fogva megfelelő felhatalmazást kapott arra; és

                              —

                              akiket tájékoztattak felelősségükről.

                        lásd az A. melléklet 5. cikkének (1) bekezdését;

                  „személyi biztonsági tanúsítvány” (PSC) EU-minősített dokumentumokhoz való hozzáféréshez: a valamely tagállam illetékes hatóságai által elvégzett biztonsági ellenőrzést követően a tagállam valamely illetékes hatósága által tett nyilatkozat, amely tanúsítja, hogy egy adott személy részére – amennyiben esetében a szükséges ismeret feltétele teljesül – meghatározott (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb) szintig és meghatározott időpontig hozzáférés biztosítható EU-minősített adatokhoz; a fentieknek megfelelő személy megjelölése „biztonsági ellenőrzésen átesett” személy;

                  „személyi biztonsági tanúsítványról szóló igazolás” (PSCC): valamely illetékes hatóság által kiadott igazolás, amely tartalmazza, hogy az adott személy biztonsági ellenőrzésen átesett, és érvényes PSC-vel rendelkezik, továbbá azt, hogy milyen szintű EU-minősített adatokhoz férhet hozzá (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb), valamint a vonatkozó PSC érvényességi idejét és az igazolás lejártának időpontját;

                  A „fizikai biztonság”: az EU-minősített adatokhoz való illetéktelen hozzáférés megakadályozását célzó fizikai és technikai védelmi intézkedések alkalmazása – lásd az A. melléklet 6. cikkét;

                  „adott programra/projektre vonatkozó biztonsági utasítások (PSI)” adott programra/projektre alkalmazandó biztonsági eljárások felsorolása a biztonsági eljárások egységesítése céljából. A felsorolás a program/projekt teljes időtartama alatt felülvizsgálható;

                  „nyilvántartásba vétel”: olyan eljárások alkalmazása, amelyek során rögzítésre kerül az anyag életciklusa, beleértve a továbbítását és a megsemmisítését is, lásd az A.III. melléklet 21. pontját;

                  „fennmaradó kockázat”: biztonsági intézkedések végrehajtását követően fennmaradó kockázat, tekintve, hogy nem lehet minden fenyegetést elhárítani és minden sebezhetőséget megszüntetni;

                  „kockázat”: annak valószínűsége, hogy egy adott fenyegetés kihasználja egy szervezet vagy az általa használt rendszerek bármelyikének belső és külső sebezhetőségét, és ezáltal kárt okoz az adott szervezetnek és annak tárgyi eszközeiben vagy immateriális javaiban. Mérése a fenyegetések bekövetkezése valószínűségének és hatásának kombinációjával történik.

                  „kockázatelfogadás”: a kockázatkezelést követően fennmaradó kockázat további meglétéhez való hozzájárulásra vonatkozó határozat;

                  „kockázatértékelés”: a fenyegetések és sebezhetőségek azonosításából, valamint a kapcsolódó kockázatelemzésből, azaz a valószínűség és a hatás elemzéséből áll;

                  „kockázatkommunikáció”: a CIS felhasználói közösségei körében a kockázatokkal kapcsolatos tudatosság növelése, a jóváhagyó hatóságok tájékoztatása a kockázatokról és jelentéstétel azokról a működtető hatóságok részére;

                  „biztonsági kockázatkezelési eljárás”: egy adott szervezet vagy az általa használt bármely rendszer biztonságát esetleg érintő, bizonytalan események azonosítására, ellenőrzésére és minimálisra csökkentésére irányuló folyamat egésze. Ez kiterjed valamennyi kockázati vonatkozású tevékenységre, az értékelést, kezelést, elfogadást és kommunikációt is beleértve;

                  „kockázatkezelés”: a kockázat (megfelelő technikai, fizikai, szervezeti vagy eljárási intézkedések kombinálásával történő) enyhítése, megszüntetése, csökkentése, illetve annak átruházása vagy figyelemmel kísérése;

                  „biztonsági vonatkozások záradéka” (SAL): különös szerződéses feltételek szerződő hatóság által összeállított jegyzéke, amely szerves részét képezi az EU-minősített adathoz való hozzáférést vagy ilyen adat létrehozását magában foglaló minősített szerződésnek, és amely meghatározza a biztonsági követelményeket vagy a szerződésnek a biztonsági védelmet igénylő elemeit, lásd az A.V. melléklet. II. szakaszát;

                  „minősítési útmutató” (SCG): olyan dokumentum, amely – az alkalmazandó biztonsági minősítési szint meghatározása mellett – leírja egy program vagy szerződés minősített elemeit. Az SCG kiterjeszthető a program vagy szerződés teljes időtartamára, az egyes adatok pedig újra- vagy visszaminősíthetők; amennyiben létezik SCG, az a SAL részét képezi; lásd az A.V. melléklet. II. szakaszát;

                  „biztonsági ellenőrzés”: valamely tagállam illetékes hatósága által a nemzeti jogszabályokkal és rendelkezésekkel összhangban lefolytatott vizsgálati eljárás, amelynek célja annak megállapítása, hogy egy adott személy tekintetében nem ismeretes olyan kizáró információ, amely megakadályozná, hogy meghatározott (CONFIDENTIEL UE/EU CONFIDENTIAL vagy magasabb) szintig EU-minősített adatokhoz való hozzáférést lehetővé tévő nemzeti vagy EU PSC-t kapjon;

                  „biztonsági üzemeltetési eljárások” (SecOP): az elfogadandó biztonsági politika végrehajtásának, a követendő biztonsági üzemeltetési eljárásoknak és a személyzet feladatkörének leírása;

                  „rendszerspecifikus biztonsági követelmények” (SSRS): egy sor kötelező erejű biztonsági elv és végrehajtandó részletes biztonsági követelmény, amely CIS-tanúsítás és akkreditáció alapját képezi;

                  „TEMPEST”: az illetéktelen tudomására jutást lehetővé tevő elektromágneses kisugárzások felderítése, vizsgálata és ellenőrzése, valamint a visszaszorításukra irányuló intézkedések;

                  „fenyegetés”: egy adott szervezet számára vagy az általa használt bármely rendszerben esetlegesen károsodást eredményező, nem kívánt esemény lehetséges okozása; e fenyegetések lehetnek véletlenszerűek vagy szándékosak (rosszindulatúak), és azokat fenyegető elemek, potenciális célpontok és támadási módszerek jellemezhetik;

                  „sebezhetőség”: bármilyen jellegű sérülékenység, amelyet egy vagy több fenyegetés kihasználhat. A sebezhetőség oka lehet hiányosság, vagy az összefügghet az ellenőrzés gyengeségével, hiányosságával vagy következetlenségével, továbbá lehet technikai, eljárási, fizikai, szervezeti vagy üzemeltetési jellegű.