title: Rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku z  19. apríla 2013 o bezpečnostných pravidlách Európskej služby pre vonkajšiu činnosť

text:
               29.6.2013

               SK

               Úradný vestník Európskej únie

               C 190/1

         ROZHODNUTIE VYSOKEJ PREDSTAVITEĽKY ÚNIE PRE ZAHRANIČNÉ VECI A BEZPEČNOSTNÚ POLITIKU
   z 19. apríla 2013
   o bezpečnostných pravidlách Európskej služby pre vonkajšiu činnosť
   (2013/C 190/01)
   VYSOKÁ PREDSTAVITEĽKA ÚNIE PRE ZAHRANIČNÉ VECI A BEZPEČNOSTNÚ POLITIKU,
   so zreteľom na rozhodnutie Rady 2010/427/EÚ z 26. júla 2010 o organizácii a fungovaní Európskej služby pre vonkajšiu činnosť (1) (ďalej len „ESVČ“),
   so zreteľom na stanovisko výboru uvedeného v článku 9 ods. 6 rozhodnutia vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku z 15. júna 2011 o bezpečnostných pravidlách Európskej služby pre vonkajšiu činnosť (2),
   so zreteľom na stanovisko výboru uvedeného v článku 10 ods. 1 rozhodnutia Rady 2010/427/EÚ z 26. júla 2010 o organizácii a fungovaní Európskej služby pre vonkajšiu činnosť,
   keďže:

               (1)

               ESVČ, ktorá je funkčne autonómnym orgánom Európskej únie (EÚ), by mala mať bezpečnostné pravidlá v súlade s článkom 10 ods. 1 rozhodnutia Rady 2010/427/EÚ.

               (2)

               Vysoká predstaviteľka Únie pre zahraničné veci a bezpečnostnú politiku (ďalej len „vysoká predstaviteľka“ alebo „VP“) by mala rozhodovať o bezpečnostných pravidlách ESVČ, ktoré zahŕňajú všetky aspekty bezpečnosti, pokiaľ ide o fungovanie ESVČ, aby služba mohla účinne riadiť riziká týkajúce sa jej personálu, fyzického majetku, informácií a návštevníkov, ako aj plniť svoju povinnosť starostlivosti v tejto oblasti.

               (3)

               Predovšetkým by sa mala pre personál ESVČ, fyzický majetok vrátane komunikačných a informačných systémov, informácie a návštevníkov zaistiť úroveň ochrany v súlade s najlepšími postupmi v Rade, Komisii, v členských štátoch, prípadne v relevantných medzinárodných organizáciách.

               (4)

               Bezpečnostné pravidlá ESVČ by mali pomôcť dosiahnuť súdržnejší komplexný všeobecný rámec EÚ, ktorým by sa zaistila ochrana utajovaných skutočností EÚ, pričom by mali vychádzať z bezpečnostných pravidiel Rady Európskej únie (ďalej len „Rada“) a bezpečnostných ustanovení Európskej komisie a zachovávať s nimi maximálny možný súlad.

               (5)

               ESVČ, Rada a Komisia sa zaviazali, že budú uplatňovať rovnaké bezpečnostné normy na ochranu utajovaných skutočností EÚ.

               (6)

               Toto rozhodnutie sa prijíma bez toho, aby boli dotknuté články 15 a 16 Zmluvy o fungovaní Európskej únie (ZFEÚ) a nástroje, ktorými sa vykonávajú.

               (7)

               Je potrebné stanoviť organizáciu bezpečnosti v ESVČ a rozdeliť úlohy v oblasti bezpečnosti v rámci štruktúr ESVČ.

               (8)

               Vysoká predstaviteľka by mala podľa potreby využívať príslušné odborné poznatky členských štátov, Generálneho sekretariátu Rady a Európskej komisie.

               (9)

               Vysoká predstaviteľka by mala prijať všetky primerané opatrenia, ktoré sú nevyhnutné na vykonávanie týchto nariadení s podporou členských štátov, Generálneho sekretariátu Rady a Komisie,

         PRIJALA TOTO ROZHODNUTIE:
   Článok 1
   Účel a rozsah pôsobnosti
   Týmto rozhodnutím sa stanovujú bezpečnostné pravidlá Európskej služby pre vonkajšiu činnosť (ďalej len „bezpečnostné pravidlá ESVČ“).
   Podľa článku 10 ods. 1 rozhodnutia Rady 2010/427/EÚ z 26. júla 2010 o organizácii a fungovaní Európskej služby pre vonkajšiu činnosť sa tieto pravidlá vzťahujú na všetkých členov personálu ESVČ a delegácií Únie bez ohľadu na ich administratívne postavenie alebo pôvod a predstavujú všeobecný regulačný rámec na efektívne riadenie rizík týkajúcich sa personálu ESVČ v zmysle článku 2, priestorov ESVČ, fyzického majetku, informácií a návštevníkov.
   Článok 2
   Vymedzenie pojmov
   Na účely tohto rozhodnutia sa uplatňuje toto vymedzenie pojmov:

               a)

               „personál ESVČ“ sú úradníci a ostatní zamestnanci ESVČ vrátane členov personálu diplomatických služieb členských štátov, vymenovaných za dočasných zamestnancov, a vyslaní národní experti podľa vymedzenia v článku 6 rozhodnutia Rady 2010/427/EÚ z 26. júla 2010 o organizácii a fungovaní Európskej služby pre vonkajšiu činnosť;

               b)

               „personál ESVČ“ je personál ESVČ a všetci členovia personálu v delegáciách Únie, bez ohľadu na ich administratívne postavenie alebo pôvod, ako aj – v kontexte tohto rozhodnutia – vysoká predstaviteľka, prípadne ostatný personál, ktorý má sídlo v objektoch ústredia ESVČ;

               c)

               „závislé osoby“ sú rodinní príslušníci personálu ESVČ v delegáciách Únie, ktorí sú súčasťou ich domácnosti, ako sa to uviedlo na ministerstve zahraničných vecí prijímajúceho štátu;

               d)

               „objekty ESVČ“ sú všetky zariadenia ESVČ vrátane budov, kancelárií, miestností a ostatných priestorov, ako aj priestory, v ktorých sú umiestnené komunikačné a informačné systémy (vrátane systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ), kde sa vykonáva trvalá alebo dočasná činnosť ESVČ;

               e)

               „bezpečnostné záujmy ESVČ“ zahŕňajú personál ESVČ, objekty ESVČ, závislé osoby, fyzický majetok vrátane komunikačných a informačných systémov, informácie a návštevníkov;

               f)

               „utajovaná skutočnosť EÚ“ je každá informácia alebo vec označená stupňom utajenia EÚ, ktorej neoprávnené sprístupnenie by mohlo v rôznej miere poškodiť záujmy Európskej únie alebo jedného či viacerých členských štátov.

         Ostatné vymedzenia sú uvedené v príslušných dodatkoch a v prílohe A.
   Článok 3
   Povinnosť starostlivosti
   1.   Cieľom bezpečnostných pravidiel ESVČ je splnenie záväzku, pokiaľ ide o povinnosť starostlivosti ESVČ.
   2.   Súčasťou povinnosti starostlivosti ESVČ je náležitá starostlivosť pri prijímaní všetkých opodstatnených krokov na účely vykonávania bezpečnostných opatrení s cieľom predísť racionálne predvídateľnému poškodeniu bezpečnostných záujmov ESVČ.
   Je tvorená ochrannými a bezpečnostnými zložkami vrátane opatrení vyplývajúcich z núdzových situácií alebo kríz bez ohľadu na ich povahu.
   3.   ESVČ zohľadní záväzok, pokiaľ ide o povinnosť starostlivosti v súvislosti s členskými štátmi, inštitúciami alebo orgánmi EÚ a ďalšími stranami s personálom v delegáciách Únie a/alebo v objektoch delegácií Únie, prípadne záväzok prislúchajúci ESVČ, ak sú delegácie Únie umiestnené v objektoch uvedených tretích strán, a uzatvorí administratívne dohody s jednotlivými uvedenými subjektmi, ktorými sa určia príslušné funkcie a povinnosti, úlohy a mechanizmy spolupráce.
   Článok 4
   Fyzická bezpečnosť a bezpečnosť infraštruktúry
   1.   ESVČ prijme všetky primerané opatrenia na zaistenie fyzickej bezpečnosti (trvalé alebo dočasné) vrátane opatrení na kontrolu prístupu vo všetkých objektoch ESVČ, a to na účely ochrany bezpečnostných záujmov ESVČ. Uvedené opatrenia sa zohľadnia pri navrhovaní a plánovaní nových objektov alebo pred prenájmom existujúcich objektov.
   2.   V tretích krajinách ESVČ prijme okrem toho primerané dodatočné (trvalé alebo dočasné) opatrenia na zaistenie fyzickej bezpečnosti, a to na účely ochrany svojich bezpečnostných záujmov.
   V tejto súvislosti možno z bezpečnostných dôvodov stanoviť osobitné povinnosti alebo obmedzenia pre personál ESVČ, ako aj pre závislé osoby, a to v konkrétnych priestoroch a na konkrétny čas.
   3.   Opatrenia uvedené v odsekoch 1 a 2 sú úmerné vyhodnotenému riziku.
   Článok 5
   Ochrana utajovaných skutočností
   1.   Ochrana utajovaných skutočností EÚ je upravená na základe požiadaviek stanovených v tomto rozhodnutí, predovšetkým v prílohe A. Za primeranú ochranu utajovaných skutočností EÚ zodpovedá ich držiteľ.
   2.   ESVČ zaistí udelenie prístupu k utajovaným skutočnostiam len osobám, ktoré spĺňajú podmienky stanovené v článku 5 prílohy A.
   3.   Podmienky, za ktorých môžu mať miestni zamestnanci prístup k utajovaným skutočnostiam EÚ, takisto stanoví vysoká predstaviteľka v súlade s pravidlami ochrany utajovaných skutočností EÚ uvedenými v prílohe A tohto rozhodnutia.
   4.   Riaditeľstvo ESVČ pre bezpečnosť spravuje databázu týkajúcu sa štatútu bezpečnostnej previerky všetkých členov personálu ESVČ, ako aj personálu jej zmluvných partnerov.
   5.   Ak členské štáty poskytnú štruktúram alebo sieťam ESVČ utajované skutočnosti, ktoré sú označené národným označením stupňa utajenia, ESVČ ochraňuje tieto informácie v súlade s požiadavkami uplatňovanými na utajované skutočnosti EÚ s rovnocenným stupňom utajenia stanoveným podľa platných pravidiel podľa prílohy A tohto rozhodnutia.
   6.   Priestory v rámci ESVČ, v ktorých sa uchovávajú utajované skutočnosti označené stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším stupňom, prípadne zhodným stupňom, sú zariadené ako zabezpečené priestory v súlade s pravidlami stanovenými v prílohe A tohto rozhodnutia a musí ich schváliť bezpečnostný orgán ESVČ.
   7.   Postupy plnenia povinností vysokej predstaviteľky v rámci dohôd alebo administratívnych dohôd pri výmene utajovaných skutočností EÚ s tretími krajinami alebo medzinárodnými organizáciami sú opísané v prílohe A a prílohe A VI tohto rozhodnutia.
   Článok 6
   Bezpečnostné incidenty a mimoriadne situácie
   1.   V záujme zaistenia včasnej a efektívnej reakcie na bezpečnostné incidenty zavedie ESVČ postup oznamovania takýchto incidentov a mimoriadnych situácií, ktorý funguje nepretržite a zahŕňa všetky typy bezpečnostných incidentov alebo ohrození pre bezpečnostné záujmy ESVČ (napríklad nehody, konflikty, úmyselné zákerné činy, trestné činy, únosy a zadržiavanie rukojemníkov, núdzové zdravotné situácie, incidenty týkajúce sa komunikačných a informačných systémov, kybernetické útoky atď.).
   2.   Zriadia sa núdzové styčné kanály medzi ústredím ESVČ, delegáciami Únie, Radou, Komisiou, osobitnými zástupcami EÚ a členskými štátmi s cieľom pomôcť im pri riadení bezpečnostných incidentov týkajúcich sa personálu a ich dôsledkov, ako aj pri vypracovaní pohotovostného plánovania.
   3.   Riadenie bezpečnostných incidentov okrem iného zahŕňa:

               —

               postupy na efektívnu podporu prijímania rozhodnutí v súvislosti s bezpečnostnými incidentmi zahŕňajúcimi personál vrátane prijímania rozhodnutí týkajúcich sa stiahnutia alebo pozastavenia misie,

               —

               politika a postupy doplnenia personálu, napríklad v prípade chýbajúceho personálu alebo únosu či zadržiavania rukojemníkov, pričom sa zohľadňujú príslušné osobitné povinnosti členských štátov, inštitúcií EÚ a ESVČ. V rámci riadenia takýchto operácií sa zváži potreba osobitných spôsobilostí, pričom sa zohľadnia zdroje, ktoré by mohli poskytnúť členské štáty.

         4.   ESVČ prijme primerané administratívne dohody na účely oznamovania bezpečnostných incidentov v delegáciách Únie. Podľa okolností sa informujú členské štáty, Komisia, ostatné príslušné orgány, ako aj príslušné bezpečnostné výbory.
   5.   Postupy riadenia bezpečnostných incidentov sa pravidelne vykonávajú a kontrolujú.
   Článok 7
   Bezpečnosť komunikačných a informačných systémov
   1.   ESVČ zaisťuje ochranu informácií, s ktorými sa manipuluje v komunikačných a informačných systémoch pred ohrozením ich dôvernosti, integrity, dostupnosti, hodnovernosti a nespochybniteľnosti.
   2.   Pravidlá, bezpečnostná politika a bezpečnostný program na ochranu všetkých komunikačných a informačných systémov, ktoré vlastní alebo prevádzkuje ESVČ, sú schválené bezpečnostným orgánom ESVČ podľa vymedzenia v článku 12 oddiel I ods. 1.
   3.   Pravidlá, politika a program sú v súlade s pravidlami, politikou a programom Rady a Komisie a podľa potreby s bezpečnostnými politikami uplatňovanými členskými štátmi a ich vykonávanie je s nimi úzko koordinované.
   4.   Všetky komunikačné a informačné systémy, v ktorých sa manipuluje s utajovanými skutočnosťami, podliehajú certifikácii. ESVČ uplatňuje systém riadenia bezpečnostného certifikačného postupu na základe konzultácií s Generálnym sekretariátom Rady a Európskou komisiou.
   5.   Ak je ochrana utajovaných skutočností EÚ, s ktorými manipuluje ESVČ, zaistená prostredníctvom kryptografických produktov, takéto produkty sa schvaľujú kryptografickým schvaľovacím orgánom ESVČ na základe odporúčania Bezpečnostného výboru Rady.
   6.   Bezpečnostný orgán ESVČ stanoví v potrebnom rozsahu tieto funkcie pre informačnú bezpečnosť:

               a)

               orgán pre informačnú bezpečnosť;

               b)

               orgán pre TEMPEST;

               c)

               kryptografický schvaľovací orgán;

               d)

               kryptografický distribučný orgán.

         7.   Bezpečnostný orgán ESVČ stanoví pre každý systém tieto funkcie:

               a)

               orgán bezpečnostnej certifikácie;

               b)

               operačný orgán pre informačnú bezpečnosť.

         8.   Vykonávacie ustanovenia k tomuto článku týkajúce sa ochrany utajovaných skutočností EÚ sa uvádzajú v prílohe A a prílohe A IV.
   Článok 8
   Narušenie bezpečnosti a únik utajovaných skutočností
   1.   K narušeniu bezpečnosti dochádza v dôsledku konania alebo opomenutia zo strany určitej osoby, ktoré je v rozpore s bezpečnostnými pravidlami stanovenými v tomto rozhodnutí alebo s bezpečnostnými politikami či usmerneniami stanovujúcimi nevyhnutné opatrenia na jeho vykonávanie, ako sú schválené na základe článku 20 ods. 1.
   2.   K úniku utajovaných skutočností dochádza vtedy, keď sa úplne alebo čiastočne sprístupnia neoprávneným osobám alebo subjektom.
   3.   Akékoľvek narušenie bezpečnosti alebo podozrenie z narušenia bezpečnosti a únik alebo podozrenie z úniku utajovaných skutočností sa musí ihneď oznámiť riaditeľstvu ESVČ pre bezpečnosť, ktoré prijme primerané opatrenia podľa prílohy A.
   4.   Každá osoba, ktorá je zodpovedná za porušenie bezpečnostných pravidiel stanovených v tomto rozhodnutí alebo za únik utajovaných skutočností, môže podliehať disciplinárnemu a/alebo súdnemu konaniu podľa príslušných právnych predpisov, pravidiel a nariadení, ako je stanovené v článku 11 ods. 3 prílohy A.
   Článok 9
   Vyšetrovanie bezpečnostných incidentov, porušení a/alebo únikov a nápravné opatrenia
   1.   Riaditeľstvo ESVČ pre bezpečnosť s pomocou expertov z členských štátov a/alebo z ostatných inštitúcií EÚ a podľa potreby na základe poverenia výkonným riaditeľom:

               a)

               podľa potreby vedie vyšetrovania alebo overovania:

                           i)

                           ak je známe alebo ak existuje dostatočný dôvod domnievať sa, že došlo k úniku alebo strate utajovaných skutočností relevantných pre ESVČ;

                           ii)

                           skutočných alebo údajných porušení bezpečnosti alebo iných bezpečnostných incidentov či ohrozenia bezpečnostných záujmov ESVČ;

               b)

               vo vhodných prípadoch a vhodným spôsobom prijíma nevyhnutné nápravné opatrenia vyplývajúce z vyšetrovaní.

         2.   Vyšetrovatelia majú prístup ku všetkým informáciám potrebným na vykonávanie takýchto vyšetrovaní a v tejto súvislosti sa im poskytne úplná podpora zo strany všetkých útvarov ESVČ.
   Vyšetrovatelia môžu prijať primerané opatrenia na zabezpečenie záznamov o dôkazoch takým spôsobom, ktorý je primeraný závažnosti vyšetrovanej veci.
   3.   Keď sa prístup k informáciám týka osobných údajov vrátane údajov obsiahnutých v komunikačných a informačných systémoch, takýto prístup sa uskutočňuje v súlade s nariadením (ES) č. 45/2001.
   4.   Ak je potrebné zriadiť databázu vyšetrovaní, ktorá bude obsahovať osobné údaje, je o tom informovaný európsky dozorný úradník pre ochranu údajov (EDPS) v súlade s uvedeným nariadením.
   Článok 10
   Riadenie bezpečnostných rizík
   1.   ESVČ vypracuje súhrnnú metodiku posúdenia bezpečnostného rizika na účely stanovenia svojich ochranných bezpečnostných potrieb, a to v úzkej spolupráci s Komisiou a podľa potreby s bezpečnostným úradom Generálneho sekretariátu Rady.
   2.   Riadenie rizík týkajúcich sa bezpečnostných záujmov ESVČ sa uskutočňuje ako proces. Tento proces sa zameriava na určenie známych bezpečnostných rizík, stanovenie bezpečnostných opatrení na zníženie týchto rizík na prijateľnú úroveň a na uplatňovanie uvedených opatrení v súlade s koncepciou hĺbkovej ochrany. Efektívnosť takýchto opatrení a úroveň rizika sa nepretržite hodnotia.
   3.   Funkcie, povinnosti a úlohy stanovené v tomto rozhodnutí sa uplatňujú bez toho, aby boli dotknuté povinnosti jednotlivých členov personálu ESVČ. Povinnosťou personálu EÚ pôsobiaceho v misiách v tretích krajinách je predovšetkým spoliehať sa na zdravý rozum a dobrý úsudok, pokiaľ ide o ich vlastnú bezpečnosť a ochranu, a dodržiavať všetky platné bezpečnostné pravidlá, nariadenia, postupy a pokyny.
   4.   ESVČ prijme všetky odôvodnené opatrenia s cieľom zaistiť ochranu svojich bezpečnostných záujmov a predísť ich racionálne predvídateľnému poškodeniu.
   5.   Bezpečnostné opatrenia ESVČ na ochranu utajovaných skutočností EÚ počas celého ich životného cyklu zodpovedajú najmä ich stupňu utajenia, forme a množstvu informácií alebo materiálov, miestu a konštrukcii objektov, v ktorých sa utajované skutočnosti EÚ uchovávajú, ako aj úrovni ohrozenia vrátane lokálne posúdenej úrovne ohrozenia úmyselnou zákernou a/alebo trestnou činnosťou vrátane špionáže, sabotáže a terorizmu.
   Článok 11
   Informovanosť a odborná príprava v oblasti bezpečnosti
   1.   Bezpečnostný orgán ESVČ zaistí návrh a vykonávanie vhodných programov informovanosti a odbornej prípravy v oblasti bezpečnosti, ako aj to, že členovia personálu ESVČ, prípadne ich závislé osoby absolvujú potrebné poučenie a odbornú prípravu, ktoré zodpovedajú rizikám príslušného pracoviska alebo miesta pobytu.
   2.   Personál musí byť pred udelením prístupu k utajovaným skutočnostiam EÚ a pravidelne po tomto udelení poučený o povinnostiach chrániť utajované skutočnosti EÚ v súlade s pravidlami v zmysle článku 5 a musí tieto povinnosti akceptovať.
   Článok 12
   Organizácia bezpečnosti v rámci ESVČ
   1.   Bezpečnostným orgánom ESVČ je výkonný riaditeľ. Výkonný riaditeľ v tejto funkcii zaisťuje, aby:

               a)

               bezpečnostné opatrenia boli v potrebnej miere koordinované s príslušnými orgánmi členských štátov, Generálnym sekretariátom Rady a Komisiou a podľa okolností aj s tretími krajinami alebo medzinárodnými organizáciami vo všetkých bezpečnostných otázkach dôležitých pre činnosť ESVČ vrátane povahy ohrození bezpečnostných záujmov ESVČ a prostriedkov ochrany pred nimi;

               b)

               bezpečnostné aspekty boli plne zohľadnené od začiatku vykonávania všetkých činností ESVČ;

               c)

               bolo zaistené povolenie prístupu k utajovaným skutočnostiam len pre tie osoby, ktoré spĺňajú podmienky stanovené v článku 5 prílohy A;

               d)

               bol zriadený registračný systém, ktorý zaistí, že manipulácia s utajovanými skutočnosťami so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším sa uskutoční v súlade s týmto rozhodnutím v rámci ESVČ, a to aj v prípade sprístupnenia členským štátom, inštitúciám EÚ, orgánom alebo agentúram, či iným oprávneným príjemcom. Vedie sa osobitná evidencia o všetkých utajovaných skutočnostiach EÚ, ktoré ESVČ sprístupní tretím krajinám a medzinárodným organizáciám, ako aj evidencia všetkých utajovaných skutočností, ktoré ESVČ prijme od tretích krajín alebo medzinárodných organizácií;

               e)

               boli vykonávané bezpečnostné inšpekcie uvedené v článku 15;

               f)

               sa v prípade každého skutočného narušenia bezpečnosti či súvisiaceho podozrenia, ako aj skutočného alebo údajného úniku alebo straty utajovaných skutočností, ktoré ESVČ uchováva alebo ktorých je pôvodcom, viedlo vyšetrovanie a aby príslušné bezpečnostné orgány boli požiadané o spoluprácu pri takomto vyšetrovaní;

               g)

               boli vypracované príslušné plány a mechanizmy riadenia bezpečnostných incidentov a dôsledkov s cieľom zaistiť včasnú a účinnú reakciu na mimoriadne bezpečnostné incidenty;

               h)

               v prípade zlyhania jednotlivých osôb boli prijaté primerané opatrenia, ktorými sa zabezpečí dodržiavanie tohto rozhodnutia;

               i)

               boli prijaté primerané fyzické a organizačné opatrenia na ochranu bezpečnostných záujmov ESVČ.
               Výkonný riaditeľ v tejto súvislosti a po konzultáciách s výkonným generálnym tajomníkom:

                           —

                           po konzultáciách s Komisiou určuje bezpečnostnú kategóriu delegácií,

                           —

                           po konzultáciách s VP rozhoduje o tom, kedy sa uskutoční evakuácia personálu delegácie, ak to vyžaduje bezpečnostná situácia,

                           —

                           rozhoduje o opatreniach, ktoré sa v prípade potreby uplatnia na ochranu závislých osôb, pričom zohľadňuje dohody s inštitúciami EÚ uvedené v článku 3 ods. 3,

                           —

                           schvaľuje kryptografickú komunikačnú politiku, predovšetkým program inštalácie kryptografických produktov a mechanizmov.

         2.   Pri plnení tejto úlohy výkonnému riaditeľovi pomáha výkonný riaditeľ pre administratívu a financie, vedúci riaditeľstva ESVČ pre bezpečnosť a v prípade potreby výkonný riaditeľ pre reakciu na krízu a prevádzkový koordinátor.
   3.   Výkonný riaditeľ ako bezpečnostný orgán ESVČ môže v tejto súvislosti podľa potreby delegovať svoje úlohy.
   4.   Za vykonávanie pravidiel ochrany utajovaných skutočností EÚ v jednotlivých oddeleniach/divíziách zodpovedajú vedúci príslušných oddelení alebo útvarov.
   Vedúci jednotlivých oddelení alebo útvarov zodpovedajú za uvedené úlohy, zároveň však vymenujú zamestnancov do funkcie bezpečnostných koordinátorov jednotlivých oddelení, ktorých zdroje zodpovedajú množstvu utajovaných skutočností EÚ v kompetencii príslušného oddelenia alebo útvaru.
   Bezpečnostní koordinátori jednotlivých oddelení podľa okolností pomáhajú vedúcim príslušných oddelení alebo útvarov pri plnení úloh týkajúcich sa bezpečnosti, ako napríklad:

               a)

               vypracovanie dodatočných bezpečnostných požiadaviek prispôsobených osobitným potrebám príslušného oddelenia alebo útvaru;

               b)

               pravidelné bezpečnostné poučenie členov príslušných oddelení alebo útvarov;

               c)

               zaistenie dodržiavania zásady „need-to-know“ (potreba poznať) v príslušnom oddelení alebo útvare;

               d)

               vedenie aktuálneho zoznamu bezpečnostných kódov a kľúčov;

               e)

               dodržiavanie bezpečnostných postupov a opatrení;

               f)

               oznamovanie prípadov porušenia bezpečnosti a/alebo úniku utajovaných údajov EÚ svojmu riaditeľovi, ako aj riaditeľstvu pre bezpečnosť;

               g)

               záverečné poučenie zamestnancov, ktorí ukončili pracovný pomer v ESVČ;

               h)

               predkladanie pravidelných správ nadriadeným o bezpečnostných problémoch v oddelení alebo útvare;

               i)

               kontakt s riaditeľstvom ESVČ pre bezpečnosť, pokiaľ ide o bezpečnostné otázky.

         Každá činnosť alebo záležitosť, ktorá by mohla mať vplyv na bezpečnosť, sa musí včas oznámiť riaditeľstvu pre bezpečnosť ESVČ.
   5.   Za vykonávanie všetkých opatrení týkajúcich sa bezpečnosti delegácie Únie zodpovedá príslušný vedúci delegácie Únie.
   1.   ESVČ má riaditeľstvo pre bezpečnosť. Toto riaditeľstvo:

               a)

               riadi, koordinuje, dohliada a/alebo vykonáva všetky bezpečnostné opatrenia vo všetkých objektoch ESVČ, v jej ústredí, v rámci EÚ a v tretích krajinách;

               b)

               zaisťuje súdržnosť a konzistentnosť s týmto rozhodnutím a s vykonávacími ustanoveniami v súvislosti s každou činnosťou, ktorá by mohla mať vplyv na ochranu bezpečnostných záujmov ESVČ;

               c)

               je hlavným poradcom VP, výkonného generálneho tajomníka a výkonného riaditeľa vo všetkých záležitostiach týkajúcich sa bezpečnosti;

               d)

               využíva pomoc príslušných útvarov členských štátov v súlade s článkom 10 ods. 3 rozhodnutia Rady 2010/427/EÚ o organizácii a fungovaní ESVČ;

               e)

               poskytuje podporu činnosti orgánu bezpečnostnej certifikácie ESVČ vypracovaním posúdení fyzickej bezpečnosti všeobecného bezpečnostného prostredia/miestneho bezpečnostného prostredia komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ, ako aj objektov, ktorým sa má udeliť oprávnenie na manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie.

         2.   Vedúci riaditeľstva ESVČ pre bezpečnosť zodpovedá za:

               a)

               zaistenie celkovej ochrany bezpečnostných záujmov ESVČ;

               b)

               vypracovanie, revíziu a aktualizácie bezpečnostných pravidiel, ako aj koordináciu bezpečnostných opatrení s príslušnými orgánmi členských štátov a podľa okolností s príslušnými orgánmi tretích krajín a medzinárodných organizácií prepojených s EÚ prostredníctvom bezpečnostných dohôd a/alebo rokovaní;

               c)

               pomoc pri rokovaniach Bezpečnostného výboru ESVČ v zmysle článku 14 ods. 1 tohto rozhodnutia;

               d)

               podľa okolností styky s partnermi alebo orgánmi inými ako sú tie, ktoré sú uvedené v písmene b), v bezpečnostných záležitostiach;

               e)

               stanovenie priorít a predkladanie návrhov v oblasti rozpočtového hospodárenia, pokiaľ ide o bezpečnosť v ústredí a delegáciách Únie.

         3.   Vedúci riaditeľstva ESVČ pre bezpečnosť:

               a)

               zabezpečuje zaznamenávanie porušení bezpečnosti a únikov a začatie a realizáciu vyšetrovaní v prípadoch, keď je to potrebné;

               b)

               pravidelne a vždy, keď je to nutné, uskutočňuje zasadnutia s riaditeľom pre oblasť bezpečnosti Generálneho sekretariátu Rady a riaditeľom riaditeľstva Európskej komisie pre bezpečnosť a diskutuje s nimi o oblastiach spoločného záujmu.

         4.   Riaditeľstvo ESVČ pre bezpečnosť nadväzuje kontakty a úzko spolupracuje s:

               —

               oddeleniami zodpovednými za oblasť bezpečnosti na ministerstvách zahraničných vecí členských štátov;

               —

               národnými bezpečnostnými orgánmi (NBÚ) a/alebo ďalšími príslušnými bezpečnostnými orgánmi členských štátov s cieľom získať od nich pomoc, pokiaľ ide o informácie potrebné na posúdenie nebezpečenstiev a ohrození, ktorým by mohla čeliť ESVČ, jej personál, činnosť, majetok a zdroje a jej utajované skutočnosti na zvyčajných miestach jej pôsobenia;

               —

               príslušnými bezpečnostnými orgánmi členských štátov alebo hostiteľských štátov, na území ktorých sa uskutočňuje činnosť ESVČ, pokiaľ ide o všetky záležitosti týkajúce sa ochrany personálu ESVČ, jej činnosti, majetku a zdrojov, ako aj jej utajovaných skutočností v čase pôsobenia na danom území;

               —

               bezpečnostným úradom Generálneho sekretariátu Rady a riaditeľstvom pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť a podľa okolností s bezpečnostnými oddeleniami ostatných inštitúcií, orgánov a agentúr EÚ;

               —

               bezpečnostnými oddeleniami tretích krajín alebo medzinárodných organizácií na účely akejkoľvek užitočnej koordinácie;

               —

               NBÚ členských štátov, pokiaľ ide o všetky záležitosti týkajúce sa ochrany utajovaných skutočností EÚ.

         1.   Každý vedúci delegácie Únie zodpovedá za miestne vykonávanie a riadenie všetkých opatrení týkajúcich sa ochrany bezpečnostných záujmov ESVČ v objektoch delegácie Únie a v rozsahu jej právomocí.
   Podľa potreby a po konzultáciách s príslušnými orgánmi hostiteľského štátu bude prijímať všetky opodstatnené uskutočniteľné opatrenia s cieľom zaistiť prijatie primeraných fyzických a organizačných opatrení na dosiahnutie stanoveného cieľa.
   Vedúci delegácie pripravuje podľa potreby opatrenia na ochranu závislých osôb v zmysle článku 2 písm. c), pričom zohľadňuje všetky administratívne dohody uvedené v článku 3 ods. 3. Vedúci delegácie podáva výročné správy o všetkých záležitostiach týkajúcich sa bezpečnosti v rozsahu svojich kompetencií vedúcemu riaditeľstva ESVČ pre bezpečnosť.
   Pri plnení týchto úloh mu pomáha riaditeľstvo ESVČ pre bezpečnosť, personál ESVČ v rámci delegácie, ktorý plní osobitné úlohy a funkcie v oblasti bezpečnosti, ako aj špecializovaný bezpečnostný personál vysielaný podľa potreby.
   2.   Okrem toho vedúci delegácie bude:

               —

               pripravovať podrobné bezpečnostné a pohotovostné plány delegácie na základe všeobecných štandardných operačných postupov,

               —

               prevádzkovať efektívny nepretržitý systém riadenia bezpečnostných incidentov a mimoriadnych situácií v rámci rozsahu pôsobnosti delegácie,

               —

               zaisťovať poistenie všetkých zamestnancov vyslaných do delegácie podľa toho, ako si to vyžadujú okolnosti v danej oblasti,

               —

               zaisťovať, aby bola bezpečnosť súčasťou úvodného školenia delegácie Únie určeného pre všetok personál vyslaný do delegácie, a to pred príchodom do delegácie alebo pri príchode,

               —

               zaisťovať vykonávanie všetkých odporúčaní prijatých na základe bezpečnostných posúdení a v pravidelných intervaloch podávať písomné správy o ich vykonávaní a o ostatných bezpečnostných záležitostiach bezpečnostnému orgánu ESVČ.

         3.   Vedúci delegácie je zodpovedný za zaistenie bezpečnostného riadenia, ako aj odolnosti organizácie, môže však poveriť plnením svojich bezpečnostných úloh koordinátora pre bezpečnosť delegácie (KBD), pričom koordinátor je zástupcom vedúceho delegácie, alebo, pokiaľ do tejto funkcie nebol nikto vymenovaný, inú vhodnú osobu.
   KBD môže byť poverený predovšetkým týmito úlohami:

               —

               nadväzovať styky s príslušnými orgánmi hostiteľského štátu a príslušnými partnermi na veľvyslanectvách a v diplomatických misiách členských štátov, pokiaľ ide o bezpečnostné záležitosti,

               —

               vykonávať primerané bezpečnostné riadiace postupy týkajúce sa bezpečnostných záujmov ESVČ vrátane ochrany utajovaných skutočností EÚ,

               —

               informovať personál o relevantných bezpečnostných pravidlách a konkrétnych rizikách v hostiteľskej krajine,

               —

               predkladať riaditeľstvu ESVČ pre bezpečnosť žiadosti týkajúce sa tých pozícií, ktoré vyžadujú previerku personálnej bezpečnosti,

               —

               informovať vedúceho delegácie, regionálneho úradníka pre bezpečnosť a riaditeľstvo ESVČ pre bezpečnosť o incidentoch alebo o vývoji v oblasti, ktoré majú vplyv na ochranu bezpečnostných záujmov ESVČ.

         4.   Vedúci delegácie môže poveriť bezpečnostnými úlohami administratívnej alebo technickej povahy vedúceho administratívy alebo iných členov personálu delegácie.
   5.   Delegácii Únie pomáha regionálny bezpečnostný úradník. Regionálni bezpečnostní úradníci v delegáciách v rámci príslušnej geografickej oblastí, za ktorú sú zodpovední, plnia úlohy uvedené ďalej.
   Za určitých okolností, ak je to nutné na základe prevažujúcej bezpečnostnej situácie, môže byť ku konkrétnej delegácii pridelený osobitný regionálny bezpečnostný úradník ako rezident na plný úväzok.
   Od regionálneho bezpečnostného úradníka sa môže vyžadovať premiestnenie do oblasti mimo jeho súčasnej oblasti pôsobnosti vrátane ústredia v Bruseli alebo dokonca prevzatie rezidenčného postu podľa príslušnej bezpečnostnej situácie v akejkoľvek krajine a podľa požiadaviek riaditeľstva ESVČ pre bezpečnosť.
   6.   Regionálni bezpečnostní úradníci sú pod priamou hierarchickou kontrolou riaditeľstva ESVČ pre bezpečnosť a pod priamou funkčnou a administratívnou kontrolou príslušného vedúceho delegácie. Regionálni bezpečnostní úradníci pomáhajú vedúcemu a personálu delegácie pri príprave a vykonávaní všetkých fyzických, organizačných a procedurálnych opatrení týkajúcich sa bezpečnosti celého personálu delegácie bez ohľadu na administratívny pôvod.
   7.   Regionálni bezpečností úradníci poskytujú vedúcemu a personálu delegácie poradenstvo a pomoc. Podľa okolností, a to predovšetkým v prípadoch, keď je regionálny bezpečnostný úradník úplným rezidentom, môže delegácii Únie poskytovať pomoc pri riadení a vykonávaní bezpečnosti vrátane prípravy bezpečnostných zmlúv, riadenia certifikácií a previerok.
   Článok 13
   Operácie spoločnej bezpečnostnej a obrannej politiky (SBOP) a osobitní zástupcovia EÚ
   Riaditeľstvo ESVČ pre bezpečnosť pomáha a poskytuje rady riaditeľovi riaditeľstva pre krízové riadenie a plánovanie, generálnemu riaditeľovi vojenského štábu Európskej únie, civilnému veliteľovi operácií, ktorý stojí na čele útvaru pre plánovanie a vedenie civilných operácií, ako aj veliteľom vojenských operácií EÚ v oblasti bezpečnostných aspektov operácií SBOP a osobitným zástupcom EÚ v súvislosti s bezpečnostnými aspektmi ich mandátu podľa osobitných ustanovení, ktoré sú v tejto súvislosti zahrnuté do príslušných politík prijatých Radou.
   Článok 14
   Bezpečnostný výbor ESVČ
   1.   Týmto sa zriaďuje Bezpečnostný výbor ESVČ.
   Bezpečnostnému výboru predsedá výkonný riaditeľ alebo poverený delegát. Zasadnutia výboru sa uskutočňujú podľa pokynov predsedu alebo na žiadosť niektorého z členov výboru. Bezpečnostný výbor ESVČ pomáha predsedovi pri plnení jeho funkcie a podľa potreby poskytuje administratívnu pomoc pri rokovaniach výboru.
   2.   Bezpečnostný výbor ESVČ pozostáva zo zástupcov:

               —

               jednotlivých členských štátov,

               —

               bezpečnostného úradu Generálneho sekretariátu Rady,

               —

               riaditeľstva pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť.

         Delegáciu členského štátu pri Bezpečnostnom výbore ESVČ môžu tvoriť členovia:

               —

               národného bezpečnostného orgánu a/alebo povereného bezpečnostného orgánu,

               —

               odborov zodpovedných za oblasť bezpečnosti na ministerstvách zahraničných vecí.

         3.   Zástupcovia výboru môžu byť podľa potreby v kontakte s expertmi a využívať ich poradenstvo. Na zasadnutie Bezpečnostného výboru možno prizvať zástupcov ostatných inštitúcií, agentúr alebo orgánov EÚ, a to v prípade, že sa diskutuje o otázkach týkajúcich sa ich bezpečnosti.
   4.   Bez toho, aby bol dotknutý nasledujúci odsek 5, Bezpečnostný výbor ESVČ poskytuje ESVČ pomoc formou konzultácií pri všetkých bezpečnostných záležitostiach relevantných pre činnosť ESVČ, ústredia a delegácií Únie.
   Bez toho, aby bol dotknutý nasledujúci bod 5, Bezpečnostný výbor ESVČ:

               a)

               poskytuje konzultácie o týchto záležitostiach:

                           —

                           bezpečnostné politiky, usmernenia, koncepcie alebo iné metodické dokumenty týkajúce sa bezpečnosti, predovšetkým pokiaľ ide o ochranu utajovaných skutočností a opatrenia, ktoré sa musia prijať v prípade porušenia bezpečnostných pravidiel personálom ESVČ,

                           —

                           technické aspekty bezpečnosti, ktoré môžu ovplyvniť rozhodnutie VP o predložení odporúčania Rade v súvislosti so začatím rokovaní o dohodách o bezpečnosti informácií uvedených v článku 10 ods. 1 písm. a) prílohy A,

                           —

                           akékoľvek zmeny tohto rozhodnutia;

               b)

               bez toho, aby bol dotknutý článok 3 ods. 3, ho podľa okolností možno požiadať o konzultácie alebo ho informovať, pokiaľ ide o záležitosti bezpečnosti personálu a majetku v ústredí ESVČ a v delegáciách Únie, bez toho, aby bol dotknutý článok 3 ods. 3;

               c)

               je informovaný o všetkých prípadoch úniku alebo straty utajovaných skutočností EÚ, ku ktorým došlo v rámci ESVČ.

         5.   Pri každej zmene pravidiel týkajúcich sa ochrany utajovaných skutočností EÚ podľa tohto rozhodnutia a jeho prílohy A sa vyžaduje jednomyseľné súhlasné stanovisko členských štátov zastúpených v Bezpečnostnom výbore ESVČ. Jednomyseľné súhlasné stanovisko sa takisto vyžaduje pred:

               —

               začatím rokovaní o administratívnych dohodách v zmysle článku 10 ods. 1 písm. b) prílohy A,

               —

               poskytnutím utajovaných skutočností za výnimočných okolností uvedených v bodoch 9, 11 a 12 prílohy A VI,

               —

               prevzatím zodpovednosti pôvodcu skutočností za okolností uvedených v článku 10 ods. 4 poslednej vete prílohy A.

         Ak sa vyžaduje jednomyseľné súhlasné stanovisko, táto podmienka bude splnená, ak počas rokovania výboru delegácie členských štátov nevyjadria nijaké námietky.
   6.   Bezpečnostný výbor ESVČ v plnej miere zohľadňuje bezpečnostné politiky a usmernenia platné v rámci Rady a Komisie.
   7.   Bezpečnostnému výboru ESVČ sa predkladá zoznam výročných inšpekcií ESVČ a finálne inšpekčné správy.
   8.   Organizácia zasadnutí:

               —

               Bezpečnostný výbor ESVČ zasadá minimálne dvakrát ročne. Dodatočné zasadnutia, a to buď v úplnom zložení, alebo v bezpečnostnom formáte NBÚ/povereného bezpečnostného orgánu alebo MZV, môžu byť zvolané predsedom alebo na žiadosť členov výboru.

               —

               Činnosť Bezpečnostného výboru ESVČ je organizovaná tak, aby výbor mohol poskytovať odporúčania ku konkrétnym oblastiam bezpečnosti. Podľa potreby je možné zriadiť ďalšie odborné podskupiny. Výbor stanovuje mandát pre tieto odborné podskupiny, ktoré mu predkladajú správy o svojej činnosti.

               —

               Za prípravu tém na rozpravu zodpovedá riaditeľstvo ESVČ pre bezpečnosť. Predseda vypracuje predbežný program každého zasadnutia. Ďalšie témy do rozpravy môžu predkladať členovia výboru.

         Článok 15
   Bezpečnostné inšpekcie
   1.   Bezpečnostný orgán ESVČ zaisťuje vykonávanie pravidelných bezpečnostných inšpekcií v ústredí ESVČ a v delegáciách Únie s cieľom posúdiť primeranosť bezpečnostných opatrení a overiť ich súlad s týmto rozhodnutím. Riaditeľstvo ESVČ pre bezpečnosť môže podľa okolností poveriť spolupracujúcich expertov, aby sa zúčastňovali na bezpečnostných inšpekciách v agentúrach a orgánoch EÚ zriadených na základe hlavy V kapitoly 2 Zmluvy o EÚ.
   2.   Bezpečnostné inšpekcie ESVČ sa vykonávajú pod dohľadom riaditeľstva ESVČ pre bezpečnosť a podľa okolností s pomocou bezpečnostných expertov reprezentujúcich ostatné inštitúcie EÚ alebo členské štáty, predovšetkým v súvislosti s ustanoveniami uvedenými v článku 3 ods. 3.
   3.   ESVČ môže podľa potreby využiť príslušné odborné poznatky členských štátov a Generálneho sekretariátu Rady a Komisie.
   Tam, kde je to potrebné, môžu byť do bezpečnostných inšpekcií v delegáciách Únie prizvaní bezpečnostní experti pôsobiaci v misiách členských štátov v tretích krajinách a/alebo zástupcovia diplomatických bezpečnostných oddelení členských štátov.
   4.   Vykonávacie ustanovenia k tomuto článku týkajúce sa ochrany utajovaných skutočností EÚ sa uvádzajú v prílohe A III.
   Článok 16
   Hodnotiace návštevy
   Dohodnú sa hodnotiace návštevy, ktorých cieľom je stanoviť účinnosť bezpečnostných opatrení uplatňovaných v tretej krajine alebo medzinárodnej organizácii na ochranu utajovaných skutočností EÚ vymenených na základe administratívnej dohody uvedenej v článku 10 ods. 1 písm. b) prílohy A.
   Riaditeľstvo ESVČ pre bezpečnosť môže poveriť spolupracujúcich expertov, aby sa zúčastnili na hodnotiacich návštevách v tretích krajinách alebo medzinárodných organizáciách, s ktorými EÚ uzatvorila dohodu o bezpečnosti informácií v zmysle článku 10 ods. 1 písm. b) prílohy A.
   Článok 17
   Plánovanie kontinuity činnosti
   Riaditeľstvo ESVČ pre bezpečnosť pomáha výkonnému riaditeľovi pri riadení aspektov bezpečnosti súvisiacich s kontinuitou činnosti ESVČ v rámci celkového plánovania kontinuity činnosti ESVČ.
   Článok 18
   Poradenstvo týkajúce sa ciest do misií mimo územia EÚ
   Riaditeľstvo ESVČ pre bezpečnosť zaisťuje poskytovanie poradenstva týkajúceho sa cestovania pre misie personálu ESVČ mimo územia EÚ, pričom využíva zdroje všetkých relevantných útvarov ESVČ, predovšetkým SITROOM, INTCEN, geografických oddelení a delegácií Únie.
   Riaditeľstvo ESVČ pre bezpečnosť na vyžiadanie poskytuje s využitím uvedených zdrojov osobitné poradenstvo týkajúce sa cestovania pre personál ESVČ, pokiaľ ide o misie do tretích krajín predstavujúcich vysoké alebo zvýšené riziko.
   Článok 19
   Zdravie a bezpečnosť
   Bezpečnostné pravidlá ESVČ dopĺňajú pravidlá ESVČ o ochrane zdravia a bezpečnosti, ktoré prijala vysoká predstaviteľka.
   Článok 20
   Vykonanie a preskúmanie
   1.   Bezpečnostný orgán ESVČ po prípadných konzultáciách s Bezpečnostným výborom ESVČ schvaľuje bezpečnostné politiky alebo usmernenia, v ktorých sa stanovujú opatrenia nevyhnutné na vykonávanie týchto pravidiel v ESVČ, a vytvára potrebné kapacity zahŕňajúce všetky aspekty bezpečnosti, a to v úzkej spolupráci s príslušnými bezpečnostnými orgánmi členských štátov a s podporou príslušných útvarov inštitúcií EÚ.
   2.   V súlade s článkom 4 ods. 5 rozhodnutia Rady 2010/427/EÚ z 26. júla 2010 o organizácii a fungovaní Európskej služby pre vonkajšiu činnosť sa podľa potreby pripravujú dojednania na úrovni útvarov s príslušnými útvarmi Generálneho sekretariátu Rady a Európskej komisie.
   3.   VP zaisťuje celkovú konzistentnosť pri uplatňovaní tohto rozhodnutia a vykonáva revíziu bezpečnostných pravidiel.
   4.   Pri vykonávaní bezpečnostných pravidiel ESVČ sa vyžaduje úzka spolupráca s príslušnými bezpečnostnými orgánmi členských štátov, bezpečnostným úradom Generálneho sekretariátu Rady a riaditeľstvom pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť.
   5.   ESVČ zaisťuje zohľadnenie všetkých aspektov bezpečnostného postupu v rámci svojho systému reakcií na krízové situácie.
   6.   Vykonávanie tohto rozhodnutia zaisťuje výkonný riaditeľ ako bezpečnostný orgán a vedúci riaditeľstva ESVČ pre bezpečnosť.
   Článok 21
   Nahradenie predchádzajúcich rozhodnutí
   1.   Týmto rozhodnutím sa zrušuje a nahrádza rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku z 15. júna 2011 o bezpečnostných pravidlách Európskej služby pre vonkajšiu činnosť (3).
   2.   Týmto rozhodnutím sa zrušuje rozhodnutie vysokej predstaviteľky Únie pre zahraničné veci a bezpečnostnú politiku z 23. februára 2011 o poverení a úlohách delegovaného bezpečnostného orgánu Európskej služby pre vonkajšiu činnosť.
   Článok 22
   Záverečné ustanovenia
   Toto rozhodnutie nadobúda účinnosť dňom jeho podpisu.
   Uverejní sa v Úradnom vestníku Európskej únie.

      Príslušné orgány v ESVČ náležite a včas informujú všetok personál, ktorý patrí do rozsahu pôsobnosti tohto rozhodnutia a jeho príloh, o obsahu, nadobudnutí účinnosti a nasledujúcich úpravách.
      V Bruseli 19. apríla 2013

            Vysoká predstaviteľka

         C. ASHTON

      (1)  Ú. v. EÚ L 201, 3.8.2010, s. 30.

      (2)  Ú. v. EÚ C 304, 15.10.2011, s. 7.

      (3)  Ú. v. EÚ C 304, 15.10.2011, s. 7.

      PRÍLOHA A

         ZÁSADY A NORMY OCHRANY UTAJOVANÝCH SKUTOČNOSTÍ EÚ

      Článok 1
      Cieľ, rozsah pôsobnosti a vymedzenie pojmov
      1.   V tejto prílohe sa stanovujú základné zásady a minimálne normy bezpečnosti na ochranu utajovaných skutočností EÚ.
      2.   Základné zásady a minimálne normy sa uplatňujú na ESVČ a na personál ESVČ podľa vymedzení uvedených v článkoch 1 a 2 tohto rozhodnutia.
      Článok 2
      Vymedzenie utajovanej skutočnosti EÚ, stupne utajenia a označenia
      1.   „Utajovaná skutočnosť Európskej únie“ (ďalej len „utajovaná skutočnosť EÚ“) je každá informácia alebo vec označená vymedzením stupňa utajenia EÚ, ktorej neoprávnené sprístupnenie by mohlo v rôznej miere poškodiť záujmy Európskej únie alebo jedného či viacerých členských štátov.
      2.   Utajované skutočnosti EÚ sa utajujú na jednom z týchto stupňov:

                  a)

                  TRÉS SECRET UE/EU TOP SECRET: informácia alebo vec, ktorej neoprávnené prezradenie by mohlo mimoriadne vážne poškodiť základné záujmy Európskej únie alebo jedného či viacerých jej členských štátov;

                  b)

                  SECRET UE/EU SECRET: informácia alebo vec, ktorej neoprávnené prezradenie by mohlo vážne poškodiť základné záujmy Európskej únie alebo jedného či viacerých jej členských štátov;

                  c)

                  CONFIDENTIEL UE/EU CONFIDENTIAL: informácia alebo vec, ktorej neoprávnené prezradenie by mohlo poškodiť základné záujmy Európskej únie alebo jedného či viacerých jej členských štátov;

                  d)

                  RESTREINT UE/EU RESTRICTED: informácia alebo vec, ktorej neoprávnené prezradenie by mohlo byť nevýhodné pre záujmy Európskej únie alebo jedného či viacerých jej členských štátov.

            3.   Utajované skutočnosti EÚ sa označujú stupňami utajenia uvedenými v odseku 2. Okrem toho môžu byť označené aj označeniami, ktoré určujú príslušnú oblasť činnosti, identifikujú pôvodcu, obmedzujú distribúciu, obmedzujú použitie alebo stanovujú rozsah možnej prístupnosti.
      Článok 3
      Riadenie utajovania
      1.   ESVČ zabezpečuje, že utajovaná skutočnosť EÚ je náležite utajovaná, jasne označená ako utajovaná skutočnosť a že podlieha príslušnému stupňu utajenia, len pokiaľ je to nevyhnutné.
      2.   Stupeň utajenia utajovanej skutočnosti EÚ sa neznižuje, nezrušuje ani sa nijaké označenia uvedené v článku 2 ods. 3 neupravujú ani neodstraňujú bez predchádzajúceho písomného súhlasu pôvodcu.
      3.   Bezpečnostný orgán ESVČ po konzultáciách s Bezpečnostným výborom ESVČ v zmysle článku 14 ods. 5 tohto rozhodnutia schvaľuje bezpečnostnú politiku týkajúcu sa vytvárania utajovaných skutočností EÚ, do ktorej sú zahrnuté praktické usmernenia na utajovanie.
      Článok 4
      Ochrana utajovaných skutočností
      1.   Utajované skutočnosti EÚ sa chránia v súlade s týmto rozhodnutím.
      2.   Držiteľ každej položky utajovanej skutočnosti EÚ je zodpovedný za jej ochranu v súlade s týmto rozhodnutím.
      3.   Keď členské štáty poskytnú štruktúram alebo sieťam ESVČ utajované skutočnosti, ktoré sú označené národným označením stupňa utajenia, ESVČ ich chráni v súlade s požiadavkami uplatňovanými na utajované skutočnosti EÚ s rovnocenným stupňom utajenia stanoveným podľa ekvivalenčnej tabuľky stupňov utajenia, ktorá je uvedená v dodatku B rozhodnutia Rady 2011/292/EÚ z 31. marca 2011 o bezpečnostných predpisoch na ochranu utajovaných skutočností EÚ.
      ESVČ stanoví primerané postupy vedenia presných záznamov, pokiaľ ide o pôvodcu:

                  —

                  utajovaných skutočností, ktoré sa poskytnú ESVČ,

                  —

                  zdrojovej veci zahrnutej do utajovanej skutočnosti, ktorej pôvodcom je ESVČ.

            Bezpečnostný výbor ESVČ je o týchto postupoch informovaný.
      4.   Veľké množstvo utajovaných skutočností EÚ alebo ich spojenie si môže vyžadovať ochranu na úrovni, ktorá zodpovedá vyššiemu stupňu utajenia, než je stupeň utajenia jednotlivých zložiek.
      Článok 5
      Personálna bezpečnosť pri manipulácii s utajovanými skutočnosťami EÚ
      1.   Personálna bezpečnosť je uplatňovanie opatrení s cieľom zabezpečiť, že prístup k utajovaným skutočnostiam EÚ sa udeľuje len osobám, ktoré:

                  —

                  musia tieto skutočnosti poznať (zásada „need-to-know“),

                  —

                  boli pre prístup k informáciám utajovaným na stupni CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššom bezpečnostne preverené pre príslušný stupeň alebo majú iné náležité oprávnenie, ktoré vyplýva z povahy ich funkcie v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi,

                  —

                  boli poučené o svojich povinnostiach.

            2.   Postupmi na vykonanie previerky personálnej bezpečnosti sa určuje, či osoba pri zohľadnení jej lojality, dôveryhodnosti a spoľahlivosti môže byť oprávnená na prístup k utajovaným skutočnostiam EÚ.
      3.   Všetky osoby sú pred udelením prístupu k utajovaným skutočnostiam EÚ a pravidelne po ňom poučené o povinnostiach chrániť utajované skutočnosti EÚ podľa tohto rozhodnutia a tieto povinnosti písomne akceptujú.
      4.   Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe A I.
      Článok 6
      Fyzická bezpečnosť utajovaných skutočností EÚ
      1.   Fyzická bezpečnosť je uplatňovanie fyzických a technických ochranných opatrení na zamedzenie neoprávneného prístupu k utajovaným skutočnostiam EÚ.
      2.   Opatrenia fyzickej bezpečnosti sa vytvárajú na zabránenie utajenému alebo násilnému vstupu narušiteľa, odradenie od neoprávnených činností, ich zamedzenie a odhalenie a na umožnenie rozdelenia pracovníkov na účely prístupu k utajovaným skutočnostiam EÚ podľa zásady „need-to-know“. Tieto opatrenia sa určujú na základe procesu riadenia rizík.
      3.   Opatrenia fyzickej bezpečnosti sa zavedú vo všetkých objektoch, budovách, kanceláriách, miestnostiach a iných priestoroch, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ alebo sa takéto utajované skutočnosti uchovávajú, vrátane priestorov, v ktorých sú umiestnené komunikačné a informačné systémy vymedzené v článku 8 ods. 2.
      4.   Priestory, v ktorých sa uchovávajú utajované údaje EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, sa zriaďujú ako zabezpečené priestory podľa prílohy A II a schvaľuje ich bezpečnostný orgán ESVČ.
      5.   Na ochranu utajovaných skutočností EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším sa používajú iba schválené zariadenia a prostriedky.
      6.   Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe A II.
      Článok 7
      Správa utajovaných skutočností
      1.   Správa utajovaných skutočností je uplatňovanie administratívnych opatrení pri riadení utajovaných skutočností EÚ počas ich životného cyklu s cieľom doplniť opatrenia stanovené v článkoch 5, 6 a 8, a tým pomôcť pri odradení od úmyselného alebo náhodného úniku alebo straty takýchto utajovaných skutočností, pri zistení ich úniku alebo straty a pri obnove bezpečnosti. Takéto opatrenia sa týkajú najmä vytvárania, evidencie, rozmnožovania, prekladu, prenášania, manipulácie, uchovávania a ničenia utajovaných skutočností EÚ.
      2.   Pred poskytnutím utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším a po ich prijatí sa utajované skutočnosti evidujú na bezpečnostné účely. Príslušné orgány ESVČ zriaďujú na tento účel systém registrov. Utajované skutočnosti so stupňom utajenia TRES SECRET UE/EU TOP SECRET sa evidujú v osobitných registroch.
      3.   Útvary a objekty, v ktorých sa s utajovanými skutočnosťami EÚ manipuluje alebo sa tam uchovávajú, podliehajú pravidelným inšpekciám, ktoré vykonáva bezpečnostný orgán ESVČ.
      4.   Utajované skutočnosti EÚ sa prenášajú medzi útvarmi alebo objektmi mimo fyzicky chránených oblastí takto:

                  a)

                  vo všeobecnosti sa utajované skutočnosti EÚ prenášajú elektronickými prostriedkami, ktoré sú chránené kryptografickými produktmi schválenými v súlade s článkom 7 ods. 5 tohto rozhodnutia a v súlade s jasne vymedzenými bezpečnostnými prevádzkovými postupmi;

                  b)

                  keď sa prostriedky uvedené v písmene a) nepoužívajú, utajované skutočnosti EÚ sa prenášajú buď:

                              i)

                              na elektronických médiách (napr. kľúčoch USB, diskoch CD, pevných diskoch), ktoré sú chránené kryptografickými produktmi schválenými v súlade s článkom 7 ods. 5 tohto rozhodnutia, alebo

                              ii)

                              v ostatných prípadoch podľa pokynov bezpečnostného orgánu ESVČ v súlade s príslušnými ochrannými opatreniami stanovenými v oddiele V prílohy A III.

            5.   Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe A III.
      Článok 8
      Ochrana utajovaných skutočností EÚ, s ktorými sa manipuluje v komunikačných a informačných systémoch
      1.   Informačná bezpečnosť v oblasti komunikačných a informačných systémov je záruka, že takéto systémy ochránia informácie, s ktorými sa v nich manipuluje, a budú fungovať vtedy, keď je to potrebné a tak, ako majú, pod dohľadom oprávnených používateľov. Efektívna informačná bezpečnosť zaisťuje primeranú úroveň dôvernosti, integrity, dostupnosti, nespochybniteľnosti a hodnovernosti. Informačná bezpečnosť sa zakladá na procese riadenia rizík.
      2.   „Komunikačný a informačný systém“ je každý systém, ktorý umožňuje manipuláciu s informáciami v elektronickej podobe. Komunikačný a informačný systém zahŕňa všetky prostriedky potrebné na jeho prevádzku vrátane infraštruktúry, organizácie, ľudských a informačných zdrojov. Táto príloha sa uplatňuje na všetky komunikačné a informačné systémy, v ktorých sa manipuluje utajovanými skutočnosťami EÚ.
      3.   Prostredníctvom komunikačných a informačných systémov sa s utajovanými skutočnosťami EÚ manipuluje v súlade s koncepciou informačnej bezpečnosti.
      4.   Všetky komunikačné a informačné systémy, v ktorých sa manipuluje s utajenými skutočnosťami EÚ, podliehajú certifikácii. Cieľom certifikácie je dosiahnuť záruku, že sa zaviedli všetky vhodné bezpečnostné opatrenia a že sa dosiahla dostatočná úroveň ochrany utajovaných skutočností EÚ a komunikačných a informačných systémov v súlade s týmto rozhodnutím. V potvrdení o certifikácii sa stanoví najvyšší stupeň utajenia utajovaných skutočností, s ktorými sa môže v komunikačných a informačných systémoch manipulovať, ako aj príslušné podmienky a požiadavky.
      5.   Komunikačný a informačný systém, v ktorom sa manipuluje s utajovanými skutočnosťami so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a vyšším, je chránený tak, aby nemohlo dôjsť k neúmyselnému úniku utajovaných skutočností prostredníctvom elektromagnetického vyžarovania („bezpečnostné opatrenia TEMPEST“).
      6.   Ak je ochrana utajovaných skutočností EÚ zabezpečená kryptografickými produktmi, tieto produkty sa schvaľujú v súlade s článkom 7 ods. 5 tohto rozhodnutia.
      7.   Počas prenosu utajovaných skutočností EÚ elektronickými prostriedkami sa použijú schválené kryptografické produkty. Bez ohľadu na túto požiadavku možno v mimoriadnych situáciách alebo pri špecifických technických konfiguráciách uvedených v prílohe A IV použiť špecifické postupy.
      8.   Podľa článku 7 ods. 6 tohto rozhodnutia sa v potrebnom rozsahu stanovia tieto funkcie pre informačnú bezpečnosť:

                  a)

                  orgán pre informačnú bezpečnosť;

                  b)

                  orgán pre TEMPEST;

                  c)

                  kryptografický schvaľovací orgán;

                  d)

                  kryptografický distribučný orgán.

            9.   Podľa článku 7 ods. 7 tohto rozhodnutia sa pre každý systém zriadia:

                  a)

                  orgán bezpečnostnej certifikácie;

                  b)

                  operačný orgán pre informačnú bezpečnosť.

            10.   Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe A IV.
      Článok 9
      Priemyselná bezpečnosť
      1.   Priemyselná bezpečnosť je uplatňovanie opatrení na zabezpečenie ochrany utajovaných skutočností EÚ zo strany dodávateľov alebo subdodávateľov počas rokovaní pred uzatvorením zmluvy a počas celého životného cyklu utajovaných zmlúv. Takéto zmluvy zvyčajne nezahŕňajú prístup k utajovaným skutočnostiam so stupňom utajenia TRES SECRET UE/EU TOP SECRET.
      2.   ESVČ môže na základe zmluvy poveriť plnením úloh, ktoré zahŕňajú alebo vyžadujú prístup k utajovaným skutočnostiam EÚ alebo manipuláciu s nimi či ich uchovávanie, priemyselné alebo iné subjekty so sídlom v členskom štáte alebo v tretej krajine, ktoré podpísali dohodu alebo administratívnu dohodu o bezpečnosti informácií v súlade s článkom 10 ods. 1 prílohy A.
      3.   ESVČ ako obstarávateľ zabezpečuje, že pri uzatváraní utajovaných zmlúv s priemyselným alebo iným subjektom sú splnené minimálne normy priemyselnej bezpečnosti stanovené v tomto rozhodnutí a uvedené v zmluve. Zaistí súlad s uvedenými minimálnymi normami prostredníctvom príslušných NBÚ/poverených bezpečnostných orgánov.
      4.   Dodávatelia a subdodávatelia, ktorí majú sídlo v danom členskom štáte a sú zapojení do utajovaných zmlúv alebo subdodávateľských zmlúv, v dôsledku čoho potrebujú pri plnení týchto zmlúv alebo vo fáze pred uzatvorením zmluvy prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET v rámci svojich zariadení, sú držiteľmi previerky bezpečnosti zariadenia pre príslušný stupeň utajenia udelenej NBÚ, poverenému bezpečnostnému orgánu alebo iným oprávneným bezpečnostným orgánom daného členského štátu.
      5.   Personál dodávateľa alebo subdodávateľa, ktorý v rámci plnenia utajovanej zmluvy potrebuje prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET, je držiteľom previerky personálnej bezpečnosti, ktorú udeľuje príslušný národný bezpečnostný orgán (NBÚ), poverený bezpečnostný orgán alebo ktorýkoľvek iný príslušný bezpečnostný orgán v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi a minimálnymi bezpečnostnými normami stanovenými v prílohe A I.
      6.   Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe A V.
      Článok 10
      Výmena utajovaných skutočností s tretími krajinami a medzinárodnými organizáciami
      1.   Výmena utajovaných skutočností EÚ medzi ESVČ a treťou krajinou alebo medzinárodnou organizáciou je možná len v prípade, že:

                  a)

                  platí dohoda o bezpečnosti informácií uzatvorená medzi EÚ a treťou krajinou alebo medzinárodnou organizáciou v súlade s článkom 37 Zmluvy o EÚ a článkom 218 ZFEÚ, alebo

                  b)

                  nadobudla účinnosť administratívna dohoda medzi VP a príslušnými bezpečnostnými orgánmi danej tretej krajiny alebo medzinárodnej organizácie o výmene utajovaných skutočností v zásade s maximálnym stupňom utajenia RESTREINT UE/EU RESTRICTED, ktorá bola uzatvorená v súlade s postupom stanoveným v článku 14 ods. 5 tohto rozhodnutia, alebo

                  c)

                  medzi EÚ a treťou krajinou sa uplatňuje rámcová dohoda alebo dohoda ad hoc o účasti, pokiaľ ide o informačnú bezpečnosť v situácii operácie krízového riadenia SBOP, ktorá bola uzatvorená v súlade s článkom 37 Zmluvy o EÚ a článkom 218 ZFEÚ,

            a boli splnené podmienky stanovené v danom nástroji.
      Výnimky z uvedeného všeobecného pravidla sa uvádzajú v oddiele V prílohy A VI.
      2.   Administratívne dohody uvedené v odseku 1 písm. b) obsahujú ustanovenia, ktorými sa zabezpečuje, že tretie krajiny alebo medzinárodné organizácie, ktoré prijmú utajované skutočnosti EÚ, chránia takéto utajované skutočnosti na úrovni, ktorá zodpovedá ich stupňu utajenia, a v súlade s minimálnymi normami, ktoré nie sú menej prísne ako normy stanovené v tomto rozhodnutí.
      Skutočnosti vymieňané na základe dohôd uvedených v odseku 1 písm. c) sa obmedzujú na skutočnosti týkajúce sa operácií SBOP, na ktorých sa predmetná tretia krajina podieľa na základe týchto dohôd a v súlade s ich ustanoveniami.
      3.   Dohodnú sa hodnotiace návštevy v tretích krajinách alebo medzinárodných organizáciách, ako sa uvádza v článku 16 tohto rozhodnutia, s cieľom stanoviť účinnosť bezpečnostných opatrení na ochranu vymieňaných utajovaných skutočností EÚ.
      4.   Rozhodnutie o poskytnutí utajovaných skutočností EÚ, ktoré sú k dispozícii v ESVČ, tretej krajine alebo medzinárodnej organizácii sa prijíma pre každý jednotlivý prípad na základe povahy a obsahu týchto utajovaných skutočností, príjemcovej potreby poznať a miery výhod, ktoré z toho pre EÚ vyplývajú.
      ESVČ si vyžiada písomný súhlas každého subjektu, ktorý poskytol utajované skutočnosti ako zdrojovú vec pre utajovanú skutočnosť EÚ, ktorej bola ESVČ pôvodcom, s cieľom stanoviť, že neexistujú nijaké námietky proti poskytnutiu.
      Ak ESVČ nie je pôvodcom utajovaných skutočností, ktoré sa majú poskytnúť, najprv získa od ich pôvodcu písomný súhlas s poskytnutím.
      Ak však ESVČ nemôže určiť pôvodcu, bezpečnostný orgán ESVČ prevezme zodpovednosť pôvodcu po získaní jednomyseľného súhlasného stanoviska členských štátov, ktoré sú zastúpené v Bezpečnostnom výbore ESVČ.
      5.   Vykonávacie ustanovenia k tomuto článku sa uvádzajú v prílohe A VI.
      Článok 11
      Porušenie bezpečnosti a únik utajovaných skutočností
      1.   Každé porušenie alebo údajné porušenie bezpečnosti, ako aj každé porušenie alebo údajné porušenie utajovaných skutočností sa okamžite oznámi riaditeľstvu ESVČ pre bezpečnosť, ktoré podľa okolností informuje riaditeľstvo pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť a bezpečnostný úrad Generálneho sekretariátu Rady, dotknutý členský štát (dotknuté členské štáty) alebo iné dotknuté subjekty.
      2.   Ak je známe alebo ak existuje dostatočný dôvod domnievať sa, že došlo k úniku alebo strate utajovaných skutočností, riaditeľstvo ESVČ pre bezpečnosť informuje riaditeľstvo pre bezpečnosť Európskej komisie a bezpečnostný úrad Generálneho sekretariátu Rady alebo NBÚ dotknutého členského štátu či podľa okolností iný dotknutý subjekt a prijme všetky primerané opatrenia v súlade s príslušnými zákonmi a inými právnymi predpismi s cieľom:

                  a)

                  posúdiť možné poškodenie záujmov EÚ alebo členských štátov;

                  b)

                  prijať vhodné opatrenia na predchádzanie opakovaniu;

                  c)

                  ochrániť dôkazy;

                  d)

                  zabezpečiť, že na účely zistenia skutočností prípad vyšetria členovia personálu, ktorých sa narušenie bezpečnosti netýka bezprostredne;

                  e)

                  informovať príslušné orgány o dôsledkoch danej udalosti a prijatých opatreniach;

                  f)

                  informovať pôvodcu.

            3.   Každý člen personálu ESVČ, ktorý zodpovedá za porušenie bezpečnostných pravidiel stanovených v tomto rozhodnutí, môže byť disciplinárne stíhaný podľa príslušných predpisov a nariadení.
      Každá osoba, ktorá je zodpovedná za únik alebo stratu utajovaných skutočností, podlieha disciplinárnemu a/alebo súdnemu konaniu podľa príslušných právnych predpisov, pravidiel a nariadení.
      Podľa okolností sa okamžite informuje riaditeľstvo pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť, bezpečnostný úrad Generálneho sekretariátu Rady alebo NBÚ dotknutého členského štátu (dotknutých členských štátov) alebo iný dotknutý subjekt.
      4.   Počas vyšetrovania porušenia a/alebo úniku môže vedúci riaditeľstva ESVČ pre bezpečnosť pozastaviť prístup danej osoby k utajovaným informáciám a do objektov ESVČ. O tomto rozhodnutí sa podľa okolností okamžite informuje riaditeľstvo pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť, bezpečnostný úrad Generálneho sekretariátu Rady alebo NBÚ dotknutého členského štátu (dotknutých členských štátov) alebo iný dotknutý subjekt.

      PRÍLOHA A I

         PERSONÁLNA BEZPEČNOSŤ

      I.   ÚVOD

                  1.

                  V tejto prílohe sa uvádzajú ustanovenia na účely vykonávania článku 5 prílohy A. Stanovujú sa v nej predovšetkým kritériá, na základe ktorých ESVČ určuje, či osobe pri zohľadnení jej lojality, dôveryhodnosti a spoľahlivosti možno udeliť prístup k utajovaným skutočnostiam EÚ, ako aj vyšetrovacie a správne postupy, ktoré sa majú v tejto súvislosti dodržiavať.

                  2.

                  „Previerka personálnej bezpečnosti“ na prístup k utajovaným skutočnostiam EÚ je vyhlásenie príslušného orgánu členského štátu, ktoré sa vydáva na základe ukončeného bezpečnostného vyšetrovania vykonaného príslušnými orgánmi členského štátu a ktorým sa potvrdzuje, že osobe možno za predpokladu, ak sa zistila jej potreba poznať, do určeného dátumu udeliť prístup k utajovaným skutočnostiam EÚ do určeného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho); takáto osoba sa označuje ako „bezpečnostne preverená“.

                  3.

                  „Certifikát o previerke personálnej bezpečnosti“ je certifikát vydaný bezpečnostným orgánom ESVČ, ktorým sa potvrdzuje, že osoba je bezpečnostne preverená, a v ktorom sa uvádza stupeň utajenia utajovaných skutočností EÚ, ku ktorému sa môže tejto osobe udeliť prístup, dátum platnosti príslušnej previerky personálnej bezpečnosti a dátum ukončenia platnosti samotného certifikátu.

                  4.

                  „Povolenie prístupu k utajovaným skutočnostiam EÚ“ je povolenie bezpečnostného orgánu ESVČ, ktoré sa vydáva na základe tohto rozhodnutia a ukončenej bezpečnostnej previerky vykonanej príslušnými orgánmi členského štátu a ktorým sa potvrdzuje, že osobe možno za predpokladu, ak sa zistila jej potreba poznať informácie, do určeného dátumu udeliť prístup k utajovaným skutočnostiam EÚ do určeného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho); takáto osoba sa označuje ako „bezpečnostne preverená“.

            II.   POVOLENIE PRÍSTUPU K UTAJOVANÝM SKUTOČNOSTIAM EÚ

                  5.

                  Prístup k utajovaným skutočnostiam označeným stupňom utajenia RESTREINT UE/EU RESTRICTED nevyžaduje bezpečnostnú previerku a udeľuje sa na základe:

                              a)

                              nadviazania štatutárneho alebo zmluvného vzťahu danej osoby s ESVČ;

                              b)

                              určenia potreby danej osoby poznať utajované skutočnosti;

                              c)

                              poučenia danej osoby o bezpečnostných pravidlách a postupoch ochrany utajených skutočností EÚ a písomnom akceptovaní povinností súvisiacich s ochranou utajovaných skutočností EÚ v súlade s týmto rozhodnutím zo strany danej osoby.

                  6.

                  Osobe sa môže povoliť prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším len potom, ako:

                              a)

                              sa určila jej potreba poznať utajované skutočnosti;

                              b)

                              udelila sa jej previerka personálnej bezpečnosti pre príslušný stupeň alebo sa jej v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi na základe jej úloh udelilo iné náležité povolenie;

                              c)

                              bola poučená o bezpečnostných pravidlách a postupoch ochrany utajovaných skutočností EÚ a písomne akceptovala svoje povinnosti v súvislosti s ochranou takýchto utajovaných skutočností.

                  7.

                  V rámci štruktúry ESVČ sa určia pozície, ktoré vyžadujú prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším a ktoré v zmysle článku 4 vyžadujú previerky personálnej bezpečnosti pre príslušný stupeň.

                  8.

                  Členovia personálu ESVČ predkladajú vyhlásenie o tom, či majú štátnu príslušnosť viac ako jednej krajiny.

         Postupy žiadosti o previerky personálnej bezpečnosti v ESVČ

                  9.

                  V prípade personálu ESVČ zasiela menovací orgán ESVČ vyplnený osobný bezpečnostný dotazník národnému bezpečnostnému orgánu členského štátu, ktorého je osoba štátnym príslušníkom, a požiada o vykonanie bezpečnostného vyšetrovania pre stupeň utajenia utajovaných skutočností EÚ, ku ktorému bude táto osoba potrebovať prístup.

                  10.

                  Ak je daná osoba štátny príslušník viac ako jednej krajiny, žiadosť o preverovanie bude adresovaná NBÚ tej krajiny, s ktorej štátnou príslušnosťou bola daná osoba prijatá do zamestnaneckého pomeru.

                  11.

                  Ak ESVČ zistí o osobe, ktorá požiadala o vydanie previerky personálnej bezpečnosti, informácie relevantné z hľadiska bezpečnostného vyšetrovania, oznámi túto skutočnosť v súlade s príslušnými pravidlami a nariadeniami príslušnému NBÚ.

                  12.

                  Po ukončení bezpečnostného vyšetrovania príslušný NBÚ oznámi riaditeľstvu ESVČ pre bezpečnosť jeho výsledok.

                              a)

                              Keď je výsledkom bezpečnostného vyšetrovania ubezpečenie, že nie je známe nič, čo by spochybňovalo lojalitu, dôveryhodnosť a spoľahlivosť osoby, bezpečnostný orgán ESVČ môže dotknutej osobe do určeného dátumu udeliť prístup k utajovaným skutočnostiam EÚ do príslušného stupňa.

                              b)

                              ESVČ prijme všetky primerané opatrenia na zaistenie toho, že podmienky alebo obmedzenia uložené NBÚ sú náležite vykonávané. NBÚ bude informovaný o výsledku.

                              c)

                              Keď výsledkom bezpečnostného vyšetrovania nie je takéto ubezpečenie, bezpečnostný orgán ESVČ informuje dotknutú osobu, ktorá môže požiadať bezpečnostný orgán ESVČ o vypočutie. Bezpečnostný orgán ESVČ môže požiadať príslušný NBÚ o ďalšie prípadné podrobnosti, ktoré môže poskytnúť na základe vnútroštátnych zákonov a iných právnych predpisov. Ak sa tento výsledok potvrdí, povolenie na prístup k utajovaným skutočnostiam EÚ sa neudelí. V takom prípade ESVČ prijme všetky primerané opatrenia na zaistenie toho, že žiadateľovi sa zamietne akýkoľvek prístup k utajovaným skutočnostiam EÚ.

                  13.

                  Na bezpečnostné vyšetrovanie a získané výsledky, na ktorých sa zakladá rozhodnutie ESVČ o udelení alebo neudelení povolenia na prístup k utajovaným skutočnostiam EÚ, sa vzťahujú príslušné zákony a iné právne predpisy platné v dotknutom členskom štáte vrátane tých, ktoré sa týkajú odvolania. Proti rozhodnutiam bezpečnostného orgánu ESVČ možno podať odvolanie v súlade so Služobným poriadkom úradníkov Európskej Únie a podmienkami zamestnávania ostatných zamestnancov Európskej únie stanoveným v nariadení (EHS, Euratom, ESUO) č. 259/68 (1) (ďalej len „služobný poriadok“).

                  14.

                  Ubezpečenie, z ktorého previerka personálnej bezpečnosti vychádza, za predpokladu, že zostáva v platnosti, je platné pre každú funkciu, ktorú dotknutá osoba vykonáva v ESVČ, na Generálnom sekretariáte Rady alebo v Komisii.

                  15.

                  Ak sa obdobie služby osoby nezačne do 12 mesiacov od oznámenia výsledku bezpečnostného vyšetrovania bezpečnostnému orgánu ESVČ alebo ak sa služba danej osoby preruší na obdobie 12 mesiacov, počas ktorých táto osoba nie je zamestnaná v ESVČ, v iných inštitúciách, agentúrach alebo orgánoch EÚ ani na pozícii vo verejnej správe členského štátu, ktorá vyžaduje prístup k utajovaným skutočnostiam, platnosť a náležitosť tohto výsledku sa overí u príslušného NBÚ.

                  16.

                  Ak sa ESVČ oboznámi s informáciami týkajúcimi sa bezpečnostných rizík, ktoré predstavuje osoba, ktorá je držiteľom platnej previerky personálnej bezpečnosti, ESVČ v súlade s príslušnými pravidlami a predpismi oznámi túto skutočnosť príslušnému NBÚ. Ak NBÚ informuje ESVČ o odňatí záruky udelenej v súlade s ods. 12 písm. a) osobe, ktorá je držiteľom povolenia na prístup k utajovaným skutočnostiam EÚ, bezpečnostný orgán ESVČ môže požiadať o akékoľvek podrobnosti, ktoré NBÚ môže poskytnúť na základe vnútroštátnych zákonov a iných právnych predpisov. Ak sa negatívne informácie potvrdia, uvedené povolenie sa odníme, danej osobe sa zruší možnosť prístupu k utajovaným skutočnostiam EÚ a táto osoba bude preradená z pozície, kde takáto možnosť prístupu existuje alebo kde by táto osoba mohla predstavovať bezpečnostné riziko.

                  17.

                  Každé rozhodnutie o odňatí povolenia na prístup k utajovaným skutočnostiam EÚ členovi personálu ESVČ a podľa okolností dôvody takéhoto odňatia sa oznámia danému členovi, ktorý môže požiadať bezpečnostný orgán ESVČ o vypočutie. Na informácie, ktoré poskytuje NBÚ, sa vzťahujú príslušné zákony a iné právne predpisy platné v dotknutom členskom štáte vrátane tých, ktoré sa týkajú odvolania. Proti rozhodnutiam bezpečnostného orgánu ESVČ možno podať odvolanie v súlade so služobným poriadkom.

                  18.

                  Od národných expertov vyslaných do ESVČ na pozícii, ktorá vyžaduje prístup k utajovaným skutočnostiam na stupni utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššom, sa požaduje, aby pred začatím vykonávania funkcie predložili bezpečnostnému orgánu ESVČ platné národné previerky personálnej bezpečnosti na účely prístupu k utajovaným skutočnostiam EÚ na príslušnom stupni. Uvedený postup je riadený vysielajúcim členským štátom.

         Záznamy o previerkach personálnej bezpečnosti

                  19.

                  ESVČ spravuje databázu týkajúcu sa štatútu bezpečnostnej previerky všetkého personálu ESVČ, ako aj personálu jej zmluvných partnerov. V týchto záznamoch sa uvádza stupeň utajenia utajovaných skutočností EÚ, ku ktorému sa osobe môže udeliť prístup (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšší), dátum udelenia previerky personálnej bezpečnosti a obdobie platnosti.

                  20.

                  V členských štátoch a ostatných inštitúciách, agentúrach a orgánoch EÚ sa zavedú príslušné postupy koordinácie s cieľom zaistiť, aby ESVČ mala k dispozícii presné a súhrnné záznamy o štatúte bezpečnostnej previerky celého svojho personálu, ako aj personálu zmluvných partnerov.

                  21.

                  Bezpečnostný orgán ESVČ môže vydať certifikát o previerke personálnej bezpečnosti, v ktorom sa uvádza stupeň utajenia utajovaných skutočností EÚ, ku ktorým možno udeliť danej osobe prístup (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšší), dátum platnosti príslušnej previerky personálnej bezpečnosti a dátum ukončenia platnosti samotného certifikátu.

         Výnimky z požiadavky na previerku personálnej bezpečnosti

                  22.

                  Osoby, ktoré majú náležité povolenie na prístup k utajovaným skutočnostiam EÚ z dôvodu svojej funkcie v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi, sú podľa okolností poučené riaditeľstvom pre bezpečnosť ESVČ o svojich bezpečnostných povinnostiach, pokiaľ ide o ochranu utajovaných skutočností EÚ.

            III.   BEZPEČNOSTNÉ VZDELÁVANIE A INFORMOVANOSŤ

                  23.

                  Každá osoba pred udelením povolenia na prístup k utajovaným skutočnostiam EÚ písomne potvrdí, že porozumela svojim povinnostiam týkajúcim sa ochrany utajovaných skutočností EÚ a následkom v prípade ich úniku. Záznam o takomto písomnom potvrdení uchováva ESVČ.

                  24.

                  Každá osoba, ktorá má povolený prístup k utajovaným skutočnostiam EÚ alebo od ktorej sa vyžaduje, aby s nimi manipulovala, je na začiatku informovaná a ďalej pravidelne poučovaná o ohrozeniach bezpečnosti a je povinná bezodkladne oznámiť príslušným bezpečnostným orgánom každý kontakt alebo aktivitu, ktorú považuje za podozrivú alebo neobvyklú.

                  25.

                  Na všetky osoby, ktorým bol udelený prístup k utajovaným skutočnostiam EÚ, sa musia v čase, keď manipulujú s utajenými skutočnosťami EÚ, vzťahovať nepretržité opatrenia v oblasti personálnej bezpečnosti (t. j. následná kontrola). Za nepretržité opatrenia personálnej bezpečnosti zodpovedajú:

                              a)

                              Osoby, ktorým bol povolený prístup k utajovaným skutočnostiam EÚ: jednotlivé osoby sú osobne zodpovedné za vlastné bezpečné správanie a musia bezpečnostným orgánom okamžite ohlásiť každý kontakt alebo aktivitu, ktorú považujú za podozrivú alebo neobvyklú, ako aj všetky zmeny osobných okolností, ktoré by mohli ovplyvniť ich previerku personálnej bezpečnosti alebo povolenie na prístup k utajovaným skutočnostiam EÚ.

                              b)

                              Priami nadriadení: sú zodpovední za zabezpečenie toho, aby ich personál dbal na dodržiavanie bezpečnostných opatrení a povinností na ochranu utajovaných skutočností EÚ, za monitorovanie bezpečného správania svojho personálu a za priame riešenie akýchkoľvek pochybností, pokiaľ ide o bezpečnostné záležitosti, alebo za oznámenie príslušným bezpečnostným orgánom, pokiaľ ide o všetky negatívne informácie, ktoré by mohli mať vplyv na previerku personálnej bezpečnosti ich personálu alebo na povolenie na prístup k utajovaným skutočnostiam EÚ.

                              c)

                              Bezpečnostné subjekty bezpečnostnej organizácie ESVČ v zmysle článku 12 tohto rozhodnutia: sú zodpovedné za poskytovanie poučenia na účely zvyšovania informovanosti o bezpečnosti s cieľom zaistiť pravidelné poučenie personálu v tejto oblasti, za podporu spoľahlivej bezpečnostnej kultúry vo svojej oblasti zodpovednosti, za zavedenie opatrení na monitorovanie bezpečného správania personálu a za oznámenie príslušným bezpečnostným orgánom, pokiaľ ide o akékoľvek negatívne informácie, ktoré by mohli mať vplyv na previerku personálnej bezpečnosti jednotlivých členov personálu.

                              d)

                              ESVČ a členské štáty: ustanovujú potrebné kanály na sprostredkovanie informácií, ktoré by mohli mať vplyv na previerku personálnej bezpečnosti jednotlivých osôb alebo na povolenie na prístup k utajovaným skutočnostiam EÚ.

                  26.

                  Každá osoba, ktorá ukončila zamestnanie vyžadujúce prístup k utajovaným skutočnostiam EÚ, je poučená o svojich povinnostiach naďalej chrániť utajované skutočnosti EÚ, čo v prípade potreby potvrdí písomne.

            IV.   OSOBITNÉ OKOLNOSTI

                  27.

                  V naliehavých prípadoch, ktoré sú náležite odôvodnené záujmami ESVČ, môže bezpečnostný orgán ESVČ po porade s NBÚ členského štátu, ktorého je osoba štátnym príslušníkom, do ukončenia úplného bezpečnostného vyšetrovania a na základe predbežných preverení slúžiacich na overenie, či nie sú známe negatívne informácie, udeliť dočasné povolenie úradníkom a iným zamestnancom ESVČ na prístup k utajovaným skutočnostiam EÚ pre konkrétnu úlohu. Úplné bezpečnostné vyšetrovanie sa dokončí čo najskôr. Takéto dočasné povolenie je platné počas obdobia, ktoré nepresahuje šesť mesiacov, a nemôže sa ním povoliť prístup k utajovaným skutočnostiam so stupňom utajenia TRES SECRET UE/EU TOP SECRET. Každá osoba, ktorej sa udelilo dočasné povolenie, písomne potvrdí, že porozumela svojim povinnostiam týkajúcim sa ochrany utajovaných skutočností EÚ a následkom v prípade ich úniku. Záznam o takomto písomnom potvrdení uchováva ESVČ.

                  28.

                  Ak má byť osoba pridelená na pozíciu, ktorá vyžaduje previerku personálnej bezpečnosti pre stupeň utajenia, ktorý je o jeden stupeň vyšší ako stupeň utajenia, ktorého je osoba v súčasnosti držiteľom, táto osoba sa dočasne na túto pozíciu môže prideliť, ak:

                              a)

                              naliehavú potrebu prístupu k utajovaným skutočnostiam EÚ s vyšším stupňom utajenia písomne odôvodní nadriadená osoba tejto osoby;

                              b)

                              sa prístup obmedzí na konkrétne položky utajovaných skutočností EÚ, ktoré sú užitočné z hľadiska pridelenia;

                              c)

                              osoba je držiteľom platnej previerky personálnej bezpečnosti;

                              d)

                              začal sa postup na získanie povolenia pre stupeň utajenia, ktorý si daná pozícia vyžaduje;

                              e)

                              príslušný orgán vykonal kontroly dostatočne preukazujúce, že táto osoba vážne alebo opakovane neporušila bezpečnostné predpisy;

                              f)

                              príslušný orgán ESVČ schválil pridelenie osoby;

                              g)

                              bol konzultovaný príslušný NBÚ/poverený bezpečnostný orgán, ktorý vydal previerku personálnej bezpečnosti osoby, a nepredložil nijaké námietky;

                              h)

                              záznam o výnimke vrátane uvedenia skutočností, ku ktorým bol schválený prístup, sa uchováva v príslušnom registri alebo podriadenom registri.

                  29.

                  Uvedený postup sa používa v prípade jednorazového prístupu k utajovaným skutočnostiam EÚ so stupňom utajenia o jeden stupeň vyšším ako stupeň, pre ktorý bola osoba bezpečnostne preverená. Tento postup sa nevyužíva opakovane.

                  30.

                  Za veľmi výnimočných okolností, napríklad pri misiách v nepriateľskom prostredí alebo počas obdobia rastúceho medzinárodného napätia, keď to vyžadujú núdzové opatrenia, predovšetkým na účely záchrany životov, môže VP, výkonný generálny tajomník alebo výkonný riaditeľ udeliť, podľa možností písomne, prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET osobám, ktoré nie sú držiteľmi potrebnej previerky personálnej bezpečnosti, pod podmienkou, že takéto povolenie je absolútne nevyhnutné a neexistujú nijaké opodstatnené pochybnosti o lojalite, dôveryhodnosti a spoľahlivosti dotknutej osoby. O takomto povolení sa uchováva záznam s uvedením utajovaných skutočností, ku ktorým bol schválený prístup.

                  31.

                  V prípade utajovaných skutočností so stupňom utajenia TRES SECRET UE/EU TOP SECRET sa povolenie takéhoto núdzového prístupu obmedzuje na štátnych príslušníkov EÚ, ktorým bol udelený prístup k utajovaným skutočnostiam, ktorých stupeň utajenia na vnútroštátnej úrovni je rovnocenný stupňu utajenia TRES SECRET UE/EU TOP SECRET alebo SECRET UE/EU SECRET.

                  32.

                  V prípade uplatnenia postupu stanoveného v bodoch 29 a 30 sa o tejto skutočnosti informuje Bezpečnostný výbor ESVČ.

                  33.

                  Bezpečnostnému výboru ESVČ sa zasiela výročná správa o využívaní postupov uvedených v tomto oddiele.

            V.   ÚČASŤ NA ZASADNUTIACH V ÚSTREDÍ ESVČ A V DELEGÁCIÁCH ÚNIE

                  34.

                  Osoby poverené, aby sa zúčastňovali na zasadnutiach v ústredí ESVČ a v delegáciách Únie, na ktorých sa rokuje o utajovaných skutočnostiach so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, sa môžu na týchto zasadnutiach zúčastňovať len na základe potvrdenia o štatúte ich previerky personálnej bezpečnosti. Certifikát o previerke personálnej bezpečnosti alebo iný doklad o previerke personálnej bezpečnosti zástupcov členských štátov a úradníkov z Generálneho sekretariátu Rady a Komisie zasielajú príslušné orgány riaditeľstvu ESVČ pre bezpečnosť, koordinátorovi pre bezpečnosť v delegácii Únie, len vo výnimočných prípadoch ich predkladá dotknutá osoba. V prípade potreby sa môže použiť súhrnný zoznam mien, ktorý poskytuje príslušný doklad o previerke personálnej bezpečnosti.

                  35.

                  Ak bola previerka personálnej bezpečnosti na prístup k utajovaným skutočnostiam EÚ odňatá osobe poverenej účasťou na zasadnutiach v ústredí ESVČ a v delegáciách Únie, na ktorých sa rokuje o utajovaných skutočnostiach so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, príslušný orgán o tejto skutočnosti okamžite informuje ESVČ.

            VI.   PRÍPADNÝ PRÍSTUP K UTAJOVANÝM SKUTOČNOSTIAM EÚ

                  36.

                  Ak by osoby, ktoré sa prijmú do zamestnania, mohli pri jeho výkone prípadne získať prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, tieto osoby sa náležite bezpečnostne preveria alebo majú nepretržitý sprievod.

                  37.

                  Kuriéri, príslušníci bezpečnostnej služby a sprievodu sú bezpečnostne preverení pre príslušný stupeň utajenia alebo preverení iným vhodným spôsobom v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi, pravidelne poučovaní o bezpečnostných postupoch na ochranu utajovaných skutočností EÚ a informovaní o svojich povinnostiach v súvislosti s ochranou takýchto skutočností, ktoré sú im zverené alebo ku ktorým by mohli neúmyselne získať prístup.

         (1)  Ú. v. ES L 56, 4.3.1968, s. 1.

      PRÍLOHA A II

         FYZICKÁ BEZPEČNOSŤ UTAJOVANÝCH SKUTOČNOSTÍ EÚ

      I.   ÚVOD

                  1.

                  V tejto prílohe sa uvádzajú ustanovenia na vykonávanie článku 6 prílohy A. Stanovujú sa ňou minimálne požiadavky na fyzickú ochranu objektov, budov, kancelárií, miestností a iných oblastí, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ alebo sa v nich uchovávajú, vrátane priestorov, v ktorých sa nachádzajú komunikačné a informačné systémy.

                  2.

                  Na zabránenie neoprávnenému prístupu k utajovaným skutočnostiam EÚ sa vypracujú opatrenia fyzickej bezpečnosti, ktorými sa:

                              a)

                              zabezpečí, že s utajovanými skutočnosťami EÚ sa manipuluje vhodným spôsobom a že sú vhodným spôsobom uchovávané;

                              b)

                              umožní rozdelenie personálu, pokiaľ ide o prístup k utajovaným skutočnostiam EÚ, na základe potreby poznať a v prípade potreby na základe bezpečnostnej previerky;

                              c)

                              odradí od neoprávnených činností, zabráni sa im a odhalia sa;

                              d)

                              zabráni utajenému alebo násilnému vstupu narušiteľov alebo sa takýto vstup oddiali.

            II   POŽIADAVKY A OPATRENIA FYZICKEJ BEZPEČNOSTI

                  3.

                  Na zabezpečenie úrovne fyzickej ochrany zodpovedajúcej vyhodnotenému riziku uplatňuje ESVČ vo svojich objektoch proces riadenia rizík na ochranu utajovaných skutočností EÚ. V procese riadenia rizík sa zohľadnia všetky relevantné faktory, a to najmä:

                              a)

                              stupeň utajenia utajovaných skutočností EÚ;

                              b)

                              forma utajovaných skutočností EÚ a ich objem s prihliadnutím na skutočnosť, že veľké množstvo alebo spojenie utajovaných skutočností EÚ môže vyžadovať uplatňovanie prísnejších ochranných opatrení;

                              c)

                              okolité prostredie a konštrukcia budov alebo priestorov, v ktorých sa utajované skutočnosti EÚ nachádzajú;

                              d)

                              hodnotenie ohrozenia zo strany tretej krajiny vypracované Centrom EÚ pre analýzu spravodajských informácií (INTCEN) predovšetkým na základe správ z delegácií Únie;

                              e)

                              vyhodnotené ohrozenie zo strany spravodajských služieb, ktoré sa zameriavajú na EÚ alebo členské štáty, a zo strany sabotážnych, teroristických, podvratných alebo iných trestných činností.

                  4.

                  Bezpečnostný orgán ESVČ určuje na základe koncepcie hĺbkovej ochrany vhodnú kombináciu opatrení fyzickej bezpečnosti, ktoré sa budú uplatňovať. Môže medzi ne patriť jedno alebo viaceré z týchto kritérií:

                              a)

                              obvodová bariéra: fyzická bariéra chrániaca hranicu priestoru, ktorý vyžaduje ochranu;

                              b)

                              detekčné systémy proti narušeniu: detekčné systémy proti narušeniu sa môžu použiť s cieľom zvýšiť úroveň bezpečnosti, ktorú zabezpečuje obvodová bariéra, alebo sa môžu použiť v miestnostiach a budovách namiesto bezpečnostného personálu alebo na jeho doplnenie;

                              c)

                              kontrola vstupu: môže sa vykonávať kontrola vstupu do celého objektu, budovy alebo budov v rámci objektu alebo do priestorov alebo miestností v rámci budovy. Kontrola sa môže vykonávať elektronickými alebo elektromechanickými prostriedkami, môže ju vykonávať bezpečnostný personál a/alebo pracovník na recepcii alebo sa môže vykonávať akýmikoľvek inými fyzickými prostriedkami;

                              d)

                              bezpečnostný personál: vyškolený, kontrolovaný a v prípade potreby náležite bezpečnostne preverený bezpečnostný personál sa môže zamestnávať aj na odradenie osôb plánujúcich utajené narušenie;

                              e)

                              kamerový systém: na preverenie incidentov a poplachov z detekčných systémov proti narušeniu vo veľkých objektoch alebo na obvodoch môže bezpečnostný personál využívať kamerový systém;

                              f)

                              bezpečnostné osvetlenie: na odradenie potenciálneho narušiteľa a na zabezpečenie osvetlenia potrebného na účinný priamy dohľad zo strany bezpečnostného personálu alebo nepriamy dohľad prostredníctvom kamerového systému sa môže používať bezpečnostné osvetlenie;

                              g)

                              akýkoľvek iný vhodný fyzický prostriedok určený na odradenie alebo zistenie nepovoleného vstupu alebo na zabránenie strate alebo poškodeniu utajovaných skutočností EÚ.

                  5.

                  Riaditeľstvo ESVČ pre bezpečnosť môže vykonávať pri vstupe a výstupe prehliadky, ktorých cieľom je odradiť od nepovoleného prinesenia vecí alebo nepovoleného odnesenia utajovaných skutočností EÚ z objektov alebo budov.

                  6.

                  Ak existuje riziko nahliadnutia do utajených skutočností EÚ, aj keď len náhodného, musia sa prijať primerané opatrenia na zabránenie tomuto riziku.

                  7.

                  V prípade nových zariadení sa požiadavky fyzickej bezpečnosti a funkčnej špecifikácie definujú vo fáze plánovania a projektovania zariadení. V prípade existujúcich zariadení sa požiadavky fyzickej bezpečnosti uplatňujú v čo najväčšom rozsahu.

            III.   ZARIADENIA NA FYZICKÚ OCHRANU UTAJOVANÝCH SKUTOČNOSTÍ EÚ

                  8.

                  Pri obstarávaní technických zariadení na fyzickú ochranu utajovaných skutočností EÚ (napríklad bezpečnostných úschovných objektov, skartovacích strojov, zámok do dverí, elektronických systémov na kontrolu vstupu, detekčných systémov proti narušeniu, poplachových systémov atď.) bezpečnostný orgán ESVČ zabezpečí, aby takéto zariadenie spĺňalo schválené technické normy a minimálne požiadavky.

                  9.

                  Technické špecifikácie zariadení na fyzickú ochranu utajovaných skutočností EÚ sa stanovia v bezpečnostných usmerneniach, ktoré schvaľuje Bezpečnostný výbor ESVČ.

                  10.

                  Bezpečnostné systémy podliehajú pravidelnej inšpekcii a na zariadeniach sa vykonáva pravidelná údržba. Pri údržbových prácach sa prihliada na výsledok inšpekcií, aby sa zabezpečilo, že zariadenie stále funguje optimálnym spôsobom.

                  11.

                  Pri každej inšpekcii sa opätovne posudzuje účinnosť jednotlivých bezpečnostných opatrení a celého bezpečnostného systému.

            IV.   FYZICKY CHRÁNENÉ PRIESTORY

                  12.

                  Na účely fyzickej ochrany utajovaných skutočností EÚ sa zriadia dva typy fyzicky chránených priestorov alebo rovnocenných priestorov na vnútroštátnej úrovni:

                              a)

                              administratívne priestory;

                              b)

                              zabezpečené priestory (vrátane technicky zabezpečených priestorov).

                  13.

                  Bezpečnostný orgán ESVČ stanoví, že priestor spĺňa požiadavky na označenie ako administratívny priestor, zabezpečený priestor alebo technicky zabezpečený priestor.

                  14.

                  Pokiaľ ide o administratívne priestory:

                              a)

                              stanoví sa viditeľne vymedzený obvod, ktorý umožňuje kontrolu osôb a v prípade možnosti aj vozidiel;

                              b)

                              prístup bez sprievodu sa udeľuje len tým osobám, ktorým riaditeľstvo ESVČ pre bezpečnosť udelilo náležité povolenie;

                              c)

                              všetky ostatné osoby majú nepretržitý sprievod alebo podliehajú rovnocenným kontrolám.

                  15.

                  Pokiaľ ide o zabezpečené priestory:

                              a)

                              stanoví sa viditeľne vymedzený a chránený obvod, pričom každý vstup do tohto obvodu a východ z neho sa kontroluje pomocou preukazu alebo personálneho identifikačného systému;

                              b)

                              prístup bez sprievodu sa udeľuje len bezpečnostne prevereným osobám na príslušný stupeň, ktorým sa udelilo špecifické povolenie vstupu do priestoru vzhľadom na ich potrebu poznať;

                              c)

                              všetky ostatné osoby majú nepretržitý sprievod alebo podliehajú rovnocenným kontrolám.

                  16.

                  Ak vstup do zabezpečeného priestoru predstavuje zo všetkých praktických hľadísk priamy prístup k utajovaným skutočnostiam, ktoré obsahuje, uplatňujú sa tieto dodatočné požiadavky:

                              a)

                              jasne sa označuje najvyšší stupeň utajenia utajovaných skutočností, ktoré sa bežne v tomto priestore nachádzajú;

                              b)

                              od všetkých návštevníkov sa na vstup do tohto priestoru vyžaduje osobitné povolenie, musia mať nepretržitý sprievod a byť náležite bezpečnostne preverení, pokiaľ sa nezabezpečí, že nie je možný prístup k utajovaným skutočnostiam EÚ;

                              c)

                              elektronické zariadenia sa ponechajú mimo vyznačeného priestoru.

                  17.

                  Zabezpečené priestory chránené proti aktívnemu odpočúvaniu sú označené ako technicky zabezpečené priestory. Uplatňujú sa tieto dodatočné požiadavky:

                              a)

                              takéto priestory sú vybavené detekčným systémom proti narušeniu, uzamknuté, keď sa v nich nikto nenachádza, a strážené, keď je v nich niekto prítomný; všetky kľúče sa kontrolujú v súlade s oddielom VI tejto prílohy;

                              b)

                              kontrolujú sa všetky osoby vstupujúce do týchto priestorov a všetky prinášané veci;

                              c)

                              v takýchto priestoroch sa pravidelne vykonáva fyzická a/alebo technická kontrola podľa požiadaviek bezpečnostného orgánu ESVČ; takéto kontroly sa musia vykonávať aj po každom neoprávnenom vstupe alebo podozrení z takéhoto vstupu;

                              d)

                              v týchto priestoroch sa nesmú nachádzať nijaké nepovolené komunikačné linky, nepovolené telefóny či iné nepovolené komunikačné zariadenia a elektrické alebo elektronické vybavenie.

                  18.

                  Bez ohľadu na bod 17 písm. d) bezpečnostný orgán ESVČ skontroluje v prípade, že sa ohrozenie utajovaných skutočností EÚ vyhodnotí ako vysoké, všetky komunikačné zariadenia a elektrické alebo elektronické vybavenie skôr, ako sa použijú v priestoroch, kde sa konajú zasadnutia alebo kde sa pracuje s utajovanými skutočnosťami so stupňom utajenia SECRET UE/EU SECRET a vyšším, aby sa zaistilo, že sa týmito zariadeniami neúmyselne alebo neoprávnene neprenesú za obvod príslušného zabezpečeného priestoru nijaké zrozumiteľné informácie.

                  19.

                  V zabezpečených priestoroch, v ktorých nevykonáva personál službu 24 hodín denne, sa podľa potreby vykonávajú kontroly na konci bežného pracovného času a v náhodných intervaloch mimo bežných pracovných hodín, pokiaľ nie je nainštalovaný detekčný systém proti narušeniu.

                  20.

                  V prípade stretnutia na účely prerokovania utajovaných skutočností alebo na iné podobné účely sa zabezpečené priestory a technicky zabezpečené priestory môžu dočasne zriadiť v rámci administratívneho priestoru.

                  21.

                  Pre každý zabezpečený priestor sa vypracujú operačné bezpečnostné postupy stanovujúce:

                              a)

                              stupeň utajenia utajovaných skutočností EÚ, s ktorými sa môže manipulovať alebo ktoré sa môžu uchovávať v tomto priestore;

                              b)

                              opatrenia dohľadu a ochrany, ktoré sa musia uplatňovať;

                              c)

                              osoby oprávnené na vstup do tohto priestoru bez sprievodu so zreteľom na ich potrebu poznať a bezpečnostnú previerku;

                              d)

                              v prípade potreby postupy týkajúce sa sprievodu alebo ochrany utajovaných skutočností EÚ pri povoľovaní vstupu akýchkoľvek iných osôb do tohto priestoru;

                              e)

                              akékoľvek ďalšie príslušné opatrenia a postupy.

                  22.

                  V zabezpečených priestoroch sa vybudujú komorové trezory. Steny, podlahy, stropy, okná a uzamykateľné dvere musia byť schválené bezpečnostným orgánom ESVČ a musia poskytovať ochranu, ktorá je rovnocenná ochrane poskytovanej bezpečnostnými úschovnými objektmi schválenými na uchovávanie utajovaných skutočností EÚ s rovnakým stupňom utajenia.

            V.   FYZICKÉ OCHRANNÉ OPATRENIA PRE MANIPULÁCIU S UTAJOVANÝMI SKUTOČNOSŤAMI EÚ A ICH UCHOVÁVANIE

                  23.

                  S utajovanými skutočnosťami so stupňom utajenia RESTREINT UE/EU RESTRICTED sa môže manipulovať:

                              a)

                              v zabezpečenom priestore;

                              b)

                              v administratívnom priestore za predpokladu, že utajované skutočnosti EÚ sú chránené pred prístupom zo strany neoprávnených osôb;

                              c)

                              mimo zabezpečeného priestoru alebo administratívneho priestoru za predpokladu, že držiteľ prenáša tieto utajované skutočnosti EÚ v súlade s bodmi 30 až 42 prílohy A III a zaviazal sa, že bude dodržiavať kompenzačné opatrenia stanovené v bezpečnostných pokynoch, ktoré vydal bezpečnostný orgán ESVČ, aby sa zabezpečilo, že utajované skutočnosti EÚ sú chránené pred prístupom neoprávnených osôb.

                  24.

                  Utajované skutočnosti EÚ so stupňom utajenia RESTREINT UE/EU RESTRICTED sa uchovávajú vo vhodnom uzamknutom kancelárskom nábytku v administratívnom alebo zabezpečenom priestore. Dočasne sa môžu uchovávať mimo zabezpečeného alebo administratívneho priestoru za predpokladu, že držiteľ sa zaviazal dodržiavať kompenzačné opatrenia stanovené v bezpečnostných pokynoch, ktoré vydal bezpečnostný orgán ESVČ.

                  25.

                  S utajovanými skutočnosťami EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET sa môže manipulovať:

                              a)

                              v zabezpečenom priestore;

                              b)

                              v administratívnom priestore za predpokladu, že utajované skutočnosti EÚ sú chránené pred prístupom zo strany neoprávnených osôb;

                              c)

                              mimo zabezpečeného alebo administratívneho priestoru za predpokladu, že držiteľ:

                                          i)

                                          prenáša utajované skutočnosti EÚ v súlade s bodmi 30 až 42 prílohy A III;

                                          ii)

                                          sa zaviazal dodržiavať kompenzačné opatrenia stanovené v bezpečnostných pokynoch, ktoré vydal bezpečnostný orgán ESVČ, aby sa zabezpečilo, že utajované skutočnosti EÚ sú chránené pred prístupom neoprávnených osôb;

                                          iii)

                                          má utajované skutočnosti EÚ vždy pod osobnou kontrolou;

                                          iv)

                                          v prípade dokumentov v papierovej podobe túto skutočnosť oznámil príslušnému registru.

                  26.

                  Utajované skutočnosti EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET sa v zabezpečenom priestore uchovávajú v bezpečnostnom úschovnom objekte alebo komorovom trezore.

                  27.

                  S utajovanými skutočnosťami EÚ so stupňom utajenia TRES SECRET UE/EU TOP SECRET sa manipuluje v zabezpečenom priestore.

                  28.

                  Utajované skutočnosti EÚ so stupňom utajenia TRES SECRET UE/EU TOP SECRET sa uchovávajú v zabezpečenom priestore v ústredí, pričom musí byť splnená jedna z týchto podmienok:

                              a)

                              v bezpečnostnom úschovnom objekte v súlade s bodom 8, pričom sa uplatňuje jeden alebo niekoľko týchto dodatočných kontrolných mechanizmov:

                                          i)

                                          nepretržitá ochrana alebo kontroly vykonávané preverenými bezpečnostnými pracovníkmi alebo službukonajúcim personálom,

                                          ii)

                                          schválený detekčný systém proti narušeniu v kombinácii so zásahovým bezpečnostným personálom

                                    alebo

                              b)

                              v komorovom trezore vybavenom detekčným systémom proti narušeniu v kombinácii so zásahovým bezpečnostným personálom.

                  29.

                  Pravidlá, ktorými sa upravuje prenos utajovaných údajov EÚ medzi fyzicky chránenými priestormi, sa stanovujú v prílohe A III.

            VI.   KONTROLA KĽÚČOV A KOMBINÁCIÍ POUŽÍVANÝCH NA OCHRANU UTAJOVANÝCH SKUTOČNOSTÍ EÚ

                  30.

                  Bezpečnostný orgán ESVČ definuje postupy pre správu kľúčov a nastavení kombinácií na prístup do kancelárií, miestností, komorových trezorov a bezpečnostných úschovných objektov. Tieto postupy sú určené na ochranu pred neoprávneným prístupom.

                  31.

                  Nastavenia kombinácií do pamäte ukladá čo najmenší možný počet osôb, ktoré ich potrebujú poznať. Nastavenia kombinácií do bezpečnostných úschovných objektov a komorových trezorov, v ktorých sa uchovávajú utajované skutočnosti EÚ, sa menia:

                              a)

                              pri príjme nového úschovného objektu;

                              b)

                              vždy, keď nastane zmena personálu, ktorý pozná kombináciu;

                              c)

                              vždy, keď došlo k úniku alebo existuje podozrenie na únik;

                              d)

                              po vykonaní údržby alebo opravy zámku;

                              e)

                              minimálne každých 12 mesiacov.

      PRÍLOHA A III

         SPRÁVA UTAJOVANÝCH SKUTOČNOSTÍ

      I.   ÚVOD

                  1.

                  V tejto prílohe sa uvádzajú ustanovenia na vykonávanie článku 7 prílohy A. Stanovujú sa v nej administratívne opatrenia na kontrolu utajovaných skutočností EÚ počas ich životného cyklu s cieľom pomôcť pri odradení od úmyselného alebo náhodného úniku alebo straty takýchto skutočností, zistení tohto úniku alebo straty a pri obnove bezpečnosti.

            II.   SPRÁVA UTAJOVANIA

         Stupne utajenia a ich označenie

                  2.

                  Informácie sa utajujú, ak je to potrebné na ochranu ich dôvernosti.

                  3.

                  Zodpovednosť za určenie stupňa utajenia v súlade s príslušnými usmerneniami pre utajovanie a za šírenie utajovanej skutočnosti EÚ nesie jej pôvodca.

                  4.

                  Stupeň utajenia utajovanej skutočnosti EÚ sa stanovuje podľa článku 2 ods. 2 prílohy A a na základe bezpečnostnej politiky, ktorá sa schvaľuje v súlade s článkom 3 ods. 3 prílohy A.

                  5.

                  Utajované skutočnosti členských štátov vymieňané s ESVČ sa chránia rovnakým stupňom utajenia ako utajované skutočnosti EÚ s rovnocenným stupňom utajenia. Ekvivalenčná tabuľka je uvedená v prílohe B k rozhodnutiu Rady 2011/292/EÚ z 31. marca 2011 o bezpečnostných predpisoch na ochranu utajovaných skutočností EÚ.

                  6.

                  Stupeň utajenia a tam, kde je to vhodné, dátum alebo konkrétna udalosť, po ktorej sa stupeň utajenia môže znížiť alebo zrušiť, sa uvádza jasne a správne bez ohľadu na to, či má utajovaná skutočnosť EÚ písomnú, ústnu, elektronickú či inú podobu.

                  7.

                  Jednotlivé časti daného dokumentu (napr. stránky, odseky, oddiely, doplnky, dodatky, pripojenia a prílohy) môžu vyžadovať rôzny stupeň utajenia a podľa toho sa označujú, a to aj vtedy, keď sa uchovávajú v elektronickej podobe.

                  8.

                  Dokumenty, ktoré obsahujú časti podliehajúce rozdielnym stupňom utajenia, sa v maximálnej možnej miere usporadúvajú tak, aby sa časti s iným stupňom utajenia dali ľahko identifikovať a v prípade potreby oddeliť.

                  9.

                  Celkový stupeň utajenia dokumentu alebo spisu zodpovedá minimálne najvyššiemu stupňu utajenia jeho jednotlivej časti. Keď sa spájajú utajované skutočnosti z rôznych zdrojov, konečný produkt sa preskúma s cieľom určiť celkový stupeň utajenia, keďže môže vyžadovať vyšší stupeň utajenia ako jeho jednotlivé časti.

                  10.

                  Stupeň utajenia listu alebo sprievodného listu obsahujúceho prílohy zodpovedá najvyššiemu stupňu utajenia príloh. Pôvodca jednoznačne uvedie stupeň utajenia listu bez príloh, a to príslušným označením, napríklad:
                  CONFIDENTIEL UE/EU CONFIDENTIAL
                  Bez prílohy (príloh) RESTREINT UE/EU RESTRICTED

         Označenia

                  11.

                  Okrem niektorého z označení stupňa utajenia podľa článku 2 ods. 2 prílohy A môžu mať utajované skutočnosti EÚ aj doplňujúce označenie, napríklad:

                              a)

                              identifikačný znak, ktorým sa označuje pôvodca;

                              b)

                              upozornenia, kódové slová alebo akronymy, ktorými sa označuje oblasť činnosti, ktorej sa dokument týka, osobitná distribúcia na základe potreby poznať alebo obmedzenie použitia;

                              c)

                              označenia prístupnosti.

                  12.

                  Riaditeľstvo ESVČ pre bezpečnosť na základe rozhodnutia o poskytnutí utajovaných skutočností EÚ tretej krajine alebo medzinárodnej organizácii zašle príslušnú utajovanú skutočnosť, ktorá bude obsahovať označenie prístupnosti pre tretiu krajinu alebo medzinárodnú organizáciu, ktorej sa poskytuje.

                  13.

                  Bezpečnostný orgán ESVČ prijme zoznam povolených označení.

         Skrátené označenia stupňov utajenia

                  14.

                  Na označenie stupňa utajenia jednotlivých odsekov textu sa môžu používať štandardné skrátené označenia stupňov utajenia. Skratky nenahrádzajú plné označenia stupňov utajenia.

                  15.

                  Na označenie stupňa utajenia oddielov alebo častí textu, ktoré sú kratšie ako jedna strana, možno v utajených dokumentoch EÚ používať tieto štandardné skratky:

                              TRES SECRET UE/EU TOP SECRET

                              TS-UE/EU-TS

                              SECRET UE/EU SECRET

                              S-UE/EU-S

                              CONFIDENTIEL UE/EU CONFIDENTIAL

                              C-UE/EU-C

                              RESTREINT UE/EU RESTRICTED

                              R-UE/EU-R

         Vytvorenie utajovaných skutočností EÚ

                  16.

                  Pri vytvorení utajovaného dokumentu EÚ:

                              a)

                              každá strana sa zreteľne označí stupňom utajenia;

                              b)

                              každá strana sa očísluje;

                              c)

                              dokument má priradené referenčné číslo a predmet, ktoré samotné nie sú utajovanou skutočnosťou, pokiaľ nie sú ako utajované skutočnosti označené;

                              d)

                              dokument má dátum;

                              e)

                              na každej strane dokumentov so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a vyšším sa uvádza číslo vyhotovenia, pokiaľ sa dokumenty distribuujú vo viacerých vyhotoveniach.

                  17.

                  Ak na utajovanú skutočnosť EÚ nemožno uplatniť bod 15, prijmú sa iné primerané opatrenia v súlade s bezpečnostnými usmerneniami, ktoré sa stanovia v zmysle tohto rozhodnutia.

         Zníženie stupňa utajenia a zrušenie utajenia utajovanej skutočnosti EÚ

                  18.

                  Ak je to možné, predovšetkým v prípade utajovaných skutočností so stupňom utajenia RESTREINT UE/EU RESTRICTED, pôvodca v čase vytvorenia utajovanej skutočnosti EÚ uvedie, či je možné znížiť jej stupeň utajenia alebo utajenie zrušiť k určitému dátumu alebo po istej udalosti.

                  19.

                  ESVČ vykonáva pravidelné preskúmanie utajovaných skutočností EÚ, ktorých je držiteľom, aby stanovila, či je naďalej potrebný daný stupeň utajenia. ESVČ zriadi systém, ktorým sa minimálne každých päť rokov posudzuje stupeň utajenia evidovaných utajovaných skutočností EÚ, ktorých je ESVČ pôvodcom. Takéto preskúmanie nie je potrebné, keď pôvodca hneď na začiatku uviedol konkrétny dátum, kedy sa stupeň utajenia danej utajovanej skutočnosti automaticky zníži alebo sa utajenie zruší a utajovaná skutočnosť bola príslušným spôsobom označená.

            III.   EVIDENCIA UTAJOVANÝCH SKUTOČNOSTÍ EÚ NA BEZPEČNOSTNÉ ÚČELY

                  20.

                  V ústredí sa zriadi centrálny register. Pre každú organizačnú jednotku ESVČ, v ktorej sa manipuluje s utajovanými skutočnosťami EÚ, sa určí príslušný register podriadený centrálnemu registru s cieľom zabezpečiť manipuláciu s utajovanými skutočnosťami EÚ v súlade s týmto rozhodnutím. Registre sa zriadia ako zabezpečené priestory podľa prílohy A.
                  V každej delegácii Únie sa zriadi vlastný register utajovaných skutočností EÚ.
                  Bezpečnostný orgán ESVČ menuje pre tieto registre vedúceho registra.

                  21.

                  Na účely tohto rozhodnutia znamená evidencia na bezpečnostné účely (ďalej len „evidencia“) uplatňovanie postupov, ktorými sa zaznamenáva životný cyklus veci vrátane jej distribúcie a zničenia. V prípade komunikačných a informačných systémov sa evidenčné postupy môžu vykonávať v rámci samotného komunikačného a informačného systému.

                  22.

                  Všetky veci so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a vyšším sa evidujú v registroch, keď sa doručia alebo keď opúšťajú organizačnú jednotku vrátane delegácií Únie. Utajované skutočnosti so stupňom utajenia TRES SECRET UE/EU TOP SECRET sa evidujú v osobitných registroch.

                  23.

                  Centrálny register predstavuje v rámci ústredia ESVČ hlavné miesto vstupu a výstupu pre výmenu utajovaných skutočností s tretími krajinami a medzinárodnými organizáciami. Uchovávajú sa v ňom záznamy o všetkých výmenách.

                  24.

                  VP schvaľuje bezpečnostnú politiku pre oblasť evidencie utajovaných skutočností EÚ na bezpečnostné účely v súlade s článkom 14 tohto rozhodnutia.

         Registre Tres secret UE/EU top secret

                  25.

                  V ústredí ESVČ sa určí centrálny register ako centrálny orgán na prijímanie a odosielanie utajovaných skutočností so stupňom utajenia TRES SECRET UE/EU TOP SECRET. V prípade potreby sa môžu zriadiť podriadené registre, aby sa s týmito utajovanými skutočnosťami manipulovalo na účely evidencie.

                  26.

                  Tieto podriadené registre nesmú priamo odosielať dokumenty so stupňom utajenia TRES SECRET UE/EU TOP SECRET iným podriadeným registrom toho istého centrálneho registra TRES SECRET UE/EU TOP SECRET alebo externe, pokiaľ to uvedený centrálny register výslovne písomne nepovolí.

            IV.   ROZMNOŽOVANIE A PREKLAD UTAJOVANÝCH DOKUMENTOV EÚ

                  27.

                  Dokumenty so stupňom utajenia TRES SECRET UE/EU TOP SECRET sa nesmú rozmnožovať alebo prekladať bez predchádzajúceho písomného súhlasu pôvodcu.

                  28.

                  Keď pôvodca dokumentov so stupňom utajenia SECRET UE/EU SECRET alebo nižším neuvedie nijakú výhradu týkajúcu sa rozmnožovania alebo prekladu, takéto dokumenty sa môžu rozmnožovať alebo prekladať na základe pokynu držiteľa.

                  29.

                  Bezpečnostné opatrenia uplatniteľné na pôvodný dokument sa uplatňujú aj na kópie a preklady. Kópie so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším sa vytvárajú len príslušným registrom (podriadeným registrom) pomocou zabezpečeného kopírovacieho zariadenia. Kópie musia byť evidované.

            V.   PRENOS UTAJOVANÝCH SKUTOČNOSTÍ EÚ

                  30.

                  Na prenos utajovaných skutočností EÚ sa vzťahujú ochranné opatrenia uvedené v bodoch 31 až 41. Bez ohľadu na článok 7 ods. 4 prílohy A je pri prenose utajovaných skutočností EÚ na elektronických médiách možné rozšíriť ochranné opatrenia uvedené ďalej o príslušné technické protiopatrenia podľa pokynov bezpečnostného orgánu ESVČ s cieľom minimalizovať riziko straty alebo úniku.

                  31.

                  Bezpečnostný orgán ESVČ vydáva pokyny, ktoré sa týkajú prenosu utajovaných skutočností EÚ, v súlade s týmto rozhodnutím.

         Prenos v rámci budovy alebo samostatnej skupiny budov

                  32.

                  Utajované skutočnosti EÚ prenášané v rámci budovy alebo samostatnej skupiny budov sa prenášajú zakryté tak, aby nebolo možné zahliadnuť ich obsah.

                  33.

                  Utajované skutočnosti so stupňom utajenia TRES SECRET UE/EU TOP SECRET prenášajú v rámci budovy alebo samostatnej skupiny budov náležite bezpečnostne preverené osoby v zabezpečenej obálke, na ktorej je uvedené len meno adresáta.

         Prenos v rámci EÚ

                  34.

                  Utajované skutočnosti EÚ prenášané medzi budovami alebo objektmi v rámci EÚ sa musia zabaliť tak, aby sa ochránili pred neoprávneným sprístupnením.

                  35.

                  Prenos utajovaných skutočností so stupňom utajenia SECRET UE/EU SECRET alebo nižším v rámci EÚ sa uskutočňuje jedným z týchto spôsobov:

                              a)

                              podľa okolností vojenským, vládnym alebo diplomatickým kuriérom;

                              b)

                              osobne pod podmienkou, že:

                                          i)

                                          utajované skutočnosti EÚ neopustia držbu prenášajúceho, pokiaľ sa neuchovávajú v súlade s požiadavkami stanovenými v prílohe A II;

                                          ii)

                                          utajované skutočnosti EÚ sa počas cesty neotvoria ani sa s nimi nebude nikto oboznamovať na verejných miestach;

                                          iii)

                                          osoby sú náležite bezpečnostne preverené na príslušný stupeň utajenia a poučené o povinnostiach v oblasti bezpečnosti;

                                          iv)

                                          osobám sa v prípade potreby poskytne kuriérske osvedčenie;

                              c)

                              poštovou službou alebo komerčnou kuriérskou službou pod podmienkou, že tieto služby:

                                          i)

                                          sú schválené príslušným NBÚ v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi;

                                          ii)

                                          uplatňujú primerané ochranné opatrenia v súlade s minimálnymi požiadavkami, ktoré sú stanovené v bezpečnostných usmerneniach podľa článku 20 ods. 1 tohto rozhodnutia.

                        V prípade prenosu z jedného členského štátu do iného sa ustanovenia písmena c) vzťahujú len na utajované skutočnosti po stupeň utajenia CONFIDENTIEL UE/EU CONFIDENTIAL.

                  36.

                  Veci so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET (napr. zariadenia alebo stroje), ktoré nemožno prenášať spôsobom uvedeným v bode 34, sa prepravujú ako náklad obchodnými dopravnými spoločnosťami v súlade s prílohou A V.

                  37.

                  Prenos utajovaných skutočností so stupňom utajenia TRES SECRET UE/EU TOP SECRET medzi budovami alebo objektmi v rámci EÚ sa uskutočňuje podľa okolností vojenským, vládnym alebo diplomatickým kuriérom.

         Prenos z EÚ na územie tretej krajiny alebo prenos medzi subjektmi EÚ v tretích krajinách

                  38.

                  Utajované skutočnosti EÚ prenášané z EÚ na územie tretej krajiny alebo medzi subjektmi EÚ v tretích krajinách sa zabalia tak, aby boli chránené pred neoprávneným sprístupnením.

                  39.

                  Prenos utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET z EÚ na územie tretej krajiny a prenos utajovaných skutočností EÚ až do stupňa utajenia SECRET UE/EU SECRET medzi subjektmi EÚ v tretích krajinách sa uskutočňuje jedným z týchto spôsobov:

                              a)

                              vojenským alebo diplomatickým kuriérom;

                              b)

                              osobne pod podmienkou, že:

                                          i)

                                          sa na obale nachádza úradná pečať alebo je utajovaná skutočnosť zabalená tak, že je zrejmé, že ide o úradnú zásielku, ktorá nepodlieha colnej ani bezpečnostnej kontrole,

                                          ii)

                                          osoby majú kuriérske osvedčenie, v ktorom je zásielka uvedená a ktoré ich oprávňuje na jej prenos,

                                          iii)

                                          utajované skutočnosti EÚ neopustia držbu prenášajúceho, pokiaľ sa neuchovávajú v súlade s požiadavkami stanovenými v prílohe A II,

                                          iv)

                                          utajované skutočnosti EÚ sa počas cesty neotvoria ani sa s nimi nebude nikto oboznamovať na verejných miestach,

                                          v)

                                          osoby sú náležite bezpečnostne preverené na príslušný stupeň utajenia a poučené o povinnostiach v oblasti bezpečnosti.

                  40.

                  Prenos skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET, ktoré EÚ sprístupní tretej krajine alebo medzinárodnej organizácii, sa uskutočňuje v súlade s príslušnými ustanoveniami dohody o bezpečnosti informácií alebo administratívnej dohody podľa článku 10 ods. 2 prílohy A.

                  41.

                  Utajované skutočnosti so stupňom utajenia RESTREINT UE/EU RESTRICTED sa môžu prenášať z územia EÚ na územie tretej krajiny aj poštovou alebo komerčnou kuriérskou službou.

                  42.

                  Prenos utajovaných skutočností so stupňom utajenia TRES SECRET UE/EU TOP SECRET z EÚ na územie tretej krajiny alebo medzi subjektmi EÚ v tretích krajinách sa uskutočňuje vojenským alebo diplomatickým kuriérom.

            VI.   NIČENIE UTAJOVANÝCH SKUTOČNOSTÍ EÚ

                  43.

                  Utajované dokumenty EÚ, ktoré už nie sú potrebné, sa môžu zničiť bez toho, aby boli dotknuté príslušné pravidlá a predpisy týkajúce sa archivácie.

                  44.

                  Príslušný register ničí dokumenty, ktoré sa musia evidovať v súlade s článkom 7 ods. 2 prílohy A, na základe pokynu držiteľa alebo príslušného orgánu. Denníky a ostatné evidenčné záznamy sa príslušným spôsobom aktualizujú.

                  45.

                  Pokiaľ ide o utajované dokumenty so stupňom utajenia SECRET UE/EU SECRET alebo TRES SECRET UE/EU TOP SECRET, ničenie sa vykonáva za prítomnosti svedka, ktorý je preverený minimálne pre stupeň utajenia ničeného dokumentu.

                  46.

                  Pracovník registra a svedok, ak sa vyžaduje jeho prítomnosť, podpíšu protokol o zničení, ktorý sa archivuje v registri. V registri sa uchovávajú protokoly o zničení dokumentov so stupňom utajenia TRES SECRET UE/EU TOP SECRET najmenej desať rokov a o zničení dokumentov so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET najmenej päť rokov.

                  47.

                  Utajované dokumenty vrátane dokumentov so stupňom utajenia RESTREINT UE/EU RESTRICTED sa ničia metódami, ktoré spĺňajú príslušné normy EÚ alebo rovnocenné normy alebo ktoré boli schválené členskými štátmi podľa národných technických noriem, aby sa zabránilo celkovej alebo čiastočnej rekonštrukcii dokumentu.

                  48.

                  Médiá na elektronické uchovávanie používané na uchovávanie utajovaných skutočností EÚ sa ničia v súlade s bodom 36 prílohy A IV.

            VII.   BEZPEČNOSTNÉ INŠPEKCIE

         Bezpečnostné inšpekcie ESVČ

                  49.

                  V súlade s článkom 15 tohto rozhodnutia sú do bezpečnostných inšpekcií ESVČ zahrnuté:

                              a)

                              všeobecné bezpečnostné inšpekcie, ktorých cieľom je posúdiť všeobecnú úroveň bezpečnosti ústredia ESVČ, delegácií Únie a všetkých závislých alebo súvisiacich objektov, predovšetkým na účely zhodnotenia účinnosti bezpečnostných opatrení prijatých na ochranu bezpečnostných záujmov ESVČ;

                              b)

                              bezpečnostné inšpekcie so zreteľom na utajované skutočnosti EÚ, ktorých cieľom je všeobecne z hľadiska certifikácie zhodnotiť účinnosť opatrení prijatých na ochranu utajovaných skutočností EÚ v ústredí ESVČ a delegáciách Únie.
                              Inšpekcie sa okrem iného vykonávajú na to, aby sa:

                                          i)

                                          zabezpečilo dodržiavanie minimálnych noriem ochrany utajovaných skutočností EÚ stanovených v tomto rozhodnutí;

                                          ii)

                                          zdôraznil význam bezpečnosti a účinného riadenia rizík u preverovaných subjektov;

                                          iii)

                                          odporučili protiopatrenia na zníženie konkrétnych následkov v prípade, že dôjde k strate dôvernosti, integrity alebo dostupnosti utajovaných skutočností;

                                          iv)

                                          posilnili priebežné bezpečnostné vzdelávacie a informačné programy bezpečnostných orgánov.

         Vykonávanie bezpečnostných inšpekcií ESVČ a podávanie správ

                  50.

                  Za realizáciu bezpečnostných inšpekcií ESVČ zodpovedá inšpekčný tím riaditeľstva ESVČ pre bezpečnosť, ktorý podľa potreby využíva pomoc bezpečnostných expertov ostatných inštitúcií EÚ alebo členských štátov.
                  Inšpekčný tím má prístup na všetky miesta, kde sa manipuluje s utajovanými skutočnosťami EÚ, najmä do registrov a k prístupovým bodom do komunikačných a informačných systémov.

                  51.

                  Bezpečnostné inšpekcie ESVČ v delegáciách Únie sa môžu vykonávať podľa potreby, s pomocou bezpečnostných úradníkov zastupiteľstiev členských štátov umiestnených v tretích krajinách.

                  52.

                  Bezpečnostný orgán ESVČ pred koncom každého kalendárneho roka prijme program inšpekcií ESVČ na nasledujúci rok.

                  53.

                  Bezpečnostný orgán ESVČ môže vždy, keď je to potrebné, nariadiť bezpečnostné inšpekcie, ktoré nie sú uvedené v programe.

                  54.

                  Po ukončení inšpekcie sa preverovanému subjektu predkladajú hlavné závery a odporúčania. Následne inšpekčný tím vypracuje inšpekčnú správu. Ak sa navrhli nápravné opatrenia alebo odporúčania, do správy sa na účely odôvodnenia záverov zahrnú dostatočne podrobné informácie. Správa sa zasiela bezpečnostnému orgánu ESVČ a vedúcemu preverovaného subjektu.
                  Riaditeľstvo ESVČ pre bezpečnosť zodpovedá za vypracovanie pravidelnej správy, v ktorej sa vyzdvihnú skúsenosti získané počas inšpekcií v konkrétnom období a ktorú preskúma Bezpečnostný výbor ESVČ.

         Vykonávanie bezpečnostných inšpekcií v agentúrach a orgánoch EÚ zriadených podľa hlavy V kapitoly 2 Zmluvy o EÚ a podávanie správ

                  55.

                  Riaditeľstvo ESVČ pre bezpečnosť môže podľa okolností poveriť spolupracujúcich expertov, aby sa zapojili do spoločných inšpekčných tímov EÚ vykonávajúcich inšpekcie v agentúrach a orgánoch EÚ zriadených podľa hlavy V kapitoly 2 Zmluvy o EÚ.

         Kontrolné zoznamy bezpečnostných inšpekcií ESVČ

                  56.

                  Riaditeľstvo ESVČ pre bezpečnosť vypracuje a aktualizuje kontrolný zoznam bezpečnostných inšpekcií obsahujúci body, ktoré je potrebné skontrolovať počas bezpečnostnej inšpekcie ESVČ. Tento kontrolný zoznam sa zasiela Bezpečnostnému výboru ESVČ.

                  57.

                  Informácie potrebné na vyplnenie kontrolného zoznamu sa získavajú predovšetkým počas inšpekcie od vedúcich bezpečnostných pracovníkov subjektu, v ktorom sa vykonáva inšpekcia. Po vyplnení podrobných odpovedí sa kontrolný zoznam po dohode so subjektom, v ktorom sa vykonáva inšpekcia, utajuje. Netvorí súčasť inšpekčnej správy.

      PRÍLOHA A IV

         OCHRANA UTAJOVANÝCH SKUTOČNOSTÍ EÚ, S KTORÝMI SA MANIPULUJE V KOMUNIKAČNÝCH A INFORMAČNÝCH SYSTÉMOCH

      I.   ÚVOD

                  1.

                  V tejto prílohe sa uvádzajú vykonávacie ustanovenia k článku 8 prílohy A.

                  2.

                  Na účely zaistenia bezpečnosti a správneho fungovania operácií v komunikačných a informačných systémoch sú dôležité tieto vlastnosti a pojmy informačnej bezpečnosti:

                              Hodnovernosť

                              :

                              záruka, že informácie sú pravé a pochádzajú zo zdrojov bona fide.

                              Dostupnosť

                              :

                              vlastnosť charakterizovaná prístupnosťou informácií a ich použiteľnosťou na požiadanie oprávneného subjektu.

                              Dôvernosť

                              :

                              vlastnosť, ktorá znamená, že informácie sa nesprístupnia neoprávneným osobám, subjektom či procesom.

                              Integrita

                              :

                              vlastnosť charakterizovaná zabezpečením presnosti a úplnosti informácií a majetku.

                              Nespochybniteľnosť

                              :

                              schopnosť preukázať, že sa činnosť alebo udalosť uskutočnila, takže túto činnosť alebo udalosť nie je možné následne poprieť.

            II.   ZÁSADY INFORMAČNEJ BEZPEČNOSTI

                  3.

                  Nasledujúce ustanovenia predstavujú základ bezpečnosti každého komunikačného a informačného systému, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ. Podrobné požiadavky na vykonávanie týchto ustanovení sa vymedzia v bezpečnostných politikách a bezpečnostných usmerneniach pre informačnú bezpečnosť.

         Riadenie bezpečnostných rizík

                  4.

                  Riadenie bezpečnostných rizík tvorí neoddeliteľnú súčasť činností pri definovaní, rozvíjaní, prevádzke a údržbe komunikačných a informačných systémov. Riadenie rizík (hodnotenie, zabezpečenie, akceptácia a oznamovanie) spoločne vykonávajú ako nepretržitý proces zástupcovia vlastníkov systému, projektových orgánov, operačných orgánov a orgánov schvaľujúcich bezpečnosť, ktoré uplatňujú overený, transparentný a plne pochopiteľný proces hodnotenia rizík. Na začiatku procesu riadenia rizík sa jednoznačne vymedzí rozsah komunikačného a informačného systému a jeho majetku.

                  5.

                  Príslušné orgány ESVČ preskúmajú potenciálne ohrozenia komunikačných a informačných systémov a zabezpečia aktualizované a presné posúdenie ohrození, ktoré zohľadňuje aktuálne operačné prostredie. Nepretržite aktualizujú svoje poznatky o slabinách a pravidelne preverujú posúdenie slabín s cieľom reagovať na meniace sa prostredie v oblasti informačných technológií (IT).

                  6.

                  Cieľom riadenia bezpečnostných rizík je uplatňovať súbor bezpečnostných opatrení, čím sa zabezpečí uspokojivá rovnováha medzi požiadavkami používateľov a zvyškovým bezpečnostným rizikom.

                  7.

                  Špecifické požiadavky, rozsah a miera podrobnosti stanovená príslušným orgánom bezpečnostnej certifikácie na certifikáciu komunikačného a informačného systému zodpovedajú vyhodnotenému riziku, pričom sa zohľadňujú všetky relevantné faktory vrátane stupňa utajenia utajovaných skutočností, s ktorými sa manipuluje v komunikačnom a informačnom systéme. Certifikácia zahŕňa formálne vyhlásenie o zvyškovom riziku a akceptáciu zvyškového rizika zo strany zodpovedného orgánu.

         Bezpečnosť počas celého životného cyklu komunikačného a informačného systému

                  8.

                  Zaistenie bezpečnosti predstavuje požiadavku, ktorá musí byť splnená počas celého životného cyklu komunikačného a informačného systému od jeho uvedenia do prevádzky po vyradenie.

                  9.

                  Pre každú fázu životného cyklu sa stanoví úloha a interakcia každého účastníka podieľajúceho sa na činnosti komunikačného a informačného systému, pokiaľ ide o jeho bezpečnosť.

                  10.

                  Každý komunikačný a informačný systém vrátane technických a iných bezpečnostných opatrení sa počas certifikácie podrobí bezpečnostnému testovaniu, ktorého cieľom je zaručiť, že sa dosiahla náležitá úroveň uplatňovaných bezpečnostných opatrení, a overiť, že tieto opatrenia sa správne vykonávajú, integrujú a konfigurujú.

                  11.

                  Počas prevádzky a údržby komunikačného a informačného systému, ako aj v prípade vzniku výnimočných okolností sa pravidelne vykonávajú bezpečnostné hodnotenia, inšpekcie a previerky.

                  12.

                  Vývoj bezpečnostnej dokumentácie pre komunikačný a informačný systém počas jeho životného cyklu je neoddeliteľnou súčasťou procesu riadenia zmien a konfigurácií.

         Najlepšie postupy

                  13.

                  ESVČ spolupracuje s GSR, Komisiou a členskými štátmi pri vypracovaní najlepších postupov na ochranu utajovaných skutočností EÚ, s ktorými sa manipuluje v komunikačných a informačných systémoch. Najlepšie postupy vymedzujú technické, fyzické, organizačné a procesné bezpečnostné opatrenia pre komunikačné a informačné systémy s overenou účinnosťou proti daným ohrozeniam a slabinám.

                  14.

                  Pri ochrane utajovaných skutočností EÚ, s ktorými sa manipuluje v komunikačných a informačných systémoch, sa využívajú skúsenosti, ktoré získali subjekty zabezpečujúce informačnú bezpečnosť v EÚ i mimo nej.

                  15.

                  Šírenie a následné zavádzanie najlepších postupov pomáha dosiahnuť rovnocennú úroveň bezpečnosti rôznych komunikačných a informačných systémov prevádzkovaných ESVČ, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ.

         Hĺbková ochrana

                  16.

                  Na zníženie rizika pre komunikačné a informačné systémy sa zavádza škála technických a iných bezpečnostných opatrení, ktoré sa organizujú do viacerých ochranných vrstiev. Tieto opatrenia zahŕňajú:
                  a)   odradenie: bezpečnostné opatrenia zamerané na odradenie protivníka od plánovania útoku na komunikačný a informačný systém;
                  b)   predchádzanie: bezpečnostné opatrenia zamerané na zabránenie alebo zastavenie útoku na komunikačný a informačný systém;
                  c)   detekciu: bezpečnostné opatrenia zamerané na zistenie výskytu útoku na komunikačný a informačný systém;
                  d)   odolnosť: bezpečnostné opatrenia zamerané na obmedzenie následkov útoku na čo najmenší súbor informácií/majetku komunikačného a informačného systému a zabránenie ďalším škodám; a
                  e)   obnovu: bezpečnostné opatrenia zamerané na obnovu bezpečnej situácie komunikačného a informačného systému.
                  Stupeň prísnosti a uplatniteľnosti takýchto bezpečnostných opatrení sa stanovuje na základe hodnotenia rizika.

                  17.

                  Príslušné orgány ESVČ zabezpečujú spôsobilosť reagovať na incidenty, ktoré môžu prekročiť hranice organizácie a štátu, koordinovať svoju reakciu a vymieňať si informácie o týchto incidentoch a súvisiacich rizikách (spôsobilosť núdzovej reakcie v súvislosti s počítačmi).

         Zásada minimality a najnižších práv

                  18.

                  S cieľom vyhnúť sa zbytočnému riziku sa zavádzajú len funkcie, zariadenia a služby potrebné na splnenie operačných požiadaviek.

                  19.

                  Používateľom komunikačných a informačných systémov a automatizovaných procesov sa udeľuje len taký prístup, práva alebo oprávnenia, ktoré potrebujú na plnenie svojich úloh, aby sa obmedzili akékoľvek škody vyplývajúce z porúch, omylov alebo neoprávneného využívania zdrojov komunikačných a informačných systémov.

                  20.

                  Postupy na účely evidencie, ktorú vykonáva komunikačný a informačný systém, sa v prípade potreby preverujú v rámci certifikačného postupu.

         Informovanosť o informačnej bezpečnosti

                  21.

                  Prvou obrannou líniou bezpečnosti komunikačných a informačných systémov je informovanosť o rizikách a dostupných bezpečnostných opatreniach. Všetci členovia personálu, ktorí prichádzajú do kontaktu s komunikačným a informačným systémom počas jeho životného cyklu, sú poučení:

                              a)

                              o tom, že bezpečnostné zlyhanie môže závažne poškodiť komunikačný a informačný systém a celú organizáciu;

                              b)

                              o potenciálnych škodách pre tretie strany, ktoré môžu vyplynúť zo vzájomného prepojenia a vzájomnej závislosti;

                              c)

                              o svojej osobnej zodpovednosti za bezpečnosť komunikačného a informačného systému, ktorá sa odvíja od ich úloh v rámci systémov a procesov.

                  22.

                  S cieľom zaistiť pochopenie bezpečnostných povinností sa povinne vykonáva informačno-bezpečnostné vzdelávanie a odborná príprava pre dotknutý personál vrátane vyšších riadiacich pracovníkov a používateľov komunikačných a informačných systémov.

         Hodnotenie a schvaľovanie bezpečnostných produktov IT

                  23.

                  Požadovaná úroveň spoľahlivosti bezpečnostných opatrení, vymedzená ako stupeň spoľahlivosti, sa stanovuje na základe výsledkov procesu riadenia rizík a v súlade s príslušnými bezpečnostnými politikami a bezpečnostnými usmerneniami.

                  24.

                  Tento stupeň spoľahlivosti sa preverí pomocou medzinárodne uznávaných alebo vnútroštátne schválených postupov a metodík. Tieto postupy a metodiky predovšetkým zahŕňajú hodnotenie, kontroly a audit.

                  25.

                  Kryptografické produkty na ochranu utajovaných skutočností EÚ vyhodnotí a schváli vnútroštátny kryptografický schvaľovací orgán členského štátu.

                  26.

                  Predtým, ako sa tieto kryptografické produkty v súlade s článkom 7 ods. 5 tohto rozhodnutia odporučia na schválenie kryptografickému schvaľovaciemu orgánu ESVČ, musia byť úspešne zhodnotené druhou stranou, a to náležite kvalifikovaným orgánom členského štátu, ktorý sa nepodieľal na návrhu ani výrobe zariadenia. Podrobnosť hodnotenia druhou stranou závisí od predpokladaného najvyššieho stupňa utajenia utajovaných skutočností EÚ, ktoré sa majú týmito produktmi chrániť.

                  27.

                  Ak si to vyžadujú osobitné operačné okolnosti, kryptografický schvaľovací orgán ESVČ môže na základe odporúčania Bezpečnostného výboru Rady upustiť od požiadaviek uvedených v bodoch 25 alebo 26 a udeliť v súlade článkom 7 ods. 5 tohto rozhodnutia dočasné povolenie na určité obdobie.

                  28.

                  Náležite kvalifikovaným orgánom je kryptografický schvaľovací orgán členského štátu certifikovaný na základe kritérií stanovených Radou na vykonanie druhého hodnotenia kryptografických produktov na ochranu utajovaných skutočností EÚ.

                  29.

                  Bezpečnostnú politiku pre oblasť kvalifikovania a schvaľovania nekryptografických bezpečnostných produktov IT schvaľuje vysoká predstaviteľka.

         Prenos v zabezpečených priestoroch

                  30.

                  Bez ohľadu na ustanovenia tohto rozhodnutia sa pri prenose utajovaných skutočností EÚ, ktorý sa uskutočňuje v rámci zabezpečených priestorov, môže používať nešifrovaná distribúcia alebo šifrovanie na nižšej úrovni, ak to umožňuje výsledok procesu riadenia rizík a ak to schválil orgán bezpečnostnej certifikácie.

         Bezpečné prepojenie komunikačných a informačných systémov

                  31.

                  Na účely tohto rozhodnutia znamená prepojenie priame spojenie dvoch alebo viacerých systémov IT na účely spoločného využívania údajov a iných informačných zdrojov (napr. komunikačných), ktoré môže byť jednosmerné alebo viacsmerné.

                  32.

                  Komunikačný a informačný systém pristupuje ku každému pripojenému systému IT ako k nedôveryhodnému a na kontrolu výmeny utajovaných skutočností uplatňuje ochranné opatrenia.

                  33.

                  Všetky prepojenia komunikačných a informačných systémov s iným systémom IT spĺňajú tieto základné požiadavky:

                              a)

                              funkčné alebo prevádzkové požiadavky takýchto prepojení stanovujú a schvaľujú príslušné orgány;

                              b)

                              prepojenie sa podrobuje riadeniu rizík a certifikácii a musí ho schváliť príslušný orgánu bezpečnostnej certifikácie;

                              c)

                              na obvode všetkých komunikačných a informačných systémov sa zavedie obvodová ochrana.

                  34.

                  Certifikovaný komunikačný a informačný systém nesmie mať nijaké prepojenie s nechránenou alebo verejnou sieťou okrem prípadov, keď má komunikačný a informačný systém schválenú obvodovú ochranu nainštalovanú na tento účel na rozhraní medzi daným komunikačným a informačným systémom a nechránenou alebo verejnou sieťou. Bezpečnostné opatrenia týkajúce sa takéhoto prepojenia prehodnocuje príslušný orgán pre informačnú bezpečnosť a schvaľuje príslušný orgánu bezpečnostnej certifikácie.
                  Keď sa nechránená alebo verejná sieť používa výhradne ako nosič dát, ktoré sú šifrované kryptografickým produktom schváleným v súlade s článkom 7 ods. 5 tohto rozhodnutia, toto spojenie sa nepovažuje za prepojenie.

                  35.

                  Priame alebo kaskádové prepojenie komunikačného a informačného systému certifikovaného na manipuláciu s utajovanými skutočnosťami so stupňom utajenia TRES SECRET UE/EU TOP SECRET s nechránenou alebo verejnou sieťou je zakázané.

         Elektronické médiá na uchovávanie

                  36.

                  Elektronické médiá na uchovávanie sa zničia v súlade s postupom schváleným bezpečnostným orgánom ESVČ.

                  37.

                  Elektronické médiá na uchovávanie je možné opätovne používať a ich stupeň utajenia znížiť alebo zrušiť v súlade s bezpečnostnou politikou stanovenou článkom 7 ods. 2 tohto rozhodnutia.

         Núdzové situácie

                  38.

                  Bez ohľadu na ustanovenia tohto rozhodnutia sa môžu v mimoriadnych situáciách, ako napríklad pri bezprostredne hroziacej kríze alebo počas krízy, konfliktu, vojnového stavu alebo pri výnimočných operačných okolnostiach, na obmedzený čas uplatňovať osobitné postupy uvedené ďalej v texte.

                  39.

                  Utajované skutočnosti EÚ sa môžu so súhlasom príslušného orgánu prenášať šifrované kryptografickými produktmi, ktoré boli schválené pre nižší stupeň utajenia, alebo nešifrované, pokiaľ by akékoľvek zdržanie spôsobilo škody, ktoré jednoznačne prevyšujú škodu spôsobenú neoprávnenou manipuláciou s utajovanou vecou, a ak

                              a)

                              odosielateľ a príjemca nemajú požadované šifrovacie zariadenie alebo nemajú nijaké šifrovacie zariadenie;

                              b)

                              utajovanú vec nie je možné včas doručiť inými prostriedkami.

                  40.

                  Utajované skutočnosti prenášané za okolností uvedených v bode 39 nesmú mať nijaké označenia alebo odkazy, ktorými by sa odlišovali od neutajovanej skutočnosti alebo skutočnosti, ktorá sa môže chrániť dostupným šifrovacím produktom. Príjemcovia sa o stupni utajenia skutočnosti bezodkladne informujú iným spôsobom.

                  41.

                  V prípade uplatnenia ustanovení bode 39 sa následne zasiela správa riaditeľstvu ESVČ pre bezpečnosť a prostredníctvom neho Bezpečnostnému výboru ESVČ. V tejto správe sa uvedie aspoň odosielateľ, príjemca a pôvodca jednotlivých utajovaných skutočností EÚ.

            III.   FUNKCIE A ORGÁNY INFORMAČNEJ BEZPEČNOSTI

                  42.

                  V ESVČ sa zriadia nasledujúce orgány v oblasti informačnej bezpečnosti. Tieto funkcie nemusia byť združené v jednej organizačnej jednotke. Majú samostatné mandáty. Tieto funkcie a ich súvisiace povinnosti sa však môžu spojiť alebo zlúčiť do jednej organizačnej jednotky alebo rozdeliť do rôznych organizačných jednotiek pod podmienkou, že nedochádza k vnútornému konfliktu záujmov alebo úloh.

         Orgán pre informačnú bezpečnosť

                  43.

                  Orgán pre informačnú bezpečnosť zodpovedá za:

                              a)

                              vypracúvanie bezpečnostných politík a bezpečnostných usmernení v oblasti informačnej bezpečnosti a monitorovanie ich účinnosti a vhodnosti;

                              b)

                              ochranu a správu technických informácií týkajúcich sa kryptografických produktov;

                              c)

                              zabezpečenie súladu zvolených opatrení informačnej bezpečnosti na ochranu utajovaných skutočností EÚ s príslušnými politikami, ktorými sa upravuje ich vhodnosť a výber;

                              d)

                              zabezpečenie výberu kryptografických produktov v súlade s politikami, ktorými sa upravuje ich vhodnosť a výber;

                              e)

                              koordináciu odbornej prípravy a informovania o informačnej bezpečnosti;

                              f)

                              konzultácie s poskytovateľom systému, bezpečnostnými subjektmi a zástupcami používateľov o bezpečnostných politikách a bezpečnostných usmerneniach pre informačnú bezpečnosť;

                              g)

                              zabezpečenie dostupnosti vhodnej expertízy v odbornej podskupine Bezpečnostného výboru ESVČ pre otázky informačnej bezpečnosti.

         Orgán pre TEMPEST

                  44.

                  Orgán pre TEMPEST zodpovedá za zabezpečenie súladu komunikačných a informačných systémov s politikami a usmerneniami TEMPEST. Schvaľuje protiopatrenia TEMPEST pre zariadenia a produkty na ochranu utajovaných skutočností EÚ pre určený stupeň utajenia v danom operačnom prostredí.

         Kryptografický schvaľovací orgán

                  45.

                  Kryptografický schvaľovací orgán je zodpovedný za zaistenie súladu kryptografických produktov s príslušnou kryptografickou politikou. Schvaľuje kryptografické produkty na ochranu utajovaných skutočností EÚ pre určený stupeň utajenia v danom operačnom prostredí.

         Kryptografický distribučný orgán

                  46.

                  Kryptografický distribučný orgán zodpovedá za:

                              a)

                              správu a evidenciu kryptografických materiálov EÚ;

                              b)

                              zabezpečenie uplatňovania vhodných postupov a kanálov vytvorených na vedenie evidencie, bezpečnú manipuláciu, uchovávanie a distribúciu všetkých kryptografických materiálov EÚ;

                              c)

                              zabezpečenie postúpenia kryptografického materiálu EÚ osobe alebo od osoby, resp. službe alebo od služby, ktorá ho používa.

         Orgán bezpečnostnej certifikácie

                  47.

                  Orgán bezpečnostnej certifikácie každého systému zodpovedá za:

                              a)

                              zabezpečenie súladu komunikačných a informačných systémov s príslušnými bezpečnostnými politikami a bezpečnostnými usmerneniami, vydávanie potvrdení o schválení na účely manipulácie s utajovanými skutočnosťami EÚ do stanovenej úrovne utajenia v danom operačnom prostredí a stanovenie podmienok certifikácie a kritérií, za ktorých sa vyžaduje opätovné schválenie;

                              b)

                              stanovenie postupu bezpečnostnej certifikácie v súlade s príslušnými politikami a jednoznačné stanovenie podmienok pre schválenie komunikačných a informačných systémov v jeho právomoci;

                              c)

                              vymedzenie stratégie bezpečnostnej certifikácie, v ktorej sa stanoví úroveň podrobnosti certifikácie zodpovedajúca požadovanej úrovni bezpečnosti;

                              d)

                              preverovanie a schvaľovanie dokumentácie týkajúcej sa bezpečnosti vrátane vyhlásenia o riadení rizík a o zvyškovom riziku, vyhlásenia o bezpečnostných požiadavkách špecifických pre systém, dokumentácie na overenie realizácie bezpečnosti a operačných bezpečnostných postupov, ako aj zabezpečenie súladu tejto dokumentácie s bezpečnostnými predpismi a politikami ESVČ;

                              e)

                              kontrolu zavedenia bezpečnostných opatrení vzťahujúcich sa na komunikačné a informačné systémy, pričom vykonáva bezpečnostné hodnotenia, inšpekcie alebo previerky alebo pri nich pomáha;

                              f)

                              stanovenie bezpečnostných požiadaviek (napríklad stupňov previerky personálnej bezpečnosti) pre citlivé pozície vzhľadom na príslušný komunikačný a informačný systém;

                              g)

                              potvrdenie výberu schválených kryptografických produktov a produktov TEMPEST, ktoré sa majú použiť na dosiahnutie bezpečnosti určitého komunikačného a informačného systému;

                              h)

                              schvaľovanie, prípadne účasť na spoločnom schválení pripojenia komunikačného a informačného systému k inému komunikačnému a informačnému systému;

                              i)

                              konzultácie o riadení bezpečnostných rizík, najmä zvyškového rizika, a podmienkach vydania potvrdenia o schválení s poskytovateľom systému, bezpečnostnými subjektmi a zástupcami používateľov.

                  48.

                  Orgán bezpečnostnej certifikácie ESVČ je zodpovedný za certifikáciu všetkých komunikačných a informačných systémov v rámci pôsobnosti ESVČ.

         Komisia pre bezpečnostnú certifikáciu

                  49.

                  Spoločná komisia pre bezpečnostnú certifikáciu je zodpovedná za certifikáciu komunikačných a informačných systémov, ktoré patria zároveň do pôsobnosti orgánu bezpečnostnej certifikácie ESVČ a orgánu bezpečnostnej certifikácie členských štátov. Tvoria ju zástupcovia orgánu bezpečnostnej certifikácie jednotlivých členských štátov a na jej zasadnutiach je prítomný zástupca orgánu bezpečnostnej certifikácie GSR a Komisie. Iné subjekty s uzlami v určitom komunikačnom a informačnom systéme sa prizývajú na zasadnutie, keď sa rokuje o danom systéme.
                  Predsedom komisie pre bezpečnostnú certifikáciu je zástupca orgánu bezpečnostnej certifikácie ESVČ. Orgán bezpečnostnej certifikácie sa uznáša konsenzom zástupcov orgánu bezpečnostnej certifikácie inštitúcií, členských štátov a iných subjektov s uzlami v danom komunikačnom a informačnom systéme. Podáva pravidelné správy o svojej činnosti Bezpečnostnému výboru ESVČ a oznamuje mu všetky vydané potvrdenia o certifikácii.

         Operačný orgán pre informačnú bezpečnosť

                  50.

                  Operačný orgán pre informačnú bezpečnosť každého systému zodpovedá za:

                              a)

                              vytváranie bezpečnostnej dokumentácie v súlade s bezpečnostnými politikami a bezpečnostnými usmerneniami, predovšetkým vyhláseniami o bezpečnostných požiadavkách špecifických pre systém vrátane vyhlásenia o zvyškovom riziku, operačnými bezpečnostnými postupmi a šifrovacou stratégiou v rámci certifikácie komunikačných a informačných systémov;

                              b)

                              účasť na výbere a testovaní technických bezpečnostných opatrení, zariadení a softvéru špecifických pre daný systém, dohľad nad ich zavádzaním a zabezpečenie ich bezpečnej inštalácie, konfigurácie a údržby v súlade s príslušnou bezpečnostnou dokumentáciou;

                              c)

                              podiel na výbere bezpečnostných opatrení a zariadení TEMPEST, pokiaľ sa požadujú v bezpečnostných požiadavkách špecifických pre systém, a zaistenie ich bezpečnej inštalácie a údržby v spolupráci s orgánom pre TEMPEST;

                              d)

                              monitorovanie vykonávania a uplatňovania operačných bezpečnostných postupov a v prípade potreby poverenie vlastníka systému povinnosťami týkajúcimi sa operačnej bezpečnosti;

                              e)

                              správu kryptografických produktov a manipuláciu s nimi, zabezpečenie úschovy kryptografických a kontrolovaných položiek a ak sa to požaduje, zabezpečenie generovania kryptografických premenných parametrov;

                              f)

                              vykonávanie bezpečnostných analytických previerok a testov, najmä s cieľom pripraviť príslušné správy o rizikách v zmysle požiadaviek orgánu bezpečnostnej certifikácie;

                              g)

                              poskytovanie odbornej prípravy o informačnej bezpečnosti pre daný komunikačný a informačný systém;

                              h)

                              zavádzanie a prevádzkovanie bezpečnostných opatrení špecifických pre komunikačné a informačné systémy.

      PRÍLOHA A V

         PRIEMYSELNÁ BEZPEČNOSŤ

      I.   ÚVOD

                  1.

                  V tejto prílohe sa uvádzajú vykonávacie ustanovenia k článku 9 prílohy A. Stanovujú sa ňou všeobecné bezpečnostné ustanovenia uplatniteľné na priemyselné alebo iné subjekty počas rokovaní pred uzatvorením zmluvy a počas celého životného cyklu utajovanej zmluvy s ESVČ.

                  2.

                  Politiku pre oblasť priemyselnej bezpečnosti schvaľuje vysoká predstaviteľka. V tejto politike sú zahrnuté predovšetkým podrobné požiadavky týkajúce sa previerky bezpečnosti zariadenia, bezpečnostných doložiek, návštev a prenosu utajovaných skutočností EÚ.

            II.   BEZPEČNOSTNÉ PRVKY V UTAJOVANEJ ZMLUVE

         Usmernenia na určovanie stupňa utajenia

                  3.

                  Pred začatím výberového konania alebo uzatvorením utajovanej zmluvy určí ESVČ ako verejný obstarávateľ stupeň utajenia všetkých utajovaných skutočností, ktoré sa majú poskytnúť uchádzačom a dodávateľom, ako aj stupeň utajenia všetkých skutočností, ktoré dodávateľ vytvorí. ESVČ na tento účel pripraví usmernenia na určovanie stupňa utajenia, ktoré sa budú uplatňovať pri plnení zmluvy.

                  4.

                  Pri určovaní stupňa utajenia rôznych prvkov utajovanej zmluvy sa uplatňujú tieto zásady:

                              a)

                              ESVČ pri príprave usmernení na určovanie stupňa utajenia zohľadňuje všetky príslušné bezpečnostné hľadiská vrátane stupňa utajenia, ktorý utajovanej skutočnosti, poskytnutej a schválenej na použitie v súvislosti so zmluvou určil jej pôvodca;

                              b)

                              celkový stupeň utajenia zmluvy nesmie byť nižší ako najvyššia úroveň utajenia ktoréhokoľvek z jej prvkov;

                              c)

                              ak je to relevantné, v prípade akejkoľvek zmeny týkajúcej sa stupňa utajenia skutočností, ktoré dodávatelia vytvorili alebo ktoré im boli poskytnuté počas plnenia zmluvy, alebo v prípade následných zmien v usmerneniach na určovanie stupňa utajenia, sa ESVČ spojí s NBÚ/povereným bezpečnostným orgánom členských štátov alebo s ktorýmkoľvek iným dotknutým príslušným bezpečnostným orgánom.

         Bezpečnostná doložka

                  5.

                  V bezpečnostnej doložke sú opísané bezpečnostné požiadavky špecifické pre zmluvu. Ak je to vhodné, bezpečnostná doložka obsahuje usmernenia na určovanie stupňa utajenia a tvorí neoddeliteľnú súčasť utajovanej zmluvy alebo subdodávateľskej zmluvy.

                  6.

                  V bezpečnostnej doložke sa uvádzajú ustanovenia, podľa ktorých musí dodávateľ a/alebo subdodávateľ dodržiavať minimálne normy stanovené v tomto rozhodnutí. Nedodržanie týchto minimálnych noriem sa môže považovať za dostatočný dôvod na vypovedanie zmluvy.

         Bezpečnostné pokyny pre program/projekt

                  7.

                  V závislosti od rozsahu programov alebo projektov, ktorých súčasťou je manipulácia s utajovanými skutočnosťami EÚ alebo uchovávanie, môže verejný obstarávateľ poverený riadením programu alebo projektu pripraviť špecifické bezpečnostné pokyny pre program/projekt. Bezpečnostné pokyny pre program/projekt si vyžadujú schválenie zo strany NBÚ/povereného bezpečnostného orgánu členského štátu alebo ktoréhokoľvek iného príslušného bezpečnostného orgánu členských štátov zapojeného do programu/projektu a môžu obsahovať dodatočné bezpečnostné požiadavky.

            III.   PREVIERKA BEZPEČNOSTI ZARIADENIA

                  8.

                  Riaditeľstvo ESVČ pre bezpečnosť požiada NBÚ alebo poverený bezpečnostný orgán alebo iný príslušný bezpečnostný orgán dotknutého členského štátu o udelenie previerky bezpečnosti zariadenia, aby v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi preukázal, že priemyselný alebo iný subjekt je schopný vo svojich zariadeniach chrániť utajované skutočnosti EÚ na príslušnom stupni utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET). Dodávateľovi, subdodávateľovi alebo potenciálnemu dodávateľovi či subdodávateľovi sa neumožní ani neudelí prístup k utajovaným skutočnostiam EÚ, kým sa ESVČ nedoručí doklad o previerke bezpečnosti zariadenia.

                  9.

                  V prípade potreby ESVČ ako verejný obstarávateľ oznámi príslušnému NBÚ/poverenému bezpečnostnému orgánu alebo ktorémukoľvek inému príslušnému bezpečnostnému orgánu, že previerka bezpečnosti zariadenia je potrebná vo fáze pred uzatvorením zmluvy alebo na účely plnenia zmluvy. Previerka bezpečnosti zariadenia alebo previerka personálnej bezpečnosti sa vyžaduje vo fáze pred uzatvorením zmluvy, ak sa počas predkladania ponúk musia poskytnúť utajované skutočnosti EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET.

                  10.

                  ESVČ ako verejný obstarávateľ neuzatvorí utajovanú zmluvu s uchádzačom, ktorého uprednostňuje, kým mu NBÚ/poverený bezpečnostný orgán alebo ktorýkoľvek iný príslušný bezpečnostný orgán členského štátu, v ktorom má dotknutý dodávateľ alebo subdodávateľ sídlo, nepotvrdí, že príslušná previerka bezpečnosti zariadenia bola v potrebných prípadoch vydaná.

                  11.

                  ESVČ ako verejný obstarávateľ požiada príslušný NBÚ/poverený bezpečnostný orgán alebo ktorýkoľvek iný príslušný bezpečnostný orgán, ktorý vydal previerku bezpečnosti zariadenia, aby ju informoval o všetkých negatívnych skutočnostiach, ktoré majú vplyv na previerku bezpečnosti zariadenia. V prípade subdodávateľskej zmluvy sa príslušným spôsobom informuje NBÚ/poverený bezpečnostný orgán alebo ktorýkoľvek iný príslušný bezpečnostný orgán.

                  12.

                  Odňatie previerky bezpečnosti zariadenia príslušným NBÚ/povereným bezpečnostným orgánom alebo ktorýmkoľvek iným príslušným bezpečnostným orgánom predstavuje pre ESVČ ako verejného obstarávateľa dostatočný dôvod na vypovedanie utajovanej zmluvy alebo na vylúčenie uchádzača zo súťaže.

            IV.   PREVIERKY PERSONÁLNEJ BEZPEČNOSTI PRE PERSONÁL DODÁVATEĽA

                  13.

                  Všetci členovia personálu pracujúceho pre dodávateľov, ktorí potrebujú prístup k utajovaným skutočnostiam EÚ so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, sú náležite bezpečnostne preverení a potrebujú poznať skutočnosti, ku ktorým majú prístup. Aj keď prístup k utajovaným skutočnostiam EÚ so stupňom utajenia RESTREINT UE/EU RESTRICTED si nevyžaduje previerku personálnej bezpečnosti, zásada potreby poznať je pre takýto prístup platná.

                  14.

                  Žiadosti o previerku personálnej bezpečnosti pre personál zmluvného dodávateľa sa predkladajú NBÚ/poverenému bezpečnostnému orgánu zodpovednému za príslušný subjekt.

                  15.

                  ESVČ oznámi zmluvným dodávateľom, ktorí chcú zamestnať štátneho príslušníka tretej krajiny vo funkcii vyžadujúcej prístup k utajovaným skutočnostiam EÚ, že za určenie možnosti udeliť danej osobe prístup k takýmto skutočnostiam v súlade s týmto rozhodnutím a za potvrdenie, že pred udelením takéhoto prístupu bol určite poskytnutý súhlas pôvodcu, zodpovedá NBÚ/poverený bezpečnostný orgán členského štátu, v ktorom má zamestnávajúci subjekt sídlo a v ktorom je zapísaný do registra.

            V.   UTAJOVANÉ ZMLUVY A SUBDODÁVATEĽSKÉ ZMLUVY

                  16.

                  V prípade, že sa utajované skutočnosti EÚ uchádzačovi poskytujú vo fáze pred uzatvorením zmluvy, výzva na predkladanie ponúk obsahuje ustanovenie, že predkladateľ ponuky, ktorý nepredloží ponuku alebo nie je vybratý, je povinný v stanovenej lehote vrátiť všetky utajované dokumenty.

                  17.

                  Po uzatvorení utajovanej zmluvy alebo subdodávateľskej zmluvy oznámi ESVČ ako verejný obstarávateľ NBÚ/poverenému bezpečnostnému orgán alebo ktorémukoľvek inému príslušnému bezpečnostnému orgánu daného dodávateľa alebo subdodávateľa bezpečnostné ustanovenia utajovanej zmluvy.

                  18.

                  Keď sa takéto zmluvy vypovedajú alebo skončí ich účinnosť, ESVČ ako verejný obstarávateľ (a/alebo NBÚ/poverený bezpečnostný orgán alebo podľa okolností ktorýkoľvek iný príslušný bezpečnostný orgán v prípade subdodávateľskej zmluvy) túto skutočnosť bezodkladne oznámi NBÚ/poverenému bezpečnostnému orgánu alebo inému príslušnému bezpečnostnému orgánu členského štátu, v ktorom má dodávateľ alebo subdodávateľ sídlo.

                  19.

                  Od dodávateľov alebo subdodávateľov sa spravidla požaduje, aby po vypovedaní utajovanej zmluvy alebo subdodávateľskej zmluvy alebo skončení jej účinnosti vrátili verejnému obstarávateľovi všetky utajované skutočnosti EÚ, ktorých sú držiteľmi.

                  20.

                  Osobitné ustanovenia týkajúce sa manipulácie s utajovanými skutočnosťami EÚ počas plnenia zmluvy alebo po jej vypovedaní či skončení jej účinnosti sú uvedené v bezpečnostnej doložke.

                  21.

                  Ak sa dodávateľovi alebo subdodávateľovi povolí, aby si ponechal utajované skutočnosti EÚ po vypovedaní zmluvy alebo skončení jej účinnosti, dodávateľ alebo subdodávateľ musí naďalej spĺňať minimálne normy uvedené v tomto rozhodnutí a chrániť dôvernosť utajovaných skutočností EÚ.

                  22.

                  Podmienky, za ktorých môže dodávateľ uzatvárať subdodávateľské zmluvy, sa vymedzujú vo výzve na predkladanie ponúk a v zmluve.

                  23.

                  Dodávateľ musí získať povolenie od ESVČ ako verejného obstarávateľa pred tým, ako zadá niektorú z častí utajovanej zmluvy subdodávateľom. Nesmie sa uzatvoriť nijaká subdodávateľská zmluva s priemyselnými alebo inými subjektmi so sídlom v štáte, ktorý nie je členským štátom EÚ a neuzavrel s EÚ dohodu o bezpečnosti informácií.

                  24.

                  Dodávateľ je zodpovedný za zabezpečenie toho, aby boli všetky subdodávateľské činnosti realizované v súlade s minimálnymi normami stanovenými v tomto rozhodnutí, a nesmie poskytnúť utajované skutočnosti EÚ subdodávateľovi bez predchádzajúceho písomného súhlasu verejného obstarávateľa.

                  25.

                  Pokiaľ ide o utajované skutočnosti EÚ, ktoré vytvoril alebo s ktorými manipuluje dodávateľ alebo subdodávateľ, práva pôvodcu vykonáva verejný obstarávateľ.

            VI.   NÁVŠTEVY VYKONÁVANÉ V SÚVISLOSTI S UTAJOVANÝMI ZMLUVAMI

                  26.

                  Ak ESVČ, dodávatelia alebo subdodávatelia potrebujú na účely plnenia utajovanej zmluvy prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET UE/EU SECRET v objektoch druhej strany, spoločne organizujú návštevy v spolupráci s NBÚ/povereným bezpečnostným orgánom alebo ktorýmkoľvek iným dotknutým príslušným bezpečnostným orgánom. NBÚ/povereným bezpečnostným orgánom môže bez toho, aby boli dotknuté jeho osobitné právomoci, súhlasiť v súvislosti so špecifickými projektmi aj s postupom, pri ktorom sa takéto návštevy organizujú priamo.

                  27.

                  Všetci návštevníci sú držiteľmi príslušných previerok personálnej bezpečnosti a majú potrebu poznať na účely prístupu k utajovaným skutočnostiam EÚ, ktoré sa týkajú zmluvy s ESVČ.

                  28.

                  Návštevníkom sa udelí prístup len k utajovaným skutočnostiam EÚ, ktoré sa týkajú účelu návštevy.

            VII.   PRENOS UTAJOVANÝCH SKUTOČNOSTÍ EÚ ELEKTRONICKÝMI A FYZICKÝMI PROSTRIEDKAMI

                  29.

                  Pokiaľ ide o prenos utajovaných skutočností EÚ elektronickými prostriedkami, uplatňujú sa príslušné ustanovenia článku 8 prílohy A a prílohy A IV.

                  30.

                  Pokiaľ ide o prenos utajovaných skutočností EÚ fyzickými prostriedkami, uplatňujú sa príslušné ustanovenia prílohy A III v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi.

                  31.

                  Pri určovaní bezpečnostných opatrení na prepravu utajovaných vecí ako nákladu sa uplatňujú tieto zásady:

                              a)

                              bezpečnosť sa zaisťuje počas všetkých etáp prepravy z miesta pôvodu na miesto konečného určenia;

                              b)

                              úroveň ochrany zásielky sa určuje podľa stupňa utajenia veci s najvyšším stupňom utajenia, ktorá sa v nej nachádza;

                              c)

                              previerka bezpečnosti zariadenia príslušného stupňa sa získa pre spoločnosti poskytujúce prepravu v prípade, keď zároveň platí, že utajované skutočnosti sa uchovávajú v zariadeniach dodávateľa; v každom prípade je personál, ktorý so zásielkou manipuluje, primerane bezpečnostne preverený v súlade s prílohou A I;

                              d)

                              pred každou cezhraničnou prepravou veci so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo SECRET UE/EU SECRET odosielateľ vypracuje plán prepravy, ktorý schváli podľa okolností ESVČ spolu s NBÚ/povereným bezpečnostným orgánom odosielateľa aj príjemcu alebo ktorýmkoľvek iným dotknutým príslušným bezpečnostným orgánom;

                              e)

                              cesty sa v čo najväčšom možnom rozsahu vykonávajú priamo z miesta pôvodu na miesto určenia a uskutočňujú sa v čo najkratšom čase, aký umožňujú okolnosti;

                              f)

                              ak je to možné, trasy ciest by mali prechádzať len cez územia členských štátov. Cesty cez iné štáty, ako sú členské štáty EÚ, by sa mali realizovať len v prípade, ak ich povolí ESVČ alebo ktorýkoľvek iný príslušný bezpečnostný orgán štátu odosielateľa aj príjemcu.

            VIII.   POSTÚPENIE UTAJOVANÝCH SKUTOČNOSTÍ EÚ DODÁVATEĽOM, KTORÍ SA NACHÁDZAJÚ V TRETÍCH KRAJINÁCH

                  32.

                  Postúpenie utajovaných skutočností EÚ dodávateľom a subdodávateľom so sídlom v tretích krajinách, ktoré uzatvorili s EÚ platnú dohodu o bezpečnosti, sa uskutoční v súlade s bezpečnostnými opatreniami dohodnutými medzi ESVČ ako verejným obstarávateľom a NBÚ/povereným bezpečnostným orgánom dotknutej tretej krajiny, v ktorej má dodávateľ sídlo.

            IX.   MANIPULÁCIA S UTAJOVANÝMI SKUTOČNOSŤAMI SO STUPŇOM UTAJENIA RESTREINT UE/EU RESTRICTED A ICH UCHOVÁVANIE

                  33.

                  ESVČ ako verejný obstarávateľ môže podľa potreby v spolupráci s NBÚ/povereným bezpečnostným orgánom členského štátu a na základe zmluvných ustanovení vykonávať návštevy zariadení dodávateľa/subdodávateľa s cieľom preveriť, či sa uplatňujú príslušné bezpečnostné opatrenia potrebné na ochranu utajovaných skutočností EÚ so stupňom utajenia RESTREINT UE/EU RESTRICTED, ako sa to požaduje v zmluve.

                  34.

                  ESVČ ako verejný obstarávateľ informuje NBÚ/poverený bezpečnostný orgán alebo ktorékoľvek iné príslušné bezpečnostné orgány o zmluvách alebo subdodávateľských zmluvách, ktoré obsahujú utajované skutočnosti so stupňom utajenia RESTREINT UE/EU RESTRICTED, a to v takom rozsahu, ako to ukladajú vnútroštátne zákony a iné právne predpisy.

                  35.

                  Previerka bezpečnosti zariadenia ani previerka personálnej bezpečnosti pre dodávateľov alebo subdodávateľov a ich personál sa nevyžaduje pre zmluvy ESVČ, ktoré obsahujú utajované skutočnosti so stupňom utajenia RESTREINT UE/EU RESTRICTED.

                  36.

                  ESVČ ako verejný obstarávateľ, bez ohľadu na akékoľvek požiadavky stanovené vnútroštátnymi zákonmi a inými právnymi predpismi o previerke bezpečnosti zariadenia alebo previerke personálnej bezpečnosti, preskúma odpovede na výzvy na predloženie ponuky, ktoré sa týkajú zmlúv, v rámci ktorých je potrebný prístup k utajovaným skutočnostiam so stupňom utajenia RESTREINT UE/EU RESTRICTED.

                  37.

                  Podmienky, za ktorých môže dodávateľ uzatvárať subdodávateľské zmluvy, sú v súlade s bodmi 22 až 24.

                  38.

                  Ak sa v rámci zmluvy manipuluje s utajovanými skutočnosťami so stupňom utajenia RESTREINT UE/EU RESTRICTED v komunikačnom a informačnom systéme, ktorý prevádzkuje dodávateľ, ESVČ ako verejný obstarávateľ zabezpečí, aby sa v zmluve alebo subdodávateľskej zmluve uvádzali potrebné technické a administratívne požiadavky týkajúce sa certifikácie komunikačného a informačného systému zodpovedajúce vyhodnotenému riziku, pričom sa zohľadnia všetky relevantné faktory. Rozsah certifikácie takého komunikačného a informačného systému dohodnú verejný obstarávateľ a príslušný NBÚ/poverený bezpečnostný orgán.

      PRÍLOHA A VI

         VÝMENA UTAJOVANÝCH SKUTOČNOSTÍ S TRETÍMI KRAJINAMI A MEDZINÁRODNÝMI ORGANIZÁCIAMI

      I.   ÚVOD

                  1.

                  V tejto prílohe sa uvádzajú vykonávacie ustanovenia k článku 10 prílohy A.

            II.   RÁMCE UPRAVUJÚCE VÝMENU UTAJOVANÝCH SKUTOČNOSTÍ

                  2.

                  ESVČ môže vymieňať utajované skutočnosti EÚ s tretími krajinami alebo medzinárodnými organizáciami v súlade s článkom 10 ods. 1 prílohy A.
                  S cieľom pomôcť VP pri plnení povinností stanovených v článku 218 ZFEU:

                              a)

                              príslušné geografické alebo tematické oddelenie ESVČ, po konzultáciách s riaditeľstvom pre bezpečnosť ESVČ, podľa okolností určí potrebu dlhodobej výmeny utajovaných skutočností EÚ s dotknutou treťou krajinou alebo medzinárodnou organizáciou;

                              b)

                              riaditeľstvo pre bezpečnosť ESVČ, po konzultáciách s príslušným geografickým alebo tematickým oddelením ESVČ, podľa okolností predloží VP návrhy textov, ktoré sa predložia Rade podľa článku 218 ods. 3, ods. 5 a ods. 6 ZFEÚ;

                              c)

                              riaditeľstvo ESVČ pre bezpečnosť poskytuje pomoc VP pri rokovaniach, pričom koordinuje svoj postup s príslušnými útvarmi Komisie a Generálnym sekretariátom Rady;

                              d)

                              pokiaľ ide o dohody alebo opatrenia uzatvorené s tretími krajinami v súvislosti s ich účasťou na operáciách krízového riadenia SBOP v zmysle článku 10 ods. 1 písm. c) prílohy A, riaditeľstvo ESVČ pre krízové riadenie a plánovanie, po konzultáciách s príslušnými útvarmi ESVČ, podľa okolností preloží VP návrhy textov, ktoré sa predložia Rade podľa článku 218 ods. 3, ods. 5 a ods.6 ZFEÚ, a poskytne VP pomoc pri rokovaniach v koordinácii s príslušnými útvarmi ESVČ a Generálnym sekretariátom Rady.

                  3.

                  Tam, kde dohody o bezpečnosti informácií stanovujú potrebu dohodnúť technické vykonávacie opatrenia medzi riaditeľstvom ESVČ pre bezpečnosť (v koordinácii s riaditeľstvom pre bezpečnosť Generálneho riaditeľstva Európskej komisie pre ľudské zdroje a bezpečnosť a bezpečnostným úradom Generálneho sekretariátu Rady) a príslušným bezpečnostným orgánom dotknutej tretej krajiny alebo medzinárodnej organizácie, takéto opatrenia zohľadnia úroveň ochrany poskytovanej bezpečnostnými predpismi, štruktúrami a postupmi platnými v dotknutej tretej krajine alebo medzinárodnej organizácii.

                  4.

                  V prípade existencie dlhodobej potreby výmeny utajovaných skutočností so stupňom utajenia nie vyšším ako RESTREINT UE/EU RESTRICTED medzi ESVČ a treťou krajinou alebo medzinárodnou organizáciou a ak sa stanovilo, že daná strana nemá dostatočne rozvinutý bezpečnostný systém na to, aby sa s ňou mohla uzatvoriť dohoda o bezpečnosti informácií, môže VP na základe jednomyseľného súhlasu Bezpečnostného výboru ESVČ v súlade s článkom 14 ods. 5 tohto rozhodnutia uzatvoriť s príslušnými bezpečnostnými orgánmi danej tretej krajiny alebo medzinárodnej organizácie administratívnu dohodu.

                  5.

                  S treťou krajinou alebo medzinárodnou organizáciou sa nesmú vymieňať nijaké utajované skutočnosti EÚ elektronickými prostriedkami, pokiaľ sa to výslovne nestanoví v dohode o bezpečnosti informácií alebo v administratívnej dohode.

                  6.

                  Na základe administratívnej dohody o výmene utajovaných skutočností stanoví ESVČ a tretia krajina alebo medzinárodná organizácia register ako hlavné miesto vstupu a výstupu pre výmenu utajovaných skutočností. V prípade ESVČ to bude centrálny register ESVČ.

                  7.

                  Administratívne dohody majú spravidla formu výmeny listov.

            III   HODNOTIACE NÁVŠTEVY

                  8.

                  Hodnotiace návštevy podľa článku 16 tohto rozhodnutia sa vykonávajú na základe vzájomnej dohody s dotknutým tretím štátom alebo medzinárodnou organizáciou a hodnotia:

                              a)

                              regulačný rámec uplatniteľný na ochranu utajovaných skutočností;

                              b)

                              osobitné charakteristiky bezpečnostných právnych predpisov, nariadení, politík alebo postupov tretieho štátu alebo medzinárodnej organizácie, ktoré by mohli mať vplyv na maximálny stupeň utajenia utajovaných skutočností, ktoré možno vymieňať;

                              c)

                              platné bezpečnostné opatrenia a postupy na ochranu utajovaných skutočností;

                              d)

                              postupy bezpečnostnej previerky pre stupeň utajenia utajovaných skutočností EÚ, ktoré sa majú poskytnúť.

                  9.

                  Žiadne utajované skutočnosti EÚ nebudú vymenené skôr, ako sa uskutoční hodnotiaca návšteva a nestanoví sa úroveň, na ktorej sa môžu vymieňať utajované skutočnosti medzi stranami, a to na základe rovnocennosti úrovne ochrany, ktorá bude poskytnutá.
                  Ak je v čase prípravy tejto hodnotiacej návštevy VP informovaný o mimoriadnych alebo naliehavých dôvodoch na výmenu utajovaných skutočností, ESVČ:

                              a)

                              najskôr požiada o písomný súhlas pôvodcu s cieľom zistiť, či neexistujú nejaké námietky proti poskytnutiu;

                              b)

                              sa obráti na bezpečnostný orgán ESVČ, ktorý môže rozhodnúť o poskytnutí, pod podmienkou získania jednomyseľného súhlasu zástupcov členských štátov v Bezpečnostnom výbore ESVČ.

                        Ak ESVČ nemôže určiť pôvodcu, bezpečnostný orgán ESVČ prevezme zodpovednosť pôvodcu po získaní jednomyseľného súhlasného stanoviska Bezpečnostného výboru ESVČ.

            IV.   PRÁVOMOC POSKYTOVAŤ UTAJOVANÉ SKUTOČNOSTI EÚ TRETÍM ŠTÁTOM ALEBO MEDZINÁRODNÝM ORGANIZÁCIÁM

                  10.

                  Ak existuje rámec v súlade s článkom 10 ods. 1 prílohy A na výmenu utajovaných skutočností s tretím štátom alebo medzinárodnou organizáciou, rozhodnutie o tom, že ESVČ poskytne utajované skutočnosti EÚ tretiemu štátu alebo medzinárodnej organizácii, prijme bezpečnostný orgán ESVČ, ktorý môže túto právomoc delegovať na vyšších úradníkov ESVČ alebo iné osoby, ktorým je nadriadený.

                  11.

                  Ak pôvodcom utajovaných skutočností, ktoré sa majú poskytnúť, vrátane pôvodcov zdrojovej veci, ktorú môžu obsahovať, nie je ESVČ, ESVČ najprv získa písomný súhlas pôvodcu s poskytnutím, aby sa určilo, že neexistujú nijaké námietky proti poskytnutiu. Ak ESVČ nemôže určiť pôvodcu, bezpečnostný orgán ESVČ prevezme zodpovednosť pôvodcu po získaní jednomyseľného súhlasného stanoviska zástupcov členských štátov v Bezpečnostnom výbore ESVČ.

            V.   VÝNIMOČNÉ POSKYTNUTIE UTAJOVANÝCH SKUTOČNOSTÍ EÚ AD HOC

                  12.

                  Ak neexistuje nijaký z rámcov uvedených v článku 10 ods. 1 prílohy A a ak záujmy EÚ alebo jedného či viacerých členských štátov vyžadujú poskytnutie utajovaných skutočností EÚ z politických, operačných alebo naliehavých dôvodov, výnimočne možno poskytnúť utajované skutočnosti EÚ tretiemu štátu alebo medzinárodnej organizácii po prijatí týchto opatrení.
                  Bezpečnostné riaditeľstvo ESVČ po zaistení splnenia podmienok uvedených v bode 11:

                              a)

                              v možnej miere overí u bezpečnostných orgánov dotknutého tretieho štátu alebo medzinárodnej organizácie, že ich bezpečnostné predpisy, štruktúry a postupy zaručujú ochranu poskytnutých utajovaným skutočnostiam EÚ v súlade s normami, ktoré nie sú menej prísne ako normy stanovené v tomto rozhodnutí;

                              b)

                              vyzve Bezpečnostný výbor ESVČ, aby na základe informácii, ktoré má k dispozícii, vydal odporúčanie, pokiaľ ide o dôveryhodnosť, ktorú možno prikladať týmto bezpečnostným predpisom, štruktúram a postupom v treťom štáte alebo medzinárodnej organizácii, ktorým sa majú utajované skutočnosti EÚ poskytnúť;

                              c)

                              obráti sa na bezpečnostný orgán ESVČ, ktorý môže rozhodnúť o poskytnutí, pod podmienkou vyslovenia jednomyseľného súhlasu zástupcov členských štátov v Bezpečnostnom výbore ESVČ.

                  13.

                  Ak neexistuje niektorý z rámcov uvedených v článku 10 ods. 1 prílohy A, dotknutá tretia strana sa písomne zaviaže, že bude náležite chrániť utajované skutočnosti EÚ.

      DODATOK A
      VYMEDZENIE POJMOV
      Na účely tohto rozhodnutia sa uplatňujú tieto vymedzenia pojmov:

                  „Certifikácia“ je proces vedúci k formálnemu vyhláseniu orgánu bezpečnostnej certifikácie, že systém je schválený na prevádzku so stanoveným stupňom utajenia, v konkrétnom bezpečnostnom režime v príslušnom prevádzkovom prostredí a s prijateľnou mierou rizika, a to za predpokladu, že sa uplatnil schválený súbor technických, fyzických, organizačných a procedurálnych bezpečnostných opatrení.

                  „Majetok“ je všetko, čo má hodnotu pre organizáciu, jej prevádzkové činnosti a ich kontinuitu vrátane informačných zdrojov, ktoré pomáhajú plniť organizácii jej poslanie.

                  „Povolenie na prístup k utajovaným skutočnostiam EÚ“ je povolenie bezpečnostného orgánu ESVČ, ktoré sa vydáva na základe tohto rozhodnutia a ukončenej bezpečnostnej previerky vykonanej príslušnými orgánmi členského štátu a ktorým sa potvrdzuje, že osobe sa môže za predpokladu, že sa zistila jej potreba poznať, udeliť prístup k utajovaným skutočnostiam EÚ do určeného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho) a do určeného dátumu – pozri článok 2 prílohy A I.

                  „Narušenie bezpečnosti“ je konanie alebo opomenutie zo strany určitej osoby, ktoré je v rozpore s bezpečnostnými pravidlami stanovenými v tomto rozhodnutí a/alebo bezpečnostnými politikami či usmerneniami stanovujúcimi akékoľvek opatrenia potrebné na jeho vykonávanie.

                  „Životný cyklus komunikačného a informačného systému“ je celkové trvanie existencie komunikačného a informačného systému, ktoré zahŕňa prvotný zámer, koncepciu, plánovanie, analýzu požiadaviek, projektovanie, vývoj, testovanie, uvedenie do prevádzky, prevádzku, údržbu a vyradenie.

                  „Utajovaná zmluva“ je zmluva medzi ESVČ a dodávateľom o dodaní tovaru, vykonaní prác alebo poskytnutí služieb, ktorej plnenie si vyžaduje alebo zahŕňa prístup k utajovaným skutočnostiam EÚ alebo ich vytvorenie.

                  „Utajovaná subdodávateľská zmluva“ je zmluva medzi dodávateľom ESVČ a iným dodávateľom (t. j. subdodávateľom) o dodaní tovaru, vykonaní prác alebo poskytnutí služieb, ktorej plnenie si vyžaduje alebo zahŕňa prístup k utajovaným skutočnostiam EÚ alebo ich vytvorenie.

                  „Komunikačný a informačný systém“ je každý systém, ktorý umožňuje spracovanie informácií v elektronickej podobe. Komunikačný a informačný systém zahŕňa všetky prostriedky potrebné na prevádzku vrátane infraštruktúry, organizácie, ľudských a informačných zdrojov – pozri článok 8 ods. 2 prílohy A.

                  „Únik utajovaných skutočností EÚ“ je plné alebo čiastočné poskytnutie utajovaných skutočností EÚ neoprávneným osobám alebo subjektom – pozri článok 8 ods. 2.

                  „Dodávateľ“ je fyzická alebo právnická osoba právne spôsobilá uzatvárať zmluvy.

                  „Kryptografické produkty“ sú kryptografické algoritmy, kryptografický hardvér a softvérové moduly a produkty vrátane údajov o ich implementácii, príslušnej dokumentácie a kryptografických kľúčov.

                  „Operácia SBOP“ je operácia vojenského alebo civilného krízového riadenia podľa hlavy V kapitoly 2 Zmluvy o EÚ.

                  „Zrušenie utajenia“ je odňatie bezpečnostného utajenia.

                  „Hĺbková ochrana“ je uplatňovanie škály bezpečnostných opatrení, ktoré sa organizujú do viacerých ochranných úrovní.

                  „Poverený bezpečnostný orgán“ je orgán podliehajúci národnému bezpečnostnému orgánu (NBÚ) členského štátu, ktorý je zodpovedný za informovanie priemyselných alebo iných subjektov o vnútroštátnej politike vo všetkých záležitostiach priemyselnej bezpečnosti a za usmerňovanie a podporu pri jej vykonávaní. Funkcie povereného bezpečnostného orgánu môže vykonávať NBÚ alebo ktorýkoľvek iný príslušný orgán.

                  „Dokument“ je každá zaznamenaná informácia bez ohľadu na jej podobu alebo vlastnosti.

                  „Zníženie stupňa utajenia“ je zníženie úrovne utajenia.

                  „Utajovaná skutočnosť Európskej únie“ (utajovaná skutočnosť EÚ) je každá informácia alebo vec, označená vymedzením stupňa utajenia EÚ, ktorej neoprávnené sprístupnenie by mohlo v rôznej miere poškodiť záujmy Európskej únie alebo jedného či viacerých členských štátov – pozri článok 2 písm. f).

                  „Previerka bezpečnosti zariadenia“ je správne rozhodnutie NBÚ alebo povereného bezpečnostného orgánu, že z hľadiska bezpečnosti poskytuje zariadenie primeranú ochranu utajovaných skutočností EÚ pre určený stupeň utajenia a jeho zamestnanci, ktorí potrebujú prístup k utajovaným skutočnostiam EÚ, boli primerane bezpečnostne preverení a poučení o príslušných bezpečnostných požiadavkách pre prístup k utajovaným skutočnostiam EÚ a ich ochrane.

                  „Manipulácia“ s utajovanými skutočnosťami EÚ je akýkoľvek úkon v súvislosti s utajovanými skutočnosťami EÚ, ktorý sa môže vykonať počas ich životného cyklu. Zahŕňa vytvorenie, spracovanie, prenos, zníženie stupňa utajenia, zrušenie utajenia a zničenie. V súvislosti s komunikačnými a informačnými systémami zahŕňa takisto zber, zobrazenie, prenos elektronickými prostriedkami a uchovávanie.

                  „Držiteľ“ je riadne oprávnená osoba, u ktorej sa zistila potreba poznať a ktorá má v držbe položku utajovaných skutočností EÚ, a preto zodpovedá za jej ochranu.

                  „Priemyselný alebo iný subjekt“ je subjekt, ktorý dodáva tovar, vykonáva práce alebo poskytuje služby; môže zahŕňať subjekty pôsobiace v oblasti priemyslu, obchodu, služieb, vedy, výskumu, vzdelávania alebo rozvoja alebo samostatne zárobkovo činnú osobu.

                  „Priemyselná bezpečnosť“ je uplatňovanie opatrení na zabezpečenie ochrany utajovaných skutočností EÚ zo strany dodávateľov alebo subdodávateľov počas rokovaní pred uzatvorením zmluvy a počas celého životného cyklu utajovaných zmlúv – pozri článok 9 ods. 1 prílohy A.

                  „Informačná bezpečnosť“ v oblasti komunikačných a informačných systémov je záruka, že takéto systémy ochránia informácie, s ktorými sa v nich manipuluje, a budú fungovať vtedy a tak, ako majú, pod dohľadom oprávnených používateľov. Efektívna informačná bezpečnosť zaisťuje primeranú úroveň dôvernosti, integrity, dostupnosti, nespochybniteľnosti a hodnovernosti. Informačná bezpečnosť sa zakladá na procese riadenia rizík – pozri článok 8 ods. 1 prílohy A.

                  „Prepojenie“ je na účely tohto rozhodnutia priame spojenie dvoch alebo viacerých systémov IT na účely spoločného využívania údajov a iných informačných zdrojov (napr. komunikačných), ktoré môže byť jednosmerné alebo viacsmerné – pozri prílohu A IV bod 31.

                  „Správa utajovaných skutočností“ je uplatňovanie administratívnych opatrení pri riadení utajovaných skutočností EÚ počas ich životného cyklu s cieľom doplniť opatrenia stanovené v článkoch 5, 6 a 8, a tým pomôcť pri odradení od úmyselného alebo náhodného úniku alebo straty takýchto utajovaných skutočností, pri zistení ich úniku alebo straty a pri obnove bezpečnosti. Takéto opatrenia sa týkajú najmä vytvárania, evidencie, rozmnožovania, prekladu, prenášania, manipulácie uchovávania a ničenia utajovaných skutočností EÚ – pozri článok 7 ods. 1 prílohy A.

                  „Vec“ je každý dokument alebo položka strojového vybavenia alebo zariadenia, ktorá je vytvorená alebo sa vytvára.

                  „Pôvodca“ je inštitúcia, agentúra alebo orgán EÚ, členský štát, tretí štát alebo medzinárodná organizácia, v ktorej právomoci sa utajované skutočnosti vytvorili a/alebo zaviedli do štruktúr EÚ.

                  „Personálna bezpečnosť“ je uplatňovanie opatrení s cieľom zabezpečiť, že sa prístup k utajovaným skutočnostiam EÚ udeľuje len osobám, ktoré:

                              —

                              majú potrebu poznať utajované skutočnosti (zásada „need-to-know“),

                              —

                              pre prístup k informáciám utajovaným na stupni CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššom boli bezpečnostne preverené pre príslušný stupeň alebo majú iné náležité oprávnenie, ktoré vyplýva z povahy ich funkcie v súlade s vnútroštátnymi zákonmi a inými právnymi predpismi,

                              —

                              boli poučené o svojich povinnostiach –

                        pozri článok 5 ods. 1 prílohy A.

                  „Previerka personálnej bezpečnosti“ na prístup k utajovaným skutočnostiam EÚ je vyhlásenie príslušného orgánu členského štátu, ktoré sa vydáva na základe ukončeného bezpečnostného vyšetrovania vykonaného príslušnými orgánmi členského štátu a ktorým sa potvrdzuje, že osobe sa môže za predpokladu, že sa zistila jej potreba poznať, udeliť prístup k utajovaným skutočnostiam EÚ do určeného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho) a do určeného dátumu; takáto osoba sa označuje ako „bezpečnostne preverená“.

                  „Certifikát o previerke personálnej bezpečnosti“ je certifikát vydaný príslušným orgánom, ktorým sa potvrdzuje, že osoba je bezpečnostne preverená a je držiteľom platnej národnej previerky personálnej bezpečnosti, a v ktorom sa uvádza stupeň utajenia utajovaných skutočností EÚ, ku ktorým sa môže tejto osobe udeliť prístup (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšší), dátum platnosti príslušnej previerky personálnej bezpečnosti a dátum ukončenia platnosti samotného certifikátu.

                  „Fyzická bezpečnosť“ je uplatňovanie fyzických a technických ochranných opatrení na zamedzenie neoprávneného prístupu k utajovaným skutočnostiam EÚ – pozri článok 6 prílohy A.

                  „Bezpečnostné pokyny pre program/projekt“ je zoznam bezpečnostných postupov, ktoré sa uplatňujú v rámci konkrétneho programu/projektu s cieľom štandardizovať bezpečnostné postupy. Počas trvania programu/projektu sa môže revidovať.

                  „Evidencia“ je uplatňovanie postupov, ktoré zaznamenávajú životný cyklus veci vrátane jej šírenia a zničenia, pozri prílohu A III bod 21.

                  „Zvyškové riziko“ je riziko, ktoré zostáva po uplatnení bezpečnostných opatrení, pokiaľ nie je zabezpečená ochrana proti všetkým ohrozeniam a nie je možné odstrániť všetky slabiny.

                  „Riziko“ je možnosť, že dané ohrozenie využije vnútorné alebo vonkajšie slabiny organizácie alebo niektorého z používaných systémov a spôsobí tak škodu organizácii a jej hmotnému i nehmotnému majetku. Meria sa ako kombinácia pravdepodobnosti výskytu ohrození a ich vplyvu.

                  „Akceptácia rizika“ je rozhodnutie znášať ďalšiu existenciu zvyškového rizika po zabezpečení sa proti rizikám.

                  „Vyhodnotenie rizika“ je určenie ohrození a slabín a vykonanie príslušnej analýzy rizík, t. j. analýzy ich pravdepodobnosti a následkov.

                  „Oznamovanie rizika“ je rozvíjanie informovanosti o rizikách medzi používateľskými komunitami komunikačných a informačných systémov, informovanie schvaľovacích orgánov o týchto rizikách a podávanie správ o nich operačným orgánom.

                  „Proces riadenia rizík“ je celkový proces zameraný na určenie, kontrolu a minimalizáciu neistých udalostí, ktoré môžu mať vplyv na bezpečnosť organizácie alebo akéhokoľvek používaného systému. Zahŕňa všetky činnosti vzťahujúce sa na riziká vrátane ich vyhodnocovania, zabezpečenia sa proti nim, akceptácie a oznamovania.

                  „Zabezpečenie sa proti riziku“ je zmiernenie, odstránenie alebo zmenšenie rizika (prostredníctvom vhodnej kombinácie technických, fyzických, organizačných a procesných opatrení), prenosu rizika alebo jeho monitorovania.

                  „Bezpečnostná doložka“ je súbor osobitných zmluvných podmienok vydaných zmluvným orgánom, ktorý tvorí neoddeliteľnú súčasť utajovanej zmluvy zahŕňajúcej vytvorenie utajovaných skutočností EÚ alebo prístup k nim a identifikuje bezpečnostné požiadavky alebo prvky vyžadujúce bezpečnostnú ochranu – pozri prílohu A V oddiel II.

                  „Usmernenia na určovanie stupňa utajenia“ je dokument, v ktorom sa opisujú prvky programu alebo zmluvy, ktoré sa utajujú, s uvedením uplatniteľných bezpečnostných stupňov utajenia. Usmernenia na určovanie stupňa utajenia sa môžu v priebehu programu alebo zmluvy rozšíriť a stupeň utajenia jednotlivých skutočností sa môže zmeniť alebo znížiť. Ak usmernenia na určovanie stupňa utajenia existujú, sú súčasťou bezpečnostnej doložky – pozri prílohu A V oddiel II.

                  „Bezpečnostné vyšetrovanie“ sú vyšetrovacie postupy vykonávané v súlade so zákonmi a s inými právnymi predpismi dotknutého členského štátu príslušným vnútroštátnym orgánom členského štátu s cieľom získať ubezpečenie, že nie je známe nič, čo by bránilo udeliť osobe národnú previerku personálnej bezpečnosti alebo previerku personálnej bezpečnosti EÚ, ktorou sa danej osobe udeľuje prístup k utajovaným skutočnostiam EÚ do stanoveného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho).

                  „Operačné bezpečnostné postupy“ je opis postupu vykonávania bezpečnostnej politiky, ktorá sa prijme, operačných postupov, ktoré sa majú dodržiavať, a povinností personálu.

                  „Vyhlásenie o bezpečnostných požiadavkách špecifických pre systém“ je záväzný súbor bezpečnostných zásad, ktoré sa majú dodržiavať, a podrobných bezpečnostných požiadaviek, ktoré sa majú vykonať. Tvorí základ certifikácie komunikačných a informačných systémov.

                  „TEMPEST“ je vyšetrovanie, skúmanie a kontrola elektromagnetického žiarenia predstavujúceho ohrozenie a opatrenia na jeho potlačenie.

                  „Ohrozenie“ je potenciálna príčina neželaného incidentu, ktorého výsledkom môže byť poškodenie organizácie alebo akéhokoľvek systému, ktorý používa; takéto ohrozenia môžu byť náhodné alebo úmyselné (so zlým úmyslom) a sú charakterizované prvkami hrozby, potenciálnymi cieľmi a metódami útoku.

                  „Slabina“ je slabá stránka akejkoľvek povahy, ktorú môže zneužiť jedno alebo viacero ohrození. Slabinu môže predstavovať opomenutie alebo sa môže týkať nedostatočnosti kontroly z hľadiska jej intenzity, úplnosti alebo súdržnosti a môže mať technickú, procesnú, fyzickú, organizačnú alebo operačnú povahu.