# Diario Oficial L 311/2019

| | ISSN 1977-0685 |
| --- | --- |
| Diario Oficial
  de la Unión Europea | L 311 |
| | |
| Edición en lengua española | Legislación | 62.° año2 de diciembre de 2019 |

ISSN 1977-0685

Diario Oficial

de la Unión Europea

L 311

Edición en lengua española

Legislación

62.° año2 de diciembre de 2019

---

| Sumario | | II   Actos no legislativos | Página |
| --- | --- | --- | --- |
| | | DECISIONES |
| | * | Decisión (UE, Euratom) 2019/1961 de la Comisión, de 17 de octubre de 2019, por la que se establecen las normas de desarrollo aplicables al manejo de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET | 1 |
| | * | Decisión (UE, Euratom) 2019/1962 de la Comisión, de 17 de octubre de 2019, por la que se establecen las normas de desarrollo aplicables al manejo de la información RESTREINT UE/EU RESTRICTED | 21 |
| | * | Decisión (UE, Euratom) 2019/1963 de la Comisión, de 17 de octubre de 2019, por la que se establecen normas de desarrollo sobre la seguridad industrial en relación con los contratos públicos clasificados | 37 |

Sumario

II   Actos no legislativos

Página

DECISIONES

*

Decisión (UE, Euratom) 2019/1961 de la Comisión, de 17 de octubre de 2019, por la que se establecen las normas de desarrollo aplicables al manejo de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1

*

Decisión (UE, Euratom) 2019/1962 de la Comisión, de 17 de octubre de 2019, por la que se establecen las normas de desarrollo aplicables al manejo de la información RESTREINT UE/EU RESTRICTED

21

*

Decisión (UE, Euratom) 2019/1963 de la Comisión, de 17 de octubre de 2019, por la que se establecen normas de desarrollo sobre la seguridad industrial en relación con los contratos públicos clasificados

37

| ES | Los actos cuyos títulos van impresos en caracteres finos son actos de gestión corriente, adoptados en el marco de la política agraria, y que tienen generalmente un período de validez limitado.
  Los actos cuyos títulos van impresos en caracteres gruesos y precedidos de un asterisco son todos los demás actos. |
| --- | --- |

ES

Los actos cuyos títulos van impresos en caracteres finos son actos de gestión corriente, adoptados en el marco de la política agraria, y que tienen generalmente un período de validez limitado.

Los actos cuyos títulos van impresos en caracteres gruesos y precedidos de un asterisco son todos los demás actos.

---

II Actos no legislativos

DECISIONES

| 2.12.2019 | ES | Diario Oficial de la Unión Europea | L 311/1 |
| --- | --- | --- | --- |

2.12.2019

ES

Diario Oficial de la Unión Europea

L 311/1

---

DECISIÓN (UE, Euratom) 2019/1961 DE LA COMISIÓN

de 17 de octubre de 2019

por la que se establecen las normas de desarrollo aplicables al manejo de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249,

Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106,

Vista la Decisión (UE, Euratom) 2015/443 de la Comisión, de 13 de marzo de 2015, sobre la seguridad en la Comisión (1),

Vista la Decisión (UE, Euratom) 2015/444 de la Comisión, de 13 de marzo de 2015, sobre las normas de seguridad para la protección de la información clasificada de la UE (2),

Vista la Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (3),

Considerando lo siguiente:

| (1) | La Decisión (UE, Euratom) 2015/444 se aplica a todos los servicios de la Comisión y en todos los locales de la Comisión. |
| --- | --- |

(1)

La Decisión (UE, Euratom) 2015/444 se aplica a todos los servicios de la Comisión y en todos los locales de la Comisión.

| (2) | Las medidas de seguridad destinadas a proteger la información clasificada de la UE (ICUE) a lo largo de su ciclo de vida deben ser proporcionales, ante todo, a su clasificación de seguridad. |
| --- | --- |

(2)

Las medidas de seguridad destinadas a proteger la información clasificada de la UE (ICUE) a lo largo de su ciclo de vida deben ser proporcionales, ante todo, a su clasificación de seguridad.

| (3) | El artículo 4, apartado 3, el artículo 19, apartado 1, letra a), y el artículo 22 de la Decisión (UE, Euratom) 2015/444 indican la necesidad de establecer disposiciones más detalladas que complementen y faciliten la aplicación de dicha Decisión a través de normas de desarrollo que regulen cuestiones como la guía de clasificación, las medidas compensatorias para el manejo de la ICUE fuera de una zona de acceso restringido o una zona administrativa, y las responsabilidades de los originadores. |
| --- | --- |

(3)

El artículo 4, apartado 3, el artículo 19, apartado 1, letra a), y el artículo 22 de la Decisión (UE, Euratom) 2015/444 indican la necesidad de establecer disposiciones más detalladas que complementen y faciliten la aplicación de dicha Decisión a través de normas de desarrollo que regulen cuestiones como la guía de clasificación, las medidas compensatorias para el manejo de la ICUE fuera de una zona de acceso restringido o una zona administrativa, y las responsabilidades de los originadores.

| (4) | En caso necesario, deben adoptarse normas de desarrollo destinadas a complementar o facilitar la aplicación de la Decisión (UE, Euratom) 2015/444 conforme al artículo 60 de dicha Decisión. |
| --- | --- |

(4)

En caso necesario, deben adoptarse normas de desarrollo destinadas a complementar o facilitar la aplicación de la Decisión (UE, Euratom) 2015/444 conforme al artículo 60 de dicha Decisión.

| (5) | Las medidas de seguridad adoptadas en aplicación de la presente Decisión deben ajustarse a los principios de seguridad en la Comisión establecidos en el artículo 3 de la Decisión (UE, Euratom) 2015/443. |
| --- | --- |

(5)

Las medidas de seguridad adoptadas en aplicación de la presente Decisión deben ajustarse a los principios de seguridad en la Comisión establecidos en el artículo 3 de la Decisión (UE, Euratom) 2015/443.

| (6) | El Consejo, la Comisión y la alta representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado asegurar una coherencia máxima en la aplicación de las normas de seguridad relativas a la protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (4). |
| --- | --- |

(6)

El Consejo, la Comisión y la alta representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado asegurar una coherencia máxima en la aplicación de las normas de seguridad relativas a la protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (4).

| (7) | El 4 de mayo de 2016, la Comisión adoptó una Decisión (5) que faculta al miembro de la Comisión responsable de los asuntos de seguridad para adoptar, en nombre de la Comisión y bajo su responsabilidad, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444, |
| --- | --- |

(7)

El 4 de mayo de 2016, la Comisión adoptó una Decisión (5) que faculta al miembro de la Comisión responsable de los asuntos de seguridad para adoptar, en nombre de la Comisión y bajo su responsabilidad, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444,

HA ADOPTADO LA PRESENTE DECISIÓN:

CAPÍTULO 1

DISPOSICIONES GENERALES

Artículo 1

Objeto y ámbito de aplicación

1.   La presente Decisión establece las condiciones para el manejo de la información clasificada de la UE (ICUE) de grado CONFIDENTIEL UE/EU CONFIDENTIAL (6) y SECRET UE/EU SECRET (7), en cumplimiento de lo dispuesto en la Decisión (UE, Euratom) 2015/444.

2.   La presente Decisión se aplicará a todos los servicios de la Comisión y en todos los locales de la Comisión.

Artículo 2

Criterios de acceso a la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   El acceso a la información clasificada como CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET podrá concederse después de que:

| a) | se haya determinado la necesidad de que un particular tenga acceso a determinada información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a fin de poder desempeñar una función o cometido profesional para la Comisión Europea; |
| --- | --- |

a)

se haya determinado la necesidad de que un particular tenga acceso a determinada información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a fin de poder desempeñar una función o cometido profesional para la Comisión Europea;

| b) | esa persona haya sido instruida acerca de las normas y los niveles de seguridad pertinentes y de las directrices para la protección de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET; |
| --- | --- |

b)

esa persona haya sido instruida acerca de las normas y los niveles de seguridad pertinentes y de las directrices para la protección de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET;

| c) | esa persona haya asumido sus responsabilidades en materia de protección de dicha información, y |
| --- | --- |

c)

esa persona haya asumido sus responsabilidades en materia de protección de dicha información, y

| d) | dicha persona haya sido autorizada por la autoridad de seguridad de la Comisión para acceder a la ICUE en el grado correspondiente y hasta una fecha determinada de acuerdo con el artículo 10, apartado 1, punto 3, de la Decisión (UE, Euratom) 2015/444. |
| --- | --- |

d)

dicha persona haya sido autorizada por la autoridad de seguridad de la Comisión para acceder a la ICUE en el grado correspondiente y hasta una fecha determinada de acuerdo con el artículo 10, apartado 1, punto 3, de la Decisión (UE, Euratom) 2015/444.

2.   No se asignará a los becarios de la Comisión tareas que requieran su acceso a información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

3.   El acceso a esa información por parte de otras categorías de personal se autorizará o denegará de acuerdo con el cuadro que figura en el anexo.

CAPÍTULO 2

CREACIÓN DE INFORMACIÓN CONFIDENTIEL UE/EU CONFIDENTIAL Y SECRET UE/EU SECRET

Artículo 3

Originador

Si bien el originador, en el sentido del artículo 1 de la Decisión (UE, Euratom) 2015/444, es la institución, agencia u organismo de la Unión, Estado miembro, tercer Estado u organización internacional bajo cuya autoridad se haya producido información clasificada o se haya introducido en las estructuras de la Unión, el redactor de la información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET no ha de ser necesariamente la misma entidad.

Artículo 4

Asignación del grado de clasificación

1.   El personal que redacte un documento a partir de información contemplada en el artículo 1 deberá considerar en toda circunstancia la posibilidad de que ese documento haya de ser clasificado. La clasificación de un documento en la categoría de ICUE implicará una evaluación y una decisión, por parte del originador, que determinen si la revelación del documento a personas no autorizadas podría resultar perjudicial para los intereses de la Unión Europea o de uno o varios Estados miembros. Si los redactores albergan alguna duda sobre la necesidad de que el documento en el que estén trabajando se clasifique como CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, deberán consultar al jefe de unidad o al director responsable.

2.   Un documento debe clasificarse, como mínimo, en el grado CONFIDENTIEL UE/EU CONFIDENTIAL si su revelación no autorizada pudiera, por ejemplo:

| a) | causar daños tangibles a las relaciones diplomáticas, es decir, ocasionar protestas formales u otras sanciones; |
| --- | --- |

a)

causar daños tangibles a las relaciones diplomáticas, es decir, ocasionar protestas formales u otras sanciones;

| b) | acarrear perjuicios para la seguridad o la libertad de las personas; |
| --- | --- |

b)

acarrear perjuicios para la seguridad o la libertad de las personas;

| c) | menoscabar la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes, o la eficacia de valiosas operaciones de seguridad o de inteligencia; |
| --- | --- |

c)

menoscabar la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes, o la eficacia de valiosas operaciones de seguridad o de inteligencia;

| d) | socavar notablemente la viabilidad financiera de importantes organizaciones; |
| --- | --- |

d)

socavar notablemente la viabilidad financiera de importantes organizaciones;

| e) | impedir la investigación de delitos graves o facilitarlos; |
| --- | --- |

e)

impedir la investigación de delitos graves o facilitarlos;

| f) | obrar de manera significativa en contra de los intereses financieros, monetarios, económicos o comerciales de la Unión o de los Estados miembros; |
| --- | --- |

f)

obrar de manera significativa en contra de los intereses financieros, monetarios, económicos o comerciales de la Unión o de los Estados miembros;

| g) | obstaculizar gravemente el desarrollo o el funcionamiento de las grandes políticas de la Unión; |
| --- | --- |

g)

obstaculizar gravemente el desarrollo o el funcionamiento de las grandes políticas de la Unión;

| h) | malograr o perturbar considerablemente actividades significativas de la Unión; |
| --- | --- |

h)

malograr o perturbar considerablemente actividades significativas de la Unión;

| i) | conducir al descubrimiento de información clasificada en un grado superior. |
| --- | --- |

i)

conducir al descubrimiento de información clasificada en un grado superior.

3.   La información debe clasificarse, como mínimo, en el grado SECRET UE/EU SECRET si su revelación no autorizada pudiera, por ejemplo:

| a) | aumentar las tensiones internacionales; |
| --- | --- |

a)

aumentar las tensiones internacionales;

| b) | deteriorar gravemente las relaciones con terceros países o con organizaciones internacionales; |
| --- | --- |

b)

deteriorar gravemente las relaciones con terceros países o con organizaciones internacionales;

| c) | poner directamente vidas en peligro o atentar gravemente contra el orden público o la seguridad o libertad de las personas; |
| --- | --- |

c)

poner directamente vidas en peligro o atentar gravemente contra el orden público o la seguridad o libertad de las personas;

| d) | menoscabar gravemente la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes, o la ininterrumpida eficacia de operaciones de seguridad o de inteligencia muy valiosas; |
| --- | --- |

d)

menoscabar gravemente la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes, o la ininterrumpida eficacia de operaciones de seguridad o de inteligencia muy valiosas;

| e) | ocasionar sustanciosos daños materiales a los intereses financieros, monetarios, económicos o comerciales de la Unión o de los Estados miembros; |
| --- | --- |

e)

ocasionar sustanciosos daños materiales a los intereses financieros, monetarios, económicos o comerciales de la Unión o de los Estados miembros;

| f) | conducir al descubrimiento de información clasificada en un grado superior. |
| --- | --- |

f)

conducir al descubrimiento de información clasificada en un grado superior.

4.   Los originadores podrán optar por atribuir un grado de clasificación estándar a determinadas categorías de información que creen de forma habitual. No obstante, se asegurarán de que se atribuye el grado de clasificación apropiado a las informaciones concretas.

Artículo 5

Tratamiento de los borradores

1.   La información se clasificará tan pronto como se haya producido. Las notas personales, los borradores o los mensajes que contengan información que justifique una clasificación en el grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET estarán marcados consiguientemente desde el principio y se producirán y manejarán conforme a lo dispuesto en la presente Decisión.

2.   Si el documento final deja de justificar su clasificación en el grado inicial, se procederá a la rebaja de su clasificación o a su desclasificación.

Artículo 6

Registro del material original

Para permitir el ejercicio del control de originador, de conformidad con el artículo 14, los originadores de documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET deberán llevar un registro de las fuentes clasificadas que hayan utilizado para producir documentos clasificados, en el que se incluirán los datos de las fuentes originarias de los Estados miembros de la UE, organizaciones internacionales o terceros países. Cuando así proceda, la información clasificada agregada se marcará de una forma que preserve la identificación de los originadores de los materiales originales clasificados que se hayan utilizado.

Artículo 7

Clasificación de partes de un documento

1.   De conformidad con el artículo 22, apartado 6, de la Decisión (UE, Euratom) 2015/444, el grado global de clasificación de un documento deberá ser al menos tan alto como el de su componente con mayor grado de clasificación. Cuando se recopile información procedente de diversas fuentes, se revisará el documento agregado final para determinar su grado global de clasificación de seguridad, al ser posible que requiera un grado de clasificación superior al de sus componentes.

2.   Los documentos que contengan partes clasificadas y partes no clasificadas se estructurarán y marcarán de forma que los componentes con distintos grados de clasificación y/o sensibilidad puedan identificarse fácilmente y separarse en caso necesario. De esta forma, cada una de las partes podrá manejarse adecuadamente cuando se separe de los demás componentes.

Artículo 8

Marca de clasificación completa

1.   La información cuya clasificación esté justificada se marcará y manejará como tal, con independencia de su forma física. El grado de clasificación se comunicará claramente a los destinatarios, bien mediante una marca de clasificación, si la información se facilita por escrito, ya sea en papel, en soportes de almacenamiento extraíbles o en un sistema de información y comunicación (SIC), bien mediante una notificación, si la información se presenta oralmente, por ejemplo en una conversación o una presentación. El material clasificado estará marcado físicamente para permitir la fácil identificación de su clasificación de seguridad.

2.   En los documentos, se escribirá la marca de clasificación completa CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en letras mayúsculas, en francés y en inglés (primero en francés), de conformidad con el apartado 3. Esta marca no se traducirá a otras lenguas.

3.   La marca de clasificación CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se dispondrá de la forma siguiente:

| a) | centrada en la parte superior e inferior de cada página del documento; |
| --- | --- |

a)

centrada en la parte superior e inferior de cada página del documento;

| b) | la marca de clasificación completa aparecerá en una sola línea, sin espacios a cada lado de la barra oblicua; |
| --- | --- |

b)

la marca de clasificación completa aparecerá en una sola línea, sin espacios a cada lado de la barra oblicua;

| c) | en mayúsculas de color negro, con el tipo y tamaño de letra Times New Roman 16 (si es posible, pero al menos 14), en negrita y rodeada de un reborde por cada lado. |
| --- | --- |

c)

en mayúsculas de color negro, con el tipo y tamaño de letra Times New Roman 16 (si es posible, pero al menos 14), en negrita y rodeada de un reborde por cada lado.

4.   Al crear un documento CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET

| a) | se marcará claramente cada página con el grado de clasificación; |
| --- | --- |

a)

se marcará claramente cada página con el grado de clasificación;

| b) | se numerarán todas las páginas; |
| --- | --- |

b)

se numerarán todas las páginas;

| c) | el documento deberá llevar un número de referencia, un número de registro y una indicación del asunto, que en sí misma no constituirá información clasificada, salvo si se marca como tal; |
| --- | --- |

c)

el documento deberá llevar un número de referencia, un número de registro y una indicación del asunto, que en sí misma no constituirá información clasificada, salvo si se marca como tal;

| d) | todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página, y |
| --- | --- |

d)

todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página, y

| e) | se indicará en el documento la fecha de su creación. |
| --- | --- |

e)

se indicará en el documento la fecha de su creación.

5.   Siempre que sea posible, la marca SECRET UE/EU SECRET aparecerá en rojo.

Artículo 9

Marcas de clasificación abreviadas C-UE/EU-C y S-UE/EU-S

Podrán utilizarse las abreviaturas C-UE/EU-C y S-UE/EU-S para indicar el grado de clasificación de partes concretas de documentos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, respectivamente, o cuando no pueda insertarse la marca de clasificación completa, por ejemplo en un pequeño soporte de almacenamiento extraíble. Podrá también utilizarse en el cuerpo del texto cuando el uso repetido de las marcas de clasificación completas resulte engorroso. La abreviatura no se utilizará en lugar de las marcas de clasificación completas que han de figurar en el encabezamiento y el pie de página del documento.

Artículo 10

Otros indicadores de seguridad

1.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET podrán llevar otras marcas o «indicadores de seguridad» que especifiquen, por ejemplo, el ámbito al que pertenece el documento o que indiquen una distribución determinada en función de la «necesidad de conocer». Ejemplo:

| DIVULGABLE A LIECHTENSTEIN |
| --- |

DIVULGABLE A LIECHTENSTEIN

2.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET podrán llevar una advertencia de seguridad que ofrezca instrucciones específicas sobre la forma de manejar y tratar los documentos.

3.   Siempre que sea posible, toda indicación referente a la rebaja de la clasificación o la desclasificación se colocará en la primera página del documento en el momento de su creación. Por ejemplo, podrá utilizarse el marcado siguiente:

| SECRET UE/EU SECRET

  hasta el [dd.mm.aaaa]
  y RESTREINT UE/EU RESTRICTED

  en lo sucesivo. |
| --- |

SECRET UE/EU SECRET

hasta el [dd.mm.aaaa]

y RESTREINT UE/EU RESTRICTED

en lo sucesivo.

Artículo 11

Tratamiento electrónico

1.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se crearán por medios electrónicos siempre que estos estén disponibles.

2.   Al crear información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, el personal de la Comisión utilizará SIC acreditados para el nivel de clasificación correspondiente o un nivel de clasificación superior. En caso de duda acerca de los SIC que pueden utilizarse, el personal deberá consultar a su responsable local de seguridad (LSO, por sus siglas en inglés). Previa consulta a la autoridad de seguridad de la Comisión, podrán aplicarse procedimientos específicos en caso de emergencia o en presencia de configuraciones técnicas específicas.

3.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET, incluidos los borradores, según dispone el artículo 5, no se enviarán por correo electrónico, ni se imprimirán o escanearán en impresoras o escáneres estándar, ni se manejarán en los dispositivos personales de los miembros del personal. Para imprimir documentos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, solo se utilizarán impresoras o fotocopiadoras conectadas a ordenadores independientes protegidos de las emisiones electromagnéticas o a un sistema acreditado.

Artículo 12

Registro con fines de seguridad

1.   La información clasificada como CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se registrará con fines de seguridad antes de su distribución y en el momento de su recepción. Se registrará:

| — | cuando llegue o a una entidad organizativa o salga de ella; y |
| --- | --- |

—

cuando llegue o a una entidad organizativa o salga de ella; y

| — | cuando llegue a un SIC o salga de él. |
| --- | --- |

—

cuando llegue a un SIC o salga de él.

2.   Ese registro podrá efectuarse en papel o en libros de registro electrónicos.

3.   Si la información se maneja de forma electrónica dentro de un SIC, los procedimientos de registro podrán llevarse a cabo mediante los procesos internos del propio SIC. En ese caso, el SIC incluirá medidas para garantizar la integridad de los libros de registro.

4.   El controlador del registro llevará un registro que contenga, como mínimo, la información siguiente respecto de cada documento:

| a) | la fecha de registro del documento final clasificado; |
| --- | --- |

a)

la fecha de registro del documento final clasificado;

| b) | el grado de clasificación; |
| --- | --- |

b)

el grado de clasificación;

| c) | cuando proceda, la fecha de expiración del grado de clasificación; |
| --- | --- |

c)

cuando proceda, la fecha de expiración del grado de clasificación;

| d) | el nombre del servicio originario; |
| --- | --- |

d)

el nombre del servicio originario;

| e) | el destinatario o los destinatarios; |
| --- | --- |

e)

el destinatario o los destinatarios;

| f) | el asunto; |
| --- | --- |

f)

el asunto;

| g) | el número de referencia atribuido al documento por el servicio originario; |
| --- | --- |

g)

el número de referencia atribuido al documento por el servicio originario;

| h) | el número de registro; |
| --- | --- |

h)

el número de registro;

| i) | el número de copias puestas en circulación; |
| --- | --- |

i)

el número de copias puestas en circulación;

| j) | cuando sea posible, el cuaderno de fuentes utilizadas para la creación del documento; |
| --- | --- |

j)

cuando sea posible, el cuaderno de fuentes utilizadas para la creación del documento;

| k) | la fecha de rebaja de la clasificación o de desclasificación del documento, y |
| --- | --- |

k)

la fecha de rebaja de la clasificación o de desclasificación del documento, y

| l) | los pormenores relativos a la destrucción (lugar, fecha, método, supervisión y certificado de destrucción). |
| --- | --- |

l)

los pormenores relativos a la destrucción (lugar, fecha, método, supervisión y certificado de destrucción).

Artículo 13

Distribución

El remitente de los documentos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET decidirá a quién debe distribuirse la información, en función de su necesidad de conocerla. Se elaborará una lista de distribución para aplicar más rigurosamente el principio de la «necesidad de conocer».

CAPÍTULO 3

TRABAJO CON INFORMACIÓN CONFIDENTIEL UE/EU CONFIDENTIAL Y SECRET UE/EU SECRET EXISTENTE

Artículo 14

Control de originador

1.   El originador deberá tener «control de originador» sobre la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET que haya creado. Se recabará el consentimiento previo por escrito del originador antes de que la información pueda ser:

| a) | desclasificada u objeto de una rebaja de clasificación; |
| --- | --- |

a)

desclasificada u objeto de una rebaja de clasificación;

| b) | utilizada con fines distintos de los determinados por el originador; |
| --- | --- |

b)

utilizada con fines distintos de los determinados por el originador;

| c) | divulgada a un tercer país o a una organización internacional; |
| --- | --- |

c)

divulgada a un tercer país o a una organización internacional;

| d) | revelada a una parte externa a la Comisión pero interna a la UE; o |
| --- | --- |

d)

revelada a una parte externa a la Comisión pero interna a la UE; o

| e) | revelada a un contratista o a un contratista potencial ubicado en un tercer país. |
| --- | --- |

e)

revelada a un contratista o a un contratista potencial ubicado en un tercer país.

2.   Los poseedores de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET serán personas debidamente autorizadas que habrán recibido acceso a la información clasificada para poder desempeñar sus funciones. Son responsables de su correcto manejo, almacenamiento y protección con arreglo a la Decisión (UE, Euratom) 2015/444. A diferencia de los originadores de información clasificada, los poseedores no estarán autorizados para adoptar decisiones sobre la rebaja de la clasificación, la desclasificación o la subsiguiente divulgación de información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

3.   Si no es posible identificar al originador de alguna información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, el servicio de la Comisión que posea esa información clasificada ejercerá el control de originador. Antes de divulgar información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a un tercer país o a una organización internacional, se consultará al grupo de expertos de seguridad de la Comisión.

Artículo 15

SIC adecuados para el manejo de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se manejará y transmitirá por medios electrónicos, siempre que estos estén disponibles. Solo se utilizarán SIC y equipo que hayan sido acreditados por la Autoridad de Acreditación de Seguridad de la Comisión para el manejo de información clasificada en el grado correspondiente o en un grado de clasificación superior.

2.   Cuando un servicio de la Comisión disponga del equipo apropiado para manejar y enviar la información clasificada en esos grados, asistirá, en la medida de sus posibilidades, a las demás entidades de la Comisión en el manejo y envío apropiados de la información.

Artículo 16

Medidas específicas aplicables a la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET en soportes de almacenamiento extraíbles

1.   El uso de soportes de almacenamiento extraíbles será objeto de un estricto control y dará lugar a una rendición de cuentas igualmente estricta. Solo se utilizarán soportes de almacenamiento extraíbles proporcionados por la Comisión y cifrados con un producto aprobado por la autoridad de seguridad de la Comisión. Para la transferencia de información clasificada no se utilizarán soportes de almacenamiento extraíbles personales ni soportes ofrecidos gratuitamente en conferencias, seminarios, etc. En la medida de lo posible, se utilizarán soportes de almacenamiento extraíbles protegidos por la tecnología Tempest, conforme a las directrices de la autoridad de seguridad de la Comisión.

2.   Cuando un documento clasificado se maneje o se almacene electrónicamente en soportes de almacenamiento extraíbles, como llaves USB, discos compactos o tarjetas de memoria, la marca de clasificación deberá ser claramente visible en la propia información, así como en el nombre del archivo y en el soporte de almacenamiento extraíble.

3.   El personal deberá tener en cuenta que, cuando se almacenen grandes volúmenes de información clasificada en soportes de almacenamiento extraíbles, el dispositivo podrá requerir un grado de clasificación más elevado.

4.   Solo los SIC que hayan sido debidamente acreditados podrán utilizarse para transferir información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET hacia o desde soportes de almacenamiento extraíbles.

5.   Cuando se descargue ese tipo de información a soportes de almacenamiento extraíbles, se tomarán especiales precauciones para asegurar que dichos soportes no contengan virus o programas maliciosos antes de la transferencia de los datos.

6.   Cuando así proceda, los soportes de almacenamiento extraíbles se manejarán con arreglo a los procedimientos operativos de seguridad correspondientes al sistema de cifrado utilizado.

7.   Los documentos en soportes de almacenamiento extraíbles que ya no se necesiten o que hayan sido transferidos a un SIC adecuado se suprimirán o eliminarán de forma segura utilizando productos o métodos aprobados. Salvo si se guardan en una caja fuerte adecuada, los soportes de almacenamiento extraíbles se destruirán cuando dejen de ser necesarios. Las operaciones de destrucción o eliminación se efectuarán con métodos que se ajusten a las normas de seguridad de la Comisión. Se mantendrá un inventario de los soportes extraíbles, cuya destrucción deberá registrarse.

Artículo 17

Manejo y almacenamiento de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   De conformidad con el artículo 19, apartado 3, letra a), de la Decisión (UE, Euratom) 2015/444, la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se manejará en una zona de acceso restringido (8).

2.   De conformidad con el artículo 19, apartado 3, letra b), de la Decisión (UE, Euratom) 2015/444, esa información podrá manejarse en una zona administrativa (9), siempre que se impida el acceso a la ICUE a personas no autorizadas.

3.   Esa información podrá manejarse fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias requeridas con arreglo al artículo 19, apartado 3, letra c), de la Decisión (UE, Euratom) 2015/444, que incluirán, como mínimo, las siguientes:

| — | los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET no se leerán en lugares públicos; |
| --- | --- |

—

los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET no se leerán en lugares públicos;

| — | la ICUE permanecerá en todo momento bajo el control personal de su poseedor; |
| --- | --- |

—

la ICUE permanecerá en todo momento bajo el control personal de su poseedor;

| — | en el caso de los documentos impresos en papel, el poseedor deberá haber notificado al registro correspondiente la circunstancia de que los documentos clasificados están siendo manejados fuera de una zona de acceso restringido y de una zona administrativa; |
| --- | --- |

—

en el caso de los documentos impresos en papel, el poseedor deberá haber notificado al registro correspondiente la circunstancia de que los documentos clasificados están siendo manejados fuera de una zona de acceso restringido y de una zona administrativa;

| — | los documentos se guardarán en una caja fuerte apropiada cuando no estén siendo leídos o comentados; |
| --- | --- |

—

los documentos se guardarán en una caja fuerte apropiada cuando no estén siendo leídos o comentados;

| — | las puertas de la sala se cerrarán durante la lectura o el debate del documento; |
| --- | --- |

—

las puertas de la sala se cerrarán durante la lectura o el debate del documento;

| — | el contenido del documento no se tratará por teléfono, en una línea no segura, ni en un correo electrónico; |
| --- | --- |

—

el contenido del documento no se tratará por teléfono, en una línea no segura, ni en un correo electrónico;

| — | el poseedor no podrá fotocopiar ni escanear el documento; solo el registro podrá proporcionar nuevas copias; |
| --- | --- |

—

el poseedor no podrá fotocopiar ni escanear el documento; solo el registro podrá proporcionar nuevas copias;

| — | el documento solo se manejará y conservará temporalmente fuera de las zonas administrativas y de las zonas de acceso restringido durante el tiempo mínimo necesario, transcurrido el cual se restituirá al registro; |
| --- | --- |

—

el documento solo se manejará y conservará temporalmente fuera de las zonas administrativas y de las zonas de acceso restringido durante el tiempo mínimo necesario, transcurrido el cual se restituirá al registro;

| — | la restitución del documento se constatará con una firma; |
| --- | --- |

—

la restitución del documento se constatará con una firma;

| — | el poseedor no desechará el documento clasificado ni lo destruirá. |
| --- | --- |

—

el poseedor no desechará el documento clasificado ni lo destruirá.

4.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se almacenará en una zona de acceso restringido dentro de un contenedor de seguridad o en una cámara acorazada.

5.   Puede solicitarse asesoramiento adicional al responsable local de seguridad (LSO) del servicio correspondiente de la Comisión.

6.   Se informará lo antes posible al LSO de todo incidente de seguridad, supuesto o confirmado, que afecte al documento.

Artículo 18

Copia y traducción de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET podrá copiarse o traducirse a instrucción de su poseedor, siempre que el originador no haya impuesto ninguna reserva al respecto. No obstante, no se realizarán más copias de las estrictamente necesarias.

2.   Cuando solo se reproduzca parte de un documento clasificado, se aplicarán las mismas condiciones que para la copia del documento íntegro. Los extractos se clasificarán también en el mismo grado de seguridad, a menos que hayan sido específicamente marcados en un grado inferior o como no clasificados por el originador.

3.   Las medidas de seguridad aplicables a la información original se aplicarán también a sus copias y traducciones.

Artículo 19

Principios generales aplicables al transporte de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   Siempre que sea posible, la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET que deba salir de las de zonas de acceso restringido o de las zonas administrativas se enviará por vía electrónica a través de medios debidamente acreditados y/o protegidos por productos criptográficos aprobados.

2.   En función de los medios disponibles o de las circunstancias particulares, la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET podrá transportarse físicamente en mano, en documentos impresos en papel o en soportes de almacenamiento extraíbles. Para la transmisión de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET, el uso de soportes de almacenamiento extraíbles tendrá preferencia sobre el envío de documentos impresos.

3.   Solo podrán utilizarse soportes de almacenamiento extraíbles cifrados mediante un producto aprobado por la autoridad de seguridad de la Comisión. La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET contenida en soportes de almacenamiento extraíbles que no estén protegidos por un producto de cifrado aprobado por la autoridad de seguridad de la Comisión se manejará de la misma manera que la información impresa en papel.

4.   Un envío podrá contener más de un elemento de ICUE, siempre que se respete el principio de la «necesidad de conocer».

5.   El envoltorio utilizado deberá garantizar que el contenido está oculto. La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se transportará en envoltorios opacos de doble capa, como sobres, carpetas opacas o un maletín. En el envoltorio exterior no figurará ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido. La capa interior del envoltorio estará marcada como CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET. En ambas capas se indicará el nombre del destinatario, su cargo y su dirección, así como una dirección de retorno en caso de que no sea posible efectuar la entrega.

6.   El personal o los mensajeros que transporten información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en mano deberán haber obtenido una autorización de seguridad y recibido un certificado de correo.

7.   El sobre o el envoltorio no se abrirán en tránsito. La autorización de seguridad del mensajero no le permitirá acceder al contenido de la información clasificada.

8.   Todo incidente de seguridad que afecte a información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET que esté siendo transportada por miembros del personal o mensajeros se notificará para su subsiguiente investigación a la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad a través del LSO del servicio correspondiente de la Comisión.

Artículo 20

Transporte manual de soportes de almacenamiento extraíbles

1.   Los soportes de almacenamiento extraíbles que se utilicen para el transporte de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET irán acompañados de una nota de envío en la que se detallarán los soportes de almacenamiento extraíbles que contienen la información clasificada, así como todos los ficheros que albergan, de forma que el destinatario pueda realizar las comprobaciones necesarias y confirmar la recepción.

2.   Solo se almacenarán en los citados soportes los documentos que hayan de entregarse. Por ejemplo, toda la información clasificada contenida en una misma llave USB deberá tener un único destinatario. El remitente deberá tener en cuenta que el almacenamiento de un gran volumen de información clasificada en esos dispositivos podrá justificar la atribución de un grado de clasificación más elevado al dispositivo en su conjunto.

3.   Para transportar información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET solo se utilizarán soportes de almacenamiento extraíbles que lleven la marca de clasificación adecuada.

4.   Toda información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET almacenada en soportes de almacenamiento extraíbles se registrará con fines de seguridad.

Artículo 21

Transporte de documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET dentro de los edificios de la Comisión

1.   El personal con autorización de seguridad podrá transportar documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRETD dentro de un edificio de la Comisión, pero esos documentos no podrán quedar desatendidos por su portador ni ser leídos en público.

2.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET no se enviarán por correo interno.

Artículo 22

Transporte de documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET dentro de la Unión

1.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET podrá ser transportada por personal o mensajeros de la Comisión en cualquier lugar de la Unión, siempre que se cumplan las instrucciones siguientes:

| a) | que para la transmisión de información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se utilicen sobres o envoltorios opacos de doble capa en cuya parte exterior no figure ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido; |
| --- | --- |

a)

que para la transmisión de información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se utilicen sobres o envoltorios opacos de doble capa en cuya parte exterior no figure ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido;

| b) | que la información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET no quede desatendida en ningún momento por el portador, y que |
| --- | --- |

b)

que la información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET no quede desatendida en ningún momento por el portador, y que

| c) | el sobre o el envoltorio no se abran en tránsito y que la información no se lea en lugares públicos. |
| --- | --- |

c)

el sobre o el envoltorio no se abran en tránsito y que la información no se lea en lugares públicos.

2.   El personal del registro que desee enviar información CONFIDENTIEL UE/EU CONFIDENTIAL a otros lugares de la Unión podrá disponer que se transporte por uno de los medios siguientes:

| — | servicios postales nacionales que garanticen un rastreo del envío o determinados servicios de mensajería comercial que garanticen el transporte personal en mano, siempre que cumplan los requisitos establecidos en el artículo 24 de la presente Decisión; |
| --- | --- |

—

servicios postales nacionales que garanticen un rastreo del envío o determinados servicios de mensajería comercial que garanticen el transporte personal en mano, siempre que cumplan los requisitos establecidos en el artículo 24 de la presente Decisión;

| — | valija militar, administrativa o diplomática. |
| --- | --- |

—

valija militar, administrativa o diplomática.

3.   El personal que desee enviar información SECRET UE/EU SECRET a otros Estados miembros de la UE podrá disponer, previo acuerdo con su registro, que se transporte por valija militar, administrativa o diplomática, pero nunca por los servicios postales o de mensajería comercial.

4.   El personal o los mensajeros oficiales de la Comisión que transporten información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET deberán llevar, por cada envío, un certificado de correo expedido por el registro del servicio correspondiente que certifique que el portador está autorizado para transportar el envío.

Artículo 23

Transporte de información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET hacia o desde el territorio de un tercer país

1.   La información clasificada como CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET podrá ser transportada en mano por el personal entre el territorio de la Unión y el de un tercer país.

2.   El personal del registro podrá disponer su transporte por valija militar o diplomática.

3.   Cuando transporte en mano documentos impresos en papel o soportes de almacenamiento extraíbles clasificados como CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, el personal deberá cumplir todas las medidas adicionales siguientes:

| — | Al desplazarse en transporte público, la información clasificada se colocará en un maletín o bolsa que permanecerá bajo la custodia personal del portador, no pudiendo dejarse en la bodega de equipajes. |
| --- | --- |

—

Al desplazarse en transporte público, la información clasificada se colocará en un maletín o bolsa que permanecerá bajo la custodia personal del portador, no pudiendo dejarse en la bodega de equipajes.

| — | La capa interior del envoltorio deberá llevar un sello oficial que indique que se trata de un envío oficial que no ha de someterse a los controles de seguridad. |
| --- | --- |

—

La capa interior del envoltorio deberá llevar un sello oficial que indique que se trata de un envío oficial que no ha de someterse a los controles de seguridad.

| — | El portador llevará un certificado de correo que certifique que está autorizado a transportar el envío CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, expedido por el registro del servicio correspondiente. |
| --- | --- |

—

El portador llevará un certificado de correo que certifique que está autorizado a transportar el envío CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, expedido por el registro del servicio correspondiente.

Artículo 24

Transporte a cargo de mensajeros comerciales

1.   A efectos de lo dispuesto en la presente Decisión, por «mensajeros comerciales» se entienden los servicios postales nacionales y las empresas de mensajería comercial que ofrecen un servicio consistente en la entrega de información a cambio de una tarifa y que se lleva a cabo, bien en forma de transporte personal en mano, bien mediante un sistema de rastreo.

2.   Los mensajeros comerciales podrán transportar información CONFIDENTIEL UE/EU CONFIDENTIAL dentro de un mismo Estado miembro o de un Estado miembro a otro. Los mensajeros comerciales solo podrán transportar información SECRET UE/EU SECRET dentro de un mismo Estado miembro, pero no sacarla de él.

3.   Los servicios de mensajería comercial recibirán la instrucción de que solo pueden entregar los envíos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET al controlador del registro, a su sustituto debidamente autorizado o al destinatario previsto.

4.   Los servicios de mensajería comercial pueden recurrir a los servicios de un subcontratista. No obstante, la responsabilidad del cumplimiento de la presente Decisión seguirá correspondiendo a la empresa de mensajería.

5.   No se utilizarán para la información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET los servicios ofrecidos por mensajeros comerciales consistentes en la transmisión electrónica de documentos de entrega certificada.

Artículo 25

Preparación de la ICUE para su trasporte por servicios de mensajería comercial

1.   Al preparar envíos clasificados, el remitente deberá tener en cuenta que los servicios de mensajería comercial solo podrán entregar los envíos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET al destinatario previsto, a su sustituto debidamente autorizado, al controlador del registro o su sustituto debidamente autorizado, o a un recepcionista.

2.   Cuando se envíe esa información mediante un servicio de mensajería comercial aprobado, el envío se preparará y envolverá de la forma siguiente:

| a) | el envío se expedirá en doble sobre (las características del sobre interior harán que toda tentativa de abrirlo resulte evidente) u otro material para envoltorio suficientemente seguro; |
| --- | --- |

a)

el envío se expedirá en doble sobre (las características del sobre interior harán que toda tentativa de abrirlo resulte evidente) u otro material para envoltorio suficientemente seguro;

| b) | el grado de clasificación será claramente visible en el sobre interior o en la capa interior del envoltorio; |
| --- | --- |

b)

el grado de clasificación será claramente visible en el sobre interior o en la capa interior del envoltorio;

| c) | no se indicará la clasificación en el sobre exterior ni en la capa exterior del envoltorio; |
| --- | --- |

c)

no se indicará la clasificación en el sobre exterior ni en la capa exterior del envoltorio;

| d) | los sobres o capas del envoltorio tanto interiores como exteriores estarán claramente dirigidos a una persona designada en la entidad destinataria prevista y llevarán un remite; |
| --- | --- |

d)

los sobres o capas del envoltorio tanto interiores como exteriores estarán claramente dirigidos a una persona designada en la entidad destinataria prevista y llevarán un remite;

| e) | dentro del sobre interior o la capa interior del envoltorio se incluirá un impreso de recibo de registro que el destinatario deberá cumplimentar y reenviar; el recibo de registro, que en sí mismo no estará clasificado, indicará el número de referencia, la fecha y el número de copias del documento, pero no el asunto; |
| --- | --- |

e)

dentro del sobre interior o la capa interior del envoltorio se incluirá un impreso de recibo de registro que el destinatario deberá cumplimentar y reenviar; el recibo de registro, que en sí mismo no estará clasificado, indicará el número de referencia, la fecha y el número de copias del documento, pero no el asunto;

| f) | en el sobre exterior o en la capa exterior del envoltorio se incluirá un recibo de entrega; el recibo de entrega, que en sí mismo no estará clasificado, indicará el número de referencia, la fecha y el número de copias del documento, pero no el asunto; |
| --- | --- |

f)

en el sobre exterior o en la capa exterior del envoltorio se incluirá un recibo de entrega; el recibo de entrega, que en sí mismo no estará clasificado, indicará el número de referencia, la fecha y el número de copias del documento, pero no el asunto;

| g) | el servicio de mensajería deberá obtener y proporcionar al remitente una prueba de la entrega del envío en el registro de firma y recuento, u obtener recibos o números de paquetes. |
| --- | --- |

g)

el servicio de mensajería deberá obtener y proporcionar al remitente una prueba de la entrega del envío en el registro de firma y recuento, u obtener recibos o números de paquetes.

3.   Antes del envío, el remitente deberá ponerse en contacto con el destinatario designado para convenir una fecha y una hora de entrega apropiadas.

4.   El remitente será el único responsable de los envíos expedidos mediante un servicio de mensajería comercial. En caso de que el envío se extravíe o no se entregue a tiempo, el remitente notificará la situación a la autoridad de seguridad de la Comisión, la cual efectuará un seguimiento del incidente de seguridad.

Artículo 26

Otras condiciones de manejo específicas

1.   Se cumplirán todas las condiciones de transporte que se hayan establecido en un acuerdo sobre seguridad de la información o en un arreglo administrativo. En caso de duda, el personal consultará a sus respectivos registros o a la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad.

2.   El requisito de doble envoltorio podrá ser inaplicado en el caso de la información clasificada que esté protegida por productos criptográficos aprobados. No obstante, a efectos de expedición, y debido también al hecho de que el soporte de almacenamiento extraíble lleva una marca de clasificación de seguridad explícita, el soporte se transportará al menos en un sobre ordinario, pero podrá requerir medidas de protección física adicionales, como el uso de sobres recubiertos en el interior con plástico de burbujas.

CAPÍTULO 4

REUNIONES CLASIFICADAS

Artículo 27

Preparación de una reunión CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET

1.   Las reuniones en las que esté previsto discutir información CONFIDENTIEL UE/EU CONFIDENTIEL o SECRET UE/EU SECRET se celebrarán solo en salas de reuniones que hayan sido acreditadas al nivel adecuado o superior. Cuando esas salas no estén disponibles, el personal consultará a la autoridad de seguridad de la Comisión.

2.   Como regla general, los órdenes del día no deben clasificarse. El hecho de que el orden del día de alguna reunión haga referencia a documentos clasificados no implica que el orden del día deba clasificarse automáticamente. Los puntos del orden del día se formularán con una redacción que evite todo riesgo para la protección de los intereses de la Unión o de uno o más Estados miembros.

3.   Los organizadores de las reuniones habrán de recordar a los participantes que las observaciones relativas a puntos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET del orden del día no deben enviarse por correo electrónico, ni por otros medios que no hayan sido debidamente acreditados con arreglo al artículo 11 de la presente Decisión.

4.   Los organizadores de las reuniones tratarán de agrupar de manera consecutiva en el orden del día los puntos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET para facilitar el fluido desenvolvimiento de la reunión. Solo podrán estar presentes en el debate de los puntos clasificados las personas con necesidad de conocerlos, que dispongan de la habilitación de seguridad al nivel apropiado y que estén autorizadas, cuando así proceda.

5.   En la propia invitación se prevendrá a los participantes de que en la reunión se debatirán temas clasificados, lo que dará lugar a la aplicación de las medidas de seguridad correspondientes.

6.   Se recordará a los participantes que durante el debate de los puntos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET deberán dejarse fuera de la sala de reunión los dispositivos electrónicos portátiles.

7.   Antes de la reunión, los organizadores elaborarán una lista completa de participantes.

Artículo 28

Acceso de los participantes a una reunión CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET

1.   Los organizadores de la reunión informarán a la autoridad de seguridad de la Comisión de todo visitante externo que asista a una reunión CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales de la Comisión.

2.   Para poder estar presentes en el debate de los puntos del orden del día CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, los participantes deberán demostrar que son titulares de una habilitación de seguridad válida del nivel apropiado.

Artículo 29

Equipo electrónico en las salas de reuniones CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET

1.   Cuando se transmita información clasificada, por ejemplo durante una presentación en la que se muestre información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, o cuando se celebren videoconferencias, solo podrán utilizarse sistemas informáticos acreditados con arreglo al artículo 11 de la presente Decisión.

2.   El presidente se asegurará de que se hayan dejado fuera de la sala los dispositivos electrónicos portátiles no autorizados.

Artículo 30

Procedimientos que han de seguirse durante las reuniones CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET

1.   Al inicio del debate sobre temas clasificados, el presidente anunciará a los asistentes a la reunión que se pasa a «modo clasificado». Se cerrarán las puertas.

2.   Solo se firmará para su recuento y se entregará a los participantes y a los intérpretes el número necesario de documentos, según corresponda, al inicio del debate.

3.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET no se dejarán desatendidos durante las pausas de la reunión.

4.   Al término de la reunión, se recordará a los participantes y a los intérpretes que no dejen desatendidos en la sala los documentos clasificados o las notas clasificadas que hayan podido tomar. Todo documento CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET que no necesiten los participantes al término de la reunión y, en cualquier caso, los documentos de los intérpretes, se firmarán para su recuento y devolverán al controlador del registro para su destrucción en las trituradoras apropiadas.

5.   Durante la reunión, se anotará la lista de participantes y se realizará una sinopsis de la información clasificada facilitada a los Estados miembros y comunicada verbalmente a terceros países u organizaciones internacionales para su registro en el resultado de los trabajos.

Artículo 31

Intérpretes y traductores

Solo los intérpretes y traductores con habilitación de seguridad y autorizados que estén sujetos al Estatuto de los funcionarios o al régimen aplicable a otros agentes de la Unión Europea o que tengan un vínculo contractual con la Comisión tendrán acceso a la información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

CAPÍTULO 5

PUESTA EN COMÚN E INTERCAMBIO DE INFORMACIÓN CONFIDENTIEL UE/EU CONFIDENTIAL Y SECRET UE/EU SECRET

Artículo 32

Consentimiento del originador

Si la Comisión no es la entidad originadora de la información clasificada que desea divulgar o poner en común, o del material original que esta pueda contener, el servicio de la Comisión que posea esa información clasificada deberá recabar el consentimiento escrito del originador para divulgarla. Si no se puede identificar al originador, el servicio de la Comisión que posea esa información clasificada ejercerá el control de originador.

Artículo 33

Puesta en común de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET con otras entidades de la Unión

1.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET solo se pondrá en común con otra institución, órgano, organismo u oficina de la Unión si el destinatario tiene necesidad de conocerla y si dicha entidad tiene el correspondiente arreglo jurídico con la Comisión.

2.   Dentro de la Comisión, el registro de ICUE gestionado por la Secretaría General será, por regla general, el punto principal de entrada y de salida para los intercambios de información clasificada con otras instituciones, órganos, organismos u oficinas de la Unión. Se consultará a la autoridad de seguridad de la Comisión cuando motivos de seguridad, organizativos u operativos aconsejen que los registros locales de ICUE actúen como puntos de entrada y de salida para las materias que sean competencia del servicio correspondiente.

Artículo 34

Intercambio de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET con los Estados miembros

1.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET podrá ponerse en común con los Estados miembros si el destinatario tiene necesidad de conocerla y dispone de una habilitación de seguridad.

2.   La información clasificada de los Estados miembros que lleve una marca de clasificación nacional equivalente (10) y que haya sido facilitada a la Comisión recibirá el mismo grado de protección que la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET.

Artículo 35

Intercambio de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET con terceros países y organizaciones internacionales

1.   La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET solo se divulgará a un tercer país o a una organización internacional si el destinatario tiene necesidad de conocerla y el país u organización internacional dispone de un marco jurídico o administrativo apropiado, como un acuerdo de seguridad de la información o un arreglo administrativo con la Comisión. Las disposiciones de dichos acuerdos o arreglos prevalecerán sobre las de la presente Decisión.

2.   Por regla general, el registro de ICUE gestionado por la Secretaría General actuará como punto principal de entrada y de salida de toda la información clasificada CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET intercambiada entre la Comisión y terceros países y organizaciones internacionales. Se consultará a la autoridad de seguridad de la Comisión cuando motivos de seguridad, organizativos u operativos aconsejen que los registros locales de ICUE actúen como puntos de entrada y de salida para las materias que sean competencia del servicio correspondiente.

3.   Toda información clasificada que se reciba de un tercer país o una organización internacional se registrará con fines de seguridad. Consiguientemente, el personal se pondrá en contacto con el registro si recibe información clasificada que no proceda del circuito habitual del registro.

4.   Para garantizar su rastreabilidad, la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se registrará:

| — | cuando llegue a una entidad organizativa o salga de ella; y |
| --- | --- |

—

cuando llegue a una entidad organizativa o salga de ella; y

| — | cuando llegue a un SIC o salga de él. |
| --- | --- |

—

cuando llegue a un SIC o salga de él.

5.   Ese registro podrá efectuarse en papel o en libros de registro electrónicos.

6.   Los procedimientos de registro de la información clasificada manejada en un SIC acreditado podrán llevarse a cabo mediante los procesos internos del propio SIC. En ese caso, el SIC incluirá medidas para garantizar la integridad de los libros de registro.

7.   La información clasificada recibida de terceros países o de organizaciones internacionales recibirá un grado de protección equivalente al de la ICUE que lleve la marca de clasificación equivalente, según se establezca en el acuerdo de seguridad de la información o en el arreglo administrativo correspondiente.

Artículo 36

Divulgación ad hoc con carácter excepcional de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   Cuando la Comisión o alguno de sus servicios determine que existe una necesidad excepcional de divulgar información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET a un tercer país, una organización internacional o una entidad de la UE, pero no exista ningún acuerdo de seguridad de la información o arreglo administrativo, se seguirá el procedimiento de divulgación ad hoc con carácter excepcional.

2.   Los servicios de la Comisión se pondrán en contacto con la autoridad de seguridad de la Comisión, la cual consultará al grupo de expertos de seguridad de la Comisión.

3.   Previa consulta a su grupo de expertos de seguridad, la Comisión, a propuesta del miembro de la Comisión responsable de los asuntos de seguridad, podrá autorizar la divulgación de dicha información.

CAPÍTULO 6

FIN DE VIDA ÚTIL DE LA INFORMACIÓN CONFIDENTIEL UE/EU CONFIDENTIAL Y SECRET UE/EU SECRET

Artículo 37

Rebaja de la clasificación y desclasificación

1.   La información solo permanecerá clasificada mientras requiera protección. Por rebaja de la clasificación se entiende una reducción del grado de clasificación de seguridad. La desclasificación significará que la información dejará de considerarse clasificada desde todo punto de vista. Al producir la información, el originador indicará, siempre que sea posible, si puede rebajarse la clasificación de la ICUE o desclasificarse en una fecha determinada o tras un acontecimiento concreto. De no ser posible, el originador revisará la información y hará una evaluación de los riesgos, cada cinco años como mínimo, para determinar si el grado de clasificación original sigue siendo apropiado.

2.   Los documentos de la Comisión también podrán ser objeto de una rebaja de clasificación o desclasificarse con carácter ad hoc, por ejemplo a raíz de una solicitud de acceso público.

Artículo 38

Responsabilidad de la rebaja de clasificación y la desclasificación

1.   No se rebajará la clasificación de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET ni se desclasificará sin el permiso de su originador.

2.   El servicio de la Comisión que cree un documento clasificado será responsable de decidir si puede desclasificarse o si puede rebajarse su clasificación. Dentro de la Comisión, todas las solicitudes de rebaja de clasificación o de desclasificación serán sometidas a la consulta del jefe de unidad o el director del servicio originario. Si el servicio ha compilado información clasificada procedente de diversas fuentes, deberá recabar, en primer lugar, el consentimiento de las otras partes que hayan facilitado material original, incluidos los Estados miembros, otros organismos de la UE, terceros países u organizaciones internacionales.

3.   Cuando el servicio originario de la Comisión haya dejado de existir y sus responsabilidades hayan sido asumidas por otro servicio, será este último el que adopte la decisión sobre la rebaja de la clasificación o la desclasificación. Cuando el servicio originario haya dejado de existir y sus responsabilidades no hayan sido asumidas por otro servicio, la decisión sobre la rebaja de clasificación o la desclasificación será adoptada conjuntamente por los jefes de unidad o los directores de las Direcciones Generales destinatarias.

4.   El servicio responsable de la rebaja de clasificación o la desclasificación colaborará con su registro correspondiente para adoptar las disposiciones prácticas necesarias con tal fin.

Artículo 39

Información sensible no clasificada

Cuando la revisión de un documento desemboque en una decisión de desclasificación, deberá considerarse si el documento debe llevar una marca de distribución de información sensible no clasificada conforme al artículo 9 de la Decisión (UE, Euratom) 2015/443.

Artículo 40

Indicación de que se ha rebajado la clasificación de un documento o que se ha desclasificado

1.   La marca de clasificación original en la parte superior e inferior de cada página deberá tacharse de forma visible (no suprimirse) mediante la función «tachado», en el caso de los formatos electrónicos, o de forma manual, en los documentos impresos.

2.   La primera página (cubierta) deberá llevar un sello que indique que el documento ha sido objeto de una rebaja de clasificación o desclasificado y completarse con los datos de la autoridad responsable de la rebaja de clasificación o la desclasificación y la fecha correspondiente.

3.   Se informará de la rebaja de clasificación o la desclasificación a los destinatarios originales de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET. Los destinatarios iniciales serán responsables de informar a los destinatarios subsiguientes a quienes hayan enviado la información original CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET o puesto en copia de su envío.

4.   Se informará al servicio de los Archivos Históricos de la Comisión de cuantas decisiones de desclasificación se adopten.

5.   Todas las traducciones de información clasificada estarán sujetas a los mismos procedimientos de rebaja de clasificación o desclasificación que la versión lingüística original.

Artículo 41

Rebaja de clasificación parcial o desclasificación parcial de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   Será también posible una rebaja de clasificación parcial o una desclasificación parcial (que afecte, por ejemplo, a los anexos o a determinados apartados del documento). El procedimiento será idéntico al de rebaja de clasificación o desclasificación de un documento íntegro.

2.   Tras la desclasificación parcial («saneamiento») de la información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, se producirá un extracto desclasificado.

3.   Las partes que permanezcan clasificadas se sustituirán por la inscripción:

| PARTE QUE NO DEBE DESCLASIFICARSE |
| --- |

PARTE QUE NO DEBE DESCLASIFICARSE

bien en el cuerpo del propio texto, si la parte que permanece clasificada forma parte de un apartado, bien como apartado, si la parte que permanece clasificada ocupa un apartado específico o más de un apartado.

4.   Cuando un anexo completo no pueda desclasificarse y, por lo tanto, no figure en el extracto, se hará una mención específica de esa circunstancia en el texto.

Artículo 42

Destrucción y eliminación rutinarias de información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET

1.   La Comisión no acumulará grandes volúmenes de información clasificada.

2.   Al menos cada cinco años, los servicios originarios revisarán los documentos para su destrucción o eliminación. Se llevará a cabo una revisión a intervalos regulares tanto de la información almacenada en papel como de la almacenada en SIC.

3.   El personal no destruirá ningún documento CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en soporte de papel que haya dejado de necesitar, sino que solicitará al controlador de su registro que destruya esos documentos, sin perjuicio de los requisitos de archivo que se apliquen al documento original.

4.   El personal no estará obligado a informar al originador de la eliminación de copias de documentos CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

5.   Los borradores que contengan información clasificada serán sometidos a los mismos métodos de eliminación que los documentos clasificados finalizados.

6.   Para la destrucción de los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET solo se utilizarán trituradoras aprobadas. Las trituradoras con el grado de seguridad 5 de la norma DIN 66399 se consideran adecuadas para la destrucción de documentos CONFIDENTIEL UE/EU CONFIDENTIAL. Las trituradoras con el grado de seguridad 6 de la norma DIN 66399 se consideran adecuadas para la destrucción de documentos SECRET UE/EU SECRET.

7.   Los residuos de las trituradoras aprobadas podrán eliminarse como residuos de oficina normales.

8.   El controlador del registro elaborará certificados de destrucción y actualizará consiguientemente los libros de registro electrónicos y demás información sobre el registro.

9.   Todos los soportes y dispositivos que contengan información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET serán adecuadamente saneados cuando lleguen al final de su vida útil. Los datos electrónicos se destruirán o borrarán de los recursos informáticos y los soportes de almacenamiento asociados de una forma que ofrezca garantías suficientes de que la información no puede recuperarse. El saneamiento suprimirá los datos, así como todas las etiquetas, marcas y registros de actividad, del dispositivo de almacenamiento.

10.   Los soportes de almacenamiento informático se entregarán al LSO o al responsable local de seguridad informática y/o al controlador del registro para su destrucción y eliminación.

Artículo 43

Evacuación y destrucción de la información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET en caso de emergencia

1.   El jefe de servicio desarrollará, aprobará y, en caso necesario, activará los planes de evacuación y destrucción de emergencia para proteger la ICUE que presente un riesgo significativo de caer en manos no autorizadas durante una crisis. Por orden de prioridad y en función de la naturaleza de la emergencia, se barajarán las opciones siguientes:

| (1) | trasladar la ICUE a otro lugar seguro, a ser posible una zona de acceso restringido dentro del mismo edificio; |
| --- | --- |

(1)

trasladar la ICUE a otro lugar seguro, a ser posible una zona de acceso restringido dentro del mismo edificio;

| (2) | evacuar la ICUE a otro lugar seguro, a ser posible una zona de acceso restringido en otro edificio, preferentemente un edificio de la Comisión; |
| --- | --- |

(2)

evacuar la ICUE a otro lugar seguro, a ser posible una zona de acceso restringido en otro edificio, preferentemente un edificio de la Comisión;

| (3) | destruir la ICUE, utilizando, en la medida de lo posible, los medios de destrucción aprobados. |
| --- | --- |

(3)

destruir la ICUE, utilizando, en la medida de lo posible, los medios de destrucción aprobados.

2.   Cuando se hayan activado planes de emergencia, se dará prioridad al traslado o la destrucción de la información SECRET UE/EU SECRET en primer lugar y, a continuación, de la información CONFIDENTIEL UE/EU CONFIDENTIAL.

3.   A su vez, los detalles operativos de los planes de evacuación y destrucción de emergencia se clasificarán como RESTREINT UE/EU RESTRICTED. En cada caja fuerte en la que se guarde información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se conservará al menos una copia de forma que esté accesible en caso de emergencia.

Artículo 44

Archivo

1.   Las decisiones sobre la necesidad de archivar, en qué momento, y las medidas prácticas correspondientes se adoptarán de conformidad con la política de la Comisión en materia de gestión de documentos.

2.   Los documentos CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET no se enviarán a los Archivos Históricos de la Unión Europea en Florencia.

CAPÍTULO 7

DISPOSICIONES FINALES

Artículo 45

Transparencia

La presente Decisión será puesta en conocimiento del personal de la Comisión y de todas aquellas personas a las que se aplique, y se publicará en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea

Artículo 46

Entrada en vigor

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea

Hecho en Bruselas, el 17 de octubre de 2019.

Por la Comisión,

en nombre del Presidente,

Günther OETTINGER

Miembro de la Comisión

---

(1)  
  DO L 72 de 17.3.2015, p. 41.

1

(2)  
  DO L 72 de 17.3.2015, p. 53.

2

(3)  
  DO L 6 de 11.1.2017, p. 40.

3

(4)  Decisión 2013/488/UE del Consejo, de 23 de septiembre de 2013, relativa a las normas de seguridad para la protección de la información clasificada de la UE (DO L 274 de 15.10.2013, p. 1).

4

(5)  Decisión de la Comisión, de 4 de mayo de 2016, sobre la capacitación en materia de seguridad [C (2016) 2797 final].

5

(6)  Conforme al artículo 3 de la Decisión (UE, Euratom) 2015/444, por información CONFIDENTIEL UE/EU CONFIDENTIAL se entenderá «la información y el material cuya revelación no autorizada pueda causar perjuicio a los intereses esenciales de la Unión Europea o de uno o varios Estados miembros».

6

(7)  Conforme al artículo 3 de la Decisión (UE, Euratom) 2015/444, por información SECRET UE/EU SECRET se entenderá «la información y el material cuya revelación no autorizada pueda causar un perjuicio grave a los intereses esenciales de la Unión Europea o de uno o varios Estados miembros».

7

(8)  Según se define en el artículo 18 de la Decisión (UE, Euratom) 2015/444.

8

(9)  Según se define en el artículo 18 de la Decisión (UE, Euratom) 2015/444.

9

(10)  El cuadro de correspondencias de las marcas de los Estados miembros figura en el anexo I de la Decisión (UE, Euratom) 2015/444.

10

---

ANEXO

Categorías de personal que pueden tener acceso a información CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET cuando así lo exija el desempeño de sus tareas profesionales

| Categorías de personal de la Comisión | Acceso a la información C-UE/EU- C y S-UE/EU-S | Condiciones |
| --- | --- | --- |
| Funcionarios | Sí | Escrutinio de seguridad + sesión de información + asunción de responsabilidad + autorización + necesidad de conocer |
| Agentes temporales | Sí | Escrutinio de seguridad + sesión de información + asunción de responsabilidad + autorización + necesidad de conocer |
| Agentes contractuales | Sí | Escrutinio de seguridad + sesión de información + asunción de responsabilidad + autorización + necesidad de conocer |
| Expertos nacionales en comisión de servicios | Sí | Solo cuando hayan sido habilitados por los Estados miembros de la UE antes de asumir su cometido + asistido a una sesión de información a cargo de la Comisión + asumido su responsabilidad + sido autorizados por la Comisión + tengan «necesidad de conocer» |
| Becarios | No | No cabe ninguna excepción |
| Otras categorías de personal (interinos, consultores externos en régimen «intramuros», etc.) | No | Consultar a la autoridad de seguridad de la Comisión acerca de las excepciones posibles. |

Categorías de personal de la Comisión

Acceso a la información C-UE/EU- C y S-UE/EU-S

Condiciones

Funcionarios

Sí

Escrutinio de seguridad + sesión de información + asunción de responsabilidad + autorización + necesidad de conocer

Agentes temporales

Sí

Escrutinio de seguridad + sesión de información + asunción de responsabilidad + autorización + necesidad de conocer

Agentes contractuales

Sí

Escrutinio de seguridad + sesión de información + asunción de responsabilidad + autorización + necesidad de conocer

Expertos nacionales en comisión de servicios

Sí

Solo cuando hayan sido habilitados por los Estados miembros de la UE antes de asumir su cometido + asistido a una sesión de información a cargo de la Comisión + asumido su responsabilidad + sido autorizados por la Comisión + tengan «necesidad de conocer»

Becarios

No

No cabe ninguna excepción

Otras categorías de personal (interinos, consultores externos en régimen «intramuros», etc.)

No

Consultar a la autoridad de seguridad de la Comisión acerca de las excepciones posibles.

---

| 2.12.2019 | ES | Diario Oficial de la Unión Europea | L 311/21 |
| --- | --- | --- | --- |

2.12.2019

ES

Diario Oficial de la Unión Europea

L 311/21

---

DECISIÓN (UE, Euratom) 2019/1962 DE LA COMISIÓN

de 17 de octubre de 2019

por la que se establecen las normas de desarrollo aplicables al manejo de la información RESTREINT UE/EU RESTRICTED

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249,

Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106,

Vista la Decisión (UE, Euratom) 2015/443 de la Comisión, de 13 de marzo de 2015, sobre la seguridad en la Comisión (1),

Vista la Decisión (UE, Euratom) 2015/444 de la Comisión, de 13 de marzo de 2015, sobre las normas de seguridad para la protección de la información clasificada de la UE (2),

Vista la Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (3),

Considerando lo siguiente:

| (1) | La Decisión (UE, Euratom) 2015/444 se aplica a todos los servicios de la Comisión y en todos los locales de la Comisión. |
| --- | --- |

(1)

La Decisión (UE, Euratom) 2015/444 se aplica a todos los servicios de la Comisión y en todos los locales de la Comisión.

| (2) | Las medidas de seguridad destinadas a proteger la información clasificada de la UE (ICUE) a lo largo de su ciclo de vida deben ser proporcionales, ante todo, a su clasificación de seguridad. |
| --- | --- |

(2)

Las medidas de seguridad destinadas a proteger la información clasificada de la UE (ICUE) a lo largo de su ciclo de vida deben ser proporcionales, ante todo, a su clasificación de seguridad.

| (3) | El artículo 4, apartado 3, el artículo 19, apartado 1, letra a), y el artículo 22 de la Decisión (UE, Euratom) 2015/444 indican la necesidad de establecer disposiciones más detalladas que complementen y faciliten la aplicación de dicha Decisión a través de normas de desarrollo que regulen cuestiones como la guía de clasificación, las medidas compensatorias para el manejo de la ICUE fuera de una zona de acceso restringido o una zona administrativa, y las responsabilidades de los originadores. |
| --- | --- |

(3)

El artículo 4, apartado 3, el artículo 19, apartado 1, letra a), y el artículo 22 de la Decisión (UE, Euratom) 2015/444 indican la necesidad de establecer disposiciones más detalladas que complementen y faciliten la aplicación de dicha Decisión a través de normas de desarrollo que regulen cuestiones como la guía de clasificación, las medidas compensatorias para el manejo de la ICUE fuera de una zona de acceso restringido o una zona administrativa, y las responsabilidades de los originadores.

| (4) | En caso necesario, deben adoptarse normas de desarrollo destinadas a complementar o facilitar la aplicación de la Decisión (UE, Euratom) 2015/444 conforme al artículo 60 de dicha Decisión. |
| --- | --- |

(4)

En caso necesario, deben adoptarse normas de desarrollo destinadas a complementar o facilitar la aplicación de la Decisión (UE, Euratom) 2015/444 conforme al artículo 60 de dicha Decisión.

| (5) | Las medidas de seguridad adoptadas en aplicación de la presente Decisión deben ajustarse a los principios de seguridad en la Comisión establecidos en el artículo 3 de la Decisión (UE, Euratom) 2015/443. |
| --- | --- |

(5)

Las medidas de seguridad adoptadas en aplicación de la presente Decisión deben ajustarse a los principios de seguridad en la Comisión establecidos en el artículo 3 de la Decisión (UE, Euratom) 2015/443.

| (6) | El Consejo, la Comisión y la alta representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado asegurar una coherencia máxima en la aplicación de las normas de seguridad relativas a la protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (4). |
| --- | --- |

(6)

El Consejo, la Comisión y la alta representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado asegurar una coherencia máxima en la aplicación de las normas de seguridad relativas a la protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (4).

| (7) | El 4 de mayo de 2016, la Comisión adoptó una Decisión (5) que faculta al miembro de la Comisión responsable de los asuntos de seguridad para adoptar, en nombre de la Comisión y bajo su responsabilidad, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444, |
| --- | --- |

(7)

El 4 de mayo de 2016, la Comisión adoptó una Decisión (5) que faculta al miembro de la Comisión responsable de los asuntos de seguridad para adoptar, en nombre de la Comisión y bajo su responsabilidad, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444,

HA ADOPTADO LA PRESENTE DECISIÓN:

CAPÍTULO 1

DISPOSICIONES GENERALES

Artículo 1

Objeto y ámbito de aplicación

1.   La presente Decisión establece las condiciones para el manejo de la información clasificada de la UE (ICUE) de grado RESTREINT UE/EU RESTRICTED (6), en cumplimiento de lo dispuesto en la Decisión (UE, Euratom) 2015/444.

2.   La presente Decisión se aplicará a todos los servicios de la Comisión y en todos los locales de la Comisión.

Artículo 2

Criterios de acceso a la información RESTREINT UE/EU RESTRICTED

1.   El acceso a la información clasificada como RESTREINT UE/EU RESTRICTED podrá concederse después de que:

| a) | se haya determinado la necesidad de que un particular tenga acceso a determinada información RESTREINT UE/EU RESTRICTED a fin de poder desempeñar una función o cometido profesional para la Comisión Europea; |
| --- | --- |

a)

se haya determinado la necesidad de que un particular tenga acceso a determinada información RESTREINT UE/EU RESTRICTED a fin de poder desempeñar una función o cometido profesional para la Comisión Europea;

| b) | esa persona haya sido instruida acerca de las normas y los niveles de seguridad pertinentes y de las directrices para la protección de la información RESTREINT UE/EU RESTRICTED; y de que |
| --- | --- |

b)

esa persona haya sido instruida acerca de las normas y los niveles de seguridad pertinentes y de las directrices para la protección de la información RESTREINT UE/EU RESTRICTED; y de que

| c) | dicha persona haya asumido sus responsabilidades en materia de protección de dicha información. |
| --- | --- |

c)

dicha persona haya asumido sus responsabilidades en materia de protección de dicha información.

2.   No se asignará a los becarios de la Comisión tareas que requieran su acceso a la información RESTREINT UE/EU RESTRICTED.

3.   El acceso a esa información por parte de otras categorías de personal se autorizará o denegará de acuerdo con el cuadro que figura en el anexo.

CAPÍTULO 2

CREACIÓN DE INFORMACIÓN RESTREINT UE/EU RESTRICTED

Artículo 3

Originador

Si bien el originador, en el sentido del artículo 1 de la Decisión (UE, Euratom) 2015/444, es la institución, agencia u organismo de la Unión, Estado miembro, tercer Estado u organización internacional bajo cuya autoridad se haya producido información clasificada o se haya introducido en las estructuras de la Unión, el redactor de la información RESTREINT UE/EU RESTRICTED no ha de ser necesariamente la misma entidad.

Artículo 4

Asignación del grado de clasificación

1.   El personal que redacte un documento a partir de información contemplada en el artículo 1 deberá considerar en toda circunstancia la posibilidad de que ese documento haya de ser clasificado. La clasificación de un documento en la categoría de ICUE implicará una evaluación y una decisión, por parte del originador, que determinen si la revelación del documento a personas no autorizadas podría resultar perjudicial para los intereses de la Unión Europea o de uno o varios Estados miembros. Si los redactores albergan alguna duda sobre la necesidad de que el documento en el que estén trabajando se clasifique como RESTREINT UE/EU RESTRICTED, deberán consultar al jefe de unidad o al director responsable.

2.   Un documento debe clasificarse, como mínimo, en el grado RESTREINT UE/EU RESTRICTED si su revelación no autorizada pudiera, por ejemplo:

| a) | afectar negativamente a las relaciones diplomáticas; |
| --- | --- |

a)

afectar negativamente a las relaciones diplomáticas;

| b) | causar una zozobra considerable a particulares; |
| --- | --- |

b)

causar una zozobra considerable a particulares;

| c) | dificultar el mantenimiento de la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes; |
| --- | --- |

c)

dificultar el mantenimiento de la eficacia operativa o la seguridad del personal desplegado por los Estados miembros u otros contribuyentes;

| d) | violar el compromiso de mantener la confidencialidad de la información proporcionada por terceros, |
| --- | --- |

d)

violar el compromiso de mantener la confidencialidad de la información proporcionada por terceros,

| e) | entorpecer la investigación de algún delito o facilitarlo; |
| --- | --- |

e)

entorpecer la investigación de algún delito o facilitarlo;

| f) | perjudicar a la Unión o a los Estados miembros en las negociaciones comerciales o políticas con otras partes; |
| --- | --- |

f)

perjudicar a la Unión o a los Estados miembros en las negociaciones comerciales o políticas con otras partes;

| g) | obstaculizar el desarrollo o el funcionamiento efectivos de políticas de la Unión; |
| --- | --- |

g)

obstaculizar el desarrollo o el funcionamiento efectivos de políticas de la Unión;

| h) | socavar la adecuada gestión de la Unión y sus misiones en general, o |
| --- | --- |

h)

socavar la adecuada gestión de la Unión y sus misiones en general, o

| i) | conducir al descubrimiento de información clasificada en un grado superior. |
| --- | --- |

i)

conducir al descubrimiento de información clasificada en un grado superior.

3.   Los originadores podrán optar por atribuir un grado de clasificación estándar a determinadas categorías de información que creen de forma habitual. No obstante, se asegurarán de que se atribuye el grado de clasificación apropiado a las informaciones concretas

Artículo 5

Tratamiento de los borradores

1.   La información se clasificará tan pronto como se haya producido. Las notas personales, los borradores o los mensajes que contengan información que justifique una clasificación en el grado RESTREINT UE/EU RESTRICTED estarán marcados consiguientemente desde el principio y se producirán y manejarán conforme a lo dispuesto en la presente Decisión.

2.   Si el documento final deja de justificar su clasificación en el grado RESTREINT UE/EU RESTRICTED, se procederá a su desclasificación.

Artículo 6

Registro del material original

Para permitir el ejercicio del control de originador, de conformidad con el artículo 13, los originadores de documentos RESTREINT UE/EU RESTRICTED deberán, en la medida de lo posible, llevar un registro de las fuentes clasificadas que hayan utilizado para producir documentos clasificados, incluidos los datos de las fuentes originarias de los Estados miembros de la UE, organizaciones internacionales o terceros países. Cuando así proceda, la información clasificada agregada se marcará de una forma que preserve la identificación de los originadores de los materiales originales clasificados que se hayan utilizado.

Artículo 7

Clasificación de partes de un documento

1.   De conformidad con el artículo 22, apartado 6, de la Decisión (UE, Euratom) 2015/444, el grado global de clasificación de un documento deberá ser al menos tan alto como el de su componente con mayor grado de clasificación. Cuando se recopile información procedente de diversas fuentes, se revisará el documento agregado final para determinar su grado global de clasificación de seguridad, al ser posible que requiera un grado de clasificación superior al de sus componentes.

2.   Los documentos que contengan partes clasificadas y partes no clasificadas se estructurarán y marcarán de forma que los componentes con distintos grados de clasificación y/o sensibilidad puedan identificarse fácilmente y separarse en caso necesario. De esta forma, cada una de las partes podrá manejarse adecuadamente cuando se separe de los demás componentes.

Artículo 8

Marca de clasificación completa

1.   La información cuya clasificación esté justificada se marcará y manejará como tal, con independencia de su forma física. El grado de clasificación se comunicará claramente a los destinatarios, bien mediante una marca de clasificación, si la información se facilita por escrito, ya sea en papel, en soportes de almacenamiento extraíbles o en un sistema de información y comunicación (SIC), bien mediante una notificación, si la información se presenta oralmente, por ejemplo en una conversación o una presentación. El material clasificado estará marcado físicamente para permitir la fácil identificación de su clasificación de seguridad.

2.   En los documentos, se escribirá la marca de clasificación completa RESTREINT UE/EU RESTRICTED en letras mayúsculas, en francés y en inglés (primero en francés), de conformidad con el apartado 3. Esta marca no se traducirá a otras lenguas.

3.   La marca de clasificación RESTREINT UE/EU RESTRICTED se dispondrá de la forma siguiente:

| a) | centrada en la parte superior e inferior de cada página del documento; |
| --- | --- |

a)

centrada en la parte superior e inferior de cada página del documento;

| b) | la marca de clasificación completa aparecerá en una sola línea, sin espacios a cada lado de la barra oblicua; |
| --- | --- |

b)

la marca de clasificación completa aparecerá en una sola línea, sin espacios a cada lado de la barra oblicua;

| c) | en mayúsculas de color negro, con el tipo y tamaño de letra Times New Roman 16, en negrita y rodeada de un reborde por cada lado. |
| --- | --- |

c)

en mayúsculas de color negro, con el tipo y tamaño de letra Times New Roman 16, en negrita y rodeada de un reborde por cada lado.

4.   Al crear un documento RESTREINT UE/EU RESTRICTED:

| a) | se marcará claramente cada página con el grado de clasificación; |
| --- | --- |

a)

se marcará claramente cada página con el grado de clasificación;

| b) | se numerarán todas las páginas; |
| --- | --- |

b)

se numerarán todas las páginas;

| c) | el documento deberá llevar un número de referencia y una indicación del asunto, que en sí misma no constituirá información clasificada, salvo si se marca como tal; |
| --- | --- |

c)

el documento deberá llevar un número de referencia y una indicación del asunto, que en sí misma no constituirá información clasificada, salvo si se marca como tal;

| d) | todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página, y |
| --- | --- |

d)

todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página, y

| e) | se indicará en el documento la fecha de su creación. |
| --- | --- |

e)

se indicará en el documento la fecha de su creación.

Artículo 9

Marca de clasificación abreviada R-UE/EU-R

Podrá utilizarse la abreviatura «R-UE/EU-R» para indicar el grado de clasificación de partes concretas de un documento RESTREINT UE/EU RESTRICTED o cuando no pueda insertarse la marca de clasificación completa, por ejemplo en un pequeño soporte de almacenamiento extraíble. Podrá también utilizarse en el cuerpo del texto cuando el uso repetido de la marca de clasificación completa resulte engorroso. La abreviatura no se utilizará en lugar de las marcas de clasificación completas que han de figurar en el encabezamiento y el pie de página del documento.

Artículo 10

Otros indicadores de seguridad

1.   Los documentos RESTREINT UE/EU RESTRICTED podrán llevar otras marcas o «indicadores de seguridad» que especifiquen, por ejemplo, el ámbito al que pertenece el documento o que indiquen una distribución determinada en función de la «necesidad de conocer». Ejemplo:

| DIVULGABLE A LIECHTENSTEIN |
| --- |

DIVULGABLE A LIECHTENSTEIN

2.   Los documentos RESTREINT UE/EU RESTRICTED podrán llevar una advertencia de seguridad que ofrezca instrucciones específicas sobre la forma de manejar y tratar los documentos.

3.   Siempre que sea posible, toda indicación referente a la desclasificación se colocará en la primera página del documento en el momento de su creación. Por ejemplo, podrá utilizarse el marcado siguiente:

| RESTREINT UE/EU RESTRICTED

  hasta el [dd.mm.aaaa] |
| --- |

RESTREINT UE/EU RESTRICTED

hasta el [dd.mm.aaaa]

Artículo 11

Tratamiento electrónico

1.   Los documentos RESTREINT UE/EU RESTRICTED se crearán por medios electrónicos siempre que estos estén disponibles.

2.   El personal de la Comisión utilizará SIC acreditados para generar información de grado RESTREINT UE/EU RESTRICTED. En caso de duda acerca de los SIC que pueden utilizarse, el personal deberá consultar a su responsable local de seguridad (LSO, por sus siglas en inglés). Previa consulta a la autoridad de seguridad de la Comisión, podrán aplicarse procedimientos específicos en caso de emergencia o en presencia de configuraciones técnicas específicas.

3.   Los documentos RESTREINT UE/EU RESTRICTED, incluidos los borradores, según dispone el artículo 5, no se enviarán por correo electrónico ordinario no cifrado, ni se imprimirán o escanearán en impresoras o escáneres estándar, ni se manejarán en los dispositivos personales de los miembros del personal. Para imprimir documentos RESTREINT UE/EU RESTRICTED, solo se utilizarán impresoras o fotocopiadoras conectadas a ordenadores independientes o a un sistema acreditado.

Artículo 12

Distribución

El remitente de los documentos RESTREINT UE/EU RESTRICTED decidirá a quién debe distribuirse la información, en función de su «necesidad de conocer». En caso necesario, se elaborará una lista de distribución para aplicar más rigurosamente el principio de la «necesidad de conocer».

CAPÍTULO 3

TRABAJO CON INFORMACIÓN RESTREINT UE/EU RESTRICTED EXISTENTE

Artículo 13

Control de originador

1.   El originador deberá tener «control de originador» sobre la información RESTREINT UE/EU RESTRICTED que haya creado. Se recabará el consentimiento previo por escrito del originador antes de que la información pueda ser:

| a) | desclasificada; |
| --- | --- |

a)

desclasificada;

| b) | utilizada con fines distintos de los determinados por el originador; |
| --- | --- |

b)

utilizada con fines distintos de los determinados por el originador;

| c) | divulgada a un tercer país o a una organización internacional; |
| --- | --- |

c)

divulgada a un tercer país o a una organización internacional;

| d) | revelada a una parte externa a la Comisión pero interna a la UE; o |
| --- | --- |

d)

revelada a una parte externa a la Comisión pero interna a la UE; o

| e) | revelada a un contratista o a un contratista potencial ubicado en un tercer país. |
| --- | --- |

e)

revelada a un contratista o a un contratista potencial ubicado en un tercer país.

2.   Los poseedores de la información RESTREINT UE/EU RESTRICTED han recibido acceso a la información clasificada para poder desempeñar sus funciones. Son responsables de su correcto manejo, almacenamiento y protección con arreglo a la Decisión (UE, Euratom) 2015/444. A diferencia de los originadores de información clasificada, los poseedores no estarán autorizados para adoptar decisiones sobre la desclasificación o la subsiguiente divulgación de información RESTREINT UE/EU RESTRICTED a terceros países u organizaciones internacionales.

3.   Si no es posible identificar al originador de alguna información RESTREINT UE/EU RESTRICTED, el servicio de la Comisión que posea esa información clasificada ejercerá el control de originador. Antes de divulgar información RESTREINT UE/EU RESTRICTED a un tercer país o a una organización internacional, se consultará al grupo de expertos de seguridad de la Comisión.

Artículo 14

SIC adecuados para el manejo de la información RESTREINT UE/EU RESTRICTED

La información RESTREINT UE/EU RESTRICTED se manejará y transmitirá por medios electrónicos, siempre que estos estén disponibles. Solo se utilizarán SIC y equipo que hayan sido acreditados por la Autoridad de Acreditación de Seguridad de la Comisión.

Artículo 15

Medidas específicas aplicables a la información RESTREINT UE/EU RESTRICTED en soportes de almacenamiento extraíbles

1.   El uso de soportes de almacenamiento extraíbles será objeto de control y dará lugar a la debida rendición de cuentas. Solo se utilizarán soportes de almacenamiento extraíbles proporcionados por la Comisión y cifrados con un producto aprobado por la autoridad de seguridad de la Comisión. Para la transferencia de información clasificada no se utilizarán soportes de almacenamiento extraíbles personales ni soportes ofrecidos gratuitamente en conferencias, seminarios, etc. En la medida de lo posible, se utilizarán soportes de almacenamiento extraíbles protegidos por la tecnología Tempest, conforme a las directrices de la autoridad de seguridad de la Comisión.

2.   Cuando un documento clasificado se maneje o se almacene electrónicamente en soportes de almacenamiento extraíbles, como llaves USB, discos compactos o tarjetas de memoria, la marca de clasificación deberá ser claramente visible en la propia información, así como en el nombre del archivo y en el soporte de almacenamiento extraíble.

3.   El personal deberá tener en cuenta que, cuando se almacenen grandes volúmenes de información clasificada en soportes de almacenamiento extraíbles, el dispositivo podrá requerir un grado de clasificación más elevado.

4.   Solo los SIC que hayan sido debidamente acreditados podrán utilizarse para transferir información RESTREINT UE/EU RESTRICTED hacia o desde soportes de almacenamiento extraíbles.

5.   Cuando se descargue información RESTREINT UE/EU RESTRICTED a soportes de almacenamiento extraíbles, se tomarán especiales precauciones para asegurar que dichos soportes no contengan virus o programas maliciosos antes de la transferencia de los datos.

6.   Cuando así proceda, los soportes de almacenamiento extraíbles se manejarán con arreglo a los procedimientos operativos de seguridad correspondientes al sistema de cifrado utilizado.

7.   Los documentos en soportes de almacenamiento extraíbles que ya no se necesiten o que hayan sido transferidos a un SIC adecuado se suprimirán o eliminarán de forma segura utilizando productos o métodos aprobados. Salvo si se almacenan en muebles de oficina debidamente cerrados con llave, los soportes de almacenamiento extraíbles se destruirán cuando dejen de ser necesarios. Las operaciones de destrucción o eliminación se efectuarán con métodos que se ajusten a las normas de seguridad de la Comisión. Se mantendrá un inventario de los soportes extraíbles, cuya destrucción deberá registrarse.

Artículo 16

Manejo y almacenamiento de la información RESTREINT UE/EU RESTRICTED

1.   De conformidad con el artículo 19, apartado 1, letras a) y b), de la Decisión (UE, Euratom) 2015/444, la información RESTREINT UE/EU RESTRICTED podrá manejarse en una zona administrativa o en una zona de acceso restringido (7), según se indica a continuación:

| — | cuando se disponga a manejar información RESTREINT UE/EU RESTRICTED, el personal cerrará la puerta del despacho; |
| --- | --- |

—

cuando se disponga a manejar información RESTREINT UE/EU RESTRICTED, el personal cerrará la puerta del despacho;

| — | si se presenta alguna visita, el personal deberá retirar u ocultar la información RESTREINT UE/UE RESTRICTED; |
| --- | --- |

—

si se presenta alguna visita, el personal deberá retirar u ocultar la información RESTREINT UE/UE RESTRICTED;

| — | cuando el despacho esté vacío, el personal no deberá dejar información RESTREINT UE/EU RESTRICTED en ningún lugar visible; |
| --- | --- |

—

cuando el despacho esté vacío, el personal no deberá dejar información RESTREINT UE/EU RESTRICTED en ningún lugar visible;

| — | las pantallas donde aparezca información RESTREINT UE/EU RESTRICTED se apartarán permanentemente de las ventanas y las puertas para evitar posibles miradas indiscretas. |
| --- | --- |

—

las pantallas donde aparezca información RESTREINT UE/EU RESTRICTED se apartarán permanentemente de las ventanas y las puertas para evitar posibles miradas indiscretas.

2.   Conforme al artículo 19, apartado 1, letra c), de la Decisión (UE, Euratom) 2015/444, la información RESTREINT UE/EU RESTRICTED podrá manejarse fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias destinadas a preservarla del acceso de personas no autorizadas. Dichas medidas compensatorias incluirán, como mínimo, las siguientes:

| — | la información RESTREINT UE/EU RESTRICTED no se leerá en lugares públicos; |
| --- | --- |

—

la información RESTREINT UE/EU RESTRICTED no se leerá en lugares públicos;

| — | la ICUE permanecerá en todo momento bajo el control personal de su poseedor; |
| --- | --- |

—

la ICUE permanecerá en todo momento bajo el control personal de su poseedor;

| — | los documentos se guardarán en muebles de oficina debidamente cerrados con llave cuando no estén siendo leídos o comentados; |
| --- | --- |

—

los documentos se guardarán en muebles de oficina debidamente cerrados con llave cuando no estén siendo leídos o comentados;

| — | las puertas de la sala se cerrarán durante la lectura o el debate del documento; |
| --- | --- |

—

las puertas de la sala se cerrarán durante la lectura o el debate del documento;

| — | el contenido del documento no se tratará por teléfono, en una línea no segura, ni en un correo electrónico no cifrado; |
| --- | --- |

—

el contenido del documento no se tratará por teléfono, en una línea no segura, ni en un correo electrónico no cifrado;

| — | el documento solo se podrá fotocopiar o escanear en aparatos independientes o acreditados; |
| --- | --- |

—

el documento solo se podrá fotocopiar o escanear en aparatos independientes o acreditados;

| — | el documento solo se manejará y conservará temporalmente fuera de las zonas administrativas y de las zonas de acceso restringido durante el tiempo mínimo necesario; |
| --- | --- |

—

el documento solo se manejará y conservará temporalmente fuera de las zonas administrativas y de las zonas de acceso restringido durante el tiempo mínimo necesario;

| — | el poseedor no desechará el documento clasificado, sino que lo devolverá para su almacenamiento en una zona administrativa o de acceso restringido, o se encargará de su destrucción en una trituradora autorizada. |
| --- | --- |

—

el poseedor no desechará el documento clasificado, sino que lo devolverá para su almacenamiento en una zona administrativa o de acceso restringido, o se encargará de su destrucción en una trituradora autorizada.

3.   Las copias impresas de información RESTREINT UE/EU RESTRICTED se guardarán en muebles de oficina cerrados con llave en una zona administrativa o en una zona de acceso restringido. Podrán almacenarse temporalmente fuera de una zona de acceso restringido o de una zona administrativa siempre que el poseedor se haya comprometido a cumplir las medidas compensatorias.

4.   Puede solicitarse asesoramiento adicional al responsable local de seguridad (LSO) del servicio correspondiente de la Comisión.

5.   Se informará lo antes posible al LSO de todo incidente de seguridad, supuesto o confirmado, que afecte al documento.

Artículo 17

Copia y traducción de información RESTREINT UE/EU RESTRICTED

1.   La información RESTREINT UE/EU RESTRICTED podrá copiarse o traducirse a instrucción de su poseedor, siempre que el originador no haya impuesto ninguna reserva al respecto. No obstante, no se realizarán más copias de las estrictamente necesarias.

2.   Cuando solo se reproduzca parte de un documento clasificado, se aplicarán las mismas condiciones que para la copia del documento íntegro. Los extractos se clasificarán también como RESTREINT UE/EU RESTRICTED, a menos que hayan sido marcados como no clasificados por el originador.

3.   Las medidas de seguridad aplicables a la información original se aplicarán también a sus copias y traducciones.

Artículo 18

Principios generales aplicables al transporte de información RESTREINT UE/EU RESTRICTED

1.   Siempre que sea posible, la información RESTREINT UE/EU RESTRICTED que deba salir de las de zonas de acceso restringido o de las zonas administrativas se enviará por vía electrónica a través de medios debidamente acreditados y/o protegidos por productos criptográficos aprobados.

2.   En función de los medios disponibles o de las circunstancias particulares, la información RESTREINT UE/EU RESTRICTED podrá transportarse físicamente en mano, en documentos impresos en papel o en soportes de almacenamiento extraíbles. Para la transmisión de información RESTREINT UE/EU RESTRICTED, el uso de soportes de almacenamiento extraíbles tendrá preferencia sobre el envío de documentos impresos.

3.   Solo podrán utilizarse soportes de almacenamiento extraíbles cifrados mediante un producto aprobado por la autoridad de seguridad de la Comisión. La información RESTREINT UE/EU RESTRICTED contenida en soportes de almacenamiento extraíbles que no estén protegidos por un producto de cifrado aprobado por la autoridad de seguridad de la Comisión se manejará de la misma manera que la información impresa en papel.

4.   Un envío podrá contener más de un elemento de información RESTREINT UE/EU RESTRICTED, siempre que se respete el principio de la «necesidad de conocer».

5.   El envoltorio utilizado deberá garantizar que el contenido está oculto. La información RESTREINT UE/EU RESTRICTED se transportará en envoltorios opacos, como un sobre, una carpeta opaca o un maletín. En el exterior del envoltorio no figurará ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido. Si se utiliza, la capa interior del envoltorio llevará la indicación RESTREINT UE/EU RESTRICTED. En ambas capas se indicará el nombre del destinatario, su cargo y su dirección, así como una dirección de retorno en caso de que no sea posible efectuar la entrega.

6.   Todo incidente de seguridad que afecte a información RESTREINT UE/EU RESTRICTED que esté siendo transportada por miembros del personal o mensajeros se notificará para su subsiguiente investigación a la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad a través del LSO del servicio correspondiente de la Comisión.

Artículo 19

Transporte manual de soportes de almacenamiento extraíbles

1.   Los soportes de almacenamiento extraíbles que se utilicen para el transporte de información RESTREINT UE/EU RESTRICTED irán acompañados de una nota de envío en la que se detallarán los soportes de almacenamiento extraíbles que contienen la información clasificada, así como todos los ficheros que albergan, de forma que el destinatario pueda realizar las comprobaciones necesarias.

2.   Solo se almacenarán en los citados soportes los documentos que hayan de entregarse. Por ejemplo, toda la información clasificada contenida en una misma llave USB deberá tener un único destinatario. El remitente deberá tener en cuenta que el almacenamiento de un gran volumen de información clasificada en esos dispositivos podrá justificar la atribución de un grado de clasificación más elevado al dispositivo en su conjunto.

3.   Para transportar información RESTREINT UE/EU RESTRICTED solo se utilizarán soportes de almacenamiento extraíbles que lleven la marca de clasificación adecuada.

Artículo 20

Transporte de documentos RESTREINT UE/EU RESTRICTED dentro de los edificios de la Comisión

1.   El personal podrá transportar documentos RESTREINT UE/EU RESTRICTED dentro de un edificio de la Comisión, pero esos documentos no podrán quedar desatendidos por su portador ni ser leídos en público.

2.   Los documentos RESTREINT UE/EU RESTRICTED podrán enviarse por correo interno a otras oficinas de la Comisión Europea en un único sobre ordinario opaco, pero sin indicación exterior alguna de que el contenido está clasificado. Las demás instituciones u organismos de la UE directamente servidos por el sistema de correo interno de la Comisión también podrán recibir los documentos RESTREINT UE/EU RESTRICTED de la misma manera.

Artículo 21

Transporte de documentos RESTREINT UE/EU RESTRICTED dentro de la Unión

1.   La información RESTREINT UE/EU RESTRICTED podrá ser transportada por personal o mensajeros de la Comisión en cualquier lugar de la Unión, siempre que se cumplan las instrucciones siguientes:

| a) | que se utilice un sobre o un envoltorio opaco en cuya parte exterior no figure ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido; |
| --- | --- |

a)

que se utilice un sobre o un envoltorio opaco en cuya parte exterior no figure ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido;

| b) | que la información RESTREINT UE/EU RESTRICTED no quede desatendida en ningún momento por el portador, y que |
| --- | --- |

b)

que la información RESTREINT UE/EU RESTRICTED no quede desatendida en ningún momento por el portador, y que

| c) | el sobre o el envoltorio no se abran en tránsito y que la información no se lea en lugares públicos. |
| --- | --- |

c)

el sobre o el envoltorio no se abran en tránsito y que la información no se lea en lugares públicos.

2.   El personal que desee enviar información RESTREINT UE/EU RESTRICTED a otros lugares de la Unión podrá disponer que se transporte por uno de los medios siguientes:

| — | servicios postales nacionales que garanticen un rastreo del envío o determinados servicios de mensajería comercial que garanticen el transporte personal en mano, siempre que cumplan los requisitos establecidos en el artículo 23 de la presente Decisión; |
| --- | --- |

—

servicios postales nacionales que garanticen un rastreo del envío o determinados servicios de mensajería comercial que garanticen el transporte personal en mano, siempre que cumplan los requisitos establecidos en el artículo 23 de la presente Decisión;

| — | valija militar, administrativa o diplomática, en coordinación con el personal del registro. |
| --- | --- |

—

valija militar, administrativa o diplomática, en coordinación con el personal del registro.

Artículo 22

Transporte de información RESTREINT UE/EU RESTRICTED hacia o desde el territorio de un tercer país

1.   La información clasificada como RESTREINT UE/EU RESTRICTED podrá ser transportada en mano por el personal entre el territorio de la Unión y el de un tercer país.

2.   El personal del registro podrá organizar alguna de las modalidades de transporte siguientes:

| — | transporte por servicios de correo postal que garanticen el rastreo del envío o por servicios de mensajería comercial que garanticen el transporte en mano; |
| --- | --- |

—

transporte por servicios de correo postal que garanticen el rastreo del envío o por servicios de mensajería comercial que garanticen el transporte en mano;

| — | transporte por valija militar o diplomática. |
| --- | --- |

—

transporte por valija militar o diplomática.

3.   Cuando transporte en mano documentos impresos en papel o soportes de almacenamiento extraíbles clasificados como RESTREINT UE/EU RESTRICTED, el personal deberá cumplir todas las medidas adicionales siguientes:

| — | Al desplazarse en transporte público, la información clasificada se colocará en un maletín o bolsa que permanecerá bajo la custodia personal del portador, no pudiendo dejarse en la bodega de equipajes. |
| --- | --- |

—

Al desplazarse en transporte público, la información clasificada se colocará en un maletín o bolsa que permanecerá bajo la custodia personal del portador, no pudiendo dejarse en la bodega de equipajes.

| — | La información RESTREINT UE/EU RESTRICTED se transportará en un envoltorio doble. La capa interior del envoltorio deberá llevar un sello oficial que indique que se trata de un envío oficial que no ha de someterse a los controles de seguridad. |
| --- | --- |

—

La información RESTREINT UE/EU RESTRICTED se transportará en un envoltorio doble. La capa interior del envoltorio deberá llevar un sello oficial que indique que se trata de un envío oficial que no ha de someterse a los controles de seguridad.

| — | El portador llevará un certificado de correo que certifique que está autorizado a transportar el envío RESTREINT UE/EU RESTRICTED, expedido por el registro del servicio correspondiente. |
| --- | --- |

—

El portador llevará un certificado de correo que certifique que está autorizado a transportar el envío RESTREINT UE/EU RESTRICTED, expedido por el registro del servicio correspondiente.

Artículo 23

Transporte a cargo de mensajeros comerciales

1.   A efectos de lo dispuesto en la presente Decisión, por «mensajeros comerciales» se entienden los servicios postales nacionales y las empresas de mensajería comercial que ofrecen un servicio consistente en la entrega de información a cambio de una tarifa y que se lleva a cabo, bien en forma de transporte personal en mano, bien mediante un sistema de rastreo.

2.   Los servicios de mensajería comercial pueden recurrir a los servicios de un subcontratista. No obstante, la responsabilidad del cumplimiento de la presente Decisión seguirá correspondiendo a la empresa de mensajería.

3.   Si el destinatario previsto se halla fuera de la UE, se utilizará un envoltorio de doble capa. Al preparar envíos clasificados, el remitente deberá tener en cuenta que los servicios de mensajería comercial solo entregarán los envíos RESTREINT UE/EU RESTRICTED al destinatario previsto, a su sustituto debidamente autorizado, al controlador del registro o su sustituto debidamente autorizado, o a un recepcionista. A fin de mitigar el riesgo de que el envío no llegue al destinatario previsto, la capa exterior y, cuando corresponda, la capa interior del envoltorio llevarán una dirección de retorno.

4.   No se utilizarán para la información RESTREINT UE/EU RESTRICTED los servicios ofrecidos por mensajeros comerciales consistentes en la transmisión electrónica de documentos de entrega certificada.

Artículo 24

Otras condiciones de manejo específicas

1.   Se cumplirán todas las condiciones de transporte que se hayan establecido en un acuerdo sobre seguridad de la información o en un arreglo administrativo. En caso de duda, el personal consultará a sus respectivos registros o a la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad.

2.   El requisito de doble envoltorio podrá ser inaplicado en el caso de la información clasificada que esté protegida por productos criptográficos aprobados. No obstante, a efectos de expedición, y debido también al hecho de que el soporte de almacenamiento extraíble lleva una marca de clasificación de seguridad explícita, el soporte se transportará al menos en un sobre ordinario, pero podrá requerir medidas de protección física adicionales, como el uso de sobres recubiertos en el interior con plástico de burbujas.

CAPÍTULO 4

REUNIONES CLASIFICADAS

Artículo 25

Preparación de una reunión RESTREINT UE/EU RESTRICTED

1.   Las reuniones en las que esté previsto discutir información RESTREINT UE/EU RESTRICTED se celebrarán solo en salas de reuniones que hayan sido acreditadas al nivel adecuado o superior. Cuando esas salas no estén disponibles, el personal consultará a la autoridad de seguridad de la Comisión.

2.   Como regla general, los órdenes del día no deben clasificarse. El hecho de que el orden del día de alguna reunión haga referencia a documentos clasificados no implica que el orden del día deba clasificarse automáticamente. Los puntos del orden del día se formularán con una redacción que evite todo riesgo para la protección de los intereses de la Unión o de uno o más Estados miembros.

3.   Si es preciso adjuntar al orden del día ficheros electrónicos que contengan información RESTREINT UE/EU RESTRICTED, será obligatorio protegerlos con productos criptográficos aprobados por la Autoridad Crypto de la Comisión.

4.   Los organizadores de las reuniones habrán de recordar a los participantes que las observaciones relativas a puntos RESTREINT UE/EU RESTRICTED del orden del día no deben enviarse por correo electrónico ordinario no cifrado, ni por otros medios que no hayan sido debidamente acreditados con arreglo al artículo 11 de la presente Decisión.

5.   Los organizadores de las reuniones tratarán de agrupar de manera consecutiva en el orden del día los puntos RESTREINT UE/EU RESTRICTED para facilitar el fluido desenvolvimiento de la reunión. Solo podrán estar presentes en los debates de los puntos clasificados las personas con necesidad de conocerlos.

6.   En la propia invitación se prevendrá a los participantes de que en la reunión se debatirán temas clasificados, lo que dará lugar a la aplicación de las medidas de seguridad correspondientes.

7.   En la invitación o en una nota en el propio orden del día se recordará a los participantes que durante el debate de los puntos RESTREINT UE/EU RESTRICTED deberán desconectar sus dispositivos electrónicos portátiles.

8.   Antes de la reunión, los organizadores elaborarán una lista completa de los participantes externos.

Artículo 26

Equipo electrónico en las salas de reuniones RESTREINT UE/EU RESTRICTED

1.   Cuando se transmita información clasificada, por ejemplo durante una presentación en la que se muestre información EU RESTRICTED UE/EU RESTRICTED, o cuando se celebren videoconferencias, solo podrán utilizarse sistemas informáticos acreditados con arreglo al artículo 11 de la presente Decisión.

2.   El presidente se asegurará de que se hayan desconectado los dispositivos electrónicos portátiles no autorizados.

Artículo 27

Procedimientos que han de seguirse durante las reuniones RESTREINT UE/EU RESTRICTED

1.   Al inicio del debate sobre temas clasificados, el presidente anunciará a los asistentes a la reunión que se pasa a «modo clasificado». Se cerrarán las puertas y las persianas.

2.   Solo se entregará a los participantes y a los intérpretes el número necesario de documentos, según corresponda, al inicio del debate.

Los documentos RESTREINT UE/EU RESTRICTED no se dejarán desatendidos durante las pausas de la reunión.

3.   Al término de la reunión, se recordará a los participantes y a los intérpretes que no dejen desatendidos en la sala los documentos clasificados o las notas clasificadas que hayan podido tomar. Las notas o los documentos clasificados que no recojan los participantes al final de la reunión serán recogidos por los organizadores y triturados en las trituradoras apropiadas.

4.   Durante la reunión, se anotará la lista de participantes y se realizará una sinopsis de la información clasificada facilitada a los Estados miembros y comunicada verbalmente a terceros países u organizaciones internacionales para su registro en el resultado de los trabajos.

Artículo 28

Intérpretes y traductores

Solo los intérpretes y traductores que estén sujetos al Estatuto de los funcionarios o al régimen aplicable a otros agentes de la Unión Europea o que tengan un vínculo contractual con la Comisión tendrán acceso a la información RESTREINT UE/EU RESTRICTED.

CAPÍTULO 5

PUESTA EN COMÚN E INTERCAMBIO DE INFORMACIÓN RESTREINT UE/EU RESTRICTED

Artículo 29

Consentimiento del originador

Si la Comisión no es la entidad originadora de la información clasificada que desea divulgar o poner en común, o del material original que esta pueda contener, el servicio de la Comisión que posea esa información clasificada deberá recabar el consentimiento escrito del originador para divulgarla. Si no se puede identificar al originador, el servicio de la Comisión que posea esa información clasificada ejercerá el control de originador.

Artículo 30

Puesta en común de información RESTREINT UE/EU RESTRICTED con otras entidades de la Unión

1.   La información RESTREINT UE/EU RESTRICTED solo se pondrá en común con otra institución, órgano, organismo u oficina de la Unión si el destinatario tiene necesidad de conocerla y si dicha entidad tiene el correspondiente arreglo jurídico con la Comisión.

2.   Dentro de la Comisión, el registro de ICUE gestionado por la Secretaría General será, por regla general, el punto principal de entrada y de salida para los intercambios de información clasificada con otras instituciones, órganos, organismos u oficinas de la Unión. No obstante, la información RESTREINT UE/EU RESTRICTED podrá comunicarse directamente a los destinatarios previstos.

Artículo 31

Intercambio de información RESTREINT UE/EU RESTRICTED con los Estados miembros

1.   La información RESTREINT UE/EU RESTRICTED podrá ponerse en común con los Estados miembros si el destinatario tiene necesidad de conocerla.

2.   La información clasificada de los Estados miembros que lleve una marca de clasificación nacional equivalente (8) y que haya sido facilitada a la Comisión recibirá el mismo grado de protección que la información RESTREINT UE/EU RESTRICTED.

Artículo 32

Intercambio de información RESTREINT UE/EU RESTRICTED con terceros países y organizaciones internacionales

1.   La información RESTREINT UE/EU RESTRICTED solo se divulgará a un tercer país o a una organización internacional si el destinatario tiene necesidad de conocerla y el país u organización internacional dispone de un marco jurídico o administrativo apropiado, como un acuerdo de seguridad de la información o un arreglo administrativo con la Comisión. Las disposiciones de dichos acuerdos o arreglos prevalecerán sobre las de la presente Decisión.

2.   Por regla general, el registro de ICUE gestionado por la Secretaría General actuará como punto principal de entrada y de salida de toda la información clasificada RESTREINT UE/EU RESTRICTED intercambiada entre la Comisión y terceros países y organizaciones internacionales. Se consultará a la autoridad de seguridad de la Comisión cuando motivos de seguridad, organizativos u operativos aconsejen que los registros locales de ICUE actúen como puntos de entrada y de salida para las materias que sean competencia del servicio correspondiente.

3.   Para garantizar su rastreabilidad, la información RESTREINT UE/EU RESTRICTED se registrará:

| — | cuando llegue o a una entidad organizativa o salga de ella; y |
| --- | --- |

—

cuando llegue o a una entidad organizativa o salga de ella; y

| — | cuando llegue a un SIC o salga de él. |
| --- | --- |

—

cuando llegue a un SIC o salga de él.

4.   Ese registro podrá efectuarse en papel o en libros de registro electrónicos.

5.   Los procedimientos de registro de la información clasificada manejada en un SIC acreditado podrán llevarse a cabo mediante los procesos internos del propio SIC. En ese caso, el SIC incluirá medidas para garantizar la integridad de los libros de registro.

6.   La información clasificada recibida de terceros países o de organizaciones internacionales recibirá un grado de protección equivalente al de la ICUE que lleve la marca de clasificación equivalente, según se establezca en el acuerdo de seguridad de la información o en el arreglo administrativo correspondiente.

Artículo 33

Divulgación ad hoc con carácter excepcional de información RESTREINT UE/EU RESTRICTED

1.   Cuando la Comisión o alguno de sus servicios determine que existe una necesidad excepcional de divulgar información RESTREINT UE/EU RESTRICTED a un tercer país, una organización internacional o una entidad de la UE, pero no exista ningún acuerdo de seguridad de la información o arreglo administrativo, se seguirá el procedimiento de divulgación ad hoc con carácter excepcional.

2.   Los servicios de la Comisión se pondrán en contacto con la autoridad de seguridad de la Comisión, la cual consultará al grupo de expertos de seguridad de la Comisión.

3.   Previa consulta a su grupo de expertos de seguridad, la Comisión, a propuesta del miembro de la Comisión responsable de los asuntos de seguridad, podrá autorizar la divulgación de dicha información.

CAPÍTULO 6

FIN DE VIDA ÚTIL DE LA INFORMACIÓN RESTREINT UE/EU RESTRICTED

Artículo 34

Desclasificación

1.   La información solo permanecerá clasificada mientras requiera protección. La desclasificación significará que la información dejará de considerarse clasificada desde todo punto de vista. Al producir la información, el originador indicará, siempre que sea posible, si la ICUE puede desclasificarse en una fecha determinada o tras un acontecimiento concreto. De otra forma, el originador revisará periódicamente la información RESTREINT UE/EU RESTRICTED para determinar si su clasificación sigue siendo apropiada.

2.   La información clasificada RESTREINT UE/EU RESTRICTED que se haya originado en la Comisión se desclasificará automáticamente al término de treinta años, de conformidad con el Reglamento (CEE, Euratom) n.o 354/83, modificado por el Reglamento (CE, Euratom) n.o 1700/2003 del Consejo (9), y con el artículo 59, apartado 2, letra a), de la Decisión (UE, Euratom) 2015/444.

3.   Los documentos de la Comisión también podrán desclasificarse con carácter ad hoc, por ejemplo a raíz de una solicitud de acceso público.

Artículo 35

Responsabilidad de la desclasificación

1.   La información RESTREINT UE/EU RESTRICTED no será desclasificada sin el permiso de su originador.

2.   El servicio de la Comisión que cree un documento clasificado será responsable de decidir si puede desclasificarse. Dentro de la Comisión, todas las solicitudes de desclasificación serán sometidas a la consulta del jefe de unidad o el director del servicio originario. Si el servicio ha compilado información clasificada procedente de diversas fuentes, deberá recabar, en primer lugar, el consentimiento de las otras partes que hayan facilitado material original, incluidos los Estados miembros, otros organismos de la UE, terceros países u organizaciones internacionales.

3.   Cuando el servicio originario de la Comisión haya dejado de existir y sus responsabilidades hayan sido asumidas por otro servicio, será este último el que adopte la decisión sobre la desclasificación. Cuando el servicio originario haya dejado de existir y sus responsabilidades no hayan sido asumidas por otro servicio, la decisión sobre la desclasificación será adoptada conjuntamente por los jefes de unidad o los directores de las Direcciones Generales destinatarias.

Artículo 36

Información sensible no clasificada

Cuando la revisión de un documento desemboque en una decisión de desclasificación, deberá considerarse si el documento debe llevar una marca de distribución de información sensible no clasificada conforme al artículo 9 de la Decisión (UE, Euratom) 2015/443.

Artículo 37

Indicación de que un documento ha sido desclasificado

1.   La marca de clasificación original en la parte superior e inferior de cada página deberá tacharse de forma visible (no suprimirse) mediante la función «tachado», en el caso de los formatos electrónicos, o de forma manual, en los documentos impresos.

2.   La primera página (cubierta) deberá llevar un sello que indique que el documento ha sido desclasificado y completarse con los datos de la autoridad responsable de la desclasificación y la fecha correspondiente.

3.   Se informará de la desclasificación a los destinatarios originales de la información RESTREINT UE/EU RESTRICTED. Los destinatarios iniciales serán responsables de informar a los destinatarios subsiguientes a quienes hayan enviado la información original RESTREINT UE/EU RESTRICTED o puesto en copia de su envío.

4.   Se informará al servicio de los Archivos Históricos de la Comisión de cuantas decisiones de desclasificación se adopten.

5.   Todas las traducciones de información clasificada estarán sujetas a los mismos procedimientos de desclasificación que la versión lingüística original.

Artículo 38

Desclasificación parcial de información RESTREINT UE/EU RESTRICTED

1.   Será también posible una desclasificación parcial (que afecte, por ejemplo, a los anexos o determinados apartados del documento). El procedimiento será idéntico al de desclasificación de un documento íntegro.

2.   Tras la desclasificación parcial («saneamiento») de la información RESTREINT UE/EU RESTRICTED, se producirá un extracto desclasificado.

3.   Las partes que permanezcan clasificadas se sustituirán por la inscripción:

| PARTE QUE NO DEBE DESCLASIFICARSE |
| --- |

PARTE QUE NO DEBE DESCLASIFICARSE

bien en el cuerpo del propio texto, si la parte que permanece clasificada forma parte de un apartado, bien como apartado, si la parte que permanece clasificada ocupa un apartado específico o más de un apartado.

4.   Cuando un anexo completo no pueda desclasificarse y, por lo tanto, no figure en el extracto, se hará una mención específica de esa circunstancia en el texto.

Artículo 39

Destrucción y eliminación rutinarias de información RESTREINT UE/EU RESTRICTED

1.   La Comisión no acumulará grandes volúmenes de información clasificada.

2.   Los servicios originarios revisarán periódicamente, a intervalos cortos, pequeñas cantidades de información para su destrucción o eliminación. Se llevará a cabo una revisión a intervalos regulares tanto de la información almacenada en papel como de la almacenada en SIC.

3.   El personal destruirá o eliminará de forma segura todos los documentos RESTREINT UE/EU RESTRICTED que hayan dejado de ser necesarios, sin menoscabo de los requisitos de archivo aplicables al documento original.

4.   El personal no estará obligado a informar al originador de la destrucción o eliminación de copias de documentos RESTREINT UE/EU RESTRICTED.

5.   Los borradores que contengan información clasificada serán sometidos a los mismos métodos de eliminación que los documentos clasificados finalizados.

6.   Para la destrucción de los documentos RESTREINT UE/EU RESTRICTED solo se utilizarán trituradoras aprobadas. Las trituradoras con el grado de seguridad 4 de la norma DIN 32757 y el grado de seguridad 5 de la norma DIN 66399 se consideran adecuadas para la destrucción de documentos RESTREINT UE/EU RESTRICTED.

7.   Los residuos de las trituradoras aprobadas podrán eliminarse como residuos de oficina normales.

8.   Todos los soportes y dispositivos que contengan información RESTREINT UE/EU RESTRICTED serán adecuadamente saneados cuando lleguen al final de su vida útil. Los datos electrónicos se destruirán o borrarán de los recursos informáticos y los soportes de almacenamiento asociados de una forma que ofrezca garantías suficientes de que la información no puede recuperarse. El saneamiento suprimirá los datos, así como todas las etiquetas, marcas y registros de actividad, del dispositivo de almacenamiento.

9.   Los soportes de almacenamiento informático se entregarán al LSO o al responsable local de seguridad informática y/o al controlador del registro para su destrucción y eliminación.

Artículo 40

Evacuación y destrucción de información RESTREINT UE/EU RESTRICTED en caso de emergencia

1.   El jefe de servicio desarrollará, aprobará y, en caso necesario, activará los planes de evacuación y destrucción de emergencia para proteger la información RESTREINT UE/EU RESTRICTED que presente un riesgo significativo de caer en manos no autorizadas durante una crisis. Por orden de prioridad y en función de la naturaleza de la emergencia, se barajarán las opciones siguientes:

| (1) | trasladar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido dentro del mismo edificio; |
| --- | --- |

(1)

trasladar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido dentro del mismo edificio;

| (2) | evacuar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido en otro edificio, preferentemente un edificio de la Comisión; |
| --- | --- |

(2)

evacuar la ICUE a otro lugar seguro, a ser posible una zona administrativa o de acceso restringido en otro edificio, preferentemente un edificio de la Comisión;

| (3) | destruir la ICUE, utilizando, en la medida de lo posible, los medios de destrucción aprobados. |
| --- | --- |

(3)

destruir la ICUE, utilizando, en la medida de lo posible, los medios de destrucción aprobados.

2.   Cuando se hayan activado planes de emergencia, se dará prioridad al traslado o la destrucción de la información de grados más elevados.

3.   A su vez, los detalles operativos de los planes de evacuación y destrucción de emergencia se clasificarán como RESTREINT UE/EU RESTRICTED.

Artículo 41

Archivo

1.   Las decisiones sobre la necesidad de archivar, en qué momento, y las medidas prácticas correspondientes se adoptarán de conformidad con la política de la Comisión en materia de gestión de documentos.

2.   Los documentos RESTREINT UE/EU RESTRICTED no se enviarán a los Archivos Históricos de la Unión Europea en Florencia.

CAPÍTULO 7

DISPOSICIONES FINALES

Artículo 42

Transparencia

La presente Decisión será puesta en conocimiento del personal de la Comisión y de todas aquellas personas a las que se aplique, y se publicará en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea

Artículo 43

Entrada en vigor

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea

Hecho en Bruselas, el 17 de octubre de 2019.

Por la Comisión

En nombre del Presidente,

Günther OETTINGER

Miembro de la Comisión

---

(1)  
  DO L 72 de 17.3.2015, p. 41.

1

(2)  
  DO L 72 de 17.3.2015, p. 53.

2

(3)  
  DO L 6 de 11.1.2017, p. 40.

3

(4)  Decisión del Consejo 2013/488/UE, de 23 de septiembre de 2013, sobre las normas de seguridad para la protección de la información clasificada de la UE (DO L 274 de 15.10.2013, p. 1).

4

(5)  Decisión de la Comisión, de 4 de mayo de 2016, sobre la capacitación en materia de seguridad [C (2016) 2797 final].

5

(6)  Conforme al artículo 3 de la Decisión (UE, Euratom) 2015/444, por información «RESTREINT UE/EU RESTRICTED» se entenderá «la información y el material cuya revelación no autorizada pueda resultar desfavorable para los intereses de la Unión Europea o de uno o varios Estados miembros».

6

(7)  Según se definen en el artículo 18 de la Decisión (UE, Euratom) 2015/444.

7

(8)  El cuadro de correspondencias de las marcas de los Estados miembros figura en el anexo I de la Decisión (UE, Euratom) 2015/444.

8

(9)  Reglamento (CE, Euratom) no 1700/2003 del Consejo, de 22 de septiembre de 2003, por el que se modifica el Reglamento (CEE, Euratom) n.o 354/83 relativo a la apertura al público de los archivos históricos de la Comunidad Económica Europea y de la Comunidad Europea de la Energía Atómica (DO L 243 de 27.9.2003, p. 1).

9

o

o

---

ANEXO

Categorías de personal que pueden tener acceso a información RESTREINT UE/EU RESTRICTED cuando así lo exija el desempeño de sus tareas profesionales

| Categorías de personal de la Comisión | Acceso a la información R-UE/EU- R | Condiciones |
| --- | --- | --- |
| Funcionarios | Sí | Sesión de información + asunción de responsabilidad + necesidad de conocer |
| Agentes temporales | Sí | Sesión de información + asunción de responsabilidad + necesidad de conocer |
| Agentes contractuales | Sí | Sesión de información + asunción de responsabilidad + necesidad de conocer |
| Expertos nacionales en comisión de servicios | Sí | Sesión de información (a cargo de la Comisión) + asunción de responsabilidad + necesidad de conocer |
| Becarios | No | No cabe ninguna excepción |
| Cualquier otra categoría de personal (interinos, consultores externos en régimen «intramuros», etc.) | No | Consultar a la autoridad de seguridad de la Comisión acerca de las excepciones posibles |

Categorías de personal de la Comisión

Acceso a la información R-UE/EU- R

Condiciones

Funcionarios

Sí

Sesión de información + asunción de responsabilidad + necesidad de conocer

Agentes temporales

Sí

Sesión de información + asunción de responsabilidad + necesidad de conocer

Agentes contractuales

Sí

Sesión de información + asunción de responsabilidad + necesidad de conocer

Expertos nacionales en comisión de servicios

Sí

Sesión de información (a cargo de la Comisión) + asunción de responsabilidad + necesidad de conocer

Becarios

No

No cabe ninguna excepción

Cualquier otra categoría de personal (interinos, consultores externos en régimen «intramuros», etc.)

No

Consultar a la autoridad de seguridad de la Comisión acerca de las excepciones posibles

---

| 2.12.2019 | ES | Diario Oficial de la Unión Europea | L 311/37 |
| --- | --- | --- | --- |

2.12.2019

ES

Diario Oficial de la Unión Europea

L 311/37

---

DECISIÓN (UE, Euratom) 2019/1963 DE LA COMISIÓN

de 17 de octubre de 2019

por la que se establecen normas de desarrollo sobre la seguridad industrial en relación con los contratos públicos clasificados

LA COMISIÓN EUROPEA,

Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 249,

Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106,

Vista la Decisión (UE, Euratom) 2015/443 de la Comisión, de 13 de marzo de 2015, sobre la seguridad en la Comisión (1),

Vista la Decisión (UE, Euratom) 2015/444 de la Comisión, de 13 de marzo de 2015, sobre las normas de seguridad para la protección de la información clasificada de la UE (2),

Vista la Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea (3),

Previa consulta al grupo de expertos de seguridad de la Comisión, de conformidad con el artículo 41, apartado 5, de la Decisión (UE, Euratom) 2015/444,

Considerando lo siguiente:

| (1) | Los artículos 41, 42, 47 y 48 de la Decisión (UE, Euratom) 2015/444 establecen que las normas de desarrollo sobre seguridad industrial que se adopten deberán contener disposiciones más pormenorizadas para completar y facilitar la aplicación del capítulo 6 de dicha Decisión; dichas disposiciones deberán regular cuestiones como la licitación, la celebración de contratos clasificados, las habilitaciones de seguridad de establecimiento, las habilitaciones personales de seguridad, las visitas, y la transmisión y el transporte de información clasificada de la Unión Europea («ICUE»). |
| --- | --- |

(1)

Los artículos 41, 42, 47 y 48 de la Decisión (UE, Euratom) 2015/444 establecen que las normas de desarrollo sobre seguridad industrial que se adopten deberán contener disposiciones más pormenorizadas para completar y facilitar la aplicación del capítulo 6 de dicha Decisión; dichas disposiciones deberán regular cuestiones como la licitación, la celebración de contratos clasificados, las habilitaciones de seguridad de establecimiento, las habilitaciones personales de seguridad, las visitas, y la transmisión y el transporte de información clasificada de la Unión Europea («ICUE»).

| (2) | La Decisión (UE, Euratom) 2015/444 establece que los contratos clasificados deben ejecutarse con la colaboración de la autoridad nacional de seguridad, la autoridad de seguridad designada o cualquier otra autoridad competente de los Estados miembros afectados; los Estados miembros han acordado garantizar que cualquier entidad bajo su jurisdicción que pueda recibir o generar información clasificada procedente de la Comisión esté debidamente habilitada y sea capaz de proporcionar una protección adecuada equivalente a la concedida por las normas de seguridad del Consejo de la Unión Europea para la protección de la ICUE con la marca de clasificación correspondiente, según se establece en el Acuerdo entre los Estados miembros de la Unión Europea, reunidos en el seno del Consejo, sobre la protección de la información clasificada intercambiada en interés de la Unión Europea (4). |
| --- | --- |

(2)

La Decisión (UE, Euratom) 2015/444 establece que los contratos clasificados deben ejecutarse con la colaboración de la autoridad nacional de seguridad, la autoridad de seguridad designada o cualquier otra autoridad competente de los Estados miembros afectados; los Estados miembros han acordado garantizar que cualquier entidad bajo su jurisdicción que pueda recibir o generar información clasificada procedente de la Comisión esté debidamente habilitada y sea capaz de proporcionar una protección adecuada equivalente a la concedida por las normas de seguridad del Consejo de la Unión Europea para la protección de la ICUE con la marca de clasificación correspondiente, según se establece en el Acuerdo entre los Estados miembros de la Unión Europea, reunidos en el seno del Consejo, sobre la protección de la información clasificada intercambiada en interés de la Unión Europea (4).

| (3) | El Consejo, la Comisión y la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado garantizar la máxima coherencia en la aplicación de las normas de seguridad en lo que respecta a su protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (5), sobre las normas de seguridad para la protección de la información clasificada de la UE. |
| --- | --- |

(3)

El Consejo, la Comisión y la Alta Representante de la Unión para Asuntos Exteriores y Política de Seguridad han acordado garantizar la máxima coherencia en la aplicación de las normas de seguridad en lo que respecta a su protección de la ICUE, teniendo en cuenta al mismo tiempo sus necesidades institucionales y organizativas específicas, de conformidad con las declaraciones adjuntas al acta de la sesión del Consejo en la que se adoptó la Decisión 2013/488/UE del Consejo (5), sobre las normas de seguridad para la protección de la información clasificada de la UE.

| (4) | Por consiguiente, las normas de desarrollo sobre la seguridad industrial en relación con los contratos clasificados de la Comisión también deben garantizar la máxima coherencia y tener en cuenta las Directrices sobre seguridad industrial aprobadas por el Comité de Seguridad del Consejo el 13 de diciembre de 2016 y los artículos 7 y 22 de la Directiva 2009/81/CE del Parlamento Europeo y del Consejo (6). |
| --- | --- |

(4)

Por consiguiente, las normas de desarrollo sobre la seguridad industrial en relación con los contratos clasificados de la Comisión también deben garantizar la máxima coherencia y tener en cuenta las Directrices sobre seguridad industrial aprobadas por el Comité de Seguridad del Consejo el 13 de diciembre de 2016 y los artículos 7 y 22 de la Directiva 2009/81/CE del Parlamento Europeo y del Consejo (6).

| (5) | El 4 de mayo de 2016, la Comisión adoptó una Decisión (7) por la que habilitaba al miembro de la Comisión responsable de los asuntos de seguridad a adoptar, en nombre de la Comisión y bajo la responsabilidad de esta, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444. |
| --- | --- |

(5)

El 4 de mayo de 2016, la Comisión adoptó una Decisión (7) por la que habilitaba al miembro de la Comisión responsable de los asuntos de seguridad a adoptar, en nombre de la Comisión y bajo la responsabilidad de esta, las normas de desarrollo contempladas en el artículo 60 de la Decisión (UE, Euratom) 2015/444.

HA ADOPTADO LA PRESENTE DECISIÓN:

CAPÍTULO 1

DISPOSICIONES GENERALES

Artículo 1

Objeto y ámbito de aplicación

1.   La presente Decisión establece normas de desarrollo sobre la seguridad industrial en relación con los contratos públicos clasificados para contribuir a la ejecución de la Decisión (UE, Euratom) 2015/444 y, en particular, el capítulo 6 de dicha Decisión.

2.   La presente Decisión establece requisitos específicos para garantizar la protección de la información clasificada de la UE («ICUE») por parte de los operadores económicos en la fase precontractual, a lo largo de todo el ciclo de vida de los contratos clasificados celebrados por la Comisión Europea, y en los subcontratos celebrados por los contratistas de la Comisión.

3.   La presente Decisión se refiere a información clasificada de los grados siguientes:

| a) | RESTREINT UE/EU RESTRICTED; |
| --- | --- |

a)

RESTREINT UE/EU RESTRICTED;

| b) | CONFIDENTIEL UE/EU CONFIDENTIAL; |
| --- | --- |

b)

CONFIDENTIEL UE/EU CONFIDENTIAL;

| c) | SECRET UE/EU SECRET. |
| --- | --- |

c)

SECRET UE/EU SECRET.

Artículo 2

Responsabilidad dentro de la Comisión

1.   Como parte de las responsabilidades descritas en el Reglamento Financiero (8), cada ordenador del órgano de contratación de la Comisión se asegurará de que el contrato clasificado remita a las normas mínimas sobre seguridad industrial establecidas en el capítulo 6 de la Decisión (UE, Euratom) 2015/444, en las presentes normas de desarrollo y, en su caso, en el anuncio de contrato o en la invitación a presentar ofertas, y de que estas normas se cumplan durante la ejecución.

2.   A tal fin, el ordenador competente solicitará, en todas las fases, el dictamen de la autoridad de seguridad de la Comisión sobre cuestiones relativas a los elementos de seguridad de un contrato, programa o proyecto clasificado, e informará al responsable local de seguridad acerca de los contratos celebrados. La decisión sobre el grado de clasificación de temas específicos corresponderá al órgano de contratación y se tomará teniendo debidamente en cuenta la Guía de clasificación de seguridad.

3.   Desde el respeto de los requisitos de las presentes normas de desarrollo, la autoridad de seguridad de la Comisión colaborará con las autoridades nacionales de seguridad («ANS») y las autoridades de seguridad designadas («ASD») de los Estados miembros en cuestión, en particular en lo que se refiere a las habilitaciones de seguridad de establecimiento («HSE»), las habilitaciones personales de seguridad («HPS»), los procedimientos de visita y los planes de transporte.

CAPÍTULO 2

GESTIÓN DE LICITACIONES DE CONTRATOS CLASIFICADOS

Artículo 3

Principios básicos

1.   Solo se adjudicarán contratos clasificados a operadores económicos registrados en un Estado miembro o a operadores económicos registrados en un tercer país o creados por una organización internacional cuando dicho tercer país u organización internacional haya celebrado un acuerdo sobre seguridad de la información con la Unión Europea o suscrito un acuerdo administrativo con la Comisión (9).

2.   Antes de la invitación a presentar ofertas para un contrato clasificado, el órgano de contratación determinará la clasificación de seguridad de toda la información que pueda acabar proporcionándose a los licitadores. El órgano de contratación determinará asimismo la clasificación de seguridad máxima de la posible información generada durante la ejecución del contrato, programa o proyecto, o, como mínimo, el volumen y el tipo de información que se prevé que se producirá o manejará, y el grado de necesidad de un sistema de información y comunicaciones («SIC») clasificados.

3.   El órgano de contratación se asegurará de que los anuncios de los contratos clasificados proporcionen información sobre las obligaciones especiales en materia de seguridad relacionadas con la información clasificada. En el anexo I figura un ejemplo de modelo de anuncio de contrato.

4.   El órgano de contratación se asegurará de que la información clasificada de grado RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET se ponga en conocimiento de los licitadores únicamente después de que estos hayan firmado un acuerdo de confidencialidad que los obligue a manejar y proteger la ICUE de conformidad con la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo.

5.   Todos los contratistas que deban manejar o almacenar información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en sus instalaciones, ya sea durante la ejecución del propio contrato clasificado o durante la fase precontractual, deberán disponer de una HSE del grado exigido. A continuación, se especifican los tres supuestos que pueden darse durante la fase de licitación de un contrato clasificado que incluya ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET.

| a) | No se concede acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante la fase de licitación:
  Cuando el anuncio de contrato o la invitación a presentar ofertas se refiera a un contrato que incluirá ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, pero no requiera que el licitador maneje dicha información en la fase de licitación, los licitadores que no dispongan de una HSE del grado exigido no serán excluidos del proceso de licitación por ese motivo. |
| --- | --- |

a)

No se concede acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET durante la fase de licitación:

Cuando el anuncio de contrato o la invitación a presentar ofertas se refiera a un contrato que incluirá ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, pero no requiera que el licitador maneje dicha información en la fase de licitación, los licitadores que no dispongan de una HSE del grado exigido no serán excluidos del proceso de licitación por ese motivo.

| b) | Se concede acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales del órgano de contratación durante la fase de licitación:
  Se concederá acceso al personal del licitador que esté en posesión de una HPS del grado exigido y que tenga necesidad de conocer. Antes de conceder dicho acceso, el órgano de contratación verificará, a través de la autoridad de seguridad de la Comisión y con las respectivas ANS y ASD si, en esta fase, también es necesaria una HSE en virtud de las disposiciones legales y reglamentarias nacionales. |
| --- | --- |

b)

Se concede acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales del órgano de contratación durante la fase de licitación:

Se concederá acceso al personal del licitador que esté en posesión de una HPS del grado exigido y que tenga necesidad de conocer. Antes de conceder dicho acceso, el órgano de contratación verificará, a través de la autoridad de seguridad de la Comisión y con las respectivas ANS y ASD si, en esta fase, también es necesaria una HSE en virtud de las disposiciones legales y reglamentarias nacionales.

| c) | Se maneja o almacena ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales del licitador durante la fase de licitación:
  Cuando el anuncio de contrato o la invitación a presentar ofertas requieran que los licitadores manejen o almacenen ICUE en sus locales, el licitador deberá disponer de una HSE del grado exigido. En tales circunstancias, el órgano de contratación obtendrá, a través de la autoridad de seguridad de la Comisión, una garantía de la ANS o ASD correspondiente de que al licitador se le ha concedido una HSE adecuada. Se concederá acceso al personal del licitador que esté en posesión de una HPS del grado exigido y que tenga necesidad de conocer. |
| --- | --- |

c)

Se maneja o almacena ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET en los locales del licitador durante la fase de licitación:

Cuando el anuncio de contrato o la invitación a presentar ofertas requieran que los licitadores manejen o almacenen ICUE en sus locales, el licitador deberá disponer de una HSE del grado exigido. En tales circunstancias, el órgano de contratación obtendrá, a través de la autoridad de seguridad de la Comisión, una garantía de la ANS o ASD correspondiente de que al licitador se le ha concedido una HSE adecuada. Se concederá acceso al personal del licitador que esté en posesión de una HPS del grado exigido y que tenga necesidad de conocer.

6.   En principio, no se exigirá una HSE para acceder a información de grado RESTREINT UE/EU RESTRICTED, ya sea en la fase de licitación o para la ejecución del contrato. Cuando los Estados miembros exijan una HSE para los contratos o subcontratos de grado RESTREINT UE/EU RESTRICTED en virtud de sus disposiciones legales y reglamentarias nacionales, que se enumeran en el anexo IV, dichos requisitos nacionales no podrán imponer obligaciones adicionales a los demás Estados miembros o excluir a los licitadores, contratistas o subcontratistas de los Estados miembros que no dispongan de tales requisitos de HSE para el acceso a información de grado RESTREINT UE/EU RESTRICTED de los contratos o subcontratos correspondientes o de competir para que se les adjudiquen. Estos contratos se ejecutarán en los Estados miembros de conformidad con sus disposiciones legales y reglamentarias nacionales.

7.   Cuando se requiera una HSE para la ejecución de un contrato clasificado, el órgano de contratación presentará, a través de la autoridad de seguridad de la Comisión, una solicitud a la ANS o ASD del contratista utilizando una ficha de información sobre la habilitación de seguridad de establecimiento («FIHSE»). El anexo III, apéndice D, contiene un ejemplo de FIHSE (10). El contrato clasificado no se adjudicará hasta que la ANS o ASD del contratista haya confirmado la HSE del licitador. La respuesta a una FIHSE se proporcionará, en la medida de lo posible, en un plazo de diez días laborables a partir de la fecha de la solicitud.

Artículo 4

Subcontratación de contratos clasificados

1.   Las condiciones con arreglo a las que un contratista adjudicatario de un contrato clasificado de la Comisión podrá subcontratar deberán definirse en la invitación a presentar ofertas y en la documentación del contrato. Cuando el contrato clasificado permita la subcontratación de algunas de sus partes, dicha subcontratación estará sujeta a que el órgano de contratación otorgue previamente su consentimiento por escrito. Antes de otorgar su consentimiento, el órgano de contratación consultará a la autoridad de seguridad de la Comisión.

2.   Únicamente se podrán subcontratar contratos clasificados con operadores económicos registrados en un Estado miembro o con operadores económicos registrados en un tercer país o creados por una organización internacional cuando dicho tercer país u organización internacional haya celebrado un acuerdo sobre seguridad de la información con la Unión Europea o suscrito un acuerdo administrativo con la Comisión (11).

CAPÍTULO 3

ADJUDICACIÓN DE CONTRATOS CLASIFICADOS DE LA COMISIÓN

Artículo 5

Principios básicos

1.   Al adjudicar un contrato clasificado, el órgano de contratación, junto con la autoridad de seguridad de la Comisión, se asegurará de que las obligaciones del contratista relativas a la protección de la ICUE proporcionada a dicho contratista o generada durante la ejecución del contrato formen parte de este. Los requisitos de seguridad específicos del contrato se describirán en la cláusula sobre aspectos de la seguridad («CAS»). En el anexo III figura un ejemplo de modelo de CAS.

2.   Antes de firmar un contrato clasificado, el órgano de contratación elaborará, previa consulta a la autoridad de seguridad de la Comisión, una guía de clasificación de seguridad («GCS») para las tareas que deberán realizarse y la información generada durante la ejecución del contrato o, en su caso, a nivel de programa o proyecto. La CAS incluirá la GCS.

3.   Los requisitos de seguridad específicos del programa o proyecto se describirán en las instrucciones de seguridad del programa (o proyecto) («ISP»). Las ISP podrán redactarse utilizando las disposiciones del modelo de CAS que figura en el anexo III. El servicio de la Comisión que gestione el programa o proyecto elaborará, con la colaboración de la autoridad de seguridad de la Comisión, las ISP, que se someterán al dictamen del grupo de expertos en seguridad de la Comisión. Cuando un contrato sea parte de un programa o proyecto que tenga sus propias ISP, la CAS del contrato tendrá una forma simplificada e incluirá una referencia a las disposiciones en materia de seguridad establecidas en las ISP del programa o proyecto.

4.   El órgano de contratación tendrá la consideración de originador de la información clasificada producida y manejada para la ejecución del contrato.

5.   El órgano de contratación notificará, a través de la autoridad de seguridad de la Comisión, a las ANS o ASD de todos los contratistas y subcontratistas la celebración de contratos o subcontratos clasificados y los casos de extinción anticipada o las prórrogas de dichos contratos o subcontratos. En el anexo IV figura una lista de requisitos por países.

6.   Los contratos que incluyan información clasificada de grado RESTREINT UE/EU RESTRICTED incluirán una cláusula de seguridad que haga vinculantes para el contratista las disposiciones del anexo III, apéndice E. Estos contratos incluirán una CAS en la que se indiquen, como mínimo, los requisitos de manejo de información de grado RESTREINT UE/EU RESTRICTED, en particular los aspectos de garantía de la información y los requisitos específicos que debe cumplir el contratista que haya recibido una delegación del órgano de contratación para la acreditación del SIC del contratista que maneje la información de grado RESTREINT UE/EU RESTRICTED.

7.   Cuando se proporcione información de grado RESTREINT UE/EU RESTRICTED a los licitadores o a posibles contratistas, los requisitos mínimos mencionados en el apartado 6 se incluirán en las ofertas o en los acuerdos de confidencialidad pertinentes celebrados durante la fase de licitación.

8.   Cuando así lo exijan las disposiciones legales y reglamentarias de los Estados miembros, las ANS o ASD se asegurarán de que los contratistas o subcontratistas del ámbito de su competencia cumplan las disposiciones de seguridad aplicables para la protección de la información de grado RESTREINT UE/EU RESTRICTED y realicen visitas de verificación a las instalaciones de los contratistas situadas en su territorio. Cuando la ANS o ASD no esté sujeta a dicha obligación, el órgano de contratación se asegurará de que el contratista aplique las disposiciones de seguridad exigidas según lo dispuesto en el anexo III.

Artículo 6

Acceso del personal de los contratistas y subcontratistas a ICUE

1.   El servicio de la Comisión correspondiente, en su calidad de órgano de contratación, se asegurará de que los contratos clasificados contengan disposiciones que indiquen que al personal del contratista o subcontratista que necesite acceder a ICUE para la ejecución del contrato o subcontrato clasificado solo se le concederá dicho acceso si:

| a) | se ha corroborado que tiene necesidad de conocer; |
| --- | --- |

a)

se ha corroborado que tiene necesidad de conocer;

| b) | la ANS o ASD correspondiente o cualquier otra autoridad de seguridad competente le ha concedido una HPS del grado correspondiente en relación con información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET; |
| --- | --- |

b)

la ANS o ASD correspondiente o cualquier otra autoridad de seguridad competente le ha concedido una HPS del grado correspondiente en relación con información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET;

| c) | ha sido instruido sobre las normas de seguridad aplicables para la protección de la ICUE y ha aceptado sus responsabilidades en lo que respecta a la protección de dicha información. |
| --- | --- |

c)

ha sido instruido sobre las normas de seguridad aplicables para la protección de la ICUE y ha aceptado sus responsabilidades en lo que respecta a la protección de dicha información.

2.   Si un contratista o subcontratista desea emplear a un nacional de un tercer país en un puesto que requiera el acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, será responsabilidad del contratista o subcontratista iniciar el procedimiento de habilitación de seguridad de dicha persona, de conformidad con las disposiciones legales y reglamentarias nacionales aplicables en el lugar en que vaya a concederse el acceso a la ICUE.

CAPÍTULO 4

VISITAS EN RELACIÓN CON CONTRATOS CLASIFICADOS

Artículo 7

Principios básicos

1.   Cuando la Comisión, los contratistas o los subcontratistas necesiten acceder a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET que se halle en los locales de otra de las partes para la ejecución de un contrato clasificado, se organizarán visitas, con la colaboración de las ANS, las ASD o cualquier otra autoridad de seguridad competente.

2.   Las visitas a que se refiere el apartado 1 estarán sujetas a los requisitos siguientes:

| a) | la visita tendrá una finalidad oficial relacionada con un contrato clasificado adjudicado por la Comisión; |
| --- | --- |

a)

la visita tendrá una finalidad oficial relacionada con un contrato clasificado adjudicado por la Comisión;

| b) | todos los visitantes deberán estar en posesión de una HPS del grado exigido y tener necesidad de conocer para acceder a ICUE proporcionada o generada durante la ejecución de un contrato clasificado adjudicado por la Comisión. |
| --- | --- |

b)

todos los visitantes deberán estar en posesión de una HPS del grado exigido y tener necesidad de conocer para acceder a ICUE proporcionada o generada durante la ejecución de un contrato clasificado adjudicado por la Comisión.

Artículo 8

Solicitudes de visita

1.   Las visitas de contratistas a las instalaciones de otros contratistas o a los locales de la Comisión que impliquen el acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se organizarán con arreglo al procedimiento siguiente:

| a) | El responsable de seguridad de la instalación que envía al visitante cumplimentará todas las partes pertinentes del formulario de solicitud de visita («SdV») y presentará la solicitud a la ANS o ASD de la instalación. En el anexo III, apéndice C, figura un modelo de SdV. |
| --- | --- |

a)

El responsable de seguridad de la instalación que envía al visitante cumplimentará todas las partes pertinentes del formulario de solicitud de visita («SdV») y presentará la solicitud a la ANS o ASD de la instalación. En el anexo III, apéndice C, figura un modelo de SdV.

| b) | La ANS o ASD de la instalación que envía al visitante debe confirmar la HPS del visitante antes de presentar la SdV a la ANS o ASD de la instalación que lo recibe (o a la autoridad de seguridad de la Comisión si la visita se realiza en los locales de la Comisión). |
| --- | --- |

b)

La ANS o ASD de la instalación que envía al visitante debe confirmar la HPS del visitante antes de presentar la SdV a la ANS o ASD de la instalación que lo recibe (o a la autoridad de seguridad de la Comisión si la visita se realiza en los locales de la Comisión).

| c) | El responsable de seguridad de la instalación que envía al visitante recibirá entonces de su ANS o ASD la respuesta de la ANS o ASD de la instalación que lo recibe (o de la autoridad de seguridad de la Comisión) por la que se autorice o deniegue la SdV. |
| --- | --- |

c)

El responsable de seguridad de la instalación que envía al visitante recibirá entonces de su ANS o ASD la respuesta de la ANS o ASD de la instalación que lo recibe (o de la autoridad de seguridad de la Comisión) por la que se autorice o deniegue la SdV.

| d) | Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita. |
| --- | --- |

d)

Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita.

2.   Las visitas de los funcionarios de la Comisión a las instalaciones del contratista que impliquen el acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se organizarán con arreglo al procedimiento siguiente:

| a) | El visitante cumplimentará todas las partes pertinentes de la SdV y la presentará a la autoridad de seguridad de la Comisión. |
| --- | --- |

a)

El visitante cumplimentará todas las partes pertinentes de la SdV y la presentará a la autoridad de seguridad de la Comisión.

| b) | La autoridad de seguridad de la Comisión confirmará la HPS del visitante antes de remitir la SdV a la ANS o ASD de la instalación que lo recibe. |
| --- | --- |

b)

La autoridad de seguridad de la Comisión confirmará la HPS del visitante antes de remitir la SdV a la ANS o ASD de la instalación que lo recibe.

| c) | La autoridad de seguridad de la Comisión recibirá una respuesta de la ANS o ASD de la instalación que recibe la vista por la que se autorice o deniegue la SdV. |
| --- | --- |

c)

La autoridad de seguridad de la Comisión recibirá una respuesta de la ANS o ASD de la instalación que recibe la vista por la que se autorice o deniegue la SdV.

| d) | Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita. |
| --- | --- |

d)

Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita.

3.   Una SdV puede abarcar una única visita o visitas periódicas. En caso de visitas periódicas, la SdV podrá tener una validez máxima de un año a partir de la fecha de inicio solicitada.

4.   La validez de una SdV no excederá la validez de la HPS del visitante.

5.   Por regla general, las SdV deben presentarse a la autoridad de seguridad competente de la instalación que recibe la vista al menos quince días laborables antes de la fecha de esta.

Artículo 9

Procedimientos de visita

1.   Antes de permitir que los visitantes tengan acceso a ICUE, el responsable de seguridad de la instalación que recibe la visita deberá cumplir todos los procedimientos y normas de seguridad en materia de visitas establecidos por su ANS o ASD.

2.   Los visitantes acreditarán su identidad al llegar a la instalación que los recibirá presentando un documento de identidad o pasaporte válido. Dicha información de identificación se corresponderá con la información proporcionada en la SdV.

3.   La instalación que recibe la visita se asegurará de que se lleve un registro de todos los visitantes, incluidos sus nombres y apellidos, la organización a la que representan, la fecha de caducidad de la HPS, la fecha de la visita y los nombres y apellidos de las personas visitadas. Este registro se conservará durante un período mínimo de cinco años, o más si así lo exigen las disposiciones normativas y reglamentarias del país en el que se encuentre la instalación que recibe la visita.

Artículo 10

Visitas organizadas directamente

1.   Cuando se trate de proyectos específicos, las ANS o ASD pertinentes y la autoridad de seguridad de la Comisión podrán acordar un procedimiento por el que las visitas relativas a contratos clasificados específicos puedan ser organizadas directamente por el responsable de seguridad del visitante y el responsable de seguridad de la instalación que se vaya a visitar. En el anexo III, apéndice C, figura una modelo del formulario que debe utilizarse a tal fin. Dicho procedimiento excepcional se recogerá en las ISP o en otros acuerdos específicos. En estos supuestos, no serán de aplicación los procedimientos establecidos en el artículo 8 y el artículo 9, apartado 1.

2.   Las visitas que impliquen el acceso a información clasificada de grado RESTREINT UE/EU RESTRICTED serán organizadas directamente por la entidad que envía al visitante y la que lo recibe sin necesidad de seguir los procedimientos establecidos en el artículo 8 y el artículo 9, apartado 1.

CAPÍTULO 5

TRANSMISIÓN Y TRANSPORTE DE ICUE PARA LA EJECUCIÓN DE CONTRATOS CLASIFICADOS

Artículo 11

Principios básicos

El órgano de contratación se asegurará de que todas las decisiones relativas a la transmisión y el transporte de ICUE se ajusten a la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo, así como a las cláusulas del contrato clasificado, incluido el consentimiento del originador.

Artículo 12

Manejo electrónico

1.   El manejo y la transmisión electrónicos de ICUE se realizarán de conformidad con los capítulos 5 y 6 de la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo.

Los sistemas de información y comunicaciones que sean propiedad de un contratista y se utilicen para manejar la ICUE necesaria para la ejecución del contrato («SIC del contratista») tendrán que ser acreditados por la autoridad de acreditación de seguridad («AAS») competente. Toda transmisión electrónica de ICUE se protegerá con productos criptológicos aprobados de conformidad con el artículo 36, apartado 4, de la Decisión (UE, Euratom) 2015/444. Las medidas TEMPEST se ejecutarán de conformidad con el artículo 36, apartado 6, de dicha Decisión.

2.   La acreditación de seguridad del SIC del contratista que maneje ICUE de grado RESTREINT UE/EU RESTRICTED y cualquier interconexión de este podrán delegarse en el responsable de seguridad del contratista si así lo permiten las disposiciones legales y reglamentarias nacionales. Cuando esta tarea sea delegada, el contratista será responsable de respetar los requisitos mínimos de seguridad descritos en la CAS al manejar información de grado RESTREINT UE/EU RESTRICTED en su SIC. Sin embargo, las ANS, las ASD y las AAS pertinentes siguen siendo responsables de la protección de la información de grado RESTREINT UE/EU RESTRICTED que manejen los contratistas y siguen gozando de la facultad de examinar las medidas de seguridad adoptadas por los contratistas. Además, el contratista remitirá al órgano de contratación y, cuando así lo exijan las disposiciones legales y reglamentarias nacionales, a la AAS nacional competente una declaración de conformidad que certifique que el SIC del contratista y las interconexiones correspondientes han sido acreditados para el manejo de ICUE de grado RESTREINT UE/EU RESTRICTED (12).

Artículo 13

Transporte por medio de mensajero comercial

El transporte de ICUE por medio de mensajero comercial cumplirá las disposiciones pertinentes de las decisiones de la Comisión relativas a las normas de desarrollo para el manejo de información de grado RESTREINT UE/EU RESTRICTED y CONFIDENTIEL UE/EU CONFIDENTIAL.

Artículo 14

Transporte en mano

1.   El transporte en mano de información clasificada está sujeto a requisitos estrictos de seguridad.

2.   La información de grado RESTREINT UE/EU RESTRICTED podrá ser transportada en mano por el personal del contratista dentro de la UE siempre que se cumplan los siguientes requisitos:

| a) | que el sobre o empaquetado utilizado sea opaco y no indique la clasificación de su contenido; |
| --- | --- |

a)

que el sobre o empaquetado utilizado sea opaco y no indique la clasificación de su contenido;

| b) | que la información clasificada esté en todo momento en posesión del portador; |
| --- | --- |

b)

que la información clasificada esté en todo momento en posesión del portador;

| c) | que el sobre o empaquetado no se abra en tránsito. |
| --- | --- |

c)

que el sobre o empaquetado no se abra en tránsito.

3.   En el caso de información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET, el transporte en mano por parte del personal del contratista dentro de un Estado miembro de la UE será organizado por adelantado por las entidades de origen y de destino. La autoridad o instalación emisora informará a la autoridad o instalación receptora de los datos del envío, incluidos la referencia, la clasificación, la hora prevista de llegada y el nombre del mensajero. Este transporte en mano se permite siempre que se cumplan los siguientes requisitos:

| a) | que la información clasificada se transporte en un sobre o empaquetado doble; |
| --- | --- |

a)

que la información clasificada se transporte en un sobre o empaquetado doble;

| b) | que el sobre o empaquetado exterior esté protegido y no indique la clasificación de su contenido, pero que el sobre interior sí indique el grado de clasificación; |
| --- | --- |

b)

que el sobre o empaquetado exterior esté protegido y no indique la clasificación de su contenido, pero que el sobre interior sí indique el grado de clasificación;

| c) | que la ICUE esté en todo momento en posesión del portador; |
| --- | --- |

c)

que la ICUE esté en todo momento en posesión del portador;

| d) | que el sobre o empaquetado no se abra en tránsito; |
| --- | --- |

d)

que el sobre o empaquetado no se abra en tránsito;

| e) | que el sobre o empaquetado se transporte en un maletín con cerradura o en un objeto homologado similar del mismo tamaño y peso que el portador pueda llevar consigo en todo momento y que no haya que facturar como equipaje; |
| --- | --- |

e)

que el sobre o empaquetado se transporte en un maletín con cerradura o en un objeto homologado similar del mismo tamaño y peso que el portador pueda llevar consigo en todo momento y que no haya que facturar como equipaje;

| f) | que el mensajero lleve un certificado de correo expedido por su autoridad de seguridad competente por el que se le autorice a transportar el envío clasificado de que se trate. |
| --- | --- |

f)

que el mensajero lleve un certificado de correo expedido por su autoridad de seguridad competente por el que se le autorice a transportar el envío clasificado de que se trate.

4.   Para el transporte en mano de información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET de un Estado miembro de la UE a otro por parte del personal del contratista, se aplicarán las siguientes normas adicionales:

| a) | el mensajero será responsable de la custodia del material clasificado hasta su entrega al destinatario; |
| --- | --- |

a)

el mensajero será responsable de la custodia del material clasificado hasta su entrega al destinatario;

| b) | en caso de fallo de seguridad, la ANS o ASD del remitente podrá solicitar que las autoridades del país en que se haya producido el fallo lleven a cabo una investigación, comuniquen sus conclusiones y emprendan acciones legales o de otro tipo, según proceda; |
| --- | --- |

b)

en caso de fallo de seguridad, la ANS o ASD del remitente podrá solicitar que las autoridades del país en que se haya producido el fallo lleven a cabo una investigación, comuniquen sus conclusiones y emprendan acciones legales o de otro tipo, según proceda;

| c) | el mensajero deberá ser informado de todas las obligaciones en materia de seguridad que deben observarse durante el transporte y deberá firmar una declaración de reconocimiento de tales obligaciones; |
| --- | --- |

c)

el mensajero deberá ser informado de todas las obligaciones en materia de seguridad que deben observarse durante el transporte y deberá firmar una declaración de reconocimiento de tales obligaciones;

| d) | las instrucciones para el mensajero se adjuntarán al certificado de correo; |
| --- | --- |

d)

las instrucciones para el mensajero se adjuntarán al certificado de correo;

| e) | el mensajero deberá disponer de una descripción del envío y un itinerario; |
| --- | --- |

e)

el mensajero deberá disponer de una descripción del envío y un itinerario;

| f) | los documentos se devolverán a la ANS o ASD emisora al finalizar el trayecto o trayectos, o el destinatario los conservará a efectos de controles ulteriores; |
| --- | --- |

f)

los documentos se devolverán a la ANS o ASD emisora al finalizar el trayecto o trayectos, o el destinatario los conservará a efectos de controles ulteriores;

| g) | si las autoridades aduaneras, las autoridades de inmigración o la policía de fronteras solicitan examinar e inspeccionar el envío, se les permitirá abrir y observar suficientes partes del envío como para cerciorarse de que no contienen ningún material distinto del declarado; |
| --- | --- |

g)

si las autoridades aduaneras, las autoridades de inmigración o la policía de fronteras solicitan examinar e inspeccionar el envío, se les permitirá abrir y observar suficientes partes del envío como para cerciorarse de que no contienen ningún material distinto del declarado;

| h) | debe instarse a las autoridades aduaneras a que respeten la autoridad oficial de los documentos enviados y los documentos de autorización transportados por el mensajero. |
| --- | --- |

h)

debe instarse a las autoridades aduaneras a que respeten la autoridad oficial de los documentos enviados y los documentos de autorización transportados por el mensajero.

Si las autoridades aduaneras abren un envío, deberá hacerse fuera de la vista de las personas no autorizadas y en presencia del mensajero cuando sea posible. El mensajero solicitará que se vuelva a empaquetar el envío y pedirá a las autoridades que lleven a cabo la inspección que vuelvan a precintar el envío y que confirmen por escrito que lo han abierto.

5.   El transporte en mano de información clasificada de grado RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET por parte del personal del contratista a un tercer país o a una organización internacional estará sujeto a las disposiciones del acuerdo sobre seguridad de la información o del acuerdo administrativo celebrado entre, respectivamente, la Unión Europea o la Comisión y dicho tercer país u organización internacional.

CAPÍTULO 6

PLAN DE CONTINUIDAD DE LA ACTIVIDAD

Artículo 15

Planes de contingencia y medidas de recuperación

El servicio de la Comisión correspondiente, en su calidad de órgano de contratación, se asegurará de que el contrato clasificado obligue al contratista a establecer planes de contingencia para proteger, en situaciones de emergencia, la ICUE manejada para la ejecución del contrato clasificado, y a establecer medidas preventivas y de recuperación en el contexto de la planificación de la continuidad de la actividad a fin de minimizar el efecto de los incidentes relacionados con el manejo y el almacenamiento de la ICUE. El contratista informará al órgano de contratación de su plan de contingencia.

Artículo 16

Entrada en vigor

La presente Decisión entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Diario Oficial de la Unión Europea

Hecho en Bruselas, el 17 de octubre de 2019.

Por la Comisión,

en nombre del Presidente,

Günther H. OETTINGER

Miembro de la Comisión

---

(1)  
  DO L 72 de 17.3.2015, p. 41.

1

(2)  
  DO L 72 de 17.3.2015, p. 53.

2

(3)  
  DO L 6 de 11.1.2017, p. 40.

3

(4)  
  DO C 202 de 8.7.2011, p. 13.

4

(5)  Decisión 2013/488/UE del Consejo, de 23 de septiembre de 2013, sobre las normas de seguridad para la protección de la información clasificada de la UE (DO L 274 de 15.10.2013, p. 1).

5

(6)  Directiva 2009/81/CE del Parlamento Europeo y del Consejo, de 13 de julio de 2009, sobre coordinación de los procedimientos de adjudicación de determinados contratos de obras, de suministro y de servicios por las entidades o poderes adjudicadores en los ámbitos de la defensa y la seguridad (DO L 216 de 20.8.2009, p. 76).

6

(7)  Decisión de la Comisión, de 4.5.2016, relativa a una habilitación en materia de seguridad [C(2016) 2797 final].

7

(8)  Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, (UE) n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 y (UE) n.o 283/2014 y la Decisión n.o 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.o 966/2012 (DO L 193 de 30.7.2018, p. 1).

8

o

o

o

o

o

o

o

o

o

o

(9)  En el sitio web de la Comisión puede consultarse la lista de acuerdos celebrados por la UE y de acuerdos administrativos suscritos por la Comisión Europea en virtud de los cuales puede intercambiarse información clasificada de la UE con terceros países y organizaciones internacionales.

9

(10)  Los formularios que se empleen podrán diferir en su diseño del ejemplo que figura en las presentes normas de desarrollo.

10

(11)  En el sitio web de la Comisión puede consultarse la lista de acuerdos celebrados por la UE y de acuerdos administrativos suscritos por la Comisión Europea en virtud de los cuales puede intercambiarse información clasificada de la UE con terceros países y organizaciones internacionales.

11

(12)  Los requisitos mínimos aplicables a los sistemas de información y comunicaciones que manejen ICUE de grado RESTREINT UE/EU RESTRICTED se establecen en el anexo III, apéndice E.

12

---

ANEXO I

INFORMACIÓN ESTÁNDAR DE LOS ANUNCIOS DE CONTRATOS PÚBLICOS

(adáptese a los anuncios de contratos utilizados)

Para los contratos cuya ejecución afecte a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET

Otras condiciones particulares (en su caso)

| La ejecución del contrato está sujeta a condiciones particulares | sí | no |
| --- | --- | --- |

La ejecución del contrato está sujeta a condiciones particulares

Image 1

Image 2

(en caso de respuesta afirmativa) Descripción de las condiciones particulares:

El contrato implicará el acceso, manejo y/o almacenamiento de información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, que está sujeta a las normas de seguridad para la protección de la información clasificada de la UE establecidas en la Decisión (UE, Euratom) 2015/444 de la Comisión, y a las normas de desarrollo de dicha Decisión (1).

Se exigirá una habilitación de seguridad de establecimiento, así como habilitaciones personales de seguridad para el personal del contratista que maneje información clasificada.

Las obligaciones especiales en materia de seguridad formarán parte del contrato (cláusula sobre aspectos de la seguridad, adjunta al contrato). La subcontratación estará sujeta a la aprobación previa por escrito del órgano de contratación y al cumplimiento de todas las normas de seguridad por parte del subcontratista y su personal.

Para los contratos cuya ejecución afecte a información clasificada de grado RESTREINT UE/EU RESTRICTED

Otras condiciones particulares (en su caso)

| La ejecución del contrato está sujeta a condiciones particulares | sí | no |
| --- | --- | --- |

La ejecución del contrato está sujeta a condiciones particulares

Image 3

Image 4

(en caso de respuesta afirmativa) Descripción de las condiciones particulares:

El contrato implicará el acceso, manejo y/o almacenamiento de información clasificada de grado RESTREINT UE/EU RESTRICTED, que está sujeta a las normas de seguridad para la protección de la información clasificada de la UE establecidas en la Decisión (UE, Euratom) 2015/444, y a las normas de desarrollo de dicha Decisión (2).

Las obligaciones especiales en materia de seguridad formarán parte del contrato (cláusula sobre aspectos de la seguridad, adjunta al contrato). La subcontratación estará sujeta a la aprobación previa por escrito del órgano de contratación y al cumplimiento de todas las normas de seguridad por parte del subcontratista y su personal.

---

(1)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

(2)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

---

ANEXO II

CLÁUSULAS CONTRACTUALES TIPO

(adáptese a los contratos utilizados)

ARTÍCULO XX

OBLIGACIONES EN MATERIA DE SEGURIDAD

XX.1. Información clasificada de la UE

Si la ejecución del contrato implica el uso o generación de información clasificada de la UE, dicha información debe tratarse de acuerdo con la cláusula sobre aspectos de la seguridad («CAS») y su guía de clasificación de seguridad («GCS»), que figuran en el anexo 1, y la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo (1), hasta que se desclasifique.

Todos los entregables que contengan información clasificada deben enviarse con arreglo a procedimientos especiales acordados con el órgano de contratación.

Las tareas de la acción relacionadas con información clasificada no pueden subcontratarse sin la aprobación previa, expresa y por escrito del órgano de contratación.

No puede revelarse información clasificada de la UE a ningún tercero (incluidos los subcontratistas) sin la aprobación previa, expresa y por escrito del órgano de contratación.

---

(1)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

---

ANEXO III

[anexo IV (del contrato marco)]

CLÁUSULA SOBRE ASPECTOS DE LA SEGURIDAD

[Modelo]

Apéndice A

REQUISITOS DE SEGURIDAD

El órgano de contratación debe incluir los siguientes requisitos de seguridad en la cláusula sobre aspectos de la seguridad. Es posible que algunas cláusulas no se apliquen al contrato; se muestran entre corchetes.

La lista de cláusulas no es exhaustiva. Podrán añadirse cláusulas adicionales dependiendo de la naturaleza del contrato clasificado.

CONDICIONES GENERALES

[N.B.: aplicable a todos los contratos clasificados]

| 1. | La presente cláusula sobre aspectos de la seguridad («CAS») forma parte del contrato [o subcontrato] clasificado y describe los requisitos de seguridad específicos del contrato. El incumplimiento de estos requisitos puede ser motivo suficiente para resolver el contrato. |
| --- | --- |

1.

| 2. | Los contratistas están sujetos a todas las obligaciones establecidas en la Decisión (UE, Euratom) 2015/444 y sus normas de desarrollo (1). |
| --- | --- |

2.

| 3. | La información clasificada generada durante la ejecución del contrato debe estar marcada como información clasificada de la UE («ICUE») con el grado de clasificación de seguridad correspondiente con arreglo a lo determinado en la guía de clasificación de seguridad («GCS») que figura en el apéndice B de la presente cláusula. Solo se podrá emplear un grado de clasificación de seguridad distinto al fijado por la GCS si media la autorización escrita del órgano de contratación. |
| --- | --- |

3.

| 4. | Los derechos del originador de cualquier ICUE producida y manejada para la ejecución del contrato clasificado serán ejercidos por la Comisión, en su calidad de órgano de contratación. |
| --- | --- |

4.

| 5. | Sin el consentimiento por escrito del órgano de contratación, el contratista o subcontratista no podrá utilizar la información o el material proporcionados por el órgano de contratación o producidos en su nombre para ningún fin distinto del contrato. |
| --- | --- |

5.

| 6. | El contratista debe investigar todos los fallos de seguridad relacionados con la ICUE y notificarlos al órgano de contratación tan pronto como sea posible. El contratista o subcontratista debe informar de inmediato a la autoridad nacional de seguridad («ANS») competente o a la autoridad de seguridad designada («ASD») y, si lo permiten las disposiciones legales y reglamentarias nacionales, a la autoridad de seguridad de la Comisión, sobre todos los casos en que se conozca, o existan razones para sospechar, que la ICUE proporcionada o generada con arreglo al contrato se ha perdido o ha acabado en conocimiento de personas no autorizadas. |
| --- | --- |

6.

| 7. | Al finalizar el contrato, el contratista o subcontratista debe devolver cualquier ICUE que obre en su poder al órgano de contratación a la mayor brevedad. Cuando sea posible, el contratista o subcontratista puede destruir la ICUE en lugar de devolverla. Esto debe hacerse con arreglo a las disposiciones legales y reglamentarias del país en que esté establecido el contratista, previo consentimiento de la autoridad de seguridad de la Comisión y siguiendo las instrucciones de esta última. La ICUE debe destruirse de tal forma que no pueda reconstruirse, ya sea en todo o en parte. |
| --- | --- |

7.

| 8. | Cuando el contratista o subcontratista esté autorizado a conservar la ICUE tras resolverse o finalizar el contrato, la ICUE debe seguir protegiéndose de conformidad con la Decisión (UE, Euratom) 2015/444 («DC 2015/444»), y con sus normas de desarrollo (2). |
| --- | --- |

8.

| 9. | Todo manejo, tratamiento y transmisión electrónicos de la ICUE debe respetar lo dispuesto en los capítulos 5 y 6 de la DC 2015/444. Algunos de los aspectos que se regulan en dichos capítulos son: el requisito de que los sistemas de información y comunicaciones que sean de propiedad del contratista y se utilicen para manejar la ICUE a efectos del contrato («SIC del contratista») se acrediten (3); la obligación de que toda transmisión electrónica de ICUE se proteja por medio de productos criptológicos aprobados de conformidad con el artículo 36, apartado 4, de la DC 2015/444; y la obligación de ejecutar las medidas TEMPEST de conformidad con el artículo 36, apartado 6, de la DC 2015/444. |
| --- | --- |

9.

| 10. | El contratista o subcontratista debe contar con planes de contingencia para proteger, en situaciones de emergencia, cualquier ICUE manejada durante la ejecución del contrato clasificado y debe adoptar medidas preventivas y de recuperación para minimizar el efecto de los incidentes relacionados con el manejo y el almacenamiento de la ICUE. El contratista o subcontratista debe informar al órgano de contratación de su plan de contingencia. |
| --- | --- |

10.

CONTRATOS QUE PRECISAN ACCESO A INFORMACIÓN CLASIFICADA DE GRADO RESTREINT UE/EU RESTRICTED

| 11. | No es necesario contar con una habilitación personal de seguridad («HPS»). No obstante, solo puede acceder a la información o el material clasificado de grado RESTREINT UE/EU RESTRICTED el personal del contratista que necesite dicha información para ejecutar el contrato (principio de la necesidad de conocer), que haya sido informado por el responsable de seguridad del contratista sobre sus responsabilidades y sobre las consecuencias de cualquier comprometimiento o fallo de la seguridad de dicha información, y que haya declarado por escrito que tiene conocimiento de las consecuencias de incumplir la obligación de proteger la ICUE. |
| --- | --- |

11.

| 12. | Salvo que el órgano de contratación dé su consentimiento por escrito, el contratista o subcontratista no puede dar acceso a información o material clasificados de grado RESTREINT UE/EU RESTRICTED a entidades o personas distintas de aquellos miembros de su personal que tengan necesidad de conocer. |
| --- | --- |

12.

| 13. | El contratista o subcontratista debe mantener las marcas de clasificación de seguridad de la información clasificada generada o proporcionada durante la ejecución del contrato y no puede desclasificarla sin la autorización por escrito del órgano de contratación. |
| --- | --- |

13.

| 14. | La información o el material clasificados de grado RESTREINT UE/EU RESTRICTED debe almacenarse en mobiliario de oficina con cerradura cuando no se use. Cuando se encuentren en tránsito, los documentos deben transportarse dentro de un sobre opaco. Los documentos deben estar en todo momento en posesión del portador y no abrirse en tránsito. |
| --- | --- |

14.

| 15. | El contratista o subcontratista puede entregar a la Comisión documentos clasificados de grado RESTREINT UE/EU RESTRICTED en mano, por medios electrónicos o por medio de servicios de mensajería comercial o de correos. Para ello, el contratista o subcontratista debe seguir las instrucciones de seguridad del programa (o proyecto) («ISP») de la Comisión y las normas de desarrollo de la Comisión sobre la seguridad industrial en relación con los contratos públicos clasificados (4). |
| --- | --- |

15.

| 16. | Cuando dejen de ser necesarios, los documentos clasificados de grado RESTREINT UE/EU RESTRICTED deben destruirse de tal forma que no puedan reconstruirse, ya sea en todo o en parte. |
| --- | --- |

16.

| 17. | La acreditación de seguridad del SIC del contratista que maneje ICUE de grado RESTREINT UE/EU RESTRICTED y cualquier interconexión de este podrán delegarse en el responsable de seguridad del contratista si así lo permiten las disposiciones legales y reglamentarias nacionales. Cuando se delegue la acreditación, las ANS, las ASD y las AAS seguirán siendo responsables de la protección de la información de grado RESTREINT UE/EU RESTRICTED que manejen los contratistas y seguirán gozando de la facultad de examinar las medidas de seguridad adoptadas por el contratista. Además, el contratista remitirá al órgano de contratación y, cuando así lo exijan las disposiciones legales y reglamentarias nacionales, a la AAS nacional competente una declaración de conformidad que certifique que el SIC del contratista y las interconexiones correspondientes han sido acreditados para el manejo de ICUE de grado RESTREINT UE/EU RESTRICTED. |
| --- | --- |

17.

MANEJO DE INFORMACIÓN CLASIFICADA DE GRADO RESTREINT UE/EU RESTRICTED EN SISTEMAS DE INFORMACIÓN Y COMUNICACIONES

| 18. | En el apéndice E de la presente CAS figuran los requisitos mínimos de los SIC que manejan información clasificada de grado RESTREINT UE/EU RESTRICTED. |
| --- | --- |

18.

CONDICIONES EN QUE EL CONTRATISTA PUEDE SUBCONTRATAR

| 19. | El contratista debe solicitar el permiso del servicio de la Comisión correspondiente, en su calidad de órgano de contratación, antes de subcontratar cualquier parte de un contrato clasificado. |
| --- | --- |

19.

| 20. | No se podrá autorizar la subcontratación a una empresa registrada en un Estado que no sea miembro de la UE ni a una entidad perteneciente a una organización internacional si dicho Estado no perteneciente a la UE o dicha organización internacional no ha celebrado un acuerdo sobre seguridad de la información con la Unión Europea o un acuerdo administrativo con la Comisión. |
| --- | --- |

20.

| 21. | Cuando el contratista subcontrate, las disposiciones de seguridad del contrato serán de aplicación mutatis mutandis al subcontratista o subcontratistas y a su personal. En tal caso, corresponde al contratista asegurarse de que todos los subcontratistas apliquen estos principios a sus propios acuerdos de subcontratación. Para garantizar una supervisión adecuada de la seguridad, se deberá notificar a la ANS o ASD del contratista o subcontratista la subcontratación de todos los contratos clasificados conexos de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET. Cuando proceda, se deberá entregar a las ANS o ASD del contratista o subcontratista una copia de las disposiciones de seguridad específicas del subcontrato. En el anexo de las normas de desarrollo de la Comisión sobre la seguridad industrial en relación con los contratos públicos clasificados (5) figuran las ANS o ASD que exigen que se les notifiquen las disposiciones de seguridad de los contratos clasificados de grado RESTREINT UE/EU RESTRICTED. |
| --- | --- |

21.

| 22. | El contratista no puede revelar ICUE a un subcontratista sin la aprobación previa por escrito del órgano de contratación. Si la ICUE debe enviarse a los subcontratistas con frecuencia o de manera rutinaria, el órgano de contratación puede dar su aprobación para un período de tiempo determinado (por ejemplo, doce meses) o para la duración del subcontrato. |
| --- | --- |

22.

VISITAS

Si se aplica el procedimiento de SdV estándar a visitas que impliquen el acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, el órgano de contratación debe incluir los apartados 23, 24 y 25 y suprimir el apartado 26. Si el establecimiento que envía al visitante y el que lo recibe organizan directamente las visitas que impliquen el acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, el órgano de contratación debe suprimir los apartados 24 y 25 e incluir únicamente el apartado 26.

| 23. | Las visitas que impliquen el acceso, o posible acceso, a información clasificada de grado RESTREINT UE/EU RESTRICTED serán organizadas directamente por el establecimiento que envía al visitante y el que lo recibe sin necesidad de seguir el procedimiento descrito en los apartados 24 a 26. |
| --- | --- |

23.

| [24. | Las visitas que impliquen el acceso, o posible acceso, a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET se regirán por el procedimiento siguiente:






  a) | El responsable de seguridad de la instalación que envía al visitante cumplimentará todas las partes pertinentes del formulario SdV (apéndice C) y presentará la solicitud a la ANS o ASD de la instalación. |
| --- | --- | --- |

[24.

a)

El responsable de seguridad de la instalación que envía al visitante cumplimentará todas las partes pertinentes del formulario SdV (apéndice C) y presentará la solicitud a la ANS o ASD de la instalación.

| b) | La ANS o ASD de la instalación que envía al visitante debe confirmar la HPS del visitante antes de presentar la SdV a la ANS o ASD de la instalación que lo recibe (o a la autoridad de seguridad de la Comisión si la visita se realiza en los locales de la Comisión). |
| --- | --- |

b)

La ANS o ASD de la instalación que envía al visitante debe confirmar la HPS del visitante antes de presentar la SdV a la ANS o ASD de la instalación que lo recibe (o a la autoridad de seguridad de la Comisión si la visita se realiza en los locales de la Comisión).

| c) | El responsable de seguridad de la instalación que envía al visitante recibirá entonces de su ANS o ASD la respuesta de la ANS o ASD de la instalación que lo recibe (o de la autoridad de seguridad de la Comisión) por la que se autorice o deniegue la SdV. |
| --- | --- |

c)

El responsable de seguridad de la instalación que envía al visitante recibirá entonces de su ANS o ASD la respuesta de la ANS o ASD de la instalación que lo recibe (o de la autoridad de seguridad de la Comisión) por la que se autorice o deniegue la SdV.

| d) | Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita.] |
| --- | --- |

d)

Una SdV se considerará aprobada si no se presentan objeciones hasta cinco días laborables antes de la fecha de la visita.]

| [25. | Antes de dar al visitante o visitantes acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, la instalación que los reciba debe haber recibido la autorización de su ANS o ASD.] |
| --- | --- |

[25.

| [26. | Las visitas que impliquen el acceso, o posible acceso, a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET serán organizadas directamente por el establecimiento que envía al visitante y el que lo recibe (un ejemplo del formulario que puede utilizarse para este fin figura en el apéndice C).] |
| --- | --- |

[26.

| 27. | Los visitantes deben acreditar su identidad al llegar a la instalación que los reciba presentando un documento de identidad o pasaporte válido. |
| --- | --- |

27.

| 28. | La instalación que reciba la visita debe asegurarse de que se lleve un registro de todos los visitantes. Estos deben incluir sus nombres y apellidos, la organización a la que representan, la fecha de caducidad de la HPS (si procede), la fecha de la visita y los nombres y apellidos de las personas visitadas. Sin perjuicio de las normas europeas de protección de datos, dichos registros deben conservarse durante un período no inferior a cinco años o lo que indiquen las disposiciones legales y reglamentarias nacionales, según proceda. |
| --- | --- |

28.

VISITAS DE EVALUACIÓN

| 29. | La autoridad de seguridad de la Comisión puede, con la colaboración de la ANS o ASD correspondiente, efectuar visitas a las instalaciones de los contratistas o subcontratistas para comprobar que se cumplen los requisitos de seguridad para el manejo de ICUE. |
| --- | --- |

29.

GUÍA DE CLASIFICACIÓN DE SEGURIDAD

| 30. | La guía de clasificación de seguridad («GCS») contiene una lista de todos los elementos del contrato que estén clasificados o puedan clasificarse durante la ejecución del contrato, las normas por las que se rija dicha clasificación y la especificación de los grados de clasificación de seguridad aplicables. La guía de clasificación de seguridad forma parte del presente contrato y se encuentra en el apéndice B del presente anexo. |
| --- | --- |

30.

---

(1)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

(2)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

(3)  La parte que desee la acreditación deberá remitir al órgano de contratación una declaración de conformidad, a través de la autoridad de seguridad de la Comisión, y con la colaboración de la autoridad de acreditación de seguridad («AAS») nacional pertinente.

(4)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

(5)  El órgano de contratación debe introducir las referencias una vez que se hayan adoptado las normas de desarrollo.

Apéndice B

GUÍA DE CLASIFICACIÓN DE SEGURIDAD

[adáptense las partes que procedan dependiendo del objeto del contrato]

Apéndice C

SOLICITUD DE VISITA

(MODELO)

Instrucciones pormenorizadas para cumplimentar una solicitud de visita

(la solicitud solo se puede presentar en inglés)

| HEADING | Márquense las casillas correspondientes del tipo de visita y tipo de información e indíquense cuántos lugares deben visitarse y el número de visitantes. |
| --- | --- |
| 4. | ADMINISTRATIVE DATA |

HEADING

Márquense las casillas correspondientes del tipo de visita y tipo de información e indíquense cuántos lugares deben visitarse y el número de visitantes.

4.

Deben cumplimentarlos la ANS o ASD solicitante.

| 5. | REQUESTING ORGANISATION OR INDUSTRIAL FACILITY |
| --- | --- |

5.

Indíquense el nombre y la dirección postal completos.

Menciónense la localidad, el país y el código postal según proceda.

| 6. | ORGANISATION OR INDUSTRIAL FACILITY TO BE VISITED |
| --- | --- |

6.

Indíquense el nombre y la dirección postal completos. Menciónense la localidad, el país, el código postal, el número télex o de fax (si procede), el número de teléfono y el correo electrónico. Indíquense el nombre, los números de teléfono y fax y el correo electrónico de su punto de contacto principal o de la persona con la que haya concertado la visita.

Observaciones:

| 1) | Es importante consignar el código postal correcto porque una empresa puede tener varias instalaciones. |
| --- | --- |

1)

Es importante consignar el código postal correcto porque una empresa puede tener varias instalaciones.

| 2) | Al presentar la solicitud en persona, puede utilizarse el anexo 1 cuando se deban visitar dos o más instalaciones en relación con un mismo aspecto. Cuando se utilice un anexo, el apartado 3 debe indicar: «VÉASE EL ANEXO 1, NÚMERO DE INSTALACIONES:...» (indíquese el número de instalaciones). |
| --- | --- |

2)

Al presentar la solicitud en persona, puede utilizarse el anexo 1 cuando se deban visitar dos o más instalaciones en relación con un mismo aspecto. Cuando se utilice un anexo, el apartado 3 debe indicar: «VÉASE EL ANEXO 1, NÚMERO DE INSTALACIONES:...» (indíquese el número de instalaciones).

| 7. | DATES OF VISIT |
| --- | --- |

7.

Indíquese la fecha o el período (de fecha a fecha) reales de la visita, en formato «día – mes – año». Cuando proceda, las fechas o períodos alternativos deben mencionarse entre paréntesis.

| 8. | TYPE OF INITIATIVE |
| --- | --- |

8.

Especifíquese si la visita se solicita por iniciativa de la organización o la instalación solicitante o por invitación de la instalación que se vaya a visitar.

| 9. | THE VISIT RELATES TO: |
| --- | --- |

9.

Especifíquese el nombre completo del proyecto, contrato o licitación utilizando solo abreviaturas de uso común.

| 10. | SUBJECT TO BE DISCUSSED/JUSTIFICATION |
| --- | --- |

10.

Descríbanse brevemente los motivos de la visita. Evítese el uso de abreviaturas no explicadas.

Observaciones:

En el caso de visitas periódicas, este apartado debe anteponer «Visitas periódicas» a cualquier otro dato (por ejemplo, Visitas periódicas para discutir ___).

| 11. | ANTICIPATED LEVEL OF CLASSIFIED INFORMATION TO BE INVOLVED |
| --- | --- |

11.

Indíquese SECRET UE/EU SECRET (S-UE/EU-S)

o

CONFIDENTIEL UE/EU CONFIDENTIAL (C-UE/EU-C), según corresponda.

| 12. | PARTICULARS OF VISITOR |
| --- | --- |

12.

Observación: cuando en la visita participen más de dos visitantes, debe utilizarse el anexo 2.

| 13. | THE SECURITY OFFICER OF THE REQUESTING ENTITY |
| --- | --- |

13.

En este apartado debe incluirse el nombre y apellidos, el número de teléfono, el número de fax y el correo electrónico del responsable de seguridad de la instalación solicitante.

| 14. | CERTIFICATION OF SECURITY CLEARANCE |
| --- | --- |

14.

La autoridad de certificación debe cumplimentar esta casilla.

Notas para la autoridad de certificación:

| a) | Indíquense el nombre, la dirección, el número de teléfono, el número de fax y el correo electrónico (puede preimprimirse). |
| --- | --- |

a)

Indíquense el nombre, la dirección, el número de teléfono, el número de fax y el correo electrónico (puede preimprimirse).

| b) | Esta casilla debe firmarse y sellarse (si procede). |
| --- | --- |

b)

Esta casilla debe firmarse y sellarse (si procede).

| 15. | REQUESTING SECURITY AUTHORITY |
| --- | --- |

15.

La ANS o ASD debe cumplimentar esta casilla.

Nota para la ANS o ASD:

| a) | Indíquense el nombre, la dirección, el número de teléfono, el número de fax y el correo electrónico (puede preimprimirse). |
| --- | --- |

a)

Indíquense el nombre, la dirección, el número de teléfono, el número de fax y el correo electrónico (puede preimprimirse).

| b) | Esta casilla debe firmarse y sellarse (si procede). |
| --- | --- |

b)

Esta casilla debe firmarse y sellarse (si procede).

Deben cumplimentarse todas las casillas y el formulario debe presentarse a través de canales intergubernamentales (1).

| REQUEST FOR VISIT

  (MODEL)
  TO: _______________________________________ |
| --- |
| 1. | TYPE OF VISIT REQUEST |

REQUEST FOR VISIT

(MODEL)

TO: _______________________________________

1.

| 2. | TYPE OF INFORMATION |
| --- | --- |

2.

| 3. | SUMMARY |
| --- | --- |

3.

☐ Single

☐ Recurring

☐ Emergency

☐ Amendment

| | ☐ Dates |
| --- | --- |

☐ Dates

| | ☐ Visitors |
| --- | --- |

☐ Visitors

| | ☐ Facility |
| --- | --- |

☐ Facility

For an amendment, insert the NSA/DSA original RFV Reference No_____________

☐ C-UE/EU-C

☐ S-UE/EU-S

No of sites: _______

No of visitors: _____

| 4. | ADMINISTRATIVE DATA: |
| --- | --- |

4.

Requester:

To:

NSA/DSA RFV Reference No________________

Date (dd/mm/yyyy): _____/_____/_____

| 5. | REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: |
| --- | --- |

5.

NAME:

POSTAL ADDRESS:

E-MAIL ADDRESS:

FAX NO:

TELEPHONE NO:

| 6. | ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED
  (Annex 1 to be completed) |
| --- | --- |

6.

| 7. | DATE OF VISIT
  (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____ |
| --- | --- |

7.

DATE OF VISIT
  (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____

| 8. | TYPE OF INITIATIVE: |
| --- | --- |

8.

☐ Initiated by requesting organisation or facility

☐ By invitation of the facility to be visited

| 9. | THE VISIT RELATES TO CONTRACT: |
| --- | --- |

9.

| 10. | SUBJECT TO BE DISCUSSED/REASONS/PURPOSE
  (Include details of host entity and any other relevant information. Abbreviations should be avoided): |
| --- | --- |

10.

| 11. | ANTICIPATED HIGHEST CLASSIFICATION LEVEL OF INFORMATION/MATERIAL OR SITE ACCESS TO BE INVOLVED: |
| --- | --- |

11.

| 12. | PARTICULARS OF VISITOR(S)
  (Annex 2 to be completed) |
| --- | --- |

12.

| 13. | THE SECURITY OFFICER OF THE REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: |
| --- | --- |

13.

NAME:

TELEPHONE NO:

E-MAIL ADDRESS:

SIGNATURE:

| 14. | CERTIFICATION OF SECURITY CLEARANCE LEVEL: |
| --- | --- |

14.

NAME:

ADDRESS:

TELEPHONE NO:

E-MAIL ADDRESS:

Image 5

SIGNATURE:

DATE (dd/mm/yyyy): _____/_____/_____

| 15. | REQUESTING NATIONAL SECURITY AUTHORITY/DESIGNATED SECURITY AUTHORITY: |
| --- | --- |

15.

NAME:

ADDRESS:

TELEPHONE NO:

E-MAIL ADDRESS:

Image 6

SIGNATURE:

DATE (dd/mm/yyyy): _____/_____/_____

| 16. | REMARKS
  (Mandatory justification required in the case of an emergency visit): |
| --- | --- |

16.

REMARKS
  (Mandatory justification required in the case of an emergency visit):

<Espacio reservado para la referencia a la legislación aplicable en materia de datos personales y el enlace a la información obligatoria para el interesado, por ejemplo, cómo se aplica el artículo 13 del Reglamento general de protección de datos (2).>

---

(1)  Si se ha acordado que las visitas que impliquen el acceso, o posible acceso, a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET pueden organizarse directamente, el formulario cumplimentado puede presentarse directamente al responsable de seguridad del establecimiento que vaya a visitarse.

(2)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

ANEXO 1 del FORMULARIO de SdV

| ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED |
| --- |
| 1.
  NAME:
  ADDRESS:
  TELEPHONE NO:
  FAX NO:
  NAME OF POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:
  NAME OF SECURITY OFFICER OR
  SECONDARY POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO: |
| 2.
  NAME:
  ADDRESS:
  TELEPHONE NO:
  FAX NO:
  NAME OF POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:
  NAME OF SECURITY OFFICER OR
  SECONDARY POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:

  (Continue as required) |

ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED

1.

NAME:

ADDRESS:

TELEPHONE NO:

FAX NO:

NAME OF POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

NAME OF SECURITY OFFICER OR

SECONDARY POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

2.

NAME:

ADDRESS:

TELEPHONE NO:

FAX NO:

NAME OF POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

NAME OF SECURITY OFFICER OR

SECONDARY POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

(Continue as required)

<Espacio reservado para la referencia a la legislación aplicable en materia de datos personales y el enlace a la información obligatoria para el interesado, por ejemplo, cómo se aplica el artículo 13 del Reglamento general de protección de datos (1).>

---

(1)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

ANEXO 2 del FORMULARIO de SdV

| PARTICULARS OF VISITOR(S) |
| --- |
| 1.
  SURNAME:
  FIRST NAMES (as per passport):
  DATE OF BIRTH (dd/mm/yyyy): ____/____/____
  PLACE OF BIRTH:
  NATIONALITY:
  SECURITY CLEARANCE LEVEL:
  PP/ID NUMBER:
  POSITION:
  COMPANY/ORGANISATION: |
| 2.
  SURNAME:
  FIRST NAMES (as per passport):
  DATE OF BIRTH (dd/mm/yyyy): ____/____/____
  PLACE OF BIRTH:
  NATIONALITY:
  SECURITY CLEARANCE LEVEL:
  PP/ID NUMBER:
  POSITION:
  COMPANY/ORGANISATION:

  (Continue as required) |

PARTICULARS OF VISITOR(S)

1.

SURNAME:

FIRST NAMES (as per passport):

DATE OF BIRTH (dd/mm/yyyy): ____/____/____

PLACE OF BIRTH:

NATIONALITY:

SECURITY CLEARANCE LEVEL:

PP/ID NUMBER:

POSITION:

COMPANY/ORGANISATION:

2.

SURNAME:

FIRST NAMES (as per passport):

DATE OF BIRTH (dd/mm/yyyy): ____/____/____

PLACE OF BIRTH:

NATIONALITY:

SECURITY CLEARANCE LEVEL:

PP/ID NUMBER:

POSITION:

COMPANY/ORGANISATION:

(Continue as required)

<Espacio reservado para la referencia a la legislación aplicable en materia de datos personales y el enlace a la información obligatoria para el interesado, por ejemplo, cómo se aplica el artículo 13 del Reglamento general de protección de datos (1).>

---

(1)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

Apéndice D

FICHA DE INFORMACIÓN SOBRE LA HABILITACIÓN DE SEGURIDAD DE ESTABLECIMIENTO

(MODELO)

1.   Introducción

| 1.1. | Se adjunta una ficha de información sobre la habilitación de seguridad de establecimiento («FIHSE») para el intercambio rápido de información entre la autoridad nacional de seguridad («ANS») o la autoridad de seguridad designada («ASD»), otras autoridades nacionales de seguridad competentes y la Comisión (en su calidad de órgano de contratación), en relación con la habilitación de seguridad de establecimiento («HSE») de una instalación a la que afecten licitaciones, contratos o subcontratos clasificados. |
| --- | --- |

1.1.

| 1.2. | La FIHSE solo es válida si cuenta con el sello de la correspondiente ANS o ASD u otra autoridad competente. |
| --- | --- |

1.2.

| 1.3. | La FIHSE se divide en una sección de solicitud y una de respuesta y puede utilizarse para los fines antes señalados o para cualquier otro fin que requiera la HSE de una instalación determinada. La ANS o ASD debe especificar el motivo de la investigación en el apartado 7 de la sección de solicitud. |
| --- | --- |

1.3.

| 1.4. | La información que figura en la FIHSE no suele ser clasificada; en consecuencia, cuando la Comisión y las ANS o ASD correspondientes deban enviarse una FIHSE, se deberá hacer preferentemente por medios electrónicos. |
| --- | --- |

1.4.

| 1.5. | Las ANS o ASD deben hacer todo lo posible por responder a la petición de una FIHSE en un plazo de diez días laborables. |
| --- | --- |

1.5.

| 1.6. | En caso de que se transmita información clasificada o se adjudique un contrato en relación con esta garantía, se debe informar a la ANS o ASD emisora. |
| --- | --- |

1.6.

Procedimientos e instrucciones para el uso de la ficha de información sobre la habilitación de seguridad de establecimiento

Estas instrucciones pormenorizadas están dirigidas a la ANS, la ASD o el órgano de contratación de la Comisión que cumplimente el FIHSE. La solicitud debe, preferentemente, mecanografiarse en mayúsculas.

| ENCABEZAMIENTO | El solicitante escribe el nombre completo de la ANS o ASD y el nombre del país. |
| --- | --- |
| 1. | TIPO DE SOLICITUD |

ENCABEZAMIENTO

El solicitante escribe el nombre completo de la ANS o ASD y el nombre del país.

1.

El órgano de contratación solicitante selecciona la casilla apropiada en función del tipo de solicitud de FIHSE. Indíquese el grado de la habilitación de seguridad solicitada. Deben utilizarse las abreviaturas siguientes:

SECRET UE/EU SECRET = S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C

SIC = Sistemas de información y comunicaciones para el tratamiento de información clasificada

| 2. | INFORMACIÓN DEL OBJETO |
| --- | --- |

2.

Los apartados 1 a 6 se explican por sí mismos.

En el apartado 4, debe utilizarse el código de dos letras distintivo del país. El apartado 5 es opcional.

| 3. | MOTIVO DE LA SOLICITUD |
| --- | --- |

3.

Indíquense el motivo específico de la solicitud y los indicadores del proyecto o el número de contrato o de la invitación a presentar ofertas. Especifíquense la necesidad de capacidad de almacenamiento, el nivel de clasificación del SIC, etc.

Deben incluirse todos los plazos, vencimientos y fechas de adjudicación que puedan afectar a una HSE.

| 4. | ANS O ASD SOLICITANTE |
| --- | --- |

4.

Indíquense el nombre del solicitante (en nombre de la ANS o ASD) y la fecha de la solicitud en formato numérico (dd/mm/aaaa).

| 5. | SECCIÓN DE RESPUESTA |
| --- | --- |

5.

Apartados 1 a 5: selecciónense las casillas adecuadas.

Apartado 2: si está en curso una HSE, es recomendable comunicar al solicitante el tiempo de tramitación (si se conoce).

Apartado 6:

| a) | Aunque la validación difiera de un país a otro o incluso entre instalaciones, se recomienda indicar la fecha de caducidad de la HSE. |
| --- | --- |

a)

Aunque la validación difiera de un país a otro o incluso entre instalaciones, se recomienda indicar la fecha de caducidad de la HSE.

| b) | En los casos en que la fecha de caducidad de la garantía de la HSE sea indefinida, puede suprimirse este apartado. |
| --- | --- |

b)

En los casos en que la fecha de caducidad de la garantía de la HSE sea indefinida, puede suprimirse este apartado.

| c) | En cumplimiento de las disposiciones legales y reglamentarias nacionales pertinentes, corresponde al solicitante, o bien al contratista o subcontratista, solicitar la renovación de la HSE. |
| --- | --- |

c)

En cumplimiento de las disposiciones legales y reglamentarias nacionales pertinentes, corresponde al solicitante, o bien al contratista o subcontratista, solicitar la renovación de la HSE.

| 6. | OBSERVACIONES |
| --- | --- |

6.

Información adicional con respecto a la HSE, la instalación o los aspectos anteriores.

| 7. | ANS O ASD EMISORA |
| --- | --- |

7.

Indíquense el nombre de la autoridad emisora (en nombre de la ANS o ASD) y la fecha de la respuesta en formato numérico (dd/mm/aaaa).

FICHA DE INFORMACIÓN SOBRE LA HABILITACIÓN DE SEGURIDAD DE ESTABLECIMIENTO

(MODELO)

Deben cumplimentarse todas las casillas y el formulario debe presentarse a través de canales intergubernamentales o canales entre el Gobierno y la organización internacional.

| SOLICITUD DE GARANTÍA DE LA HABILITACIÓN DE SEGURIDAD DE ESTABLECIMIENTO

  A: ____________________________________

  (nombre del país de la ANS o ASD) |
| --- |
| Cumpliméntense los recuadros de respuesta, según proceda:
  [] Proporciónese una garantía de la HSE de grado: [] S-UE/EU-S [] C-UE/EU-C
  para las instalaciones que se enumeran a continuación | [] Incluida la protección de material o información clasificados |

SOLICITUD DE GARANTÍA DE LA HABILITACIÓN DE SEGURIDAD DE ESTABLECIMIENTO

A: ____________________________________

(nombre del país de la ANS o ASD)

Cumpliméntense los recuadros de respuesta, según proceda:

[] Proporciónese una garantía de la HSE de grado: [] S-UE/EU-S [] C-UE/EU-C

para las instalaciones que se enumeran a continuación

[] Incluida la protección de material o información clasificados

| | [] Incluidos los sistemas de información y comunicaciones («SIC») para el tratamiento de información clasificada |
| --- | --- |

[] Incluidos los sistemas de información y comunicaciones («SIC») para el tratamiento de información clasificada

[] Iníciese, directamente o a petición de un contratista o subcontratista, el proceso de obtención de una HSE de grado ... con grado de protección ... y grado de SIC ..., si la instalación no posee actualmente estos grados.

Confírmese la exactitud de los datos de la instalación que figura a continuación y realícense las correcciones y añadidos necesarios.

| 1. | Nombre completo de la instalación: |
| --- | --- |

1.

Nombre completo de la instalación:

Correcciones y añadidos:

...

...

| 2. | Dirección completa de la instalación: |
| --- | --- |

2.

Dirección completa de la instalación:

...

...

| 3. | Dirección postal (si difiere del apartado 2) |
| --- | --- |

3.

Dirección postal (si difiere del apartado 2)

...

...

| 4. | Código postal/localidad/país |
| --- | --- |

4.

Código postal/localidad/país

...

...

| 5. | Nombre y apellidos del responsable de seguridad |
| --- | --- |

5.

Nombre y apellidos del responsable de seguridad

...

...

| 6. | Teléfono/Fax/Correo electrónico del responsable de seguridad |
| --- | --- |

6.

Teléfono/Fax/Correo electrónico del responsable de seguridad

...

...

| 7. | La presente solicitud se presenta por los siguientes motivos: [proporciónense datos de la fase precontractual (selección de propuestas), el contrato o subcontrato, el programa o el proyecto, etc.] |
| --- | --- |

7.

La presente solicitud se presenta por los siguientes motivos: [proporciónense datos de la fase precontractual (selección de propuestas), el contrato o subcontrato, el programa o el proyecto, etc.]

...

ANS/ASD u órgano de contratación de la Comisión solicitante: Nombre: ... Fecha: (dd.mm.yyyy) ...

RESPUESTA (en un plazo de diez días laborables)

Por la presente se certifica lo siguiente.

| 1. | [] La instalación mencionada cuenta con una HSE de grado [] S-UE/EU-S
  [] C-UE/EU-C. |
| --- | --- |

1.

[] La instalación mencionada cuenta con una HSE de grado [] S-UE/EU-S

[] C-UE/EU-C.

| 2. | La instalación mencionada puede proteger información o material clasificados:
  [] sí, de grado: ... [] no. |
| --- | --- |

2.

La instalación mencionada puede proteger información o material clasificados:

[] sí, de grado: ... [] no.

| 3. | La instalación mencionada ha acreditado o autorizado el SIC:
  [] sí, de grado: ... [] no. |
| --- | --- |

3.

La instalación mencionada ha acreditado o autorizado el SIC:

[] sí, de grado: ... [] no.

| 4. | [] En relación con la solicitud mencionada, se ha puesto en marcha el proceso de la HSE. Se le informará cuando se conceda o deniegue la HSE. |
| --- | --- |

4.

[] En relación con la solicitud mencionada, se ha puesto en marcha el proceso de la HSE. Se le informará cuando se conceda o deniegue la HSE.

| 5. | [] La instalación mencionada no tiene una HSE. |
| --- | --- |

5.

[] La instalación mencionada no tiene una HSE.

| 6. | Esta garantía de la HSE caduca el: ... (dd/mm/aaaa), o lo que indique la ANS o la ASD. En caso de invalidación previa o de modificación de la información arriba indicada, se le informará al respecto. |
| --- | --- |

6.

Esta garantía de la HSE caduca el: ... (dd/mm/aaaa), o lo que indique la ANS o la ASD. En caso de invalidación previa o de modificación de la información arriba indicada, se le informará al respecto.

| 7. | Observaciones:
  ...
  ANS o ASD emisora Nombre: ... Fecha (dd/mm/aaaa): ... |
| --- | --- |

7.

Observaciones:

...

<Espacio reservado para la referencia a la legislación aplicable en materia de datos personales y el enlace a la información obligatoria para el interesado, por ejemplo, cómo se aplica el artículo 13 del Reglamento general de protección de datos (1).>

---

(1)  Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO L 119 de 4.5.2016, p. 1).

Apéndice E

Requisitos mínimos para la protección de la ICUE en formato electrónico de grado RESTREINT UE/EU RESTRICTED manejada en el SIC del contratista

Generalidades

| 1. | El contratista debe asegurarse de que la protección de la información clasificada de grado RESTREINT UE/EU RESTRICTED cumpla los requisitos mínimos de seguridad establecidos en esta cláusula de seguridad y cualesquiera otros requisitos adicionales aconsejados por el órgano de contratación o, en su caso, por la autoridad nacional de seguridad («ANS») o la autoridad de seguridad designada («ASD»). |
| --- | --- |

1.

| 2. | Corresponde al contratista aplicar los requisitos de seguridad indicados en el presente documento. |
| --- | --- |

2.

| 3. | A los efectos del presente documento, un sistema de información y comunicaciones («SIC») abarca todo el equipo utilizado para manejar, almacenar y transmitir ICUE, incluidas estaciones de trabajo, impresoras, fotocopiadoras, máquinas de fax, servidores, sistemas de gestión de red, controladores de red y controladores de comunicaciones, ordenadores portátiles, tabletas, teléfonos inteligentes y dispositivos de almacenamiento portátiles, tales como memorias USB, CD, tarjetas SD, etc. |
| --- | --- |

3.

| 4. | El equipo especial, como los productos criptológicos, debe estar protegido de conformidad con su procedimiento operativo de seguridad específico. |
| --- | --- |

4.

| 5. | Los contratistas deben crear una estructura responsable de la gestión de la seguridad del SIC que maneje información clasificada de grado RESTREINT UE/EU RESTRICTED y designar a un responsable de seguridad de la instalación de que se trate. |
| --- | --- |

5.

| 6. | No estará permitido el uso de soluciones informáticas (equipo, programas o servicios informáticos) que sean propiedad privada del personal del contratista para almacenar o tratar información clasificada de grado RESTREINT UE/EU RESTRICTED. |
| --- | --- |

6.

| 7. | La acreditación del SIC del contratista que maneje información clasificada de grado RESTREINT UE/EU RESTRICTED debe ser aprobada por la autoridad de acreditación de seguridad («AAS») del Estado miembro de que se trate o delegada en el responsable de seguridad del contratista, de conformidad con lo permitido por las disposiciones legales y reglamentarias nacionales. |
| --- | --- |

7.

| 8. | Solo la información clasificada de grado RESTREINT UE/EU RESTRICTED que esté cifrada con productos criptológicos aprobados puede manejarse, almacenarse o transmitirse (por medios alámbricos o inalámbricos) como cualquier otra información no clasificada afectada por el contrato. Estos productos criptológicos deben ser aprobados por la UE o por un Estado miembro. |
| --- | --- |

8.

| 9. | Las instalaciones externas implicadas en obras de mantenimiento o reparación deben estar obligadas contractualmente a cumplir las disposiciones aplicables para el manejo de la información clasificada de grado RESTREINT UE/EU RESTRICTED, tal como se establece en el presente documento. |
| --- | --- |

9.

| 10. | A petición del órgano de contratación o de la ANS, la ASD o la AAS pertinente, el contratista debe presentar pruebas del cumplimiento de la cláusula de seguridad del contrato. Si también se solicita una auditoría e inspección de los procesos e instalaciones del contratista para garantizar el cumplimiento de estos requisitos, el contratista permitirá a los representantes del órgano de contratación, la ANS, la ASD o la AAS, o a la autoridad de seguridad de la UE pertinente, la realización de dicha auditoría e inspección. |
| --- | --- |

10.

Seguridad física

| 11. | Los espacios en los que se utilicen los SIC para visualizar, almacenar, tratar o transmitir información de grado RESTREINT UE/EU RESTRICTED o los espacios que alojen servidores, sistemas de gestión de red, controladores de red y controladores de comunicaciones para dichos SIC deben delimitarse como zonas separadas y controladas con un sistema adecuado de control del acceso. El acceso a estas zonas separadas y controladas debe restringirse a las personas que posean una autorización específica. Sin perjuicio de lo dispuesto en el apartado 8, el equipo descrito en el apartado 3 debe almacenarse en dichas zonas separadas y controladas. |
| --- | --- |

11.

| 12. | Deben implantarse mecanismos o procedimientos de seguridad para regular la introducción o la conexión de soportes informáticos de almacenamiento portátiles (como memorias USB, dispositivos de gran capacidad o CD regrabables) a componentes del SIC. |
| --- | --- |

12.

Acceso al SIC

| 13. | El acceso al SIC del contratista que maneje ICUE se concede sobre la base de una necesidad de conocer estricta y por medio de autorizaciones del personal. |
| --- | --- |

13.

| 14. | Todos los SIC deben disponer de listas actualizadas de los usuarios autorizados. Todos los usuarios deben estar autentificados al comienzo de cada sesión de tratamiento. |
| --- | --- |

14.

| 15. | Las contraseñas, que forman parte de la mayoría de las medidas de seguridad de identificación y autentificación, deben ser de al menos nueve caracteres y deben incluir caracteres numéricos y «especiales» (si lo permite el sistema), así como caracteres alfabéticos. Las contraseñas deben cambiarse al menos cada 180 días. Deben modificarse a la mayor brevedad si se han visto comprometidas o han acabado en conocimiento de una persona no autorizada, o si se sospecha que alguno de esos dos casos haya podido suceder. |
| --- | --- |

15.

| 16. | Todos los SIC deben contar con controles de acceso interno para impedir que los usuarios no autorizados accedan a información clasificada de grado RESTREINT UE/EU RESTRICTED o la modifiquen, o modifiquen el sistema y los controles de seguridad. Los usuarios deben ser desconectados automáticamente del SIC si sus terminales han estado inactivos durante un período predeterminado, o bien el SIC debe activar un protector de pantalla protegido mediante contraseña después de 15 minutos de inactividad. |
| --- | --- |

16.

| 17. | A cada usuario del SIC se le asigna una cuenta y una clave de usuario únicas. La cuenta de usuario debe bloquearse automáticamente tras cinco intentos de conexión incorrectos seguidos. |
| --- | --- |

17.

| 18. | Todos los usuarios del SIC deben estar informados de sus responsabilidades y de los procedimientos que deben seguirse para proteger la información clasificada de grado RESTREINT UE/EU RESTRICTED en el SIC. Las responsabilidades y los procedimientos que deben seguirse deben figurar en documentos por escrito, y los usuarios deben declarar por escrito que los conocen. |
| --- | --- |

18.

| 19. | Los procedimientos operativos de seguridad deben estar a disposición de los usuarios y administradores e incluir descripciones de las funciones de seguridad y la lista de tareas, las instrucciones y los planes correspondientes. |
| --- | --- |

19.

Registros, auditoría y respuesta ante incidentes

| 20. | Todo acceso al SIC debe quedar registrado. |
| --- | --- |

20.

| 21. | Deben registrarse los sucesos siguientes:






  a) | todos los intentos de conexión, exitosos o no; |
| --- | --- | --- |

21.

a)

todos los intentos de conexión, exitosos o no;

| b) | los cierres de sesión (también por inactividad, cuando proceda); |
| --- | --- |

b)

los cierres de sesión (también por inactividad, cuando proceda);

| c) | la creación, supresión o modificación de derechos y privilegios de acceso; |
| --- | --- |

c)

la creación, supresión o modificación de derechos y privilegios de acceso;

| d) | la creación, supresión o modificación de contraseñas. |
| --- | --- |

d)

la creación, supresión o modificación de contraseñas.

| 22. | En relación con todos los sucesos mencionados anteriormente, debe comunicarse como mínimo la información siguiente:






  a) | tipo de suceso; |
| --- | --- | --- |

22.

a)

tipo de suceso;

| b) | clave de usuario; |
| --- | --- |

b)

clave de usuario;

| c) | fecha y hora; |
| --- | --- |

c)

fecha y hora;

| d) | identificación del dispositivo. |
| --- | --- |

d)

identificación del dispositivo.

| 23. | Los registros deben ayudar al responsable de seguridad a analizar posibles incidentes de seguridad. También pueden utilizarse para contribuir a cualquier investigación legal en caso de incidentes de seguridad. Todos los registros de seguridad deben comprobarse periódicamente para detectar posibles incidentes de seguridad. Los registros deben estar protegidos de supresiones o modificaciones no autorizadas. |
| --- | --- |

23.

| 24. | El contratista debe tener una estrategia de respuesta para hacer frente a los incidentes de seguridad. Los usuarios y administradores deben recibir instrucciones sobre cómo responder a los incidentes, cómo notificarlos y qué hacer en caso de emergencia. |
| --- | --- |

24.

| 25. | Debe notificarse al órgano de contratación todo comprometimiento o sospecha de comprometimiento de información clasificada de grado RESTREINT UE/EU RESTRICTED. Dicha notificación debe contener una descripción de la información en cuestión y de las circunstancias del comprometimiento o sospecha de comprometimiento. Debe informarse a todos los usuarios del SIC sobre cómo notificar al responsable de seguridad cualquier incidente de seguridad real o presunto. |
| --- | --- |

25.

Interconexión y redes

| 26. | Cuando el SIC de un contratista que maneja información clasificada de grado RESTREINT UE/EU RESTRICTED está interconectado con un SIC que no está acreditado, aumenta significativamente la amenaza tanto para la seguridad del SIC como para la información de grado RESTREINT UE/EU RESTRICTED que maneja ese SIC. Dicha interconexión abarca internet y otros SIC públicos o privados, como otros SIC que sean propiedad del contratista o subcontratista. En este caso, el contratista debe realizar una evaluación del riesgo para determinar qué requisitos de seguridad adicionales deben aplicarse en el proceso de acreditación de seguridad. El contratista remitirá al órgano de contratación y, cuando así lo exijan las disposiciones legales y reglamentarias nacionales, a la AAS competente una declaración de conformidad que certifique que el SIC del contratista y las interconexiones correspondientes han sido acreditados para el manejo de ICUE de grado RESTREINT UE/EU RESTRICTED. |
| --- | --- |

26.

| 27. | Está prohibido el acceso a distancia a servicios de red local desde otros sistemas (por ejemplo, acceso a distancia a correos electrónicos o servicios de apoyo de sistemas a distancia) a menos que el órgano de contratación adopte y ejecute medidas especiales de seguridad, que estén aprobadas por la AAS competente cuando así lo exijan las disposiciones legales y reglamentarias nacionales. |
| --- | --- |

27.

Gestión de configuraciones

| 28. | Debe elaborarse una configuración pormenorizada del equipo y programas informáticos, en los términos que disponga la documentación de acreditación o aprobación (incluidos los diagramas de sistemas y de red), que debe actualizarse periódicamente. |
| --- | --- |

28.

| 29. | El responsable de seguridad del contratista debe efectuar controles de configuración del equipo y programas informáticos para garantizar que no se haya introducido ninguno no autorizado. |
| --- | --- |

29.

| 30. | Los cambios en la configuración del SIC del contratista deben evaluarse en términos de sus implicaciones para la seguridad y deben ser aprobados por el responsable de seguridad y, cuando así lo exijan las disposiciones legales y reglamentarias nacionales, la AAS. |
| --- | --- |

30.

| 31. | El sistema debe examinarse para detectar vulnerabilidades de seguridad al menos una vez al trimestre. Deben instalarse y mantenerse actualizados programas informáticos de detección de programas maliciosos. Si es posible, dichos programas informáticos deben contar con una aprobación nacional o internacional reconocida, o ser programas estándar ampliamente aceptados en el sector. |
| --- | --- |

31.

| 32. | El contratista debe elaborar un plan de continuidad de la actividad. Deben establecerse procedimientos de copia de seguridad que traten los aspectos siguientes:






  a) | la frecuencia de las copias de seguridad; |
| --- | --- | --- |

32.

a)

la frecuencia de las copias de seguridad;

| b) | los requisitos de almacenamiento in situ (receptáculos ignífugos) o fuera del emplazamiento; |
| --- | --- |

b)

los requisitos de almacenamiento in situ (receptáculos ignífugos) o fuera del emplazamiento;

| c) | el control del acceso autorizado a copias de seguridad. |
| --- | --- |

c)

el control del acceso autorizado a copias de seguridad.

Saneamiento y destrucción

| 33. | En el caso de SIC o soportes de almacenamiento de datos que tengan, en cualquier momento, información clasificada de grado RESTREINT UE/EU RESTRICTED, debe realizarse el proceso de saneamiento siguiente en todo el sistema o en los soportes de almacenamiento antes de su eliminación:






  a) | las memorias rápidas (por ejemplo, memorias USB, tarjetas SD, unidades de estado sólido y discos duros híbridos) deben sobrescribirse al menos tres veces y luego verificarse para asegurarse de que el contenido original no pueda recuperarse, o deben borrarse por medio de un programa informático aprobado de borrado; |
| --- | --- | --- |

33.

a)

las memorias rápidas (por ejemplo, memorias USB, tarjetas SD, unidades de estado sólido y discos duros híbridos) deben sobrescribirse al menos tres veces y luego verificarse para asegurarse de que el contenido original no pueda recuperarse, o deben borrarse por medio de un programa informático aprobado de borrado;

| b) | los soportes magnéticos (por ejemplo, discos duros) deben sobrescribirse o desmagnetizarse; |
| --- | --- |

b)

los soportes magnéticos (por ejemplo, discos duros) deben sobrescribirse o desmagnetizarse;

| c) | los soportes ópticos (por ejemplo, CD y DVD) deben triturarse o desintegrarse; |
| --- | --- |

c)

los soportes ópticos (por ejemplo, CD y DVD) deben triturarse o desintegrarse;

| d) | respecto de los demás medios de almacenamiento, debe consultarse al órgano de contratación o, en su caso, la ANS, la ASD o la AAS sobre los requisitos de seguridad que deben cumplirse. |
| --- | --- |

d)

respecto de los demás medios de almacenamiento, debe consultarse al órgano de contratación o, en su caso, la ANS, la ASD o la AAS sobre los requisitos de seguridad que deben cumplirse.

| 34. | La información clasificada de grado RESTREINT UE/EU RESTRICTED que esté en un soporte de almacenamiento debe sanearse antes de entregarse a una entidad que no esté autorizada a acceder a información clasificada de grado RESTREINT UE/EU RESTRICTED (por ejemplo, para trabajos de mantenimiento). |
| --- | --- |

34.

---

ANEXO IV

Habilitación de seguridad de establecimiento y habilitación personal de seguridad para contratistas que manejen información clasificada de grado RESTREINT UE/EU RESTRICTED, y ANS o ASD a las que deben notificarse los contratos clasificados de grado RESTREINT UE/EU RESTRICTED (1)

| Estado miembro | HSE | Notificación a la ANS o ASD de un contrato o subcontrato que afecte a información de grado R-UE/EU-R | HPS |
| --- | --- | --- | --- |
| SÍ | NO | SÍ | NO | SÍ | NO |
| Bélgica | | X | | X | | X |
| Bulgaria | | X | | X | | X |
| Chequia | | X | | X | | X |
| Dinamarca | X | | X | | X | |
| Alemania | | X | | X | | X |
| Estonia | X | | X | | | X |
| Irlanda | | X | | X | | X |
| Grecia | X | | | X | X | |
| España | | X | X | | | X |
| Francia | | X | | X | | X |
| Croacia | | X | X | | | X |
| Italia | | X | X | | | X |
| Chipre | | X | X | | | X |
| Letonia | | X | | X | | X |
| Lituania | X | | X | | | X |
| Luxemburgo | X | | X | | X | |
| Hungría | | X | | X | | X |
| Malta | | X | | X | | X |
| Países Bajos | X
  (solo para los contratos en materia de defensa) | | X
  (solo para los contratos en materia de defensa) | | | X |
| Austria | | X | | X | | X |
| Polonia | | X | | X | | X |
| Portugal | | X | | X | | X |
| Rumanía | | X | | X | | X |
| Eslovenia | X | | X | | | X |
| Eslovaquia | X | | X | | | X |
| Finlandia | | X | | X | | X |
| Suecia | X
  (solo para los contratos en materia de defensa) | | X
  (solo para los contratos en materia de defensa) | | X
  (solo para los contratos en materia de defensa) | |
| Reino Unido | | X | | X | | X |

Estado miembro

HSE

Notificación a la ANS o ASD de un contrato o subcontrato que afecte a información de grado R-UE/EU-R

HPS

SÍ

NO

SÍ

NO

SÍ

NO

Bélgica

X

X

X

Bulgaria

X

X

X

Chequia

X

X

X

Dinamarca

X

X

X

Alemania

X

X

X

Estonia

X

X

X

Irlanda

X

X

X

Grecia

X

X

X

España

X

X

X

Francia

X

X

X

Croacia

X

X

X

Italia

X

X

X

Chipre

X

X

X

Letonia

X

X

X

Lituania

X

X

X

Luxemburgo

X

X

X

Hungría

X

X

X

Malta

X

X

X

Países Bajos

X

(solo para los contratos en materia de defensa)

X

(solo para los contratos en materia de defensa)

X

Austria

X

X

X

Polonia

X

X

X

Portugal

X

X

X

Rumanía

X

X

X

Eslovenia

X

X

X

Eslovaquia

X

X

X

Finlandia

X

X

X

Suecia

X

(solo para los contratos en materia de defensa)

X

(solo para los contratos en materia de defensa)

X

(solo para los contratos en materia de defensa)

Reino Unido

X

X

X

---

(1)  Estos requisitos nacionales para las HSE y las HPS y las notificaciones de contratos que afecten a información clasificada de grado RESTREINT UE/EU RESTRICTED no deben imponer obligaciones adicionales a otros Estados miembros o a contratistas que estén bajo su jurisdicción.

Nota: las notificaciones de contratos que incluyan información de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET son obligatorias.

---

ANEXO V

LISTA DE SERVICIOS DE LAS AUTORIDADES DE SEGURIDAD NACIONALES O LAS AUTORIDADES DE SEGURIDAD DESIGNADAS RESPONSABLES DE TRAMITAR LOS PROCEDIMIENTOS EN MATERIA DE SEGURIDAD INDUSTRIAL

BÉLGICA

| National Security Authority |
| --- |
| FPS Foreign Affairs |
| Rue des Petits Carmes/Karmelietenstraat 15 |
| 1000 Bruxelles/Brussel |
| Teléfono: +32 25014542 (Secretaría) |
| Fax +32 25014596 |
| Correo electrónico: nvo-ans@diplobel.fed.be |

National Security Authority

FPS Foreign Affairs

Rue des Petits Carmes/Karmelietenstraat 15

1000 Bruxelles/Brussel

Teléfono: +32 25014542 (Secretaría)

Fax +32 25014596

Correo electrónico: nvo-ans@diplobel.fed.be

BULGARIA

| 1. | State Commission on Information Security-National Security Authority |
| --- | --- |
| Ulitsa Kozloduy 4 |
| 1202 Sofia |
| Teléfono: +359 29835775 |
| Fax +359 29873750 |
| Correo electrónico: dksi@government.bg |

1.

State Commission on Information Security-National Security Authority

Ulitsa Kozloduy 4

1202 Sofia

Teléfono: +359 29835775

Fax +359 29873750

Correo electrónico: dksi@government.bg

| 2. | Defence Information Service at the Ministry of Defence (security service) |
| --- | --- |
| Ulitsa Dyakon Ignatiy 3 |
| 1092 Sofia |
| Teléfono: +359 29227002 |
| Fax +359 29885211 |
| Correo electrónico: office@iksbg.org |

2.

Defence Information Service at the Ministry of Defence (security service)

Ulitsa Dyakon Ignatiy 3

1092 Sofia

Teléfono: +359 29227002

Fax +359 29885211

Correo electrónico: office@iksbg.org

| 3. | State Intelligence Agency (security service) |
| --- | --- |
| Ulitsa Hajduska Polyana 12 |
| 1612 Sofia |
| Teléfono: +359 29813221 |
| Fax +359 29862706 |
| Correo electrónico: office@dar.bg |

3.

State Intelligence Agency (security service)

Ulitsa Hajduska Polyana 12

1612 Sofia

Teléfono: +359 29813221

Fax +359 29862706

Correo electrónico: office@dar.bg

| 4. | State Agency for Technical Operations (security service) |
| --- | --- |
| Ulitsa Shesti Septemvri 29 |
| 1000 Sofia |
| Teléfono: +359 29824971 |
| Fax +359 29461339 |
| Correo electrónico: dato@dato.bg |

4.

State Agency for Technical Operations (security service)

Ulitsa Shesti Septemvri 29

1000 Sofia

Teléfono: +359 29824971

Fax +359 29461339

Correo electrónico: dato@dato.bg

(Las autoridades competentes enumeradas anteriormente llevan a cabo las pesquisas para la concesión de HSE a las personas jurídicas que vayan a celebrar un contrato clasificado y de HPS a las personas físicas que ejecuten un contrato clasificado para satisfacer las necesidades de estas autoridades).

| 5. | State Agency National Security (security service) |
| --- | --- |
| Bulevard Cherni Vrah 45 |
| 1407 Sofia |
| Teléfono: +359 28147109 |
| Fax +359 29632188, +359 28147441 |
| Correo electrónico: dans@dans.bg |

5.

State Agency National Security (security service)

Bulevard Cherni Vrah 45

1407 Sofia

Teléfono: +359 28147109

Fax +359 29632188, +359 28147441

Correo electrónico: dans@dans.bg

(El servicio de seguridad mencionado antes lleva a cabo las pesquisas para la concesión de HSE y de HPS a las demás personas jurídicas y personas físicas del país que vayan a celebrar un contrato clasificado o ejecuten un contrato clasificado).

CHEQUIA

| National Security Authority |
| --- |
| Industrial Security Department |
| Apdo. de correos 49 |
| 150 06 Praha 56 |
| Teléfono: +420 257283129 |
| Correo electrónico: sbr@nbu.cz |

National Security Authority

Industrial Security Department

Apdo. de correos 49

150 06 Praha 56

Teléfono: +420 257283129

Correo electrónico: sbr@nbu.cz

DINAMARCA

| 1. | Politiets Efterretningstjeneste |
| --- | --- |
| (Danish Security Intelligence Service) |
| Klausdalsbrovej 1 |
| 2860 Søborg |
| Teléfono: +45 33148888 |
| Fax +45 33430190 |

1.

Politiets Efterretningstjeneste

(Danish Security Intelligence Service)

Klausdalsbrovej 1

2860 Søborg

Teléfono: +45 33148888

Fax +45 33430190

| 2. | Forsvarets Efterretningstjeneste |
| --- | --- |
| (Danish Defence Intelligence Service) |
| Kastellet 30 |
| 2100 Copenhagen Ø |
| Teléfono: +45 33325566 |
| Fax +45 33931320 |

2.

Forsvarets Efterretningstjeneste

(Danish Defence Intelligence Service)

Kastellet 30

2100 Copenhagen Ø

Teléfono: +45 33325566

Fax +45 33931320

ALEMANIA

| 1. | Para asuntos relativos a la política de seguridad industrial, las HSE o los planes de transporte [salvo en el caso de productos criptológicos o CCI (Controlled Cryptographic Item)]: |
| --- | --- |
| Federal Ministry of Economic Affairs and Energy |
| Industrial Security Division-ZB3 |
| Villemombler Str. 76 |
| 53123 Bonn |
| Teléfono: +49 228996154028 |
| Fax +49 228996152676 |
| Correo electrónico: dsagermany-zb3@bmwi.bund.de (buzón electrónico funcional) |

1.

Para asuntos relativos a la política de seguridad industrial, las HSE o los planes de transporte [salvo en el caso de productos criptológicos o CCI (Controlled Cryptographic Item)]:

Federal Ministry of Economic Affairs and Energy

Industrial Security Division-ZB3

Villemombler Str. 76

53123 Bonn

Teléfono: +49 228996154028

Fax +49 228996152676

Correo electrónico: dsagermany-zb3@bmwi.bund.de (buzón electrónico funcional)

| 2. | Para las solicitudes de visita estándar de empresas alemanas o a estas: |
| --- | --- |
| Federal Ministry of Economic Affairs and Energy |
| Industrial Security Division – ZB2 |
| Villemombler Str. 76 |
| 53123 Bonn |
| Teléfono: +49 228996152401 |
| Fax +49 228996152603 |
| Correo electrónico: zb2-international@bmwi.bund.de (buzón electrónico funcional) |

2.

Para las solicitudes de visita estándar de empresas alemanas o a estas:

Federal Ministry of Economic Affairs and Energy

Industrial Security Division – ZB2

Villemombler Str. 76

53123 Bonn

Teléfono: +49 228996152401

Fax +49 228996152603

Correo electrónico: zb2-international@bmwi.bund.de (buzón electrónico funcional)

| 3. | Planes de transporte de material criptológico: |
| --- | --- |
| Federal Office for Information Security (BSI) |
| National Distribution Agency/NDA-EU DEU |
| Mainzer Str. 84 |
| 53179 Bonn |
| Teléfono: +49 2289995826052 |
| Fax +49 228991095826052 |
| Correo electrónico: NDAEU@bsi.bund.de |

3.

Planes de transporte de material criptológico:

Federal Office for Information Security (BSI)

National Distribution Agency/NDA-EU DEU

Mainzer Str. 84

53179 Bonn

Teléfono: +49 2289995826052

Fax +49 228991095826052

Correo electrónico: NDAEU@bsi.bund.de

ESTONIA

| National Security Authority Department |
| --- |
| Estonian Foreign Intelligence Service |
| Rahumäe tee 4B |
| 11316 Tallinn |
| Teléfono: +372 6939211 |
| Fax +372 6935001 |
| Correo electrónico: nsa@fis.gov.ee |

National Security Authority Department

Estonian Foreign Intelligence Service

Rahumäe tee 4B

11316 Tallinn

Teléfono: +372 6939211

Fax +372 6935001

Correo electrónico: nsa@fis.gov.ee

IRLANDA

| National Security Authority Ireland |
| --- |
| Department of Foreign Affairs and Trade |
| 76-78 Harcourt Street |
| Dublin 2 |
| D02 DX45 |
| Teléfono: +353 14082724 |
| Correo electrónico: nsa@dfa.ie |

National Security Authority Ireland

Department of Foreign Affairs and Trade

76-78 Harcourt Street

Dublin 2

D02 DX45

Teléfono: +353 14082724

Correo electrónico: nsa@dfa.ie

GRECIA

| Hellenic National Defence General Staff |
| --- |
| E' Division (Security INTEL, CI BRANCH) |
| E3 Directorate |
| Industrial Security Office |
| Leoforos Mesogeion 227-231 |
| 15561 Holargos, Athina |
| Teléfono: +30 2106572022, +30 2106572178 |
| Fax +30 2106527612 |
| Correo electrónico: daa.industrial@hndgs.mil.gr |

Hellenic National Defence General Staff

E' Division (Security INTEL, CI BRANCH)

E3 Directorate

Industrial Security Office

Leoforos Mesogeion 227-231

15561 Holargos, Athina

Teléfono: +30 2106572022, +30 2106572178

Fax +30 2106527612

Correo electrónico: daa.industrial@hndgs.mil.gr

ESPAÑA

| Autoridad Nacional de Seguridad |
| --- |
| Oficina Nacional de Seguridad |
| Argentona, 30 |
| 28023 Madrid |
| Madrid |
| ESPAÑA |
| Tel. +34 913725000 |
| Fax +34 913725808 |
| Correo electrónico: nsa-sp@areatec.com |
| En materia de habilitaciones personales de seguridad: asip@areatec.com |
| En materia de planes de transporte y visitas internacionales: sp-ivtco@areatec.com |

Autoridad Nacional de Seguridad

Oficina Nacional de Seguridad

Argentona, 30

28023 Madrid

Madrid

ESPAÑA

Tel. +34 913725000

Fax +34 913725808

Correo electrónico: nsa-sp@areatec.com

En materia de habilitaciones personales de seguridad: asip@areatec.com

En materia de planes de transporte y visitas internacionales: sp-ivtco@areatec.com

FRANCIA

| National Security Authority (NSA) (para la elaboración y ejecución de políticas en ámbitos distintos de la defensa) |
| --- |
| Secrétariat général de la défense et de la sécurité nationale |
| Sous-direction Protection du secret (SGDSN/PSD) |
| 51 Boulevard de la Tour-Maubourg |
| 75700 Paris 07 SP |
| Teléfono: +33 171758193 |
| Fax +33 171758200 |
| Correo electrónico: ANSFrance@sgdsn.gouv.fr |

National Security Authority (NSA) (para la elaboración y ejecución de políticas en ámbitos distintos de la defensa)

Secrétariat général de la défense et de la sécurité nationale

Sous-direction Protection du secret (SGDSN/PSD)

51 Boulevard de la Tour-Maubourg

75700 Paris 07 SP

Teléfono: +33 171758193

Fax +33 171758200

Correo electrónico: ANSFrance@sgdsn.gouv.fr

| Designated Security Authority (para ejecución en el ámbito de la defensa) |
| --- |
| Direction Générale de l'Armement |
| Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI) |
| 60 Boulevard du général Martial Valin |
| CS 21623 |
| 75509 Paris CEDEX 15 |
| Teléfono: +33 988670421 |
| Correo electrónico: Para formularios y SdV salientes: dga-ssdi.ai.fct@intradef.gouv.fr |
| Para SdV entrantes: dga-ssdi.visit.fct@intradef.gouv.fr |

Designated Security Authority (para ejecución en el ámbito de la defensa)

Direction Générale de l'Armement

Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI)

60 Boulevard du général Martial Valin

CS 21623

75509 Paris CEDEX 15

Teléfono: +33 988670421

Correo electrónico: Para formularios y SdV salientes: dga-ssdi.ai.fct@intradef.gouv.fr

Para SdV entrantes: dga-ssdi.visit.fct@intradef.gouv.fr

CROACIA

| Office of the National Security Council |
| --- |
| Croatian NSA |
| Jurjevska 34 |
| 10000 Zagreb |
| Teléfono: +385 14681222 |
| Fax +385 14686049 |
| Correo electrónico: NSACroatia@uvns.hr |

Office of the National Security Council

Croatian NSA

Jurjevska 34

10000 Zagreb

Teléfono: +385 14681222

Fax +385 14686049

Correo electrónico: NSACroatia@uvns.hr

ITALIA

| Presidenza del Consiglio dei Ministri |
| --- |
| D.I.S.-U.C.Se. |
| Via di Santa Susanna 15 |
| 00187 Roma |
| Teléfono: +39 0661174266 |
| Fax +39 064885273 |

Presidenza del Consiglio dei Ministri

D.I.S.-U.C.Se.

Via di Santa Susanna 15

00187 Roma

Teléfono: +39 0661174266

Fax +39 064885273

CHIPRE

| ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ |
| --- |
| Εθνική Αρχή Ασφάλειας (ΕΑΑ) |
| Λεωφόρος Στροβόλου, 172-174 |
| Στρόβολος, 2048, Λευκωσία |
| Τηλέφωνα: +357 22807569, +357 22807764 |
| Τηλεομοιότυπο: +357 22302351 |
| Correo electrónico: cynsa@mod.gov.cy |

ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ

Εθνική Αρχή Ασφάλειας (ΕΑΑ)

Λεωφόρος Στροβόλου, 172-174

Στρόβολος, 2048, Λευκωσία

Τηλέφωνα: +357 22807569, +357 22807764

Τηλεομοιότυπο: +357 22302351

Correo electrónico: cynsa@mod.gov.cy

| Ministry of Defence |
| --- |
| National Security Authority (NSA) |
| Leoforos Strovolos 172-174 |
| 2048 Strovolos, Lefkosía |
| Teléfono: +357 22807569, +357 22807764 |
| Fax +357 22302351 |
| Correo electrónico: cynsa@mod.gov.cy |

Ministry of Defence

National Security Authority (NSA)

Leoforos Strovolos 172-174

2048 Strovolos, Lefkosía

Teléfono: +357 22807569, +357 22807764

Fax +357 22302351

Correo electrónico: cynsa@mod.gov.cy

LETONIA

| National Security Authority |
| --- |
| Constitution Protection Bureau of the Republic of Latvia |
| Apdo. de correos 286 |
| Riga LV-1001 |
| Teléfono: +371 67025418, +371 67025463 |
| Fax +371 67025454 |
| Correo electrónico: ndi@sab.gov.lt, ndi@zd.gov.lv |

National Security Authority

Constitution Protection Bureau of the Republic of Latvia

Apdo. de correos 286

Riga LV-1001

Teléfono: +371 67025418, +371 67025463

Fax +371 67025454

Correo electrónico: ndi@sab.gov.lt, ndi@zd.gov.lv

LITUANIA

| Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija |
| --- |
| (The Commission for Secrets Protection Coordination of the Republic of Lithuania) |
| National Security Authority |
| Gedimino 40/1 |
| LT-01110 Vilnius |
| Teléfono: +370 70666703, +370 70666701 |
| Fax +370 70666700 |
| Correo electrónico: nsa@vsd.lt |

Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija

(The Commission for Secrets Protection Coordination of the Republic of Lithuania)

National Security Authority

Gedimino 40/1

LT-01110 Vilnius

Teléfono: +370 70666703, +370 70666701

Fax +370 70666700

Correo electrónico: nsa@vsd.lt

LUXEMBURGO

| Autorité Nationale de Sécurité |
| --- |
| 207, route d'Esch |
| L-1471 Luxembourg |
| Teléfono: +352 24782210 |
| Correo electrónico: ans@me.etat.lu |

Autorité Nationale de Sécurité

207, route d'Esch

L-1471 Luxembourg

Teléfono: +352 24782210

Correo electrónico: ans@me.etat.lu

HUNGRÍA

| National Security Authority of Hungary |
| --- |
| H-1399 Budapest; apdo. de correos 710/50 |
| H-1024 Budapest, Szilágyi Erzsébet fasor 11/B |
| Teléfono: +36 13911862 |
| Fax +36 13911889 |
| Correo electrónico: nbf@nbf.hu |

National Security Authority of Hungary

H-1399 Budapest; apdo. de correos 710/50

H-1024 Budapest, Szilágyi Erzsébet fasor 11/B

Teléfono: +36 13911862

Fax +36 13911889

Correo electrónico: nbf@nbf.hu

MALTA

| Director of Standardisation |
| --- |
| Designated Security Authority for Industrial Security |
| Standards & Metrology Institute |
| Malta Competition and Consumer Affairs Authority |
| Mizzi House |
| National Road |
| Blata I-Bajda HMR9010 |
| Teléfono: +356 23952000 |
| Fax +356 21242406 |
| Correo electrónico: certification@mccaa.org.mt |

Director of Standardisation

Designated Security Authority for Industrial Security

Standards & Metrology Institute

Malta Competition and Consumer Affairs Authority

Mizzi House

National Road

Blata I-Bajda HMR9010

Teléfono: +356 23952000

Fax +356 21242406

Correo electrónico: certification@mccaa.org.mt

PAÍSES BAJOS

| 1. | Ministry of the Interior and Kingdom Relations |
| --- | --- |
| Apdo. de correos 20010 |
| 2500 EA Den Haag |
| Teléfono: +31 703204400 |
| Fax +31 703200733 |
| Correo electrónico: nsa-nl-industry@minbzk.nl |

1.

Ministry of the Interior and Kingdom Relations

Apdo. de correos 20010

2500 EA Den Haag

Teléfono: +31 703204400

Fax +31 703200733

Correo electrónico: nsa-nl-industry@minbzk.nl

| 2. | Ministry of Defence |
| --- | --- |
| Industrial Security Department |
| Apdo. de correos 20701 |
| 2500 ES Den Haag |
| Teléfono: +31 704419407 |
| Fax +31 703459189 |
| Correo electrónico: indussec@mindef.nl |

2.

Ministry of Defence

Industrial Security Department

Apdo. de correos 20701

2500 ES Den Haag

Teléfono: +31 704419407

Fax +31 703459189

Correo electrónico: indussec@mindef.nl

AUSTRIA

| 1. | Federal Chancellery of Austria |
| --- | --- |
| Department I/12, Office for Information Security |
| Ballhausplatz 2 |
| 1014 Wien |
| Teléfono: +43 153115202594 |
| Correo electrónico: isk@bka.gv.at |

1.

Federal Chancellery of Austria

Department I/12, Office for Information Security

Ballhausplatz 2

1014 Wien

Teléfono: +43 153115202594

Correo electrónico: isk@bka.gv.at

| 2. | DSA in the military sphere: |
| --- | --- |
| BMLVS/Abwehramt |
| Postfach 2000 |
| 1030 Wien |
| Correo electrónico: abwa@bmlvs.gv.at |

2.

DSA in the military sphere:

BMLVS/Abwehramt

Postfach 2000

1030 Wien

Correo electrónico: abwa@bmlvs.gv.at

POLONIA

| Internal Security Agency |
| --- |
| Department for the Protection of Classified Information |
| Rakowiecka 2A |
| 00-993 Warszawa |
| Teléfono: +48 225857944 |
| Fax +48 225857443 |
| Correo electrónico: nsa@abw.gov.pl |

Internal Security Agency

Department for the Protection of Classified Information

Rakowiecka 2A

00-993 Warszawa

Teléfono: +48 225857944

Fax +48 225857443

Correo electrónico: nsa@abw.gov.pl

PORTUGAL

| Gabinete Nacional de Segurança |
| --- |
| Serviço de Segurança Industrial |
| Rua da Junqueira n.o 69 |
| 1300-342 Lisboa |
| Teléfono: +351 213031710 |
| Fax +351 213031711 |
| Correo electrónico: sind@gns.gov.pt, franco@gns.gov.pt |

Gabinete Nacional de Segurança

Serviço de Segurança Industrial

Rua da Junqueira n.o 69

1300-342 Lisboa

Teléfono: +351 213031710

Fax +351 213031711

Correo electrónico: sind@gns.gov.pt, franco@gns.gov.pt

RUMANÍA

| Oficiul Registrului Național al Informațiilor Secrete de Stat (ORNISS) |
| --- |
| Romanian NSA-ORNISS-National Registry Office for Classified Information |
| Strada Mureş 4 |
| 012275 Bucureşti |
| Teléfono: +40 212075115 |
| Fax +40 212245830 |
| Correo electrónico: relatii.publice@orniss.ro, nsa.romania@nsa.ro |

Oficiul Registrului Național al Informațiilor Secrete de Stat (ORNISS)

Romanian NSA-ORNISS-National Registry Office for Classified Information

Strada Mureş 4

012275 Bucureşti

Teléfono: +40 212075115

Fax +40 212245830

Correo electrónico: relatii.publice@orniss.ro, nsa.romania@nsa.ro

ESLOVENIA

| Urad Vlade RS za varovanje tajnih podatkov |
| --- |
| Gregorčičeva 27 |
| 1000 Ljubljana |
| Teléfono: +386 14781390 |
| Fax +386 14781399 |
| Correo electrónico: gp.uvtp@gov.si |

Urad Vlade RS za varovanje tajnih podatkov

Gregorčičeva 27

1000 Ljubljana

Teléfono: +386 14781390

Fax +386 14781399

Correo electrónico: gp.uvtp@gov.si

ESLOVAQUIA

| Národný bezpečnostný úrad |
| --- |
| (National Security Authority) |
| Security Clearance Department |
| Budatínska 30 |
| 851 06 Bratislava |
| Teléfono: +421 268691111 |
| Fax +421 268691700 |
| Correo electrónico: podatelna@nbu.gov.sk |

Národný bezpečnostný úrad

(National Security Authority)

Security Clearance Department

Budatínska 30

851 06 Bratislava

Teléfono: +421 268691111

Fax +421 268691700

Correo electrónico: podatelna@nbu.gov.sk

FINLANDIA

| National Security Authority |
| --- |
| Ministry for Foreign Affairs |
| Apdo. de correos 453 |
| FI-00023 Gobierno |
| Correo electrónico: NSA@formin.fi |

National Security Authority

Ministry for Foreign Affairs

Apdo. de correos 453

FI-00023 Gobierno

Correo electrónico: NSA@formin.fi

SUECIA

| 1. | National Security Authority |
| --- | --- |
| Utrikesdepartementet (Ministry for Foreign Affairs) |
| UD SÄK/NSA |
| SE-103 39 Stockholm |
| Teléfono: +46 84051000 |
| Fax +46 87231176 |
| Correo electrónico: ud-nsa@gov.se |

1.

National Security Authority

Utrikesdepartementet (Ministry for Foreign Affairs)

UD SÄK/NSA

SE-103 39 Stockholm

Teléfono: +46 84051000

Fax +46 87231176

Correo electrónico: ud-nsa@gov.se

| 2. | DSA |
| --- | --- |
| Försvarets Materielverk (Swedish Defence Materiel Administration) |
| FMV Säkerhetsskydd |
| SE-115 88 Stockholm |
| Teléfono: +46 87824000 |
| Fax +46 87826900 |
| Correo electrónico: security@fmv.se |

2.

DSA

Försvarets Materielverk (Swedish Defence Materiel Administration)

FMV Säkerhetsskydd

SE-115 88 Stockholm

Teléfono: +46 87824000

Fax +46 87826900

Correo electrónico: security@fmv.se

REINO UNIDO

| UK National Security Authority |
| --- |
| Room 335, 3rd Floor |
| 70 Whitehall |
| London |
| SW1A 2AS |
| Teléfono: +44 2072765497, +44 2072765645 |
| Correo electrónico: UK-NSA@cabinet-office.x.gsi.gov.uk |

UK National Security Authority

Room 335, 3rd Floor

70 Whitehall

London

SW1A 2AS

Teléfono: +44 2072765497, +44 2072765645

Correo electrónico: UK-NSA@cabinet-office.x.gsi.gov.uk

---