# Jornal Oficial L 311/2019

| | ISSN 1977-0774 |
| --- | --- |
| Jornal Oficial
  da União Europeia | L 311 |
| | |
| Edição em língua portuguesa | Legislação | 62.° ano2 de dezembro de 2019 |

ISSN 1977-0774

Jornal Oficial

da União Europeia

L 311

Edição em língua portuguesa

Legislação

62.° ano2 de dezembro de 2019

---

| Índice | | II   Atos não legislativos | Página |
| --- | --- | --- | --- |
| | | DECISÕES |
| | * | Decisão (UE, Euratom) 2019/1961 da Comissão, de 17 de outubro de 2019, que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET | 1 |
| | * | Decisão (UE, Euratom) 2019/1962 da Comissão, de 17 de outubro de 2019, que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED | 21 |
| | * | Decisão (UE, Euratom) 2019/1963 da Comissão, de 17 de outubro de 2019, que estabelece regras de execução relativas à segurança industrial no que respeita aos contratos públicos classificados | 37 |

Índice

II   Atos não legislativos

Página

DECISÕES

*

Decisão (UE, Euratom) 2019/1961 da Comissão, de 17 de outubro de 2019, que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1

*

Decisão (UE, Euratom) 2019/1962 da Comissão, de 17 de outubro de 2019, que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED

21

*

Decisão (UE, Euratom) 2019/1963 da Comissão, de 17 de outubro de 2019, que estabelece regras de execução relativas à segurança industrial no que respeita aos contratos públicos classificados

37

| PT | Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.
  Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes. |
| --- | --- |

PT

Os actos cujos títulos são impressos em tipo fino são actos de gestão corrente adoptados no âmbito da política agrícola e que têm, em geral, um período de validade limitado.

Os actos cujos títulos são impressos em tipo negro e precedidos de um asterisco são todos os restantes.

---

II Atos não legislativos

DECISÕES

| 2.12.2019 | PT | Jornal Oficial da União Europeia | L 311/1 |
| --- | --- | --- | --- |

2.12.2019

PT

Jornal Oficial da União Europeia

L 311/1

---

DECISÃO (UE, Euratom) 2019/1961 DA COMISSÃO

de 17 de outubro de 2019

que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o,

Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.o,

Tendo em conta a Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (1),

Tendo em conta a Decisão (UE, Euratom) 2015/444 da Comissão, de 13 de março de 2015, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (2),

Tendo em conta a Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (3),

Considerando o seguinte:

| (1) | A Decisão (UE, Euratom) 2015/444 é aplicável a todos os serviços e em todas as instalações da Comissão. |
| --- | --- |

(1)

A Decisão (UE, Euratom) 2015/444 é aplicável a todos os serviços e em todas as instalações da Comissão.

| (2) | As medidas de segurança destinadas a proteger as informações classificadas da UE (a seguir designadas ICUE) ao longo do seu ciclo de vida devem ser proporcionais, em particular, à sua classificação de segurança. |
| --- | --- |

(2)

As medidas de segurança destinadas a proteger as informações classificadas da UE (a seguir designadas ICUE) ao longo do seu ciclo de vida devem ser proporcionais, em particular, à sua classificação de segurança.

| (3) | O artigo 4.o, n.o 3, o artigo 19.o, n.o 1, alínea c), e o artigo 22.o da Decisão (UE, Euratom) 2015/444 preveem a adoção de disposições mais pormenorizadas para completar e apoiar a aplicação da referida decisão através de regras de execução que regulem questões como o guia de classificação, as medidas de compensação para o manuseamento de ICUE fora de uma Zona de Segurança ou de uma Zona Administrativa e as responsabilidades da entidade de origem. |
| --- | --- |

(3)

O artigo 4.o, n.o 3, o artigo 19.o, n.o 1, alínea c), e o artigo 22.o da Decisão (UE, Euratom) 2015/444 preveem a adoção de disposições mais pormenorizadas para completar e apoiar a aplicação da referida decisão através de regras de execução que regulem questões como o guia de classificação, as medidas de compensação para o manuseamento de ICUE fora de uma Zona de Segurança ou de uma Zona Administrativa e as responsabilidades da entidade de origem.

| (4) | Se necessário, devem ser adotadas regras de execução para completar ou apoiar a Decisão (UE, Euratom) 2015/444, em conformidade com o artigo 60.o da mesma decisão. |
| --- | --- |

(4)

Se necessário, devem ser adotadas regras de execução para completar ou apoiar a Decisão (UE, Euratom) 2015/444, em conformidade com o artigo 60.o da mesma decisão.

| (5) | As medidas de segurança adotadas para dar cumprimento à presente decisão devem respeitar os princípios de segurança da Comissão estabelecidos no artigo 3.o da Decisão (UE, Euratom) 2015/443. |
| --- | --- |

(5)

As medidas de segurança adotadas para dar cumprimento à presente decisão devem respeitar os princípios de segurança da Comissão estabelecidos no artigo 3.o da Decisão (UE, Euratom) 2015/443.

| (6) | O Conselho, a Comissão e a alta-representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo em conta as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexadas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (4). |
| --- | --- |

(6)

O Conselho, a Comissão e a alta-representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo em conta as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexadas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (4).

| (7) | Em 4 de maio de 2016, a Comissão adotou uma decisão (5) que habilita o membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444, |
| --- | --- |

(7)

Em 4 de maio de 2016, a Comissão adotou uma decisão (5) que habilita o membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto e âmbito de aplicação

1.   A presente decisão estabelece as condições de manuseamento das informações classificadas da UE (ICUE) de nível CONFIDENTIEL UE/EU CONFIDENTIAL (6) e SECRET UE/EU SECRET (7), em conformidade com a Decisão (UE, Euratom) 2015/444.

2.   A presente decisão é aplicável a todos os serviços e em todas as instalações da Comissão.

Artigo 2.o

Critérios de acesso às informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   Pode ser concedido acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET após:

| a) | Ter sido determinada a necessidade de uma pessoa ter acesso a certas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET para poder desempenhar funções ou realizar tarefas profissionais para a Comissão Europeia; |
| --- | --- |

a)

Ter sido determinada a necessidade de uma pessoa ter acesso a certas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET para poder desempenhar funções ou realizar tarefas profissionais para a Comissão Europeia;

| b) | A pessoa em causa ter sido informada das regras e das normas de segurança aplicáveis e das orientações para a proteção das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET; |
| --- | --- |

b)

A pessoa em causa ter sido informada das regras e das normas de segurança aplicáveis e das orientações para a proteção das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET;

| c) | A pessoa em causa ter reconhecido as suas responsabilidades em matéria de proteção das informações em causa; e |
| --- | --- |

c)

A pessoa em causa ter reconhecido as suas responsabilidades em matéria de proteção das informações em causa; e

| d) | A pessoa em causa ter sido autorizada pela autoridade de segurança da Comissão a aceder a ICUE até ao nível adequado e até uma data especificada, em conformidade com o artigo 10.o, n.o 1, ponto 3, da Decisão (UE, Euratom) 2015/444. |
| --- | --- |

d)

A pessoa em causa ter sido autorizada pela autoridade de segurança da Comissão a aceder a ICUE até ao nível adequado e até uma data especificada, em conformidade com o artigo 10.o, n.o 1, ponto 3, da Decisão (UE, Euratom) 2015/444.

2.   Não devem ser confiadas aos estagiários da Comissão tarefas que requeiram acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

3.   O acesso a essas informações por parte de outras categorias de pessoal deve ser recusado ou permitido em conformidade com o quadro constante do anexo.

CAPÍTULO 2

PRODUÇÃO DE INFORMAÇÕES COM CLASSIFICAÇÃO CONFIDENTIEL UE/EU CONFIDENTIAL E SECRET UE/EU SECRET

Artigo 3.o

Entidade de origem

Embora a entidade de origem, na aceção do artigo 1.o da Decisão (UE, Euratom) 2015/444, seja a instituição, agência ou organismo da União, o Estado-Membro, o Estado terceiro ou a organização internacional sob cuja autoridade tenham sido produzidas e/ou introduzidas nas estruturas da União informações classificadas, o redator de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET não é necessariamente o mesmo.

o

Artigo 4.o

Atribuição de um nível de classificação

1.   O pessoal que elabora um documento com base em informações na aceção do artigo 1.o deve ponderar sempre se o documento precisa de ser classificado. A classificação de um documento como ICUE implica uma avaliação e uma decisão da entidade de origem quanto à questão de saber se a divulgação do documento a pessoas não autorizadas causaria prejuízo aos interesses da União Europeia ou de um ou mais Estados-Membros. Se os autores tiverem dúvidas sobre a necessidade de o documento que estão a redigir receber a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, devem consultar o chefe de unidade ou o diretor responsável.

2.   Um documento deve ser classificado, no mínimo, no nível CONFIDENTIEL UE/EU CONFIDENTIAL se a sua divulgação não autorizada for suscetível de, nomeadamente:

| a) | Causar um prejuízo substancial às relações diplomáticas, ou seja, dar origem a protestos formais ou a outras sanções; |
| --- | --- |

a)

Causar um prejuízo substancial às relações diplomáticas, ou seja, dar origem a protestos formais ou a outras sanções;

| b) | Prejudicar a segurança ou a liberdade das pessoas; |
| --- | --- |

b)

Prejudicar a segurança ou a liberdade das pessoas;

| c) | Prejudicar a eficácia operacional ou a segurança do pessoal destacado dos Estados-Membros ou de outros contribuintes, ou a eficácia de operações de segurança ou de recolha de informações úteis; |
| --- | --- |

c)

Prejudicar a eficácia operacional ou a segurança do pessoal destacado dos Estados-Membros ou de outros contribuintes, ou a eficácia de operações de segurança ou de recolha de informações úteis;

| d) | Enfraquecer substancialmente a viabilidade financeira de organizações importantes; |
| --- | --- |

d)

Enfraquecer substancialmente a viabilidade financeira de organizações importantes;

| e) | Entravar investigações ou facilitar a criminalidade grave; |
| --- | --- |

e)

Entravar investigações ou facilitar a criminalidade grave;

| f) | Prejudicar substancialmente os interesses financeiros, monetários, económicos e comerciais da União Europeia ou dos Estados-Membros; |
| --- | --- |

f)

Prejudicar substancialmente os interesses financeiros, monetários, económicos e comerciais da União Europeia ou dos Estados-Membros;

| g) | Entravar seriamente o desenvolvimento ou o funcionamento de políticas importantes da União; |
| --- | --- |

g)

Entravar seriamente o desenvolvimento ou o funcionamento de políticas importantes da União;

| h) | Paralisar ou perturbar de forma substancial atividades importantes da União; |
| --- | --- |

h)

Paralisar ou perturbar de forma substancial atividades importantes da União;

| i) | Levar à descoberta de informações classificadas num nível mais elevado. |
| --- | --- |

i)

Levar à descoberta de informações classificadas num nível mais elevado.

3.   As informações devem ser classificadas, no mínimo, no nível SECRET UE/EU SECRET se a sua divulgação não autorizada for suscetível de, nomeadamente:

| a) | Provocar tensões internacionais; |
| --- | --- |

a)

Provocar tensões internacionais;

| b) | Prejudicar gravemente as relações com países terceiros ou organizações internacionais; |
| --- | --- |

b)

Prejudicar gravemente as relações com países terceiros ou organizações internacionais;

| c) | Ameaçar diretamente a vida ou prejudicar gravemente a ordem pública ou a segurança ou a liberdade das pessoas; |
| --- | --- |

c)

Ameaçar diretamente a vida ou prejudicar gravemente a ordem pública ou a segurança ou a liberdade das pessoas;

| d) | Prejudicar gravemente a eficácia operacional ou a segurança do pessoal destacado dos Estados-Membros ou de outros contribuintes, ou a continuação da eficácia de operações de segurança ou de recolha de informações extremamente úteis; |
| --- | --- |

d)

Prejudicar gravemente a eficácia operacional ou a segurança do pessoal destacado dos Estados-Membros ou de outros contribuintes, ou a continuação da eficácia de operações de segurança ou de recolha de informações extremamente úteis;

| e) | Causar substanciais prejuízos materiais aos interesses financeiros, monetários, económicos e comerciais da União ou dos Estados-Membros; |
| --- | --- |

e)

Causar substanciais prejuízos materiais aos interesses financeiros, monetários, económicos e comerciais da União ou dos Estados-Membros;

| f) | Levar à descoberta de informações classificadas num nível mais elevado. |
| --- | --- |

f)

Levar à descoberta de informações classificadas num nível mais elevado.

4.   As entidades de origem podem decidir atribuir um nível de classificação normalizado às categorias de informações que produzem regularmente. Devem, no entanto, assegurar a atribuição do nível de classificação adequado aos elementos de informação individuais.

Artigo 5.o

Tratamento dos projetos

1.   As informações devem ser classificadas assim que são produzidas. As notas pessoais, os anteprojetos ou as mensagens que contenham informações que justifiquem uma classificação de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser marcadas como tal desde o início e produzidas e manuseadas em conformidade com o disposto na presente decisão.

2.   Se o documento final deixar de justificar o nível de classificação inicial, deve ser desgraduado ou desclassificado.

Artigo 6.o

Registo do material de referência

A fim de permitir o exercício do controlo da entidade de origem, em conformidade com o artigo 14.o, as entidades de origem de documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem manter um registo de todas as fontes classificadas utilizadas para a produção de documentos classificados, incluindo dados pormenorizados sobre as fontes provenientes dos Estados-Membros da UE, de organizações internacionais ou de países terceiros. Quando adequado, as informações classificadas agregadas devem ser marcadas de modo a preservar a identificação das entidades de origem dos materiais de referência classificados utilizados.

o

Artigo 7.o

Classificação de partes de um documento

1.   Em conformidade com o artigo 22.o, n.o 6, da Decisão (UE, Euratom) 2015/444, a classificação geral de um documento deve ser pelo menos tão elevada como a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o documento agregado final deve ser analisado para determinar o seu nível de classificação de segurança global, uma vez que pode justificar uma classificação mais elevada do que a das partes que o compõem.

2.   Os documentos que contenham partes classificadas e partes não classificadas devem ser estruturados e marcados de modo que as componentes com níveis de classificação e/ou sensibilidade diferentes possam ser facilmente identificadas e separadas, se necessário. Deste modo, cada parte poderá ser manuseada de forma adequada quando for separada das outras componentes.

Artigo 8.o

Marca de classificação completa

1.   As informações que justificam uma classificação devem ser marcadas e manuseadas como tal, independentemente da sua forma material. O nível de classificação deve ser comunicado claramente aos destinatários, quer através de uma marca de classificação, se a informação for transmitida por escrito, em papel, em suportes de armazenamento amovíveis ou num sistema de comunicação e informação (SCI), quer por meio de um aviso, se as informações forem transmitidas oralmente, por exemplo numa conversa ou numa apresentação. Os materiais classificados devem ser marcados materialmente de modo a permitir a fácil identificação da sua classificação de segurança.

2.   Nos documentos, deve ser escrita a marca de classificação completa CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET em maiúsculas, em francês e inglês (primeiro em francês), em conformidade com o n.o 3. Esta marca não deve ser traduzida para outras línguas.

3.   A marca de classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET é aposta do seguinte modo:

| a) | Ao centro nas partes superior e inferior de todas as páginas do documento; |
| --- | --- |

a)

Ao centro nas partes superior e inferior de todas as páginas do documento;

| b) | A marca de classificação completa aparece numa só linha, sem espaços de cada lado da barra oblíqua; |
| --- | --- |

b)

A marca de classificação completa aparece numa só linha, sem espaços de cada lado da barra oblíqua;

| c) | Em maiúsculas de cor preta, com o tipo de letra «Times New Roman», tamanho 16 (se possível, mas pelo menos 14), em negrito, e com um bordo de cada lado. |
| --- | --- |

c)

Em maiúsculas de cor preta, com o tipo de letra «Times New Roman», tamanho 16 (se possível, mas pelo menos 14), em negrito, e com um bordo de cada lado.

4.   Ao criar um documento CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET:

| a) | Todas as páginas devem ser marcadas de forma clara com o nível de classificação; |
| --- | --- |

a)

Todas as páginas devem ser marcadas de forma clara com o nível de classificação;

| b) | Todas as páginas devem ser numeradas; |
| --- | --- |

b)

Todas as páginas devem ser numeradas;

| c) | O documento deve ostentar um número de referência, um número de registo e um assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal; |
| --- | --- |

c)

O documento deve ostentar um número de referência, um número de registo e um assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal;

| d) | Todos os anexos e apêndices devem ser enumerados, sempre que possível, na primeira página; e |
| --- | --- |

d)

Todos os anexos e apêndices devem ser enumerados, sempre que possível, na primeira página; e

| e) | O documento deve ostentar a data da sua criação. |
| --- | --- |

e)

O documento deve ostentar a data da sua criação.

5.   Sempre que possível, a marca SECRET UE/EU SECRET deve aparecer a vermelho.

Artigo 9.o

Marcas de classificação abreviadas C-UE/EU-C e S-UE/EU-S

Podem ser utilizadas as abreviaturas «C-UE/EU-C» e «S-UE/EU-S» para indicar o nível de classificação de partes de um documento CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, respetivamente, ou quando não puder ser inserida a marca de classificação completa, por exemplo, num suporte de armazenamento amovível com pouca capacidade. Podem ser utilizadas igualmente no corpo do texto quando a utilização repetida das marcas de classificação por extenso se tornar pesada. A abreviatura não deve ser utilizada em vez da marca de classificação completa no cabeçalho e no rodapé do documento.

Artigo 10.o

Outros indicadores de segurança

1.   Os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET podem ostentar outras marcas, ou «indicadores de segurança» que especifiquem, por exemplo, o domínio a que o documento diz respeito, ou indiquem uma distribuição específica baseada no princípio da necessidade de tomar conhecimento. Por exemplo:

| COMUNICÁVEL AO LISTENSTAINE |
| --- |

COMUNICÁVEL AO LISTENSTAINE

2.   Os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET podem conter uma advertência de segurança com instruções específicas sobre a forma de manusear e gerir os documentos.

3.   Sempre que possível, qualquer indicação relativa à desgraduação ou desclassificação deve ser aposta na primeira página do documento aquando da sua criação. Por exemplo, pode ser utilizada a seguinte marca:

| SECRET UE/EU SECRET

  até [dd.mm.aaaa]
  e RESTREINT UE/EU RESTRICTED

  a seguir |
| --- |

SECRET UE/EU SECRET

até [dd.mm.aaaa]

e RESTREINT UE/EU RESTRICTED

a seguir

Artigo 11.o

Tratamento eletrónico

1.   Os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser criados recorrendo a meios eletrónicos, sempre que estejam disponíveis.

2.   Ao criar informações CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, o pessoal da Comissão deve utilizar sistemas de comunicação e informação acreditados para o nível de classificação correspondente ou para um nível de classificação mais elevado. Em caso de dúvida quanto aos sistemas de comunicação e informação que podem ser utilizados, o pessoal deve consultar o seu responsável local de segurança (LSO). Consultando a autoridade de segurança da Comissão, podem ser aplicados procedimentos específicos em situações de emergência ou em caso de configurações técnicas específicas.

3.   Como previsto no artigo 5.o, os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, incluindo os que estiverem na fase de projeto, não podem ser enviados por correio eletrónico, impressos ou digitalizados em impressoras ou scâneres normalizados, ou manuseados nos dispositivos pessoais dos membros do pessoal. Só podem ser utilizadas impressoras ou fotocopiadoras ligadas a computadores autónomos protegidos das emissões eletromagnéticas ou a um sistema acreditado para imprimir documentos CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

Artigo 12.o

Registo para efeitos de segurança

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser registadas para fins de segurança antes da sua distribuição e aquando da sua receção. Devem ser registadas:

| — | quando chegam ou saem de uma entidade organizacional; e |
| --- | --- |

—

quando chegam ou saem de uma entidade organizacional; e

| — | quando chegam ou saem de um sistema de comunicação e informação. |
| --- | --- |

—

quando chegam ou saem de um sistema de comunicação e informação.

2.   Este registo pode ser efetuado em papel ou em livros de registo eletrónicos.

3.   Se as informações forem tratadas eletronicamente num sistemas de comunicação e informação, estes procedimentos de registo podem ser realizados por processos internos do próprio sistema. Nesse caso, o sistema de comunicação e informação deve incluir medidas destinadas a garantir a integridade dos livros de registo.

4.   O responsável pelo controlo do registo deve manter um registo que contenha, pelo menos, as seguintes informações relativamente a cada documento:

| a) | A data em que o documento classificado final foi registado; |
| --- | --- |

a)

A data em que o documento classificado final foi registado;

| b) | O nível de classificação; |
| --- | --- |

b)

O nível de classificação;

| c) | Se for caso disso, a data de expiração do nível de classificação; |
| --- | --- |

c)

Se for caso disso, a data de expiração do nível de classificação;

| d) | O nome do serviço de origem; |
| --- | --- |

d)

O nome do serviço de origem;

| e) | O ou os destinatários; |
| --- | --- |

e)

O ou os destinatários;

| f) | O objeto; |
| --- | --- |

f)

O objeto;

| g) | O número de referência do documento no serviço de origem; |
| --- | --- |

g)

O número de referência do documento no serviço de origem;

| h) | O número de registo; |
| --- | --- |

h)

O número de registo;

| i) | O número de cópias distribuídas; |
| --- | --- |

i)

O número de cópias distribuídas;

| j) | Sempre que possível, o livro de registo das fontes utilizadas para a criação do documento; |
| --- | --- |

j)

Sempre que possível, o livro de registo das fontes utilizadas para a criação do documento;

| k) | A data de desgraduação ou de desclassificação do documento; e |
| --- | --- |

k)

A data de desgraduação ou de desclassificação do documento; e

| l) | Informações sobre a destruição (local, data, método, supervisão, certificado de destruição). |
| --- | --- |

l)

Informações sobre a destruição (local, data, método, supervisão, certificado de destruição).

Artigo 13.o

Distribuição

O remetente de documentos CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET deve decidir a quem distribuir as informações, com base na necessidade de tomar conhecimento das mesmas. Deve ser elaborada uma lista de distribuição, a fim de aplicar mais rigorosamente o princípio da necessidade de tomar conhecimento.

CAPÍTULO 3

TRABALHAR COM INFORMAÇÕES COM CLASSIFICAÇÃO CONFIDENTIEL UE/EU CONFIDENTIAL E SECRET UE/EU SECRET EXISTENTES

Artigo 14.o

Controlo por parte da entidade de origem

1.   A entidade de origem tem «controlo da entidade de origem» sobre as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET que tiver criado. Deve ser solicitado o consentimento prévio, por escrito, da entidade de origem antes de as informações poderem ser:

| a) | Desclassificadas ou desgraduadas; |
| --- | --- |

a)

Desclassificadas ou desgraduadas;

| b) | Utilizadas para fins diferentes dos estabelecidos pela entidade de origem; |
| --- | --- |

b)

Utilizadas para fins diferentes dos estabelecidos pela entidade de origem;

| c) | Comunicadas a um país terceiro ou organização internacional; |
| --- | --- |

c)

Comunicadas a um país terceiro ou organização internacional;

| d) | Divulgadas a uma parte fora da Comissão, mas no interior da UE; ou |
| --- | --- |

d)

Divulgadas a uma parte fora da Comissão, mas no interior da UE; ou

| e) | Divulgadas a um contratante ou potencial contratante situado num país terceiro. |
| --- | --- |

e)

Divulgadas a um contratante ou potencial contratante situado num país terceiro.

2.   Os titulares de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET são pessoas devidamente autorizadas que receberam acesso às informações classificadas para poderem desempenhar as suas funções. São responsáveis pelo seu correto manuseamento, armazenamento e proteção, em conformidade com a Decisão (UE, Euratom) 2015/444. Contrariamente às entidades de origem das informações classificadas, os titulares não são autorizados a tomar decisões sobre a desgraduação, desclassificação ou ulterior comunicação de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

3.   Se não for possível identificar a entidade de origem de uma informação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, o serviço da Comissão que tem essa informação classificada exerce o controlo de entidade de origem. O grupo de peritos de segurança da Comissão deve ser consultado antes de as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET serem comunicadas a um país terceiro ou a uma organização internacional.

Artigo 15.o

Sistemas de comunicação e informação adequados para o manuseamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser manuseadas e transmitidas através de meios eletrónicos, se disponíveis. Apenas devem ser utilizados os sistemas de comunicação e informação e os equipamentos que tiverem sido acreditados pela Autoridade de Acreditação de Segurança da Comissão para o manuseamento de informações classificadas no nível pertinente ou num nível de classificação mais elevado.

2.   Sempre que um serviço da Comissão disponha do equipamento adequado para manusear e enviar informações classificadas nesses níveis, deve ajudar, na medida das suas possibilidades, outras entidades da Comissão a manusear e enviar as informações de forma adequada.

Artigo 16.o

Medidas específicas aplicáveis às informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET em suportes de armazenamento amovíveis

1.   A utilização de suportes de armazenamento amovíveis deve ser objeto de um controlo rigoroso e tida em conta. Apenas devem ser utilizados os suportes de armazenamento amovíveis fornecidos pela Comissão e encriptados por um produto aprovado pela autoridade de segurança da Comissão. Os suportes de armazenamento amovíveis pessoais e os suportes distribuídos gratuitamente em conferências, seminários, etc. não devem ser utilizados para transferir informações classificadas. Sempre que possível, devem ser utilizados suportes de armazenamento amovíveis com segurança Tempest, em conformidade com as orientações da autoridade de segurança da Comissão.

2.   Quando um documento classificado for manuseado ou armazenado eletronicamente em suportes de armazenamento amovíveis, tais como memórias USB, CD ou cartões de memória, a marca de classificação deve ser claramente visível nas próprias informações mostradas, bem como no nome do ficheiro e no suporte de armazenamento amovível.

3.   O pessoal deve ter em conta que, sempre que sejam armazenadas grandes quantidades de informações classificadas em suportes de armazenamento amovíveis, o dispositivo pode justificar um nível de classificação mais elevado.

4.   Só podem ser utilizados para transferir informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET de ou para suportes de armazenamento amovíveis os sistemas de comunicação e informação que tiverem sido devidamente acreditados.

5.   Ao descarregar estas informações para suportes de armazenamento amovíveis, devem ser tomadas precauções especiais, antes da transferência dos dados, para assegurar que os referidos suportes não contêm vírus nem software mal-intencionado.

6.   Se for caso disso, os suportes de armazenamento amovíveis devem ser manuseados em conformidade com os procedimentos operacionais de segurança correspondentes ao sistema de cifragem utilizado.

7.   Os documentos armazenados em suportes de armazenamento amovíveis que já não sejam necessários, ou que tenham sido transferidos para um sistema de comunicação e informação adequado, devem ser retirados ou apagados de forma segura utilizando produtos ou métodos aprovados. A menos que sejam armazenados num cofre adequado, os suportes de armazenamento amovíveis devem ser destruídos quando deixarem de ser necessários. As operações de destruição ou apagamento devem recorrer a métodos conformes com as regras de segurança da Comissão. Deve ser mantido um inventário dos suportes de armazenamento amovíveis e a sua destruição deve ser registada.

Artigo 17.o

Manuseamento e armazenamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   Nos termos do artigo 19.o, n.o 3, alínea a), da Decisão (UE, Euratom) 2015/444, as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser manuseadas em Zonas de Segurança (8):

2.   Nos termos do artigo 19.o, n.o 3, alínea b), da Decisão (UE, Euratom) 2015/444, estas informações podem ser manuseadas em Zonas Administrativas (9), desde que sejam protegidas do acesso de pessoas não autorizadas.

3.   Estas informações podem ser manuseadas fora de Zonas de Segurança ou de Zonas Administrativas desde que o detentor se tenha comprometido a respeitar as medidas de compensação exigidas ao abrigo do artigo 19.o, n.o 3, alínea c), da Decisão (UE, Euratom) 2015/444, que devem incluir, pelo menos, as seguintes medidas:

| — | Os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET não devem ser lidos em locais públicos. |
| --- | --- |

—

Os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET não devem ser lidos em locais públicos.

| — | As ICUE devem ser mantidas permanentemente sob o controlo pessoal do detentor. |
| --- | --- |

—

As ICUE devem ser mantidas permanentemente sob o controlo pessoal do detentor.

| — | No caso dos documentos impressos, o titular deve ter notificado ao registo competente o manuseamento dos documentos classificados fora de uma Zona de Segurança e de uma Zona Administrativa. |
| --- | --- |

—

No caso dos documentos impressos, o titular deve ter notificado ao registo competente o manuseamento dos documentos classificados fora de uma Zona de Segurança e de uma Zona Administrativa.

| — | Os documentos devem ser armazenados num cofre apropriado quando não estiverem a ser lidos ou discutidos. |
| --- | --- |

—

Os documentos devem ser armazenados num cofre apropriado quando não estiverem a ser lidos ou discutidos.

| — | As portas da sala devem manter-se fechadas durante a leitura ou o debate do documento. |
| --- | --- |

—

As portas da sala devem manter-se fechadas durante a leitura ou o debate do documento.

| — | O conteúdo do documento não deve ser discutido ao telefone numa linha não protegida nem numa mensagem de correio eletrónico. |
| --- | --- |

—

O conteúdo do documento não deve ser discutido ao telefone numa linha não protegida nem numa mensagem de correio eletrónico.

| — | O documento não pode ser fotocopiado nem digitalizado pelo titular. Só podem ser obtidas outras cópias do documento junto do registo. |
| --- | --- |

—

O documento não pode ser fotocopiado nem digitalizado pelo titular. Só podem ser obtidas outras cópias do documento junto do registo.

| — | O documento só deve ser manuseado e conservado temporariamente fora de uma Zona Administrativa ou de uma Zona de Segurança durante o tempo estritamente necessário, após o que deve ser devolvido ao registo; |
| --- | --- |

—

O documento só deve ser manuseado e conservado temporariamente fora de uma Zona Administrativa ou de uma Zona de Segurança durante o tempo estritamente necessário, após o que deve ser devolvido ao registo;

| — | A devolução do documento deve ser assinada. |
| --- | --- |

—

A devolução do documento deve ser assinada.

| — | O titular não deve deitar fora nem destruir o documento classificado. |
| --- | --- |

—

O titular não deve deitar fora nem destruir o documento classificado.

4.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser armazenadas em Zonas de Segurança, dentro de um contentor de segurança ou de uma casa-forte.

5.   Pode ser solicitado aconselhamento adicional ao responsável local de segurança (LSO) do serviço competente da Comissão.

6.   Devem ser comunicados ao LSO o mais rapidamente possível quaisquer suspeitas ou casos reais de incidentes de segurança relativos ao documento.

Artigo 18.o

Cópia e tradução de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET podem ser copiadas ou traduzidas a pedido do detentor, desde que a entidade de origem não tenha imposto reservas a esse respeito. No entanto, não podem ser feitas mais cópias do que as estritamente necessárias.

2.   Quando apenas for reproduzida uma parte de um documento classificado, são aplicadas as mesmas condições que à cópia integral do documento. Os extratos também devem ser classificados no mesmo nível, a menos que a entidade de origem os tenha classificado especificamente num nível mais baixo, ou marcado como não classificados.

3.   As medidas de segurança aplicáveis às informações originais são igualmente aplicadas às suas cópias e traduções.

Artigo 19.o

Princípios gerais aplicáveis ao transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   Sempre que possível, as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET que tenham de sair das Zonas de Segurança ou das Zonas Administrativas devem ser enviadas por via eletrónica através de meios devidamente acreditados e/ou protegidas por produtos criptográficos aprovados.

2.   Em função dos meios disponíveis ou das circunstâncias, as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET poderão ser transportadas fisicamente, em mão própria, sob a forma de documentos impressos ou em suportes de armazenamento amovíveis. Deve ser dada preferência à utilização de suportes de armazenamento amovíveis para transferir informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET em relação ao envio de documentos impressos.

3.   Apenas devem ser utilizados os suportes de armazenamento amovíveis encriptados por um produto aprovado pela autoridade de segurança da Comissão. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET contidas em suportes de armazenamento amovíveis que não estejam protegidos por um produto de cifragem aprovado pela autoridade de segurança da Comissão devem ser manuseadas da mesma forma que as informações impressas.

4.   A remessa poderá conter mais de um elemento de ICUE, desde que seja respeitado o princípio da necessidade de ter conhecimento.

5.   A embalagem utilizada deve assegurar que o conteúdo não é visível. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser transportadas em duas camadas de embalagens opacas, tais como sobrescritos, capas opacas ou uma pasta para documentos. A embalagem exterior não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo. A camada interior da embalagem deve ser marcada como CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET. Ambas as camadas devem indicar o nome do destinatário, o seu cargo e o seu endereço, bem como um endereço de retorno caso a entrega não possa ser efetuada.

6.   Os membros do pessoal ou os serviços de correio rápido que transportarem em mãos informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem receber uma autorização de segurança e um certificado de correio rápido.

7.   O sobrescrito ou embalagem não deve ser aberto durante o percurso. A autorização de segurança concedida ao serviço de correio rápido não o autoriza a aceder ao conteúdo das informações classificadas.

8.   Os eventuais incidentes de segurança relativos a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET que sejam transportadas por membros do pessoal ou serviços de correio rápido devem ser comunicados para investigação subsequente à Direção de Segurança da Direção-Geral dos Recursos Humanos e Segurança, através do LSO do serviço competente da Comissão.

Artigo 20.o

Transporte em mão própria de suportes de armazenamento amovíveis

1.   Os suportes de armazenamento amovíveis destinados a transportar informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser acompanhados de uma declaração de expedição em que sejam mencionados os suportes de armazenamento amovíveis que contêm as informações classificadas, bem como todos os ficheiros neles contidos, de modo a permitir ao destinatário efetuar as verificações necessárias e confirmar a receção.

2.   Só devem ser armazenados nos suportes de armazenamento amovíveis os documentos a transmitir. Por exemplo, todas as informações classificadas contidas numa única memória USB devem ter o mesmo destinatário. O remetente deve ter em conta que o armazenamento de grandes quantidades de informações classificadas em dispositivos deste tipo poderá justificar a atribuição de um nível de classificação mais elevado ao dispositivo no seu conjunto.

3.   Só devem ser utilizados suportes de armazenamento amovíveis com a marca de classificação adequada para o transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

4.   Toda as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET salvaguardadas em suportes amovíveis devem ser registadas para fins de segurança.

Artigo 21.o

Transporte de documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET dentro dos edifícios da Comissão

1.   O pessoal que possui uma autorização de segurança pode transportar documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET dentro dos edifícios da Comissão, mas esses documentos devem ficar sempre na posse do detentor e não podem ser lidos em público.

2.   Os documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET não podem ser enviados por correio interno.

Artigo 22.o

Transporte de documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET dentro da União

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET podem ser transportadas por membros do pessoal ou estafetas da Comissão em qualquer lugar da União, desde que respeitem as seguintes instruções:

| a) | Devem ser utilizados sobrescritos ou embalagens duplos opacos para transmitir informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET. O exterior não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo; |
| --- | --- |

a)

Devem ser utilizados sobrescritos ou embalagens duplos opacos para transmitir informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET. O exterior não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo;

| b) | As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ficar sempre na posse do portador; e |
| --- | --- |

b)

As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ficar sempre na posse do portador; e

| c) | O sobrescrito ou embalagem não deve ser aberto durante o percurso e as informações não devem ser lidas em locais públicos. |
| --- | --- |

c)

O sobrescrito ou embalagem não deve ser aberto durante o percurso e as informações não devem ser lidas em locais públicos.

2.   O pessoal do registo que pretenda enviar informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL para outros locais da União pode providenciar para que sejam transmitidas por um dos seguintes meios:

| — | serviços postais nacionais que garantam o seguimento da remessa ou certos serviços comerciais de correio rápido que garantam o transporte em mão própria, desde que cumpram os requisitos estabelecidos no artigo 24.o da presente decisão; |
| --- | --- |

—

serviços postais nacionais que garantam o seguimento da remessa ou certos serviços comerciais de correio rápido que garantam o transporte em mão própria, desde que cumpram os requisitos estabelecidos no artigo 24.o da presente decisão;

| — | estafeta militar, correio oficial ou mala diplomática. |
| --- | --- |

—

estafeta militar, correio oficial ou mala diplomática.

3.   O pessoal que pretenda enviar informações com classificação SECRET UE/EU SECRET para outros Estados-Membros da UE pode providenciar com o respetivo registo para que sejam enviadas por estafeta militar, correio oficial ou mala diplomática, mas não pelos serviços postais ou por serviços comerciais de correio rápido.

4.   Os membros do pessoal ou estafetas oficiais da Comissão que transportem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem levar consigo, para cada remessa, um certificado de estafeta emitido pelo registo do respetivo serviço que ateste que estão autorizados a transportá-la.

Artigo 23.o

Transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET do ou para o território de um país terceiro

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET podem ser transportadas em mão própria pelo pessoal entre o território da União e o território de um país terceiro.

2.   O pessoal do registo pode prever o transporte por estafeta militar ou mala diplomática.

3.   Quando transportarem em mão própria documentos impressos ou suportes de armazenamento amovíveis classificados como CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, os membros do pessoal devem respeitar todas as seguintes medidas adicionais:

| — | Quando se deslocarem em transportes públicos, as informações classificadas devem ser colocadas numa pasta para documentos ou num saco mantido sob a guarda pessoal do portador. Estas informações não podem ser deixadas em nenhum compartimento para bagagem. |
| --- | --- |

—

Quando se deslocarem em transportes públicos, as informações classificadas devem ser colocadas numa pasta para documentos ou num saco mantido sob a guarda pessoal do portador. Estas informações não podem ser deixadas em nenhum compartimento para bagagem.

| — | A camada interior da embalagem deve ostentar um selo oficial que indique que se trata de uma remessa oficial que não deve ser submetida a um controlo de segurança. |
| --- | --- |

—

A camada interior da embalagem deve ostentar um selo oficial que indique que se trata de uma remessa oficial que não deve ser submetida a um controlo de segurança.

| — | O portador deve possuir um certificado de estafeta que ateste que está autorizado a transportar a remessa com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, emitido pelo registo do serviço competente. |
| --- | --- |

—

O portador deve possuir um certificado de estafeta que ateste que está autorizado a transportar a remessa com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, emitido pelo registo do serviço competente.

Artigo 24.o

Transporte por serviços comerciais de correio rápido

1.   Para efeitos da presente decisão, por «serviços comerciais de correio rápido» entende-se os serviços postais nacionais e as empresas de correio rápido que oferecem um serviço em que as informações são entregues em troca de um pagamento e são transportadas pessoalmente ou seguidas.

2.   Os serviços comerciais de correio rápido podem transmitir informações CONFIDENTIEL UE/EU CONFIDENTIAL no interior de um Estado-Membro ou de um Estado-Membro para outro. Os serviços comerciais de correio rápido podem transmitir informações com classificação SECRET UE/EU SECRET unicamente dentro de um Estado-Membro, mas não no estrangeiro.

3.   Os serviços comerciais de correio rápido devem ser informados de que só podem entregar remessas CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET ao responsável do controlo do registo, ao seu substituto devidamente autorizado ou ao destinatário previsto.

4.   Os serviços comerciais de correio rápido podem recorrer aos serviços de um subcontratante. No entanto, a responsabilidade pelo cumprimento da presente decisão incumbe à empresa de correio rápido.

5.   Os serviços prestados pelos serviços comerciais de correio rápido que consistam na transmissão eletrónica de documentos enviados por correio registado não podem ser utilizados para as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

Artigo 25.o

Preparação das ICUE para transporte por serviços comerciais de correio rápido

1.   Ao preparar as remessas classificadas, o remetente deve ter em conta que os serviços comerciais de correio rápido só entregam as remessas CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET ao destinatário previsto, ao seu substituto devidamente autorizado, ao agente de controlo do registo ou ao seu substituto devidamente autorizado, ou a um rececionista.

2.   Quando essas informações forem enviadas por um serviço comercial de correio rápido aprovado, a remessa deve ser preparada e embalada do seguinte modo:

| a) | A remessa deve ser enviada em sobrescritos duplos (devendo o sobrescrito interior revelar qualquer tentativa de o abrir) ou outro material de embalagem seguro. |
| --- | --- |

a)

A remessa deve ser enviada em sobrescritos duplos (devendo o sobrescrito interior revelar qualquer tentativa de o abrir) ou outro material de embalagem seguro.

| b) | O nível de classificação deve ser claramente visível no sobrescrito interior ou na camada interior da embalagem. |
| --- | --- |

b)

O nível de classificação deve ser claramente visível no sobrescrito interior ou na camada interior da embalagem.

| c) | A classificação não pode ser indicada no sobrescrito exterior ou na camada exterior da embalagem. |
| --- | --- |

c)

A classificação não pode ser indicada no sobrescrito exterior ou na camada exterior da embalagem.

| d) | Os sobrescritos ou camadas tanto interiores como exteriores da embalagem devem ser claramente endereçados a uma pessoa identificada no destinatário previsto e incluir um endereço de retorno. |
| --- | --- |

d)

Os sobrescritos ou camadas tanto interiores como exteriores da embalagem devem ser claramente endereçados a uma pessoa identificada no destinatário previsto e incluir um endereço de retorno.

| e) | Deve ser colocado um formulário de recibo de registo dentro do sobrescrito interior ou na camada interior da embalagem, que o destinatário deve preencher e devolver. O recibo de registo, que não deve ser classificado, deve mencionar o número de referência, a data e o número da cópia do documento, mas não o objeto. |
| --- | --- |

e)

Deve ser colocado um formulário de recibo de registo dentro do sobrescrito interior ou na camada interior da embalagem, que o destinatário deve preencher e devolver. O recibo de registo, que não deve ser classificado, deve mencionar o número de referência, a data e o número da cópia do documento, mas não o objeto.

| f) | O sobrescrito ou embalagem exterior deve conter recibos de entrega. O recibo de entrega, que não deve ser classificado, deve mencionar o número de referência, a data e o número da cópia do documento, mas não o objeto. |
| --- | --- |

f)

O sobrescrito ou embalagem exterior deve conter recibos de entrega. O recibo de entrega, que não deve ser classificado, deve mencionar o número de referência, a data e o número da cópia do documento, mas não o objeto.

| g) | O serviço de correio rápido deve obter a prova da entrega da remessa no documento de assinaturas e registo e fornecê-la ao remetente, ou obter recibos ou números de encomenda. |
| --- | --- |

g)

O serviço de correio rápido deve obter a prova da entrega da remessa no documento de assinaturas e registo e fornecê-la ao remetente, ou obter recibos ou números de encomenda.

3.   O remetente deve contactar o destinatário indicado antes da expedição da remessa a fim de combinar uma data e hora adequadas para a entrega.

4.   O remetente é o único responsável por qualquer remessa enviada por um serviço comercial de correio rápido. Em caso de perda ou de entrega atrasada da remessa, o remetente deve comunicar o facto à autoridade de segurança da Comissão, que se encarregará do seguimento do incidente de segurança.

Artigo 26.o

Outras condições de manuseamento específicas

1.   Devem ser respeitadas todas as condições de transporte estabelecidas num acordo de segurança das informações ou em acordos administrativos. Em caso de dúvida, o pessoal deve consultar o respetivo registo ou a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança.

2.   O requisito da dupla embalagem pode ser dispensado no caso das informações classificadas protegidas por produtos criptográficos aprovados. Contudo, para efeitos de expedição, e também pelo facto de o meio de armazenamento amovível ostentar uma marca de classificação de segurança explícita, o meio de armazenamento deve ser transportado pelo menos num sobrescrito comum, mas poderá exigir medidas de proteção material adicionais, como, por exemplo, a utilização de saquetas almofadadas.

CAPÍTULO 4

REUNIÕES CLASSIFICADAS

Artigo 27.o

Preparação de reuniões CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET

1.   As reuniões em que esteja prevista a discussão de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIEL ou SECRET UE/EU SECRET só podem ser realizadas em salas de reuniões que tenham sido acreditadas ao nível adequado ou superior. Quando estas salas não estiverem disponíveis, o pessoal deve consultar a autoridade de segurança da Comissão.

2.   Regra geral, as ordens de trabalhos não devem ser classificadas. O facto de a ordem de trabalhos de uma reunião mencionar documentos classificados não implica que a ordem de trabalhos deva automaticamente ser classificada. Os pontos da ordem de trabalhos devem ser redigidos de modo a evitar pôr em risco a proteção dos interesses da União ou de um ou mais Estados-Membros.

3.   Os organizadores das reuniões devem recordar aos participantes que quaisquer observações sobre pontos da ordem de trabalhos com classificação CONFIDENTIEL UE/EU CONFIDENTIEL ou SECRET UE/EU SECRET não podem ser enviadas por correio eletrónico nem por outros meios que não tenham sido devidamente acreditados em conformidade com o artigo 11.o da presente decisão.

4.   Os organizadores das reuniões devem esforçar-se por agrupar de forma consecutiva na ordem de trabalhos os pontos com classificação CONFIDENTIEL UE/EU CONFIDENTIEL e SECRET UE/EU SECRET, a fim de facilitar o bom funcionamento da reunião. Durante os debates dos pontos classificados, só podem estar presentes as pessoas com necessidade de tomar conhecimento, as que têm uma credenciação de segurança para o nível adequado e as pessoas autorizadas, se for caso disso.

5.   A própria convocatória deve prevenir os participantes de que na reunião serão debatidos temas classificados e que serão aplicadas as medidas de segurança correspondentes.

6.   Deve ser recordado aos participantes que os dispositivos eletrónicos portáteis devem ficar no exterior da sala de reunião durante os debates de pontos CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

7.   Antes da reunião, os organizadores devem elaborar uma lista completa dos participantes.

Artigo 28.o

Acesso dos participantes às reuniões CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET

1.   Os organizadores da reunião devem informar a autoridade de segurança da Comissão de quaisquer visitantes externos que assistirem à reunião CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações da Comissão.

2.   Os participantes deverão provar que possuem uma credenciação de segurança do pessoal de nível adequado válida, a fim de poderem participar na discussão de pontos CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

Artigo 29.o

Equipamento eletrónico na sala de reunião CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET

1.   Só podem ser utilizados sistemas informáticos acreditados em conformidade com o artigo 11.o da presente decisão quando forem transmitidas informações classificadas, por exemplo durante uma apresentação em que sejam mostradas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET ou quando forem organizadas videoconferências.

2.   O presidente deve assegurar-se de que os dispositivos eletrónicos portáteis não autorizados foram deixados no exterior da sala de reuniões.

Artigo 30.o

Procedimentos a seguir durante as reuniões CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET

1.   No início do debate classificado, o presidente deve anunciar aos presentes que a reunião vai passar para «modo classificado». As portas devem ser fechadas.

2.   Será assinado e entregue aos participantes e aos intérpretes apenas o número necessário de documentos, se for caso disso, no início do debate.

3.   Os documentos CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET não podem ser deixados sem vigilância durante os intervalos da reunião.

4.   No final da reunião, deve ser recordado aos participantes e aos intérpretes que não devem deixar sem vigilância na sala quaisquer documentos classificados ou notas que tiverem tomado. Os documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET que não forem solicitados pelos participantes no final da reunião e, em qualquer caso, todos os documentos dos intérpretes, devem ser assinados e devolvidos ao responsável do controlo do registo com vista à sua destruição em destruidoras adequadas.

5.   Durante a reunião, deve ser elaborada a lista dos participantes e um resumo de quaisquer informações classificadas partilhadas com os Estados-Membros e comunicadas oralmente a países terceiros ou a organizações internacionais, a fim de serem registados nos resultados dos trabalhos.

Artigo 31.o

Intérpretes e tradutores

Só podem ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET os intérpretes e tradutores autorizados que tenham uma credenciação de segurança e estejam cobertos pelo Estatuto do Pessoal ou pelo Regime Aplicável aos Outros Agentes da União Europeia ou que tenham uma relação contratual com a Comissão.

CAPÍTULO 5

PARTILHA E TROCA DE INFORMAÇÕES COM CLASSIFICAÇÃO CONFIDENTIEL UE/EU CONFIDENTIAL E SECRET UE/EU SECRET

Artigo 32.o

Consentimento da entidade de origem

Se a Comissão não for a entidade de origem das informações classificadas cuja comunicação ou partilha se pretende, ou do material de referência que possam conter, o serviço da Comissão que tem essas informações classificadas deve solicitar à entidade de origem que dê o consentimento prévio por escrito para a sua comunicação. Se a entidade de origem não puder ser identificada, o serviço da Comissão que tem essas informações classificadas deve exercer o controlo enquanto entidade de origem.

Artigo 33.o

Partilha de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET com outras entidades da União

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET só devem ser partilhadas com outra instituição, órgão ou organismo da União se o destinatário tiver necessidade de tomar conhecimento das mesmas e se a entidade tiver um acordo jurídico correspondente com a Comissão.

2.   Na Comissão, o registo de ICUE gerido pelo Secretariado-Geral deve ser, regra geral, o principal ponto de entrada e de saída para os intercâmbios de informações classificadas com outras instituições, agências, organismos ou serviços da União. A autoridade de segurança da Comissão deve ser consultada sempre que existam motivos de segurança, organizacionais ou operacionais que tornem mais adequado que os registos locais de ICUE funcionem como ponto de entrada e de saída nas matérias da competência do serviço em causa.

Artigo 34.o

Troca de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET com os Estados-Membros

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET podem ser partilhadas com os Estados-Membros se o destinatário tiver necessidade de tomar conhecimento das mesmas e possuir uma credenciação de segurança.

2.   As informações classificadas dos Estados-Membros que ostentem uma marca de classificação nacional equivalente (10) e tenham sido disponibilizadas à Comissão devem beneficiar do mesmo nível de proteção que as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET.

Artigo 35.o

Troca de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET com países terceiros e organizações internacionais

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET só podem ser comunicadas a países terceiros ou organizações internacionais se o destinatário tiver necessidade de tomar conhecimento das mesmas e se o país ou organização internacional dispuser de um quadro jurídico ou administrativo adequado, como por exemplo um acordo de segurança das informações ou um convénio administrativo com a Comissão. As disposições desses acordos ou convénios prevalecem sobre as disposições da presente decisão.

2.   Regra geral, o registo de ICUE gerido pelo Secretariado-Geral constitui o principal ponto de entrada e de saída de todas as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET trocadas entre a Comissão e países terceiros e organizações internacionais. A autoridade de segurança da Comissão deve ser consultada sempre que existam motivos de segurança, organizacionais ou operacionais que tornem mais adequado que os registos locais de ICUE funcionem como ponto de entrada e de saída nas matérias da competência do serviço em causa.

3.   Quaisquer informações classificadas recebidas de um país terceiro ou de uma organização internacional devem ser registadas, para fins de segurança. Por conseguinte, o pessoal deve contactar o registo se receber informações classificadas provenientes de fontes fora do circuito habitual do registo.

4.   A fim de assegurar a rastreabilidade, as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser registadas:

| — | quando chegam ou saem de uma entidade organizacional; e |
| --- | --- |

—

quando chegam ou saem de uma entidade organizacional; e

| — | quando chegam ou saem de um sistema de comunicação e informação. |
| --- | --- |

—

quando chegam ou saem de um sistema de comunicação e informação.

5.   Esse registo pode ser efetuado em papel ou em livros de registo eletrónicos.

6.   Os procedimentos de registo das informações classificadas manuseadas num sistema de comunicação e informação acreditado podem ser executados por processos internos do próprio sistema. Nesse caso, o sistema de comunicação e informação deve incluir medidas destinadas a garantir a integridade dos livros de registo.

7.   As informações classificadas recebidas de países terceiros ou de organizações internacionais devem beneficiar de um nível de proteção equivalente ao das ICUE que ostentem a marca de classificação equivalente, conforme previsto no respetivo acordo de segurança das informações ou convénio administrativo.

Artigo 36.o

Comunicação ad hoc excecional de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   Sempre que a Comissão ou um dos seus serviços determinar que existe uma necessidade excecional de comunicar informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET a um país terceiro, uma organização internacional ou uma entidade da UE, mas não exista um acordo de segurança das informações ou um convénio administrativo, deve ser seguido o procedimento de comunicação ad hoc excecional.

2.   Os serviços da Comissão devem contactar a autoridade de segurança da Comissão, que consultará o Grupo de Peritos de Segurança da Comissão.

3.   Após consulta do Grupo de Peritos de Segurança da Comissão, a Comissão pode, com base numa proposta do membro da Comissão responsável pelas questões de segurança, autorizar a comunicação das informações em causa.

CAPÍTULO 6

FIM DE VIDA DAS INFORMAÇÕES COM CLASSIFICAÇÃO CONFIDENTIEL UE/EU CONFIDENTIAL E SECRET UE/EU SECRET

Artigo 37.o

Quando desgraduar e desclassificar

1.   As informações só permanecem classificadas enquanto necessitarem de proteção. A «desgraduação» significa uma redução do nível de classificação de segurança. A «desclassificação» significa que as informações deixam de ser consideradas classificadas. Aquando da produção de ICUE, a entidade de origem indica, sempre que possível, se as mesmas podem ser desgraduadas ou desclassificadas numa determinada data ou após um acontecimento concreto. Caso contrário, a entidade de origem deve reanalisar as informações e avaliar os riscos pelo menos de cinco em cinco anos, a fim de determinar se o nível de classificação inicial continua a ser adequado.

2.   Os documentos da Comissão também podem ser desgraduados ou desclassificados numa base ad hoc, por exemplo na sequência de um pedido de acesso do público.

Artigo 38.o

Responsabilidade pela desgraduação ou desclassificação

1.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET não podem ser desgraduadas ou desclassificadas sem a autorização da entidade de origem.

2.   O serviço da Comissão que cria um documento classificado é responsável por decidir se o mesmo pode ser desgraduado ou desclassificado. Na Comissão, todos os pedidos de desgraduação e desclassificação devem ser submetidos à consulta do chefe de unidade ou do diretor do serviço de origem. Se o serviço tiver compilado informações classificadas provenientes de várias fontes, deve, em primeiro lugar, solicitar o consentimento das partes que tiverem fornecido material de origem, incluindo os Estados-Membros, outros organismos da UE, países terceiros ou organizações internacionais.

3.   Se o serviço de origem da Comissão já não existir e as suas responsabilidades tiverem sido assumidas por outro serviço, a decisão de desgraduação ou desclassificação deve ser tomada por este último. Se o serviço de origem já não existir e as suas responsabilidades tiverem sido assumidas por outro serviço, a decisão de desgraduação ou desclassificação deve ser tomada conjuntamente pelos chefes de unidade ou os diretores das direções-gerais destinatárias.

4.   O serviço responsável pela desgraduação ou desclassificação deve trabalhar em conjunto com o respetivo registo com vista a determinar as modalidades práticas para proceder à desgraduação ou desclassificação.

Artigo 39.o

Informações sensíveis não classificadas

Sempre que da reanálise de um documento resultar a decisão de o desclassificar, deve ser ponderado se o documento deve ostentar a marca de distribuição «informações sensíveis não classificadas» na aceção do artigo 9.o da Decisão (UE, Euratom) 2015/443.

o

Artigo 40.o

Indicação de que um documento foi desgraduado ou desclassificado

1.   A marca de classificação original na parte superior e inferior de cada página deve ser riscada de forma visível (não suprimida) utilizando a funcionalidade «riscado» no caso de formatos eletrónicos, ou de forma manual nos documentos impressos.

2.   A primeira página (capa) deve ostentar um carimbo que indique que o documento foi desgraduado ou desclassificado e preenchida com os dados da autoridade responsável pela desgraduação ou desclassificação e a data correspondente.

3.   Os destinatários originais das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser informados da desgraduação ou desclassificação. Os destinatários iniciais são responsáveis por informar quaisquer destinatários subsequentes a quem tenham enviado as informações originais com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET ou posto em cópia da sua remessa.

4.   O Serviço do Arquivo Histórico da União Europeia deve ser informado de todas as decisões de desclassificação tomadas.

5.   Todas as traduções de informações classificadas estão sujeitas aos mesmos procedimentos de desgraduação ou desclassificação que a versão linguística original.

Artigo 41.o

Desgraduação ou desclassificação parcial de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET

1.   Deve também ser possível proceder a uma desgraduação ou desclassificação parcial (por exemplo, os anexos ou apenas determinados parágrafos). O procedimento deve ser idêntico ao da desgraduação ou desclassificação de um documento na íntegra.

2.   Depois da desclassificação parcial («limpeza») de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, deve ser produzido um extrato desclassificado.

3.   As partes que permaneçam classificadas devem ser substituídas pela menção:

| PARTE QUE NÃO DEVE SER DESCLASSIFICADA |
| --- |

PARTE QUE NÃO DEVE SER DESCLASSIFICADA

quer no corpo do próprio texto, se a parte que permanece classificada fizer parte de um parágrafo, quer como parágrafo, se a parte que permanece classificada for um parágrafo específico ou mais de um parágrafo.

4.   Se um anexo completo não puder ser desclassificado e, por conseguinte, tiver sido retirado do extrato, deve ser feita uma menção específica do facto no texto.

Artigo 42.o

Destruição e apagamento rotineiros de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET

1.   A Comissão não deve acumular grandes quantidades de informações classificadas.

2.   Os serviços de origem devem reanalisar os documentos, pelo menos de cinco em cinco anos, para destruição ou apagamento. Devem ser reanalisadas periodicamente tanto as informações armazenadas em papel como as armazenadas em sistemas de comunicação e informação.

3.   O pessoal não deve destruir quaisquer documentos impressos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET de que já não necessite, mas sim solicitar ao seu responsável do controlo do registo que proceda à destruição dos documentos, sob reserva de eventuais requisitos de arquivo aplicáveis ao documento original.

4.   O pessoal não é obrigado a informar a entidade de origem do apagamento de cópias de documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET.

5.   Os projetos que contenham informações classificadas devem ser sujeitos aos mesmos métodos de eliminação que os documentos classificados finalizados.

6.   Só serão utilizadas destruidoras aprovadas para a destruição de documentos CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET. As destruidoras de nível 5 DIN 66399 são adequadas para destruir documentos CONFIDENTIEL UE/EU CONFIDENTIAL. As destruidoras de nível 6 DIN 66399 são adequadas para destruir documentos SECRET UE/EU SECRET.

7.   As partículas das destruidoras aprovadas podem ser eliminadas como resíduos de escritório normais.

8.   O responsável pelo controlo do registo deve criar certificados de destruição e atualizar em conformidade os livros de registo eletrónicos e outras informações de registo.

9.   Todos os suportes e dispositivos que contenham informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser limpos de forma adequada quando chegam ao fim da sua vida útil. Os dados eletrónicos devem ser destruídos ou apagados dos recursos informáticos e dos suportes de armazenamento associados de uma forma que dê garantias razoáveis de que as informações não podem ser recuperadas. A limpeza deve eliminar os dados do dispositivo de armazenamento, bem como todos os rótulos, marcas e registos de atividade.

10.   Os suportes de dados informáticos devem ser entregues ao LSO ou ao responsável local da segurança informática e/ou ao responsável do controlo do registo para destruição e eliminação.

Artigo 43.o

Evacuação e destruição de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET em situações de emergência

1.   O chefe de serviço deve conceber, aprovar e, se necessário, ativar planos de evacuação e destruição de emergência para proteger as ICUE que corram um risco significativo de cair na posse de mãos não autorizadas durante uma crise. Por ordem de prioridade, e em função da natureza da situação de emergência, deve ser estudada a possibilidade de:

| 1) | Deslocar as ICUE para um local seguro alternativo, se possível uma Zona de Segurança dentro do mesmo edifício; |
| --- | --- |

1)

Deslocar as ICUE para um local seguro alternativo, se possível uma Zona de Segurança dentro do mesmo edifício;

| 2) | Levar as ICUE para um local seguro alternativo, se possível uma Zona de Segurança noutro edifício, de preferência um edifício da Comissão; |
| --- | --- |

2)

Levar as ICUE para um local seguro alternativo, se possível uma Zona de Segurança noutro edifício, de preferência um edifício da Comissão;

| 3) | Destruir as ICUE, utilizando, se possível, os meios de destruição aprovados. |
| --- | --- |

3)

Destruir as ICUE, utilizando, se possível, os meios de destruição aprovados.

2.   Quando tiverem sido ativados os planos de emergência, deve ser dada prioridade à mudança ou à destruição das informações com classificação SECRET UE/EU SECRET e depois a quaisquer informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL.

3.   Os próprios dados operacionais dos planos de evacuação e de destruição de emergência devem ser classificados como «RESTREINT UE/EU RESTRICTED». Deve ser conservada uma cópia em cada cofre onde sejam armazenadas informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, de modo a estar acessível em caso de emergência.

Artigo 44.o

Arquivo

1.   As decisões de arquivar ou não e em que momento, bem como as medidas práticas correspondentes a tomar, devem ser conformes com a política da Comissão em matéria de gestão de documentos.

2.   Os documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET não devem ser enviados para o Arquivo Histórico da União Europeia em Florença.

CAPÍTULO 7

DISPOSIÇÕES FINAIS

Artigo 45.o

Transparência

A presente decisão é levada ao conhecimento do pessoal da Comissão e de todas as pessoas às quais se aplica, e é publicada no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Artigo 46.o

Entrada em vigor

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Feito em Bruxelas, em 17 de outubro de 2019.

Pela Comissão,

Em nome do Presidente,

Günther OETTINGER

Membro da Comissão

---

(1)  
  JO L 72 de 17.3.2015, p. 41.

1

(2)  
  JO L 72 de 17.3.2015, p. 53.

2

(3)  
  JO L 6 de 11.1.2017, p. 40.

3

(4)  Decisão 2013/488/UE do Conselho, de 23 de setembro de 2013, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (JO L 274 de 15.10.2013, p. 1).

4

(5)  Decisão da Comissão, de 4 de maio de 2016, relativa a uma habilitação relativa à segurança [C(2016) 2797 final].

5

(6)  Nos termos do artigo 3.o da Decisão (UE, Euratom) 2015/444, por informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL entende-se «informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou mais Estados-Membros».

6

o

(7)  Nos termos do artigo 3.o da Decisão (UE, Euratom) 2015/444, por informações com classificação SECRET UE/EU SECRET entende-se «informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou mais Estados-Membros».

7

o

(8)  Definidas no artigo 18.o da Decisão (UE, Euratom) 2015/444.

8

o

(9)  Definidas no artigo 18.o da Decisão (UE, Euratom) 2015/444.

9

o

(10)  O quadro de equivalências das marcas dos Estados-Membros figura no anexo I da Decisão (UE, Euratom) 2015/444.

10

---

ANEXO

Categorias de pessoal que podem ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET se delas tiverem necessidade para o desempenho das suas tarefas profissionais

| Categorias de pessoal da Comissão | Acesso às informações C-UE/EU- C e S-UE/EU-S | Condições |
| --- | --- | --- |
| Funcionários | Sim | Inquérito + instruções + reconhecimento + autorização + necessidade de tomar conhecimento |
| Agentes temporários | Sim | Inquérito + instruções + reconhecimento + autorização + necessidade de tomar conhecimento |
| Agentes contratuais | Sim | Inquérito + instruções + reconhecimento + autorização + necessidade de tomar conhecimento |
| Peritos nacionais destacados (PND) | Sim | Unicamente se tiverem recebido uma autorização dos Estados-Membros antes de assumirem as suas funções + informações da Comissão + reconhecimento + autorização da Comissão + necessidade de tomar conhecimento |
| Estagiários | Não | Nenhuma exceção possível |
| Qualquer outra categoria de pessoal (pessoal temporário, pessoal externo que trabalha nas instalações da Comissão, etc.) | Não | Consultar a autoridade de segurança da Comissão para eventuais exceções |

Categorias de pessoal da Comissão

Acesso às informações C-UE/EU- C e S-UE/EU-S

Condições

Funcionários

Sim

Inquérito + instruções + reconhecimento + autorização + necessidade de tomar conhecimento

Agentes temporários

Sim

Inquérito + instruções + reconhecimento + autorização + necessidade de tomar conhecimento

Agentes contratuais

Sim

Inquérito + instruções + reconhecimento + autorização + necessidade de tomar conhecimento

Peritos nacionais destacados (PND)

Sim

Unicamente se tiverem recebido uma autorização dos Estados-Membros antes de assumirem as suas funções + informações da Comissão + reconhecimento + autorização da Comissão + necessidade de tomar conhecimento

Estagiários

Não

Nenhuma exceção possível

Qualquer outra categoria de pessoal (pessoal temporário, pessoal externo que trabalha nas instalações da Comissão, etc.)

Não

Consultar a autoridade de segurança da Comissão para eventuais exceções

---

| 2.12.2019 | PT | Jornal Oficial da União Europeia | L 311/21 |
| --- | --- | --- | --- |

2.12.2019

PT

Jornal Oficial da União Europeia

L 311/21

---

DECISÃO (UE, Euratom) 2019/1962 DA COMISSÃO

de 17 de outubro de 2019

que estabelece regras de execução aplicáveis ao manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o,

Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.o,

Tendo em conta a Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (1),

Tendo em conta a Decisão (UE, Euratom) 2015/444 da Comissão, de 13 de março de 2015, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (2),

Tendo em conta a Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (3),

Considerando o seguinte:

| (1) | A Decisão (UE, Euratom) 2015/444 é aplicável a todos os serviços e em todas as instalações da Comissão. |
| --- | --- |

(1)

A Decisão (UE, Euratom) 2015/444 é aplicável a todos os serviços e em todas as instalações da Comissão.

| (2) | As medidas de segurança destinadas a proteger as informações classificadas da UE (a seguir designadas ICUE) ao longo do seu ciclo de vida devem ser proporcionais, em particular, à sua classificação de segurança. |
| --- | --- |

(2)

As medidas de segurança destinadas a proteger as informações classificadas da UE (a seguir designadas ICUE) ao longo do seu ciclo de vida devem ser proporcionais, em particular, à sua classificação de segurança.

| (3) | O artigo 4.o, n.o 3, o artigo 19.o, n.o 1, alínea c), e o artigo 22.o da Decisão (UE, Euratom) 2015/444 preveem a adoção de disposições mais pormenorizadas para completar e apoiar a aplicação da referida decisão através de regras de execução que regulem questões como o guia de classificação, as medidas de compensação para o manuseamento de ICUE fora de uma Zona de Segurança ou de uma Zona Administrativa e as responsabilidades da entidade de origem. |
| --- | --- |

(3)

O artigo 4.o, n.o 3, o artigo 19.o, n.o 1, alínea c), e o artigo 22.o da Decisão (UE, Euratom) 2015/444 preveem a adoção de disposições mais pormenorizadas para completar e apoiar a aplicação da referida decisão através de regras de execução que regulem questões como o guia de classificação, as medidas de compensação para o manuseamento de ICUE fora de uma Zona de Segurança ou de uma Zona Administrativa e as responsabilidades da entidade de origem.

| (4) | Se necessário, devem ser adotadas regras de execução para completar ou apoiar a Decisão (UE, Euratom) 2015/444, em conformidade com o artigo 60.o da mesma decisão. |
| --- | --- |

(4)

Se necessário, devem ser adotadas regras de execução para completar ou apoiar a Decisão (UE, Euratom) 2015/444, em conformidade com o artigo 60.o da mesma decisão.

| (5) | As medidas de segurança adotadas para dar cumprimento à presente decisão devem respeitar os princípios de segurança da Comissão estabelecidos no artigo 3.o da Decisão (UE, Euratom) 2015/443. |
| --- | --- |

(5)

As medidas de segurança adotadas para dar cumprimento à presente decisão devem respeitar os princípios de segurança da Comissão estabelecidos no artigo 3.o da Decisão (UE, Euratom) 2015/443.

| (6) | O Conselho, a Comissão e a Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo em conta as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexadas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (4) relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE. |
| --- | --- |

(6)

O Conselho, a Comissão e a Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo em conta as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexadas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (4) relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE.

| (7) | Em 4 de maio de 2016, a Comissão adotou uma decisão (5) que habilita o membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444 da Comissão, |
| --- | --- |

(7)

Em 4 de maio de 2016, a Comissão adotou uma decisão (5) que habilita o membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444 da Comissão,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto e âmbito de aplicação

1.   A presente decisão estabelece as condições de manuseamento das informações classificadas da UE (ICUE) de nível RESTREINT UE/EU RESTRICTED (6), em conformidade com a Decisão (UE, Euratom) 2015/444.

2.   A presente decisão é aplicável a todos os serviços e em todas as instalações da Comissão.

Artigo 2.o

Critérios de acesso às informações com classificação RESTREINT UE/EU RESTRICTED

1.   Pode ser concedido acesso a informações com classificação RESTREINT UE/EU RESTRICTED após:

| a) | Ter sido determinada a necessidade de uma pessoa ter acesso a certas informações com classificação RESTREINT UE/EU RESTRICTED para poder desempenhar funções ou realizar tarefas profissionais para a Comissão Europeia; |
| --- | --- |

a)

Ter sido determinada a necessidade de uma pessoa ter acesso a certas informações com classificação RESTREINT UE/EU RESTRICTED para poder desempenhar funções ou realizar tarefas profissionais para a Comissão Europeia;

| b) | A pessoa em causa ter sido informada das regras e das normas de segurança aplicáveis e das orientações para a proteção das informações com classificação RESTREINT UE/EU RESTRICTED; e |
| --- | --- |

b)

A pessoa em causa ter sido informada das regras e das normas de segurança aplicáveis e das orientações para a proteção das informações com classificação RESTREINT UE/EU RESTRICTED; e

| c) | A pessoa em causa ter reconhecido as suas responsabilidades em matéria de proteção das informações em causa. |
| --- | --- |

c)

A pessoa em causa ter reconhecido as suas responsabilidades em matéria de proteção das informações em causa.

2.   Não devem ser confiadas aos estagiários da Comissão tarefas que requeiram acesso a informações com classificação RESTREINT UE/EU RESTRICTED.

3.   O acesso a essas informações por parte de outras categorias de pessoal deve ser recusado ou permitido em conformidade com o quadro constante do anexo.

CAPÍTULO 2

PRODUÇÃO DE INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

Artigo 3.o

Entidade de origem

Embora a entidade de origem, na aceção do artigo 1.o da Decisão (UE, Euratom) 2015/444, seja a instituição, agência ou organismo da União, o Estado-Membro, o Estado terceiro ou a organização internacional sob cuja autoridade tenham sido produzidas e/ou introduzidas nas estruturas da União informações classificadas, o redator de informações com classificação RESTREINT UE/EU RESTRICTED não é necessariamente o mesmo.

o

Artigo 4.o

Atribuição de um nível de classificação

1.   O pessoal que elabora um documento com base em informações na aceção do artigo 1.o deve ponderar sempre se o documento precisa de ser classificado. A classificação de um documento como ICUE implica uma avaliação e uma decisão da entidade de origem quanto à questão de saber se a divulgação do documento a pessoas não autorizadas causaria prejuízo aos interesses da União Europeia ou de um ou mais Estados-Membros. Se os autores tiverem dúvidas sobre a necessidade de o documento que estão a redigir receber a classificação RESTREINT UE/EU RESTRICTED, devem consultar o chefe de unidade ou o diretor responsável.

2.   Um documento deve ser classificado, no mínimo, no nível RESTREINT UE/EU RESTRICTED se a sua divulgação não autorizada for suscetível de, nomeadamente:

| a) | Prejudicar as relações diplomáticas; |
| --- | --- |

a)

Prejudicar as relações diplomáticas;

| b) | Causar transtornos substanciais a particulares; |
| --- | --- |

b)

Causar transtornos substanciais a particulares;

| c) | Dificultar a manutenção da eficácia operacional ou da segurança do pessoal destacado pelos Estados-Membros ou outros contribuintes; |
| --- | --- |

c)

Dificultar a manutenção da eficácia operacional ou da segurança do pessoal destacado pelos Estados-Membros ou outros contribuintes;

| d) | Violar o compromisso de manter a confidencialidade das informações prestadas por terceiros; |
| --- | --- |

d)

Violar o compromisso de manter a confidencialidade das informações prestadas por terceiros;

| e) | Prejudicar investigações ou facilitar a criminalidade; |
| --- | --- |

e)

Prejudicar investigações ou facilitar a criminalidade;

| f) | Pôr a UE ou os Estados-Membros em posição de desvantagem em negociações comerciais ou políticas com outras partes; |
| --- | --- |

f)

Pôr a UE ou os Estados-Membros em posição de desvantagem em negociações comerciais ou políticas com outras partes;

| g) | Impedir o desenvolvimento ou o funcionamento efetivo das políticas da União; |
| --- | --- |

g)

Impedir o desenvolvimento ou o funcionamento efetivo das políticas da União;

| h) | Prejudicar a boa gestão da União e das suas missões em geral; ou |
| --- | --- |

h)

Prejudicar a boa gestão da União e das suas missões em geral; ou

| i) | Levar à descoberta de informações classificadas num nível mais elevado. |
| --- | --- |

i)

Levar à descoberta de informações classificadas num nível mais elevado.

3.   As entidades de origem podem decidir atribuir um nível de classificação normalizado a categorias de informações que produzem regularmente. Devem, no entanto, assegurar a atribuição do nível de classificação adequado aos elementos de informação.

Artigo 5.o

Tratamento dos projetos

1.   As informações devem ser classificadas assim que são produzidas. As notas pessoais, os anteprojetos ou as mensagens que contenham informações que justifiquem uma classificação de nível RESTREINT UE/EU RESTRICTED devem ser marcadas como tal desde o início e produzidas e manuseadas em conformidade com o disposto na presente decisão.

2.   Se o documento final deixar de justificar o nível de classificação RESTREINT UE/EU RESTRICTED, deve ser desclassificado.

Artigo 6.o

Registo do material de referência

A fim de permitir o exercício do controlo da entidade de origem, em conformidade com o artigo 13.o, as entidades de origem de documentos com classificação RESTREINT UE/EU RESTRICTED devem, na medida do possível, manter um registo de todas as fontes classificadas utilizadas para a produção de documentos classificados, incluindo dados pormenorizados sobre as fontes provenientes dos Estados-Membros da UE, de organizações internacionais ou de países terceiros. Quando adequado, as informações classificadas agregadas devem ser marcadas de modo a preservar a identificação das entidades de origem dos materiais de referência classificados utilizados.

o

Artigo 7.o

Classificação de partes de um documento

1.   Em conformidade com o artigo 22.o, n.o 6, da Decisão (UE, Euratom) 2015/444, a classificação geral de um documento deve ser pelo menos tão elevada como a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o documento agregado final deve ser analisado para determinar o seu nível de classificação de segurança global, uma vez que pode justificar uma classificação mais elevada do que a das partes que o compõem.

2.   Os documentos que contenham partes classificadas e partes não classificadas devem ser estruturados e marcados de modo que as componentes com níveis de classificação e/ou sensibilidade diferentes possam ser facilmente identificadas e separadas, se necessário. Deste modo, cada parte poderá ser manuseada de forma adequada quando for separada das outras componentes.

Artigo 8.o

Marca de classificação completa

1.   As informações que justificam uma classificação devem ser marcadas e manuseadas como tal, independentemente da sua forma material. O nível de classificação deve ser comunicado claramente aos destinatários, quer através de uma marca de classificação, se a informação for transmitida por escrito, em papel, em suportes de armazenamento amovíveis ou num sistema de comunicação e informação (SCI), quer por meio de um aviso, se as informações forem transmitidas oralmente, por exemplo numa conversa ou numa apresentação. Os materiais classificados devem ser marcados materialmente de modo a permitir a fácil identificação da sua classificação de segurança.

2.   Nos documentos, deve ser escrita a marca de classificação completa RESTREINT UE/EU RESTRICTED em maiúsculas, em francês e inglês (primeiro em francês), em conformidade com o n.o 3. Esta marca não deve ser traduzida para outras línguas.

3.   A marca de classificação RESTREINT UE/EU RESTRICTED é aposta do seguinte modo:

| a) | Ao centro nas partes superior e inferior de todas as páginas do documento; |
| --- | --- |

a)

Ao centro nas partes superior e inferior de todas as páginas do documento;

| b) | A marca de classificação completa aparece numa só linha, sem espaços de cada lado da barra oblíqua; |
| --- | --- |

b)

A marca de classificação completa aparece numa só linha, sem espaços de cada lado da barra oblíqua;

| c) | Em maiúsculas de cor preta, com o tipo de letra «Times New Roman», tamanho 16, em negrito, e com um bordo de cada lado. |
| --- | --- |

c)

Em maiúsculas de cor preta, com o tipo de letra «Times New Roman», tamanho 16, em negrito, e com um bordo de cada lado.

4.   Ao criar um documento RESTREINT UE/EU RESTRICTED:

| a) | Todas as páginas devem ser marcadas de forma clara com o nível de classificação; |
| --- | --- |

a)

Todas as páginas devem ser marcadas de forma clara com o nível de classificação;

| b) | Todas as páginas devem ser numeradas; |
| --- | --- |

b)

Todas as páginas devem ser numeradas;

| c) | O documento deve ostentar um número de referência e um assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal; |
| --- | --- |

c)

O documento deve ostentar um número de referência e um assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal;

| d) | Todos os anexos e apêndices devem ser enumerados, sempre que possível, na primeira página; e |
| --- | --- |

d)

Todos os anexos e apêndices devem ser enumerados, sempre que possível, na primeira página; e

| e) | O documento deve ostentar a data da sua criação. |
| --- | --- |

e)

O documento deve ostentar a data da sua criação.

Artigo 9.o

Marca de classificação abreviada R-UE/EU-R

Pode ser utilizada a abreviatura «R-UE/EU-R» para indicar o nível de classificação de partes de um documento RESTREINT UE/EU RESTRICTED ou quando não puder ser inserida a marca de classificação completa, por exemplo num suporte de armazenamento amovível com pouca capacidade. Pode ser utilizada igualmente no corpo do texto quando a utilização repetida da marca de classificação por extenso se tornar pesada. A abreviatura não deve ser utilizada em vez da marca de classificação completa no cabeçalho e no rodapé do documento.

Artigo 10.o

Outros indicadores de segurança

1.   Os documentos RESTREINT UE/EU RESTRICTED podem ostentar outras marcas, ou «indicadores de segurança» que especifiquem, por exemplo, o domínio a que o documento diz respeito, ou indiquem uma distribuição específica baseada no princípio da necessidade de tomar conhecimento. Por exemplo:

| COMUNICÁVEL AO LISTENSTAINE |
| --- |

COMUNICÁVEL AO LISTENSTAINE

2.   Os documentos RESTREINT UE/EU RESTRICTED podem conter uma advertência de segurança com instruções específicas sobre a forma de manusear e gerir os documentos.

3.   Sempre que possível, qualquer indicação relativa à desclassificação deve ser aposta na primeira página do documento aquando da sua criação. Por exemplo, pode ser utilizada a seguinte marca:

| RESTREINT UE/EU RESTRICTED

  até [dd.mm.aaaa] |
| --- |

RESTREINT UE/EU RESTRICTED

até [dd.mm.aaaa]

Artigo 11.o

Tratamento eletrónico

1.   Os documentos RESTREINT UE/EU RESTRICTED devem ser criados recorrendo a meios eletrónicos, sempre que estejam disponíveis.

2.   O pessoal da Comissão deve utilizar sistemas de comunicação e informação acreditados para criar informações de nível RESTREINT UE/EU RESTRICTED. Em caso de dúvida quanto aos sistemas de comunicação e informação que podem ser utilizados, o pessoal deve consultar o seu responsável local de segurança (LSO). Consultando a autoridade de segurança da Comissão, podem ser aplicados procedimentos específicos em situações de emergência ou em caso de configurações técnicas específicas.

3.   Como previsto no artigo 5.o, os documentos RESTREINT UE/EU RESTRICTED, incluindo os que estiverem na fase de projeto, não podem ser enviados por correio eletrónico normal não cifrado, impressos ou digitalizados em impressoras ou scâneres normalizados, ou manuseados nos dispositivos pessoais dos membros do pessoal. Só podem ser utilizadas impressoras ou fotocopiadoras ligadas a computadores autónomos ou a um sistema acreditado para imprimir documentos RESTREINT UE/EU RESTRICTED.

Artigo 12.o

Distribuição

O remetente de documentos RESTREINT UE/EU RESTRICTED deve decidir a quem distribuir as informações, com base na necessidade de tomar conhecimento das mesmas. Se necessário, deve ser elaborada uma lista de distribuição, a fim de aplicar mais rigorosamente o princípio da necessidade de tomar conhecimento.

CAPÍTULO 3

TRABALHAR COM INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED EXISTENTES

Artigo 13.o

Controlo por parte da entidade de origem

1.   A entidade de origem tem «controlo da entidade de origem» sobre as informações com classificação RESTREINT UE/EU RESTRICTED que tiver criado. Deve ser solicitado o consentimento prévio, por escrito, da entidade de origem antes de as informações poderem ser:

| a) | Desclassificadas; |
| --- | --- |

a)

Desclassificadas;

| b) | Utilizadas para fins diferentes dos estabelecidos pela entidade de origem; |
| --- | --- |

b)

Utilizadas para fins diferentes dos estabelecidos pela entidade de origem;

| c) | Comunicadas a um país terceiro ou organização internacional; |
| --- | --- |

c)

Comunicadas a um país terceiro ou organização internacional;

| d) | Divulgadas a uma parte fora da Comissão, mas no interior da UE; ou |
| --- | --- |

d)

Divulgadas a uma parte fora da Comissão, mas no interior da UE; ou

| e) | Divulgadas a um contratante ou potencial contratante situado num país terceiro. |
| --- | --- |

e)

Divulgadas a um contratante ou potencial contratante situado num país terceiro.

2.   Os titulares de informações com classificação RESTREINT UE/EU RESTRICTED receberam acesso às informações classificadas para poderem desempenhar as suas funções. São responsáveis pelo seu correto manuseamento, armazenamento e proteção, em conformidade com a Decisão (UE, Euratom) 2015/444. Contrariamente às entidades de origem das informações classificadas, os titulares não são autorizados a tomar decisões sobre a desclassificação ou a ulterior comunicação de informações com classificação RESTREINT UE/EU RESTRICTED a países terceiros ou organizações internacionais.

3.   Se não for possível identificar a entidade de origem de uma informação RESTREINT UE/EU RESTRICTED, o serviço da Comissão que tem essa informação classificada exerce o controlo da entidade de origem. O grupo de peritos de segurança da Comissão deve ser consultado antes de as informações com classificação RESTREINT UE/EU RESTRICTED serem comunicadas a um país terceiro ou a uma organização internacional.

Artigo 14.o

Sistemas de comunicação e informação adequados para o manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED

As informações com classificação RESTREINT UE/EU RESTRICTED devem ser manuseadas e transmitidas através de meios eletrónicos, se disponíveis. Apenas serão utilizados os sistemas de comunicação e informação e os equipamentos que tiverem sido acreditados pela Autoridade de Acreditação de Segurança da Comissão.

Artigo 15.o

Medidas específicas aplicáveis às informações com classificação RESTREINT UE/EU RESTRICTED em suportes de armazenamento amovíveis

1.   A utilização de suportes de armazenamento amovíveis deve ser controlada e tida em conta. Apenas devem ser utilizados os suportes de armazenamento amovíveis fornecidos pela Comissão e encriptados por um produto aprovado pela autoridade de segurança da Comissão. Os suportes de armazenamento amovíveis pessoais e os suportes distribuídos gratuitamente em conferências, seminários, etc. não devem ser utilizados para transferir informações classificadas. Sempre que possível, devem ser utilizados suportes de armazenamento amovíveis com segurança TEMPEST, em conformidade com as orientações da autoridade de segurança da Comissão.

2.   Quando um documento classificado for manuseado ou armazenado eletronicamente em suportes de armazenamento amovíveis, tais como memórias USB, CD ou cartões de memória, a marca de classificação deve ser claramente visível nas próprias informações mostradas, bem como no nome do ficheiro e no suporte de armazenamento amovível.

3.   O pessoal deve ter em conta que, sempre que sejam armazenadas grandes quantidades de informações classificadas em suportes de armazenamento amovíveis, o dispositivo pode justificar um nível de classificação mais elevado.

4.   Só podem ser utilizados para transferir informações com classificação RESTREINT UE/EU RESTRICTED de ou para suportes de armazenamento amovíveis os sistemas de comunicação e informação que tiverem sido devidamente acreditados.

5.   Ao descarregar informações com classificação RESTREINT UE/EU RESTRICTED para suportes de armazenamento amovíveis, devem ser tomadas precauções especiais, antes da transferência dos dados, para assegurar que os referidos suportes não contêm vírus nem software mal-intencionado.

6.   Se for caso disso, os suportes de armazenamento amovíveis devem ser manuseados em conformidade com os procedimentos operacionais de segurança correspondentes ao sistema de cifragem utilizado.

7.   Os documentos armazenados em suportes de armazenamento amovíveis que já não sejam necessários, ou que tenham sido transferidos para um sistema de comunicação e informação adequado, devem ser retirados ou apagados de forma segura utilizando produtos ou métodos aprovados. A menos que sejam armazenados em mobiliário de escritório apropriado e fechado à chave, os suportes de armazenamento amovíveis devem ser destruídos quando deixarem de ser necessários. As operações de destruição ou apagamento devem recorrer a métodos conformes com as regras de segurança da Comissão. Deve ser mantido um inventário dos suportes de armazenamento amovíveis e a sua destruição deve ser registada.

Artigo 16.o

Manuseamento e armazenamento de informações com classificação RESTREINT UE/EU RESTRICTED

1.   Nos termos do artigo 19.o, n.o 1, alíneas a) e b), da Decisão (UE, Euratom) 2015/444, as informações com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas em Zonas de Segurança ou em Zonas Administrativas (7) da seguinte forma:

| — | o pessoal deve fechar a porta do escritório quando manuseia informações com classificação RESTREINT UE/EU RESTRICTED; |
| --- | --- |

—

o pessoal deve fechar a porta do escritório quando manuseia informações com classificação RESTREINT UE/EU RESTRICTED;

| — | o pessoal deve guardar ou ocultar quaisquer informações com classificação RESTREINT UE/EU RESTRICTED quando receber um visitante; |
| --- | --- |

—

o pessoal deve guardar ou ocultar quaisquer informações com classificação RESTREINT UE/EU RESTRICTED quando receber um visitante;

| — | o pessoal não deve deixar visíveis as informações com classificação RESTREINT UE/EU RESTRICTED quando o escritório estiver vazio; |
| --- | --- |

—

o pessoal não deve deixar visíveis as informações com classificação RESTREINT UE/EU RESTRICTED quando o escritório estiver vazio;

| — | os ecrãs que mostrem informações com classificação RESTREINT UE/EU RESTRICTED devem ser permanentemente afastados de janelas e portas, a fim de prevenir a sua observação não autorizada. |
| --- | --- |

—

os ecrãs que mostrem informações com classificação RESTREINT UE/EU RESTRICTED devem ser permanentemente afastados de janelas e portas, a fim de prevenir a sua observação não autorizada.

2.   Em conformidade com o artigo 19.o, n.o 1, alínea c), da Decisão (UE, Euratom) 2015/444, as informações com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas fora de Zonas de Segurança ou de Zonas Administrativas desde que o detentor das informações se tenha comprometido a respeitar as medidas de compensação estabelecidas para as proteger do acesso por parte de pessoas não autorizadas. As medidas de compensação devem incluir, pelo menos, as seguintes:

| — | As informações com classificação RESTREINT UE/EU RESTRICTED não podem ser lidas em locais públicos; |
| --- | --- |

—

As informações com classificação RESTREINT UE/EU RESTRICTED não podem ser lidas em locais públicos;

| — | As ICUE devem ser mantidas permanentemente sob o controlo pessoal do detentor; |
| --- | --- |

—

As ICUE devem ser mantidas permanentemente sob o controlo pessoal do detentor;

| — | Os documentos devem ser armazenados em mobiliário de escritório apropriado e fechado à chave quando não estiverem a ser lidos ou discutidos; |
| --- | --- |

—

Os documentos devem ser armazenados em mobiliário de escritório apropriado e fechado à chave quando não estiverem a ser lidos ou discutidos;

| — | As portas da sala devem manter-se fechadas durante a leitura ou o debate do documento; |
| --- | --- |

—

As portas da sala devem manter-se fechadas durante a leitura ou o debate do documento;

| — | O conteúdo do documento não deve ser discutido ao telefone numa linha não protegida nem numa mensagem de correio eletrónico não encriptada; |
| --- | --- |

—

O conteúdo do documento não deve ser discutido ao telefone numa linha não protegida nem numa mensagem de correio eletrónico não encriptada;

| — | O documento só pode ser fotocopiado ou digitalizado em equipamentos autónomos ou acreditados; |
| --- | --- |

—

O documento só pode ser fotocopiado ou digitalizado em equipamentos autónomos ou acreditados;

| — | O documento só deve ser manuseado e conservado temporariamente fora de uma Zona Administrativa ou de uma Zona de Segurança durante o tempo estritamente necessário; |
| --- | --- |

—

O documento só deve ser manuseado e conservado temporariamente fora de uma Zona Administrativa ou de uma Zona de Segurança durante o tempo estritamente necessário;

| — | O detentor não deve deitar fora o documento classificado, mas sim devolvê-lo para armazenamento numa Zona Administrativa ou de Segurança, ou assegurar a sua destruição num triturador autorizado. |
| --- | --- |

—

O detentor não deve deitar fora o documento classificado, mas sim devolvê-lo para armazenamento numa Zona Administrativa ou de Segurança, ou assegurar a sua destruição num triturador autorizado.

3.   As cópias impressas de informações com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório fechado à chave numa Zona Administrativa ou numa Zona de Segurança. Podem ser armazenadas temporariamente fora de uma Zona de Segurança ou de uma Zona Administrativa desde que o detentor se tenha comprometido a respeitar as medidas de compensação.

4.   Pode ser solicitado aconselhamento adicional ao responsável local de segurança (LSO) do serviço competente da Comissão.

5.   Devem ser comunicados ao LSO o mais rapidamente possível quaisquer suspeitas ou casos reais de incidentes de segurança relativos ao documento.

Artigo 17.o

Cópia e tradução de informações com classificação RESTREINT UE/EU RESTRICTED

1.   As informações com classificação RESTREINT UE/EU RESTRICTED podem ser copiadas ou traduzidas a pedido do detentor, desde que a entidade de origem não tenha imposto reservas a esse respeito. No entanto, não podem ser feitas mais cópias do que as estritamente necessárias.

2.   Quando apenas for reproduzida uma parte de um documento classificado, aplicam-se as mesmas condições que à cópia integral do documento. Os extratos também devem ser classificados como RESTREINT UE/EU RESTRICTED, a menos que a entidade de origem os tenha marcado especificamente como não classificados.

3.   As medidas de segurança aplicáveis às informações originais são igualmente aplicadas às suas cópias e traduções.

Artigo 18.o

Princípios gerais aplicáveis ao transporte de informações com classificação RESTREINT UE/EU RESTRICTED

1.   Sempre que possível, as informações com classificação RESTREINT UE/EU RESTRICTED que tenham de sair das Zonas de Segurança ou das Zonas Administrativas devem ser enviadas por via eletrónica através de meios devidamente acreditados e/ou protegidas por produtos criptográficos aprovados.

2.   Em função dos meios disponíveis ou das circunstâncias, as informações com classificação RESTREINT UE/EU RESTRICTED poderão ser transportadas fisicamente, em mão própria, sob a forma de documentos impressos ou em suportes de armazenamento amovíveis. Deve ser dada preferência à utilização de suportes de armazenamento amovíveis para transferir informações com classificação RESTREINT UE/EU RESTRICTED em relação ao envio de documentos impressos.

3.   Apenas devem ser utilizados os suportes de armazenamento amovíveis encriptados por um produto aprovado pela autoridade de segurança da Comissão. As informações com classificação RESTREINT UE/EU RESTRICTED contidas em suportes de armazenamento amovíveis que não estejam protegidos por um produto de cifragem aprovado pela autoridade de segurança da Comissão devem ser manuseadas da mesma forma que as informações impressas.

4.   A remessa poderá conter mais de um elemento de informação com classificação RESTREINT UE/EU RESTRICTED, desde que seja respeitado o princípio da necessidade de ter conhecimento.

5.   A embalagem utilizada deve assegurar que o conteúdo não é visível. As informações com classificação RESTREINT UE/EU RESTRICTED devem ser transportadas em embalagens opacas, tais como um sobrescrito, uma capa opaca ou uma pasta para documentos. O exterior da embalagem não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo. Caso seja utilizada, a capa interna da embalagem deve ostentar a marca RESTREINT UE/EU RESTRICTED. Ambas as capas devem indicar o nome do destinatário, o seu cargo e o seu endereço, bem como um endereço de retorno caso a entrega não possa ser efetuada.

6.   Os eventuais incidentes de segurança relativos a informações com classificação RESTREINT UE/EU RESTRICTED que sejam transportadas por membros do pessoal ou estafetas devem ser comunicados para investigação subsequente à Direção de Segurança da Direção-Geral dos Recursos Humanos, através do LSO do serviço competente da Comissão.

Artigo 19.o

Transporte em mão própria de suportes de armazenamento amovíveis

1.   Os suportes de armazenamento amovíveis destinados a transportar informações com classificação RESTREINT UE/EU RESTRICTED devem ser acompanhados de uma declaração de expedição em que sejam mencionados os suportes de armazenamento amovíveis que contêm as informações classificadas, bem como todos os ficheiros neles contidos, de modo a permitir ao destinatário efetuar as verificações necessárias.

2.   Só devem ser armazenados nos suportes de armazenamento amovíveis os documentos a transmitir. Por exemplo, todas as informações classificadas contidas numa única memória USB devem ter o mesmo destinatário. O remetente deve ter em conta que o armazenamento de grandes quantidades de informações classificadas em dispositivos deste tipo poderá justificar a atribuição de um nível de classificação mais elevado ao dispositivo no seu conjunto.

3.   Só devem ser utilizados suportes de armazenamento amovíveis com a marca de classificação adequada para o transporte de informações com classificação RESTREINT UE/EU RESTRICTED.

Artigo 20.o

Transporte de documentos com classificação RESTREINT UE/EU RESTRICTED dentro dos edifícios da Comissão

1.   O pessoal pode transportar documentos com classificação RESTREINT UE/EU RESTRICTED dentro dos edifícios da Comissão, mas esses documentos devem ficar sempre na posse do detentor e não podem ser lidos em público.

2.   Os documentos com classificação RESTREINT UE/EU RESTRICTED podem ser enviados por correio interno a outros serviços da Comissão Europeia num único sobrescrito opaco simples, mas sem qualquer indicação no exterior de que o conteúdo está classificado. As outras instituições ou organismos da UE diretamente servidos pelo sistema de correio interno da Comissão também podem receber documentos com classificação RESTREINT UE/EU RESTRICTED da mesma forma.

Artigo 21.o

Transporte de documentos com classificação RESTREINT UE/EU RESTRICTED dentro da União

1.   As informações com classificação RESTREINT UE/EU RESTRICTED podem ser transportadas por membros do pessoal ou estafetas da Comissão em qualquer lugar da União, desde que respeitem as seguintes instruções:

| a) | Deve ser utilizado um sobrescrito ou uma embalagem opaca para transmitir informações com classificação RESTREINT UE/EU RESTRICTED. O exterior do sobrescrito ou da embalagem não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo; |
| --- | --- |

a)

Deve ser utilizado um sobrescrito ou uma embalagem opaca para transmitir informações com classificação RESTREINT UE/EU RESTRICTED. O exterior do sobrescrito ou da embalagem não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo;

| b) | As informações com classificação RESTREINT UE/EU RESTRICTED devem ficar sempre na posse do portador; e |
| --- | --- |

b)

As informações com classificação RESTREINT UE/EU RESTRICTED devem ficar sempre na posse do portador; e

| c) | O sobrescrito ou embalagem não deve ser aberto durante o percurso, e as informações não devem ser lidas em locais públicos. |
| --- | --- |

c)

O sobrescrito ou embalagem não deve ser aberto durante o percurso, e as informações não devem ser lidas em locais públicos.

2.   O pessoal que pretenda enviar informações com classificação RESTREINT UE/EU RESTRICTED para outros locais da União pode providenciar para que sejam transmitidas por um dos seguintes meios:

| — | serviços postais nacionais que garantam o seguimento da remessa ou certos serviços comerciais de correio rápido que garantam o transporte em mão própria, desde que cumpram os requisitos estabelecidos no artigo 23.o da presente decisão; |
| --- | --- |

—

serviços postais nacionais que garantam o seguimento da remessa ou certos serviços comerciais de correio rápido que garantam o transporte em mão própria, desde que cumpram os requisitos estabelecidos no artigo 23.o da presente decisão;

| — | estafeta militar, correio oficial ou mala diplomática, em coordenação com o pessoal do registo. |
| --- | --- |

—

estafeta militar, correio oficial ou mala diplomática, em coordenação com o pessoal do registo.

Artigo 22.o

Transporte de informações com classificação RESTREINT UE/EU RESTRICTED do ou para o território de um país terceiro

1.   As informações com classificação RESTREINT UE/EU RESTRICTED podem ser transportadas em mão própria pelo pessoal entre o território da União e o território de um país terceiro.

2.   O pessoal responsável pelo registo pode prever um dos seguintes tipos de transporte:

| — | Transporte pelos serviços postais que seguem a remessa ou por serviços comerciais de correio rápido que garantam um transporte em mão própria; |
| --- | --- |

—

Transporte pelos serviços postais que seguem a remessa ou por serviços comerciais de correio rápido que garantam um transporte em mão própria;

| — | Transporte por estafeta militar ou mala diplomática. |
| --- | --- |

—

Transporte por estafeta militar ou mala diplomática.

3.   Quando transportarem em mão própria documentos impressos ou suportes de armazenamento amovíveis classificados como RESTREINT UE/EU RESTRICTED, os membros do pessoal devem respeitar todas as seguintes medidas adicionais:

| — | Quando se deslocarem em transportes públicos, as informações classificadas devem ser colocadas numa pasta para documentos ou num saco mantido sob a guarda pessoal do portador. Estas informações não podem ser deixadas em nenhum compartimento para bagagem. |
| --- | --- |

—

Quando se deslocarem em transportes públicos, as informações classificadas devem ser colocadas numa pasta para documentos ou num saco mantido sob a guarda pessoal do portador. Estas informações não podem ser deixadas em nenhum compartimento para bagagem.

| — | As informações com classificação RESTREINT UE/EU RESTRICTED devem ser transmitidas dentro de uma embalagem dupla. A capa interior da embalagem deve ostentar um selo oficial que indique que se trata de uma remessa oficial que não deve ser submetida a um controlo de segurança. |
| --- | --- |

—

As informações com classificação RESTREINT UE/EU RESTRICTED devem ser transmitidas dentro de uma embalagem dupla. A capa interior da embalagem deve ostentar um selo oficial que indique que se trata de uma remessa oficial que não deve ser submetida a um controlo de segurança.

| — | O portador deve possuir um certificado de estafeta que ateste que está autorizado a transportar a remessa com classificação RESTREINT UE/EU RESTRICTED, emitido pelo registo do serviço competente. |
| --- | --- |

—

O portador deve possuir um certificado de estafeta que ateste que está autorizado a transportar a remessa com classificação RESTREINT UE/EU RESTRICTED, emitido pelo registo do serviço competente.

Artigo 23.o

Transporte por serviços comerciais de correio rápido

1.   Para efeitos da presente decisão, por «serviços comerciais de correio rápido» entende-se os serviços postais nacionais e as empresas de correio rápido que oferecem um serviço em que as informações são entregues em troca de pagamento e são transportadas pessoalmente ou seguidas.

2.   Os serviços comerciais de correio rápido podem recorrer aos serviços de um subcontratante. No entanto, a responsabilidade pelo cumprimento da presente decisão incumbe à empresa de correio rápido.

3.   Se o destinatário estiver localizado fora da UE, deve ser utilizada uma embalagem com capa dupla. Ao preparar as remessas classificadas, o remetente deve ter em conta que os serviços comerciais de correio rápido só entregam as remessas com classificação RESTREINT UE/EU RESTRICTED ao destinatário previsto, ao seu substituto devidamente autorizado, ao agente de controlo do registo ou ao seu substituto devidamente autorizado, ou a um rececionista. Para reduzir o risco de a remessa não chegar ao destinatário previsto, a capa exterior e, se for caso disso, a capa interior da remessa devem indicar um endereço de devolução.

4.   Os serviços prestados pelos serviços comerciais de correio rápido que consistam na transmissão eletrónica de documentos enviados por correio registado não podem ser utilizados para as informações com classificação RESTREINT UE/EU RESTRICTED.

Artigo 24.o

Outras condições de manuseamento específicas

1.   Devem ser respeitadas todas as condições de transporte estabelecidas num acordo de segurança das informações ou em acordos administrativos. Em caso de dúvida, o pessoal deve consultar o respetivo registo ou a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança.

2.   O requisito da dupla embalagem pode ser dispensado no caso das informações classificadas protegidas por produtos criptográficos aprovados. Contudo, para efeitos de expedição, e também pelo facto de o meio de armazenamento amovível ostentar uma marca de classificação de segurança explícita, o meio de armazenamento deve ser transportado pelo menos num sobrescrito comum, mas poderá exigir medidas de proteção material adicionais, como, por exemplo, a utilização de saquetas almofadadas.

CAPÍTULO 4

REUNIÕES CLASSIFICADAS

Artigo 25.o

Preparação de reuniões RESTREINT UE/EU RESTRICTED

1.   As reuniões em que esteja prevista a discussão de informações com classificação RESTREINT UE/EU RESTREINT só podem ser realizadas em salas de reuniões que tenham sido acreditadas ao nível adequado ou superior. Quando estas salas não estiverem disponíveis, o pessoal deve consultar a autoridade de segurança da Comissão.

2.   Regra geral, as ordens de trabalhos não devem ser classificadas. O facto de a ordem de trabalhos de uma reunião mencionar documentos classificados não implica que a ordem de trabalhos deva automaticamente ser classificada. Os pontos da ordem de trabalhos devem ser redigidos de modo a evitar pôr em risco a proteção dos interesses da União ou de um ou mais Estados-Membros.

3.   Se à ordem de trabalhos forem anexados ficheiros eletrónicos que contenham informações com classificação RESTREINT UE/EU RESTRICTED, é obrigatório protegê-los com produtos criptográficos aprovados pela autoridade criptográfica da Comissão.

4.   Os organizadores das reuniões devem recordar aos participantes que quaisquer observações sobre pontos da ordem de trabalhos com classificação RESTREINT UE/EU RESTRICTED não devem ser enviadas por correio eletrónico normal aberto nem por outros meios que não tenham sido devidamente acreditados em conformidade com o artigo 11.o da presente decisão.

5.   Os organizadores das reuniões devem esforçar-se por agrupar de forma consecutiva na ordem de trabalhos os pontos com classificação RESTREINT UE/EU RESTRICTED, a fim de facilitar o bom funcionamento da reunião. Durante os debates dos pontos classificados, só podem estar presentes as pessoas com necessidade de tomar conhecimento.

6.   A própria convocatória deve prevenir os participantes de que na reunião serão debatidos temas classificados e que serão aplicadas as medidas de segurança correspondentes.

7.   Na convocatória ou numa nota na própria ordem de trabalhos deve ser recordado aos participantes que, durante os debates dos pontos com classificação RESTREINT UE/EU RESTRICTED, devem desligar os dispositivos eletrónicos portáteis.

8.   Antes da reunião, os organizadores devem elaborar uma lista completa dos participantes externos.

Artigo 26.o

Equipamento eletrónico na sala de reuniões RESTREINT UE/EU RESTRICTED

1.   Só podem ser utilizados sistemas informáticos acreditados em conformidade com o artigo 11.o da presente decisão quando forem transmitidas informações classificadas, por exemplo durante uma apresentação em que sejam mostradas informações com classificação RESTREINT UE/EU RESTRICTED ou quando forem organizadas videoconferências.

2.   O presidente deve assegurar-se de que os dispositivos eletrónicos portáteis não autorizados foram desligados.

Artigo 27.o

Procedimentos a seguir durante uma reunião RESTREINT UE/EU RESTRICTED:

1.   No início do debate classificado, o presidente deve anunciar aos presentes que a reunião vai passar para «modo classificado». As portas e as persianas devem ser fechadas.

2.   Será entregue aos participantes e aos intérpretes apenas o número necessário de documentos, se for caso disso, no início do debate.

Os documentos com classificação RESTREINT UE/EU RESTRICTED não podem ser deixados sem vigilância durante os intervalos da reunião.

3.   No final da reunião, deve ser recordado aos participantes e aos intérpretes que não devem deixar sem vigilância na sala quaisquer documentos classificados ou notas que tiverem tomado. Os documentos classificados ou as notas que não sejam levados pelos participantes no final da reunião devem ser recolhidos pelos organizadores e destruídos em destruidoras adequadas.

4.   Durante a reunião, deve ser elaborada a lista dos participantes e um resumo de quaisquer informações classificadas partilhadas com os Estados-Membros e comunicadas oralmente a países terceiros ou a organizações internacionais, a fim de serem registados nos resultados dos trabalhos.

Artigo 28.o

Intérpretes e tradutores

Só podem ter acesso a informações com classificação RESTREINT UE/EU RESTRICTED os intérpretes e tradutores cobertos pelo Estatuto do Pessoal ou pelo Regime Aplicável aos Outros Agentes da União Europeia ou que tenham uma relação contratual com a Comissão.

CAPÍTULO 5

PARTILHA E TROCA DE INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

Artigo 29.o

Consentimento da entidade de origem

Se a Comissão não for a entidade de origem das informações classificadas cuja comunicação ou partilha se pretende, ou do material de referência que possam conter, o serviço da Comissão que tem essas informações classificadas deve solicitar à entidade de origem o consentimento prévio por escrito para a sua comunicação. Se a entidade de origem não puder ser identificada, o serviço da Comissão que tem essas informações classificadas deve exercer o controlo enquanto entidade de origem.

Artigo 30.o

Partilha de informações com classificação RESTREINT UE/EU RESTRICTED com outras entidades da União

1.   As informações com classificação RESTREINT UE/EU RESTRICTED só devem ser partilhadas com outra instituição, órgão ou organismo da União se o destinatário tiver necessidade de tomar conhecimento das mesmas e se a entidade tiver um acordo jurídico correspondente com a Comissão.

2.   Na Comissão, o registo de ICUE gerido pelo Secretariado-Geral deve ser, regra geral, o principal ponto de entrada e de saída para os intercâmbios de informações classificadas com outras instituições, agências, organismos ou serviços da União. No entanto, as informações com classificação RESTREINT UE/EU RESTRICTED podem ser partilhadas diretamente com os destinatários previstos.

Artigo 31.o

Troca de informações com classificação RESTREINT UE/EU RESTRICTED com os Estados-Membros

1.   As informações com classificação RESTREINT UE/EU RESTRICTED podem ser partilhadas com os Estados-Membros se o destinatário tiver necessidade de tomar conhecimento das mesmas.

2.   As informações classificadas dos Estados-Membros que ostentem uma marca de classificação nacional equivalente (8) e tenham sido disponibilizadas à Comissão devem beneficiar do mesmo nível de proteção que as informações com classificação RESTREINT UE/EU RESTRICTED.

Artigo 32.o

Troca de informações com classificação RESTREINT UE/EU RESTRICTED com países terceiros e organizações internacionais

1.   As informações com classificação RESTREINT UE/EU RESTRICTED só podem ser comunicadas a países terceiros ou organizações internacionais se o destinatário tiver necessidade de tomar conhecimento das mesmas e se o país ou organização internacional dispuser de um quadro jurídico ou administrativo adequado, como por exemplo um acordo de segurança das informações ou um convénio administrativo com a Comissão. As disposições desses acordos ou convénios prevalecem sobre as disposições da presente decisão.

2.   Regra geral, o registo de ICUE gerido pelo Secretariado-Geral constitui o principal ponto de entrada e de saída de todas as informações com classificação RESTREINT UE/EU RESTRICTED trocadas entre a Comissão e países terceiros e organizações internacionais. A autoridade de segurança da Comissão deve ser consultada sempre que existam motivos de segurança, organizacionais ou operacionais que tornem mais adequado que os registos locais de ICUE funcionem como ponto de entrada e de saída nas matérias da competência do serviço em causa.

3.   A fim de assegurar a rastreabilidade, as informações com classificação RESTREINT UE/EU RESTRICTED devem ser registadas:

| — | quando chegam ou saem de uma entidade organizacional; e |
| --- | --- |

—

quando chegam ou saem de uma entidade organizacional; e

| — | quando chegam ou saem de um sistema de comunicação e informação; |
| --- | --- |

—

quando chegam ou saem de um sistema de comunicação e informação;

4.   Esse registo pode ser efetuado em papel ou em livros de registo eletrónicos.

5.   Os procedimentos de registo das informações classificadas manuseadas num sistema de comunicação e informação acreditado podem ser executados por processos internos do próprio sistema. Nesse caso, o sistema de comunicação e informação deve incluir medidas destinadas a garantir a integridade dos livros de registo.

6.   As informações classificadas recebidas de países terceiros ou de organizações internacionais devem beneficiar de um nível de proteção equivalente ao das ICUE que ostentem a marca de classificação equivalente, conforme previsto no respetivo acordo de segurança das informações ou convénio administrativo.

Artigo 33.o

Comunicação ad hoc excecional de informações com classificação RESTREINT UE/EU RESTRICTED

1.   Sempre que a Comissão ou um dos seus serviços determinar que existe uma necessidade excecional de comunicar informações com classificação RESTREINT UE/EU RESTRICTED a um país terceiro, uma organização internacional ou uma entidade da UE, mas não exista um acordo de segurança das informações ou um convénio administrativo, deve ser seguido o procedimento de comunicação ad hoc excecional.

2.   Os serviços da Comissão devem contactar a autoridade de segurança da Comissão, que consultará o Grupo de Peritos de Segurança da Comissão.

3.   Após consulta do Grupo de Peritos de Segurança da Comissão, a Comissão pode, com base numa proposta do membro da Comissão responsável pelas questões de segurança, autorizar a comunicação das informações em causa.

CAPÍTULO 6

FIM DE VIDA DAS INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

Artigo 34.o

Quando desclassificar

1.   As informações só permanecem classificadas enquanto necessitarem de proteção. A desclassificação significa que as informações deixam de ser consideradas classificadas. Aquando da produção de ICUE, a entidade de origem indica, sempre que possível, se as mesmas podem ser desclassificadas numa determinada data ou após um acontecimento concreto. Caso contrário, a entidade de origem deve reanalisar regularmente as informações com classificação RESTREINT UE/EU RESTRICTED para determinar se a sua classificação continua a justificar-se.

2.   As informações com classificação RESTREINT UE/EU RESTRICTED com origem na Comissão serão desclassificadas automaticamente passados trinta anos, em conformidade com o Regulamento (CEE, Euratom) n.o 354/83, com a redação que lhe foi dada pelo Regulamento (CE, Euratom) n.o 1700/2003 do Conselho (9), e em conformidade com o disposto no artigo 59.o, n.o 2, alínea a), da Decisão (UE, Euratom) 2015/444.

3.   Os documentos da Comissão também podem ser desclassificados numa base ad hoc, por exemplo na sequência de um pedido de acesso do público.

Artigo 35.o

Responsabilidade pela desclassificação

1.   As informações com classificação RESTREINT UE/EU RESTRICTED não podem ser desclassificadas sem a autorização da entidade de origem.

2.   O serviço da Comissão que cria um documento classificado é responsável por decidir se o mesmo pode ser desclassificado. Na Comissão, todos os pedidos de desclassificação devem ser submetidos à consulta do chefe de unidade ou do diretor do serviço de origem. Se o serviço tiver compilado informações classificadas provenientes de várias fontes, deve, em primeiro lugar, solicitar o consentimento das partes que tenham fornecido material de origem, incluindo os Estados-Membros, outros organismos da UE, países terceiros ou organizações internacionais.

3.   Se o serviço de origem da Comissão já não existir e as suas responsabilidades tiverem sido assumidas por outro serviço, a decisão de desclassificação deve ser tomada por este último. Se o serviço de origem já não existir e as suas responsabilidades tiverem sido assumidas por outro serviço, a decisão de desclassificação deve ser tomada conjuntamente pelos chefes de unidade ou os diretores das direções-gerais destinatárias.

Artigo 36.o

Informações sensíveis não classificadas

Sempre que da reanálise de um documento resultar a decisão de o desclassificar, deve ser ponderado se o documento deve ostentar a marca de distribuição «informações sensíveis não classificadas» na aceção do artigo 9.o da Decisão (UE, Euratom) 2015/443.

o

Artigo 37.o

Indicação de que um documento foi desclassificado

1.   A marca de classificação original na parte superior e inferior de cada página deve ser riscada de forma visível (não suprimida) utilizando a funcionalidade «riscado» no caso de formatos eletrónicos, ou de forma manual nos documentos impressos.

2.   A primeira página (capa) deve ostentar um carimbo que indique que o documento foi desclassificado e preenchida com os dados da autoridade responsável pela desclassificação e a data correspondente.

3.   Os destinatários originais das informações com classificação RESTREINT UE/EU RESTRICTED devem ser informados da desclassificação. Os destinatários iniciais são responsáveis por informar quaisquer destinatários subsequentes a quem tenham enviado as informações originais com classificação RESTREINT UE/EU RESTRICTED ou posto em cópia da sua remessa.

4.   O Serviço do Arquivo Histórico da União Europeia deve ser informado de todas as decisões de desclassificação tomadas.

5.   Todas as traduções de informações classificadas estão sujeitas aos mesmos procedimentos de desclassificação que a versão linguística original.

Artigo 38.o

Desclassificação parcial de informações com classificação RESTREINT UE/EU RESTRICTED

1.   Deve também ser possível proceder a uma desclassificação parcial (por exemplo, os anexos ou apenas determinados parágrafos). O procedimento deve ser idêntico ao da desclassificação de um documento na íntegra.

2.   Depois da desclassificação parcial («limpeza») de informações com classificação RESTREINT UE/EU RESTRICTED, deve ser produzido um extrato desclassificado.

3.   As partes que permaneçam classificadas devem ser substituídas pela menção:

| PARTE QUE NÃO DEVE SER DESCLASSIFICADA |
| --- |

PARTE QUE NÃO DEVE SER DESCLASSIFICADA

quer no corpo do próprio texto, se a parte que permanece classificada fizer parte de um parágrafo, quer como parágrafo, se a parte que permanece classificada for um parágrafo específico ou mais de um parágrafo.

4.   Se um anexo completo não puder ser desclassificado e, por conseguinte, tiver sido retirado do extrato, deve ser feita uma menção específica do facto no texto.

Artigo 39.o

Destruição e apagamento rotineiros de informações com classificação RESTREINT UE/EU RESTRICTED

1.   A Comissão não deve acumular grandes quantidades de informações classificadas.

2.   Os serviços de origem devem reanalisar periodicamente, a intervalos curtos, pequenas quantidades de informações para destruição ou apagamento. Devem ser reanalisadas periodicamente tanto as informações armazenadas em papel como as armazenadas em sistemas de comunicação e informação.

3.   O pessoal deve destruir ou apagar de forma segura quaisquer documentos classificados RESTREINT UE/EU RESTRICTED que deixem de ser necessários, sob reserva de eventuais requisitos de arquivo aplicáveis ao documento original.

4.   O pessoal não é obrigado a informar a entidade de origem da destruição ou supressão de cópias de documentos com classificação RESTREINT UE/EU RESTRICTED.

5.   Os projetos que contenham informações classificadas devem ser sujeitos aos mesmos métodos de eliminação que os documentos classificados finalizados.

6.   Só serão utilizadas destruidoras aprovadas para a destruição de documentos RESTREINT UE/EU RESTRICTED. As destruidoras de nível 4 DIN 32757 ou nível 5 DIN 66399 são adequadas para destruir documentos RESTREINT UE/EU RESTRICTED.

7.   As partículas das destruidoras aprovadas podem ser eliminadas como resíduos de escritório normais.

8.   Todos os suportes e dispositivos que contenham informações com classificação RESTREINT UE/EU RESTRICTED devem ser limpos de forma adequada quando chegam ao fim da sua vida útil. Os dados eletrónicos devem ser destruídos ou apagados dos recursos informáticos e dos suportes de armazenamento associados de uma forma que dê garantias razoáveis de que as informações não podem ser recuperadas. A limpeza deve eliminar os dados do dispositivo de armazenamento, bem como todos os rótulos, marcas e registos de atividade.

9.   Os suportes de dados informáticos devem ser entregues ao LSO ou ao Responsável Local da Segurança Informática e/ou ao responsável do controlo do registo para destruição e eliminação.

Artigo 40.o

Evacuação e destruição de informações com classificação RESTREINT UE/EU RESTRICTED em situações de emergência

1.   O chefe de departamento deve conceber, aprovar e, se necessário, ativar planos de evacuação e destruição de emergência para proteger as informações com classificação RESTREINT UE/EU RESTRICTED que corram um risco significativo de cair na posse de mãos não autorizadas durante uma crise. Por ordem de prioridade, e em função da natureza da situação de emergência, deve ser estudada a possibilidade de:

| 1) | Deslocar as ICUE para um local seguro alternativo, se possível uma Zona Administrativa ou de Segurança dentro do mesmo edifício; |
| --- | --- |

1)

Deslocar as ICUE para um local seguro alternativo, se possível uma Zona Administrativa ou de Segurança dentro do mesmo edifício;

| 2) | Levar as ICUE para um local seguro alternativo, se possível uma Zona Administrativa ou de Segurança noutro edifício, de preferência um edifício da Comissão; |
| --- | --- |

2)

Levar as ICUE para um local seguro alternativo, se possível uma Zona Administrativa ou de Segurança noutro edifício, de preferência um edifício da Comissão;

| 3) | Destruir as ICUE, utilizando, se possível, os meios de destruição aprovados. |
| --- | --- |

3)

Destruir as ICUE, utilizando, se possível, os meios de destruição aprovados.

2.   Quando tiverem sido ativados os planos de emergência, será dada prioridade à mudança ou à destruição das informações com níveis mais elevados.

3.   Os próprios dados operacionais dos planos de evacuação e de destruição de emergência devem ser classificados como RESTREINT UE/EU RESTRICTED.

Artigo 41.o

Arquivo

1.   As decisões de arquivar ou não e em que momento, bem como as medidas práticas correspondentes a tomar, devem ser conformes com a política da Comissão em matéria de gestão de documentos.

2.   Os documentos com classificação RESTREINT UE/EU RESTRICTED não devem ser enviados para o Arquivo Histórico da União Europeia em Florença.

CAPÍTULO 7

DISPOSIÇÕES FINAIS

Artigo 42.o

Transparência

A presente decisão é levada ao conhecimento do pessoal da Comissão e de todas as pessoas às quais se aplica, e é publicada no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Artigo 43.o

Entrada em vigor

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Feito em Bruxelas, em 17 de outubro de 2019.

Pela Comissão

Em nome do Presidente,

Günther OETTINGER

Membro da Comissão

---

(1)  
  JO L 72 de 17.3.2015, p. 41.

1

(2)  
  JO L 72 de 17.3.2015, p. 53.

2

(3)  
  JO L 6 de 11.1.2017, p. 40.

3

(4)  Decisão 2013/488/UE do Conselho, de 23 de setembro de 2013, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (JO L 274 de 15.10.2013, p. 1).

4

(5)  Decisão da Comissão de 4 de maio de 2016 relativa a uma habilitação relativa à segurança [C(2016) 2797 final].

5

(6)  Nos termos do artigo 3.o da Decisão (UE, Euratom) 2015/444, por informações com classificação RESTREINT UE/EU RESTRICTED entende-se «informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros».

6

o

(7)  Definidas no artigo 18.o da Decisão (UE, Euratom) 2015/444.

7

o

(8)  O quadro de equivalências das marcas dos Estados-Membros figura no anexo I da Decisão (UE, Euratom) 2015/444.

8

(9)  Regulamento (CE, Euratom) n.o 1700/2003 do Conselho, de 22 de setembro de 2003, que altera o Regulamento (CEE, Euratom) n.o 354/83 relativo à abertura ao público dos arquivos históricos da Comunidade Económica Europeia e da Comunidade Europeia da Energia Atómica (JO L 243 de 27.9.2003, p. 1).

9

o

o

---

ANEXO

Categorias de pessoal que podem ter acesso a informações com classificação RESTREINT UE/EU RESTRICTED se delas tiverem necessidade para o desempenho das suas tarefas profissionais

| Categorias de pessoal da Comissão | Acesso às informações R-UE/EU-R | Condições |
| --- | --- | --- |
| Funcionários | Sim | Instruções + reconhecimento + necessidade de tomar conhecimento |
| Agentes temporários | Sim | Instruções + reconhecimento + necessidade de tomar conhecimento |
| Agentes contratuais | Sim | Instruções + reconhecimento + necessidade de tomar conhecimento |
| Peritos nacionais destacados (PND) | Sim | Instruções (pela Comissão) + reconhecimento + necessidade de tomar conhecimento |
| Estagiários | Não | Nenhuma exceção possível |
| Qualquer outra categoria de pessoal (pessoal temporário, pessoal externo que trabalha nas instalações da Comissão, etc.) | Não | Consultar a autoridade de segurança da Comissão para eventuais exceções |

Categorias de pessoal da Comissão

Acesso às informações R-UE/EU-R

Condições

Funcionários

Sim

Instruções + reconhecimento + necessidade de tomar conhecimento

Agentes temporários

Sim

Instruções + reconhecimento + necessidade de tomar conhecimento

Agentes contratuais

Sim

Instruções + reconhecimento + necessidade de tomar conhecimento

Peritos nacionais destacados (PND)

Sim

Instruções (pela Comissão) + reconhecimento + necessidade de tomar conhecimento

Estagiários

Não

Nenhuma exceção possível

Qualquer outra categoria de pessoal (pessoal temporário, pessoal externo que trabalha nas instalações da Comissão, etc.)

Não

Consultar a autoridade de segurança da Comissão para eventuais exceções

---

| 2.12.2019 | PT | Jornal Oficial da União Europeia | L 311/37 |
| --- | --- | --- | --- |

2.12.2019

PT

Jornal Oficial da União Europeia

L 311/37

---

DECISÃO (UE, Euratom) 2019/1963 DA COMISSÃO

de 17 de outubro de 2019

que estabelece regras de execução relativas à segurança industrial no que respeita aos contratos públicos classificados

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o,

Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.o,

Tendo em conta a Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (1),

Tendo em conta a Decisão (UE, Euratom) 2015/444 da Comissão, de 13 de março de 2015, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (2),

Tendo em conta a Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (3),

Após consulta do Grupo de Peritos de Segurança da Comissão, em conformidade com o artigo 41.o, n.o 5, da Decisão (UE, Euratom) 2015/444,

Considerando o seguinte:

| (1) | Os artigos 41.o, 42.o, 47.o e 48.o da Decisão (UE, Euratom) 2015/444 preveem que sejam estabelecidas disposições mais pormenorizadas para complementar e apoiar o capítulo 6 da referida decisão na aplicação das regras em matéria de segurança industrial, que regem questões como os concursos, a celebração de contratos classificados, a credenciação de segurança da empresa, a credenciação de segurança do pessoal, as visitas e a transmissão e o transporte de informações classificadas da União Europeia (ICUE). |
| --- | --- |

(1)

Os artigos 41.o, 42.o, 47.o e 48.o da Decisão (UE, Euratom) 2015/444 preveem que sejam estabelecidas disposições mais pormenorizadas para complementar e apoiar o capítulo 6 da referida decisão na aplicação das regras em matéria de segurança industrial, que regem questões como os concursos, a celebração de contratos classificados, a credenciação de segurança da empresa, a credenciação de segurança do pessoal, as visitas e a transmissão e o transporte de informações classificadas da União Europeia (ICUE).

| (2) | A Decisão (UE, Euratom) 2015/444 estabelece que os contratos classificados devem ser executados em estreita cooperação com a autoridade nacional de segurança, a autoridade de segurança designada ou qualquer outra autoridade competente do Estado-Membro em causa; os Estados-Membros acordaram garantir que qualquer entidade sob a sua jurisdição que possa receber ou gerar informações classificadas originárias da Comissão possua credenciação de segurança ao nível adequado e seja capaz de providenciar uma proteção adequada equivalente à estabelecida nas regras de segurança do Conselho da União Europeia aplicáveis à proteção das informações classificadas da UE que ostentem uma marca de classificação correspondente, tal como estabelecido no Acordo entre os Estados-Membros da União Europeia, reunidos no Conselho, sobre a proteção das informações classificadas trocadas no interesse da União Europeia (2011/C 202/05) (4). |
| --- | --- |

(2)

A Decisão (UE, Euratom) 2015/444 estabelece que os contratos classificados devem ser executados em estreita cooperação com a autoridade nacional de segurança, a autoridade de segurança designada ou qualquer outra autoridade competente do Estado-Membro em causa; os Estados-Membros acordaram garantir que qualquer entidade sob a sua jurisdição que possa receber ou gerar informações classificadas originárias da Comissão possua credenciação de segurança ao nível adequado e seja capaz de providenciar uma proteção adequada equivalente à estabelecida nas regras de segurança do Conselho da União Europeia aplicáveis à proteção das informações classificadas da UE que ostentem uma marca de classificação correspondente, tal como estabelecido no Acordo entre os Estados-Membros da União Europeia, reunidos no Conselho, sobre a proteção das informações classificadas trocadas no interesse da União Europeia (2011/C 202/05) (4).

| (3) | O Conselho, a Comissão e a Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo simultaneamente em consideração as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (5) relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE. |
| --- | --- |

(3)

O Conselho, a Comissão e a Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo simultaneamente em consideração as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (5) relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE.

| (4) | Por conseguinte, as regras de execução da Comissão em matéria de segurança industrial no que diz respeito aos contratos classificados devem também assegurar a máxima coerência e ter em conta as orientações sobre segurança industrial aprovadas pelo Comité de Segurança do Conselho em 13 de dezembro de 2016 e os artigos 7.o e 22.o da Diretiva 2009/81/CE do Parlamento Europeu e do Conselho (6). |
| --- | --- |

(4)

Por conseguinte, as regras de execução da Comissão em matéria de segurança industrial no que diz respeito aos contratos classificados devem também assegurar a máxima coerência e ter em conta as orientações sobre segurança industrial aprovadas pelo Comité de Segurança do Conselho em 13 de dezembro de 2016 e os artigos 7.o e 22.o da Diretiva 2009/81/CE do Parlamento Europeu e do Conselho (6).

| (5) | Em 4 de maio de 2016, a Comissão adotou uma decisão (7) que habilita o Membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444, |
| --- | --- |

(5)

Em 4 de maio de 2016, a Comissão adotou uma decisão (7) que habilita o Membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Objeto e âmbito de aplicação

1.   A presente decisão estabelece regras de execução em matéria de segurança industrial no que respeita a contratos públicos classificados com vista a apoiar a aplicação da Decisão (UE, Euratom) 2015/444, nomeadamente o capítulo 6 da mesma.

2.   A presente decisão estabelece requisitos específicos que visam assegurar a proteção das informações classificadas da UE (ICUE) pelos operadores económicos na fase pré-contratual e ao longo do ciclo de vida dos contratos classificados celebrados pela Comissão Europeia, bem como em subcontratos celebrados por contratantes da Comissão.

3.   A presente decisão diz respeito a informações classificadas nos seguintes níveis:

| a) | RESTREINT UE/EU RESTRICTED; |
| --- | --- |

a)

RESTREINT UE/EU RESTRICTED;

| b) | CONFIDENTIEL UE/EU CONFIDENTIAL; |
| --- | --- |

b)

CONFIDENTIEL UE/EU CONFIDENTIAL;

| c) | SECRET UE/EU SECRET. |
| --- | --- |

c)

SECRET UE/EU SECRET.

Artigo 2.o

Responsabilidade no seio da Comissão

1.   Como parte das responsabilidades descritas no Regulamento Financeiro (8), cada gestor orçamental da entidade adjudicante da Comissão assegura que o contrato classificado remeta para as normas mínimas de segurança industrial estabelecidas no capítulo 6 da Decisão (UE, Euratom) 2015/444 e nas presentes regras de execução e, quando adequado, no anúncio de concurso ou no convite à apresentação de propostas, e que essas normas sejam cumpridas durante a execução.

2.   Para o efeito, o gestor orçamental competente solicita, em todas as fases, o parecer da autoridade de segurança da Comissão sobre questões relacionadas com os elementos de segurança do contrato, programa ou projeto classificado e informa o responsável local de segurança sobre os contratos celebrados. A decisão sobre o nível de classificação de assuntos específicos incumbe à entidade adjudicante e deve ser tido em devida consideração o Guia da Classificação de Segurança.

3.   Respeitando os requisitos das presentes regras de execução, a autoridade de segurança da Comissão coopera estreitamente com as autoridades nacionais de segurança (ANS) e as autoridades de segurança designadas (ASD) dos Estados-Membros em causa, nomeadamente no que diz respeito à credenciação de segurança da empresa (CSE) e à credenciação de segurança do pessoal (CSP), aos procedimentos de visita e aos planos de transporte.

CAPÍTULO 2

TRATAMENTO DOS CONVITES À APRESENTAÇÃO DE PROPOSTAS PARA CONTRATOS CLASSIFICADOS

Artigo 3.o

Princípios básicos

1.   Os contratos classificados são adjudicados apenas a operadores económicos registados num Estado-Membro, ou a operadores económicos registados num país terceiro ou estabelecidos por uma organização internacional, desde que esse país terceiro ou organização internacional tenha celebrado um acordo de segurança das informações com a União Europeia ou celebrado um convénio administrativo com a Comissão (9).

2.   Antes de publicar um convite à apresentação de propostas para um contrato classificado, a entidade adjudicante determina a classificação de segurança de quaisquer informações que possam ser fornecidas aos proponentes. A entidade adjudicante determina igualmente a classificação de segurança máxima de todas as informações geradas no desempenho do contrato, programa ou projeto ou, pelo menos, o volume e o tipo de informações que previsivelmente serão gerados ou manuseados e a necessidade de um sistema de comunicação e informação (SCI) classificado.

3.   A entidade adjudicante assegura que os anúncios de concurso relativos a contratos classificados fornecem informações sobre as obrigações de segurança especiais relacionadas com as informações classificadas. O anexo I apresenta um exemplo de modelo das informações para os anúncios de concurso.

4.   A entidade adjudicante assegura que as informações com a classificação RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET só são divulgadas aos proponentes depois de estes terem assinado um acordo de não divulgação que obrigue os proponentes a manusear e proteger as ICUE de acordo com o disposto na Decisão (UE, Euratom) 2015/444 e nas suas regras de execução.

5.   Todos os contratantes que tenham de proceder ao manuseamento ou armazenamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas suas instalações, quer durante a execução do próprio contrato classificado quer na fase pré-contratual, devem ter uma CSE ao nível exigido. São seguidamente enumerados os três cenários que poderão surgir durante a fase de adjudicação de um contrato classificado de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET:

| a) | Nenhum acesso a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET durante a fase de concurso:
  Se o anúncio de concurso ou o convite à apresentação de propostas disser respeito a um contrato que envolva ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, mas não exija que o proponente manuseie essas informações na fase de concurso, um proponente que não tenha uma CSE ao nível exigido não será excluído do processo de concurso por este facto. |
| --- | --- |

a)

Nenhum acesso a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET durante a fase de concurso:

Se o anúncio de concurso ou o convite à apresentação de propostas disser respeito a um contrato que envolva ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, mas não exija que o proponente manuseie essas informações na fase de concurso, um proponente que não tenha uma CSE ao nível exigido não será excluído do processo de concurso por este facto.

| b) | Acesso a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações da entidade adjudicante durante a fase de concurso:
  É concedido acesso aos proponentes que tenham uma CSP ao nível exigido e que tenham necessidade de tomar conhecimento. Antes de conceder esse acesso, a entidade adjudicante verifica, por intermédio da autoridade de segurança da Comissão, com a respetiva ANS/ASD se nesta fase é também necessária uma CSE ao abrigo das disposições legislativas e regulamentares nacionais. |
| --- | --- |

b)

Acesso a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações da entidade adjudicante durante a fase de concurso:

É concedido acesso aos proponentes que tenham uma CSP ao nível exigido e que tenham necessidade de tomar conhecimento. Antes de conceder esse acesso, a entidade adjudicante verifica, por intermédio da autoridade de segurança da Comissão, com a respetiva ANS/ASD se nesta fase é também necessária uma CSE ao abrigo das disposições legislativas e regulamentares nacionais.

| c) | Manuseamento ou armazenamento de ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações do proponente durante a fase de concurso:
  Se o anúncio de concurso ou o convite à apresentação de propostas estabelecer que os proponentes procedam ao manuseamento e armazenamento de ICUE nas suas instalações, os proponentes devem ter uma CSE ao nível exigido. Em tais circunstâncias, a entidade adjudicante obtém, por intermédio da autoridade de segurança da Comissão, uma garantia da ANS/ASD competente de que foi concedida ao proponente uma CSE adequada. É concedido acesso aos proponentes que tenham uma CSP ao nível exigido e que tenham necessidade de tomar conhecimento. |
| --- | --- |

c)

Manuseamento ou armazenamento de ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações do proponente durante a fase de concurso:

Se o anúncio de concurso ou o convite à apresentação de propostas estabelecer que os proponentes procedam ao manuseamento e armazenamento de ICUE nas suas instalações, os proponentes devem ter uma CSE ao nível exigido. Em tais circunstâncias, a entidade adjudicante obtém, por intermédio da autoridade de segurança da Comissão, uma garantia da ANS/ASD competente de que foi concedida ao proponente uma CSE adequada. É concedido acesso aos proponentes que tenham uma CSP ao nível exigido e que tenham necessidade de tomar conhecimento.

6.   Em princípio, não é exigida uma CSE para o acesso a informações RESTREINT UE/EU RESTRICTED, quer na fase de concurso, quer na fase de execução do contrato. Nos casos em que os Estados-Membros exijam uma CSE para contratos ou subcontratos de nível RESTREINT UE/EU RESTRICTED ao abrigo das respetivas disposições legislativas e regulamentares nacionais, conforme enumerado no anexo IV, esses requisitos nacionais não devem impor obrigações adicionais a outros Estados-Membros nem excluir proponentes, contratantes ou subcontratantes de Estados-Membros que não tenham tais requisitos para o acesso a informações RESTREINT UE/EU RESTRICTED decorrentes de contratos/subcontratos conexos ou de um concurso para esse efeito. Estes contratos devem ser executados nos Estados-Membros em conformidade com as respetivas disposições legislativas e regulamentares nacionais.

7.   Quando é necessária uma CSE para a execução de um contrato classificado, a entidade adjudicante apresenta, por intermédio da autoridade de segurança da Comissão, um pedido à ANS/ASD do contratante, utilizando uma ficha de informação de credenciação de segurança da empresa (FICSE). O anexo III, apêndice D, apresenta um exemplo de FICSE (10). O contrato classificado só é adjudicado após a ANS/ASD do contratante ter confirmado a CSE do proponente. A resposta a uma FICSE é dada, na medida do possível, no prazo de dez dias úteis a contar da data do pedido.

Artigo 4.o

Subcontratação em contratos classificados

1.   As condições em que um contratante ao qual foi adjudicado um contrato classificado da Comissão pode proceder a subcontratação são definidas no convite à apresentação de propostas e na documentação do contrato. Nos casos em que o contrato classificado permite a subcontratação de algumas das suas partes, essa subcontratação está sujeita a uma autorização prévia escrita da entidade adjudicante. Antes de dar a sua aprovação, a entidade adjudicante consulta a autoridade de segurança da Comissão.

2.   Os contratos classificados são subcontratados apenas a operadores económicos registados num Estado-Membro, ou a operadores económicos registados num país terceiro ou estabelecidos por uma organização internacional desde que esse país terceiro ou organização internacional tenha celebrado um acordo de segurança das informações com a UE ou celebrado um convénio administrativo com a Comissão (11).

CAPÍTULO 3

CELEBRAÇÃO DE CONTRATOS CLASSIFICADOS DA COMISSÃO

Artigo 5.o

Princípios básicos

1.   Quando da celebração de um contrato classificado, a entidade adjudicante, juntamente com a autoridade de segurança da Comissão, assegura que as obrigações do contratante em matéria de proteção das ICUE facultadas a esse contratante ou geradas na execução do contrato façam parte integrante do contrato. Os requisitos de segurança específicos do contrato assumem a forma de cláusulas adicionais de segurança (CAS). O anexo III contém um exemplo de modelo de CAS.

2.   Antes de assinar um contrato classificado, a entidade adjudicante elabora, após consulta da autoridade de segurança da Comissão, um Guia da Classificação de Segurança (GCS) para as tarefas a executar e as informações geradas na execução do contrato, ou a nível do programa ou do projeto, quando aplicável. O GCS faz parte das CAS.

3.   Os requisitos de segurança específicos do programa ou do projeto assumem a forma de instruções de segurança do programa (ou projeto) (ISP). As ISP podem ser elaboradas com base nas disposições do modelo de CAS que figura no anexo III. As ISP são elaboradas pelo serviço da Comissão responsável pela gestão do programa ou projeto, em estreita cooperação com a autoridade de segurança da Comissão, e submetidas a parecer ao Grupo de Peritos de Segurança da Comissão. Quando um contrato faz parte de um programa ou projeto com as suas próprias ISP, as CAS do contrato assumem uma forma simplificada e incluem uma referência às disposições de segurança estabelecidas nas ISP do programa ou projeto.

4.   A entidade adjudicante é considerada a entidade de origem das informações classificadas criadas e manuseadas para a execução do contrato.

5.   A entidade adjudicante, por intermédio da autoridade de segurança da Comissão, notifica as ANS/ASD de todos os contratantes e subcontratantes da celebração de contratos ou subcontratos classificados e de eventuais prorrogações ou cessações antecipadas dos mesmos. O anexo IV apresenta uma lista dos requisitos nacionais.

6.   Os contratos que envolvam informações com classificação RESTREINT UE/EU RESTRICTED incluem uma cláusula contratual de segurança que torna as disposições estabelecidas no anexo III, apêndice E, vinculativas para o contratante. Esses contratos incluem CAS que estabelecem, no mínimo, os requisitos para o manuseamento de informações RESTREINT UE/EU RESTRICTED, incluindo aspetos relacionados com a garantia da informação e requisitos específicos a cumprir pelo contratante por delegação da entidade adjudicante para a acreditação do SCI do contratante responsável pelo manuseamento de informações RESTREINT UE/EU RESTRICTED.

7.   No caso de serem fornecidas informações RESTREINT UE/EU RESTRICTED a proponentes ou potenciais contratantes, os requisitos mínimos referidos no n.o 6 são incluídos nas propostas ou em acordos de não divulgação relevantes celebrados na fase de concurso.

8.   Quando tal é exigido pelas disposições legislativas e regulamentares nacionais dos Estados-Membros, as ANS/ASD asseguram que os contratantes ou subcontratantes sob a sua jurisdição cumpram as disposições de segurança aplicáveis à proteção de informações RESTREINT UE/EU RESTRICTED e efetuem visitas de verificação às instalações dos contratantes situadas no seu território. Se a ANS/ASD não tiver essa obrigação, a entidade adjudicante assegura que o contratante aplica as disposições de segurança estabelecidas no anexo III.

Artigo 6.o

Acesso a ICUE pelo pessoal dos contratantes e subcontratantes

1.   O serviço da Comissão, enquanto entidade adjudicante, assegura que os contratos classificados incluam disposições que indiquem que só será concedido acesso a ICUE ao pessoal de um contratante ou subcontratante que, para a execução do contrato ou subcontrato classificado, tenha necessidade desse acesso, se:

| a) | Tiver sido estabelecido que estes têm necessidade de tomar conhecimento; |
| --- | --- |

a)

Tiver sido estabelecido que estes têm necessidade de tomar conhecimento;

| b) | Para informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, lhes tiver sido concedida uma CSP ao nível relevante pela ANS/ASD ou por qualquer outra autoridade de segurança competente; |
| --- | --- |

b)

Para informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, lhes tiver sido concedida uma CSP ao nível relevante pela ANS/ASD ou por qualquer outra autoridade de segurança competente;

| c) | Estes tiverem sido informados das regras de segurança aplicáveis à proteção de ICUE e tiverem reconhecido as suas responsabilidades no que respeita à proteção dessas informações. |
| --- | --- |

c)

Estes tiverem sido informados das regras de segurança aplicáveis à proteção de ICUE e tiverem reconhecido as suas responsabilidades no que respeita à proteção dessas informações.

2.   Se o contratante ou subcontratante pretender contratar um nacional de um país terceiro para um lugar que implique o acesso a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, cabe ao contratante ou subcontratante iniciar o procedimento de credenciação de segurança dessa pessoa, em conformidade com as disposições legislativas e regulamentares nacionais aplicáveis no local onde o acesso às ICUE deve ser concedido.

CAPÍTULO 4

VISITAS ASSOCIADAS A CONTRATOS CLASSIFICADOS

Artigo 7.o

Princípios básicos

1.   Quando a Comissão, os contratantes ou os subcontratantes precisam de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações uns dos outros para a execução de um contrato classificado, devem ser organizadas visitas em ligação com as ANS/ASD ou quaisquer outras autoridades de segurança competentes a que o assunto diga respeito.

2.   As visitas referidas no n.o 1 estão sujeitas aos seguintes requisitos:

| a) | A visita deve ter uma finalidade oficial relacionada com um contrato classificado celebrado pela Comissão; |
| --- | --- |

a)

A visita deve ter uma finalidade oficial relacionada com um contrato classificado celebrado pela Comissão;

| b) | Os visitantes devem ter uma CSP ao nível exigido e ter necessidade de tomar conhecimento de tais informações, a fim de terem acesso a ICUE fornecidas ou geradas na execução de um contrato classificado celebrado pela Comissão. |
| --- | --- |

b)

Os visitantes devem ter uma CSP ao nível exigido e ter necessidade de tomar conhecimento de tais informações, a fim de terem acesso a ICUE fornecidas ou geradas na execução de um contrato classificado celebrado pela Comissão.

Artigo 8.o

Pedidos de visita

1.   As visitas dos contratantes a instalações de outros contratantes, ou a instalações da Comissão, que impliquem o acesso a informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser organizadas de acordo com o seguinte procedimento:

| a) | O responsável de segurança da instalação que envia o visitante deve preencher todas as partes relevantes do formulário de pedido de visita (PDV) e apresentar o pedido à ANS/ASD da instalação. O modelo de formulário PDV consta do anexo III, apêndice C; |
| --- | --- |

a)

O responsável de segurança da instalação que envia o visitante deve preencher todas as partes relevantes do formulário de pedido de visita (PDV) e apresentar o pedido à ANS/ASD da instalação. O modelo de formulário PDV consta do anexo III, apêndice C;

| b) | A ANS/ASD da instalação de envio tem de confirmar a CSP do visitante antes de apresentar o PDV à ANS/ASD da instalação de acolhimento (ou à autoridade de segurança da Comissão, se a visita for efetuada a instalações da Comissão); |
| --- | --- |

b)

A ANS/ASD da instalação de envio tem de confirmar a CSP do visitante antes de apresentar o PDV à ANS/ASD da instalação de acolhimento (ou à autoridade de segurança da Comissão, se a visita for efetuada a instalações da Comissão);

| c) | O responsável de segurança da instalação de envio obtém então da sua ANS/ASD a resposta da ANS/ASD da instalação de acolhimento (ou da autoridade de segurança da Comissão), aceitando ou recusando o PDV e |
| --- | --- |

c)

O responsável de segurança da instalação de envio obtém então da sua ANS/ASD a resposta da ANS/ASD da instalação de acolhimento (ou da autoridade de segurança da Comissão), aceitando ou recusando o PDV e

| d) | O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita. |
| --- | --- |

d)

O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita.

2.   As visitas de funcionários da Comissão a instalações dos contratantes que impliquem o acesso a informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser organizadas de acordo com o seguinte procedimento:

| a) | O visitante deve preencher todas as partes relevantes do formulário de PDV e apresentá-lo à autoridade de segurança da Comissão; |
| --- | --- |

a)

O visitante deve preencher todas as partes relevantes do formulário de PDV e apresentá-lo à autoridade de segurança da Comissão;

| b) | A autoridade de segurança da Comissão confirma a CSP do visitante antes de submeter o PDV à ANS/ASD da instalação de acolhimento; |
| --- | --- |

b)

A autoridade de segurança da Comissão confirma a CSP do visitante antes de submeter o PDV à ANS/ASD da instalação de acolhimento;

| c) | A autoridade de segurança da Comissão obtém uma resposta da ANS/ASD da instalação de acolhimento, autorizando ou recusando o PDV; |
| --- | --- |

c)

A autoridade de segurança da Comissão obtém uma resposta da ANS/ASD da instalação de acolhimento, autorizando ou recusando o PDV;

| d) | O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita. |
| --- | --- |

d)

O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita.

3.   Um PDV pode abranger uma única visita ou visitas recorrentes. No caso de visitas recorrentes, o PDV pode ser válido, no máximo, até um ano a contar da data de início solicitada.

4.   O período de validade do PDV não pode exceder o período de validade da CSP do visitante.

5.   Regra geral, o PDV é apresentado à autoridade de segurança competente da instalação de acolhimento pelo menos 15 dias úteis antes da data da visita.

Artigo 9.o

Procedimentos relativos a visitas

1.   Antes de autorizar o acesso do visitante a ICUE, o responsável de segurança da instalação de acolhimento deve cumprir todos os procedimentos e regras de segurança relativos a visitas estabelecidos pela sua ANS/ASD.

2.   Os visitantes devem comprovar a sua identidade ao chegar à instalação de acolhimento mediante a apresentação do bilhete de identidade ou passaporte válido. Essas informações de identificação devem corresponder às informações fornecidas no PDV.

3.   A instalação de acolhimento deve assegurar que sejam mantidos registos de todos os visitantes, incluindo os seus nomes, a organização que representam, a data de termo da CSP, a data da visita e os nomes das pessoas visitadas. Esses registos devem ser conservados por um período mínimo de cinco anos, ou mais se tal for exigido pelas regras e regulamentos nacionais do país onde está situada a instalação de acolhimento.

Artigo 10.o

Visitas organizadas diretamente

1.   No contexto de projetos específicos, as ANS/ASD competentes e a autoridade de segurança da Comissão podem acordar um procedimento ao abrigo do qual as visitas no âmbito de um contrato classificado específico podem ser organizadas diretamente entre o responsável de segurança do visitante e o responsável de segurança da instalação a visitar. O modelo do formulário a utilizar para este efeito é apresentado no anexo III, apêndice C. Este procedimento excecional é estabelecido nas ISP ou noutras disposições específicas. Nesses casos, não se aplicam os procedimentos estabelecidos no artigo 8.o e no artigo 9.o, n.o 1.

2.   As visitas que impliquem o acesso a informações com classificação RESTREINT UE/EU RESTRICTED devem ser organizadas diretamente entre a entidade de envio e a entidade de acolhimento, sem necessidade de seguir os procedimentos estabelecidos no artigo 8.o e no artigo 9.o, n.o 1.

CAPÍTULO 5

TRANSMISSÃO E TRANSPORTE DE ICUE NA EXECUÇÃO DE CONTRATOS CLASSIFICADOS

Artigo 11.o

Princípios básicos

A entidade adjudicante assegura que todas as decisões relacionadas com a transferência e o transporte de ICUE estão conformes com a Decisão (UE, Euratom) 2015/444 e com as suas regras de execução, bem como com as condições do contrato classificado, incluindo o consentimento da entidade de origem.

Artigo 12.o

Tratamento em formato eletrónico

1.   O tratamento e a transmissão eletrónicas de ICUE processam-se nos termos estabelecidos nos capítulos 5 e 6 da Decisão (UE, Euratom) 2015/444 e nas suas regras de execução.

Os sistemas de comunicação e informação que sejam propriedade de um contratante e utilizados para tratamento de ICUE na execução do contrato («SCI do contratante») estão sujeitos a acreditação pela autoridade de acreditação de segurança (AAS) responsável. Todas as transmissões eletrónicas de ICUE devem ser protegidas por produtos criptográficos aprovados nos termos do artigo 36.o, n.o 4, da Decisão (UE, Euratom) 2015/444. Devem ser aplicadas medidas TEMPEST em conformidade com o artigo 36.o, n.o 6, da referida decisão.

2.   A acreditação de segurança do SCI do contratante que trata ICUE ao nível de classificação RESTREINT UE/EU RESTRICTED e qualquer interligação do mesmo pode ser delegada no responsável de segurança de um contratante, se tal for permitido pelas disposições legislativas e regulamentares nacionais. Quando essa tarefa é delegada, o contratante é responsável pela aplicação dos requisitos mínimos de segurança descritos nas CAS ao tratar informações com a classificação RESTREINT UE/EU RESTRICTED no seu SCI. No entanto, as ANS/ASD e AAS competentes continuam a ser responsáveis pela proteção das informações RESTREINT UE/EU RESTRICTED tratadas pelo contratante e a ter o direito de inspecionar as medidas de segurança tomadas pelos contratantes. Além disso, o contratante deve fornecer à entidade adjudicante e, se as disposições legislativas e regulamentares nacionais o exigirem, à AAS nacional competente, uma declaração de conformidade certificando que o SCI do contratante e as interligações conexas foram acreditados para o tratamento de ICUE ao nível RESTREINT UE/EU RESTRICTED (12).

Artigo 13.o

Transporte por serviços comerciais de estafeta

O transporte de ICUE por serviços comerciais de estafeta obedece às disposições relevantes das decisões da Comissão relativas às regras de execução aplicáveis ao manuseamento de informações com a classificação RESTREINT UE/EU RESTRICTED e CONFIDENTIEL UE/EU CONFIDENTIAL.

Artigo 14.o

Transporte em mão própria

1.   O transporte em mão própria de informações classificadas está sujeito a requisitos de segurança rigorosos.

2.   As informações RESTREINT UE/EU RESTRICTED podem ser transportadas por pessoal do contratante dentro da UE, desde que sejam cumpridos os seguintes requisitos:

| a) | O sobrescrito ou embalagem utilizado é opaco e não contém qualquer indicação sobre a classificação do seu conteúdo; |
| --- | --- |

a)

O sobrescrito ou embalagem utilizado é opaco e não contém qualquer indicação sobre a classificação do seu conteúdo;

| b) | As informações classificadas não saem das mãos do portador; |
| --- | --- |

b)

As informações classificadas não saem das mãos do portador;

| c) | O sobrescrito ou embalagem não é aberto durante o percurso. |
| --- | --- |

c)

O sobrescrito ou embalagem não é aberto durante o percurso.

3.   Para informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, o transporte em mão própria por pessoal do contratante num Estado-Membro da UE é organizado com antecedência entre a entidade expedidora e a entidade recetora. A autoridade ou instalação expedidora informa a autoridade ou instalação recetora dos dados relativos à remessa, incluindo a referência, a classificação, a hora prevista de chegada e o nome do serviço de estafeta. É permitido esse transporte em mão própria, desde que sejam cumpridos os seguintes requisitos:

| a) | As informações classificadas são transportadas num duplo sobrescrito ou embalagem; |
| --- | --- |

a)

As informações classificadas são transportadas num duplo sobrescrito ou embalagem;

| b) | O sobrescrito ou embalagem exterior está protegido e não contém qualquer indicação sobre a classificação do seu conteúdo, devendo o sobrescrito interior indicar o nível de classificação; |
| --- | --- |

b)

O sobrescrito ou embalagem exterior está protegido e não contém qualquer indicação sobre a classificação do seu conteúdo, devendo o sobrescrito interior indicar o nível de classificação;

| c) | As ICUE não saem das mãos do portador; |
| --- | --- |

c)

As ICUE não saem das mãos do portador;

| d) | O sobrescrito ou embalagem não é aberto durante o percurso. |
| --- | --- |

d)

O sobrescrito ou embalagem não é aberto durante o percurso.

| e) | O sobrescrito ou embalagem é transportado numa pasta que possa ser fechada à chave ou num contentor aprovado similar com tamanho e peso semelhantes, que possa ser mantido permanentemente na posse do portador e não ser enviado para um compartimento de bagagens; |
| --- | --- |

e)

O sobrescrito ou embalagem é transportado numa pasta que possa ser fechada à chave ou num contentor aprovado similar com tamanho e peso semelhantes, que possa ser mantido permanentemente na posse do portador e não ser enviado para um compartimento de bagagens;

| f) | O estafeta está munido de um certificado de estafeta emitido pela respetiva autoridade de segurança competente que o autoriza a transportar a remessa classificada conforme identificada. |
| --- | --- |

f)

O estafeta está munido de um certificado de estafeta emitido pela respetiva autoridade de segurança competente que o autoriza a transportar a remessa classificada conforme identificada.

4.   Para o transporte em mão, efetuado por pessoal do contratante, de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET de um Estado-Membro da UE para outro, são aplicáveis as seguintes regras adicionais:

| a) | O estafeta é responsável pela guarda em segurança do material classificado transportado até à sua entrega ao destinatário; |
| --- | --- |

a)

O estafeta é responsável pela guarda em segurança do material classificado transportado até à sua entrega ao destinatário;

| b) | Em caso de violação da segurança, a ANS/ASD do expedidor pode solicitar que as autoridades do país em que se verificou a violação de segurança proceda a uma investigação, comunique as suas constatações e tome as medidas legais ou outras, conforme adequado; |
| --- | --- |

b)

Em caso de violação da segurança, a ANS/ASD do expedidor pode solicitar que as autoridades do país em que se verificou a violação de segurança proceda a uma investigação, comunique as suas constatações e tome as medidas legais ou outras, conforme adequado;

| c) | O estafeta está informado de todas as obrigações de segurança a observar durante o transporte e assinou uma declaração adequada; |
| --- | --- |

c)

O estafeta está informado de todas as obrigações de segurança a observar durante o transporte e assinou uma declaração adequada;

| d) | As instruções destinadas ao estafeta estão apensas ao certificado de estafeta; |
| --- | --- |

d)

As instruções destinadas ao estafeta estão apensas ao certificado de estafeta;

| e) | O estafeta recebeu uma descrição da remessa e um itinerário; |
| --- | --- |

e)

O estafeta recebeu uma descrição da remessa e um itinerário;

| f) | Os documentos são devolvidos à ANS/ASD emissora no termo da ou das deslocações ou mantidos à disposição pelo destinatário para fins de controlo; |
| --- | --- |

f)

Os documentos são devolvidos à ANS/ASD emissora no termo da ou das deslocações ou mantidos à disposição pelo destinatário para fins de controlo;

| g) | Caso as autoridades aduaneiras ou de imigração ou a polícia de fronteiras solicitem o exame e a inspeção da remessa, estas são autorizadas a abrir e a examinar partes suficientes da remessa que lhes permitam determinar que esta não contém outro material para além do declarado; |
| --- | --- |

g)

Caso as autoridades aduaneiras ou de imigração ou a polícia de fronteiras solicitem o exame e a inspeção da remessa, estas são autorizadas a abrir e a examinar partes suficientes da remessa que lhes permitam determinar que esta não contém outro material para além do declarado;

| h) | As autoridades aduaneiras são instadas a respeitar a autoridade oficial dos documentos de expedição e dos documentos de autorização transportados pelo estafeta. |
| --- | --- |

h)

As autoridades aduaneiras são instadas a respeitar a autoridade oficial dos documentos de expedição e dos documentos de autorização transportados pelo estafeta.

Se uma remessa for aberta pelas autoridades aduaneiras, tal deve ser feito fora da vista de pessoas não autorizadas e, sempre que possível, na presença do estafeta. O estafeta deve solicitar que a remessa seja reembalada e que as autoridades que efetuam a inspeção voltem a selar a remessa e confirmem, por escrito, que a remessa foi aberta por elas.

5.   O transporte em mão, por pessoal do contratante, de informações com classificação RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET para um país terceiro ou uma organização internacional está sujeito às disposições do acordo de segurança das informações ou do convénio administrativo celebrado, respetivamente, entre a União Europeia ou a Comissão e esse país terceiro ou organização internacional.

CAPÍTULO 6

PLANEAMENTO DE CONTINUIDADE DAS ATIVIDADES

Artigo 15.o

Planos de contingência e medidas de recuperação

O serviço da Comissão, enquanto entidade adjudicante, assegura que o contrato classificado exija que o contratante estabeleça planos de contingência das atividades (PCA) para fins de proteção das ICUE manuseadas na execução do contrato classificado em situações de emergência e preveja medidas de prevenção e recuperação no contexto do planeamento da continuidade das atividades, a fim de minimizar o impacto de incidentes relacionados com o manuseamento e o armazenamento de ICUE. O contratante deve informar a entidade adjudicante do seu PCA.

Artigo 16.o

Entrada em vigor

A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Jornal Oficial da União Europeia

Feito em Bruxelas, em 17 de outubro de 2019.

Pela Comissão

Em nome do Presidente,

Günther OETTINGER

Membro da Comissão

---

(1)  
  JO L 72 de 17.3.2015, p. 41.

1

(2)  
  JO L 72 de 17.3.2015, p. 53.

2

(3)  
  JO L 6 de 11.1.2017, p. 40.

3

(4)  
  JO C 202 de 8.7.2011, p. 13.

4

(5)  Decisão 2013/488/UE do Conselho, de 23 de setembro de 2013, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (JO L 274 de 15.10.2013, p. 1).

5

(6)  Diretiva 2009/81/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, relativa à coordenação dos processos de adjudicação de determinados contratos de empreitada, contratos de fornecimento e contratos de serviços por autoridades ou entidades adjudicantes nos domínios da defesa e da segurança (JO L 216 de 20.8.2009, p. 76).

6

(7)  Decisão da Comissão de 4 de maio de 2016 relativa a uma habilitação em matéria de segurança [C(2016) 2797 final].

7

(8)  Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União, que altera os Regulamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, UE n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 e (UE) n.o 283/2014, e a Decisão n.o 541/2014/UE, e revoga o Regulamento (UE, Euratom) n.o 966/2012 (JO L 193 de 30.7.2018, p. 1).

8

o

o

o

o

o

o

o

o

o

o

(9)  A lista dos acordos celebrados pela UE e dos convénios administrativos celebrados pela Comissão Europeia, ao abrigo dos quais as informações classificadas da UE podem ser trocadas com países terceiros e organizações internacionais, pode ser consultada no sítio Web da Comissão.

9

(10)  Outros formulários utilizados podem diferir, na sua conceção, do exemplo apresentado nas presentes regras de execução.

10

(11)  A lista dos acordos celebrados pela UE e dos convénios administrativos celebrados pela Comissão Europeia, ao abrigo dos quais as informações classificadas da UE podem ser trocadas com países terceiros e organizações internacionais, pode ser consultada no sítio Web da Comissão.

11

(12)  Os requisitos mínimos aplicáveis a sistemas de comunicação e informação que tratam ICUE ao nível RESTREINT UE/EU RESTRICTED constam do anexo III, apêndice E.

12

---

ANEXO I

INFORMAÇÕES NORMALIZADAS NOS ANÚNCIOS DE CONCURSOS

(a adaptar aos anúncios de concurso utilizados)

Para contratos que envolvam informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET

Outras condições especiais (se aplicável)

| A execução do contrato está sujeita a condições especiais | sim | não |
| --- | --- | --- |

A execução do contrato está sujeita a condições especiais

Image 1

Image 2

(em caso afirmativo) Descrição das condições especiais:

O contrato implicará o acesso, manuseamento e/ou armazenamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, que estão sujeitas às regras de segurança relativas à proteção das informações classificadas da UE estabelecidas na Decisão (UE, Euratom) 2015/444 e às regras de execução da decisão (1).

Será necessária a credenciação de segurança da empresa, bem como credenciações de segurança do pessoal relativamente ao pessoal do contratante responsável pelo manuseamento de informações classificadas.

Serão incluídas no contrato obrigações de segurança especiais (cláusulas adicionais de segurança, em anexo ao contrato). A subcontratação está sujeita a acordo prévio escrito da entidade adjudicante e ao cumprimento de todas as regras de segurança por parte do subcontratante e do seu pessoal.

Para contratos com informações com classificação RESTREINT UE/EU RESTRICTED

Outras condições especiais (se aplicável)

| A execução do contrato está sujeita a condições especiais | sim | não |
| --- | --- | --- |

A execução do contrato está sujeita a condições especiais

Image 3

Image 4

(em caso afirmativo) Descrição das condições especiais:

O contrato implicará o acesso, manuseamento e/ou armazenamento de informações com classificação RESTREINT UE/EU RESTRICTED, que estão sujeitas às regras de segurança relativas à proteção das informações classificadas da UE estabelecidas na Decisão (UE, Euratom) 2015/444 e às regras de execução da decisão (2).

Serão incluídas no contrato obrigações de segurança especiais (cláusulas adicionais de segurança, em anexo ao contrato). A subcontratação está sujeita a acordo prévio escrito da entidade adjudicante e ao cumprimento de todas as regras de segurança por parte do subcontratante e do seu pessoal.

---

(1)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

(2)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

---

ANEXO II

CLÁUSULAS CONTRATUAIS NORMALIZADAS PARA CONTRATOS PÚBLICOS

(a adaptar aos contratos utilizados)

Artigo XX

OBRIGAÇÕES LIGADAS À SEGURANÇA

XX.1 Informações classificadas da UE

Se a execução do contrato implicar a utilização ou geração de informações classificadas da UE, essas informações devem ser tratadas em conformidade com as cláusulas adicionais de segurança (CAS) e com o seu Guia da Classificação de Segurança (GCS), conforme estabelecido no anexo 1, e com a Decisão (UE, Euratom) 2015/444 e respetivas regras de execução (1), até serem desclassificadas.

As realizações que contenham informações classificadas devem ser apresentadas em conformidade com procedimentos especiais acordados com a entidade adjudicante.

As tarefas a realizar que envolvam informações classificadas não podem ser subcontratadas sem autorização prévia explícita, por escrito, da entidade adjudicante.

As informações classificadas da UE não devem ser divulgadas a terceiros (incluindo subcontratantes) sem a aprovação prévia explícita, por escrito, da entidade adjudicante.

---

(1)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

---

ANEXO III

[Anexo IV (do contrato-quadro)]

CLÁUSULAS ADICIONAIS DE SEGURANÇA (CAS)

[Modelo]

Apêndice A

REQUISITOS DE SEGURANÇA

A entidade adjudicante deve incluir os seguintes requisitos de segurança nas cláusulas adicionais de segurança (CAS). Algumas cláusulas podem não ser aplicáveis ao contrato. Essas cláusulas são indicadas entre parênteses retos.

A lista de cláusulas não é exaustiva. Podem ser acrescentadas outras cláusulas em função da natureza do contrato classificado.

CONDIÇÕES GERAIS

[N.B.: aplicáveis a todos os contratos classificados]

| 1. | Estas cláusulas adicionais de segurança (CAS) fazem parte integrante do contrato [ou subcontrato] classificado e descrevem os requisitos de segurança específicos do contrato. O incumprimento destes requisitos pode constituir motivo suficiente para a rescisão do contrato. |
| --- | --- |

1.

| 2. | Os contratantes estão sujeitos a todas as obrigações estabelecidas na Decisão (UE, Euratom) 2015/444 e respetivas regras de execução (1). |
| --- | --- |

2.

| 3. | As informações classificadas geradas na execução do contrato devem ser marcadas como informações classificadas da UE (ICUE) ao nível de classificação de segurança, conforme determinado no Guia da Classificação de Segurança (GCS) no apêndice B dessas cláusulas. Um desvio do nível de classificação de segurança estipulado pelo GCS só é admissível com autorização escrita da entidade adjudicante. |
| --- | --- |

3.

| 4. | Os direitos relativos à entidade de origem de ICUE criadas e manuseadas para a execução do contrato classificado são exercidos pela Comissão, enquanto entidade adjudicante. |
| --- | --- |

4.

| 5. | O contratante ou subcontratante não deve utilizar, sem o consentimento escrito da entidade adjudicante, qualquer informação ou material fornecido pela entidade adjudicante ou produzida em nome dessa entidade para outra finalidade que não a do contrato. |
| --- | --- |

5.

| 6. | O contratante deve investigar todas as violações de segurança relacionadas com as ICUE e comunicá-las à entidade adjudicante logo que possível. O contratante ou subcontratante deve informar imediatamente a autoridade nacional de segurança (ANS) ou a autoridade de segurança designada (ASD) e, se as disposições legislativas e regulamentares nacionais o permitirem, a autoridade de segurança da Comissão de todos os casos em que se tem conhecimento ou motivos para suspeitar que as ICUE fornecidas ou geradas nos termos do contrato foram perdidas ou divulgadas a pessoas não autorizadas. |
| --- | --- |

6.

| 7. | Após o termo do contrato, o contratante ou subcontratante deve devolver à entidade adjudicante, o mais rapidamente possível, todas as ICUE em seu poder. Quando viável, o contratante ou subcontratante pode destruir as ICUE em vez de as devolver. Tal deve ser efetuado em conformidade com as disposições legislativas e regulamentares nacionais do país em que o contratante está estabelecido, com o acordo prévio da autoridade de segurança da Comissão, e de acordo com as instruções desta autoridade. As ICUE devem ser destruídas de forma a não poderem ser reconstituídas, quer no todo quer em parte. |
| --- | --- |

7.

| 8. | Se o contratante ou subcontratante estiver autorizado a conservar ICUE após a rescisão ou termo do contrato, as ICUE devem continuar a ser protegidas em conformidade com a Decisão (UE, Euratom) 2015/444 (seguidamente designada por «DC 2015/444») e com as respetivas regras de execução (2). |
| --- | --- |

8.

| 9. | Ao proceder-se a qualquer manuseamento, tratamento e transmissão por via eletrónica de ICUE, devem ser respeitadas as disposições estabelecidas nos capítulos 5 e 6 da DC 2015/444. Estas incluem, nomeadamente, o requisito de submeter a acreditação os sistemas de comunicação e informação que sejam propriedade do contratante e utilizados para o tratamento de ICUE na execução do contrato (seguidamente designados por «SCI do contratante») (3); de proteger qualquer transmissão eletrónica de ICUE por produtos criptográficos aprovados nos termos do artigo 36.o, n.o 4, da DC 2015/444 e de aplicar medidas TEMPEST em conformidade com o artigo 36.o, n.o 6, da DC 2015/444. |
| --- | --- |

9.

| 10. | O contratante ou subcontratante deve dispor de planos de contingência das atividades (PCA) com vista a proteger as ICUE manuseadas no desempenho do contrato classificado em situações de emergência e estabelecer medidas de prevenção e recuperação a fim de minimizar o impacto de incidentes associados ao manuseamento e armazenamento de ICUE. O contratante ou subcontratante deve informar a entidade adjudicante do seu PCA. |
| --- | --- |

10.

CONTRATOS QUE EXIGEM O ACESSO A INFORMAÇÕESCOM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED

| 11. | Não é necessária uma credenciação de segurança do pessoal (CSP) para cumprimento do contrato. No entanto, as informações ou material com classificação RESTREINT UE/EU RESTRICTED devem estar acessíveis apenas ao pessoal do contratante que necessite dessas informações para a execução do contrato (princípio da necessidade de tomar conhecimento), que tenha sido devidamente informado pelo responsável de segurança do contratante sobre as suas responsabilidades e as consequências de qualquer comprometimento ou violação da segurança dessas informações e que tenha reconhecido por escrito as consequências de uma falha na proteção das ICUE. |
| --- | --- |

11.

| 12. | Exceto nos casos em que a entidade adjudicante tenha dado o seu consentimento por escrito, o contratante ou subcontratante não pode dar acesso a informações ou material com classificação RESTREINT UE/EU RESTRICTED a qualquer entidade ou pessoa que não seja o seu pessoal que tenha necessidade de tomar conhecimento. |
| --- | --- |

12.

| 13. | O contratante ou subcontratante deve manter as marcas de classificação de segurança das informações classificadas geradas ou fornecidas durante a execução de um contrato e não deve desclassificar informações sem o consentimento escrito da entidade adjudicante. |
| --- | --- |

13.

| 14. | As informações ou material com classificação RESTREINT UE/EU RESTRICTED devem ser armazenados em móveis de escritório fechados à chave quando não estiverem a ser utilizados. Quando em trânsito, os documentos devem ser transportados dentro de um sobrescrito opaco. Os documentos não devem sair das mãos do portador nem ser abertos durante o percurso. |
| --- | --- |

14.

| 15. | O contratante ou subcontratante pode transmitir documentos com classificação RESTREINT UE/EU RESTRICTED à Comissão recorrendo a empresas de estafetas, serviços postais, transporte em mão própria ou meios eletrónicos. Para o efeito, o contratante ou subcontratante deve seguir as instruções de segurança do programa (ou projeto) (ISP) emitidas pela Comissão e/ou as regras de execução da Comissão relativas a segurança industrial no que respeita aos contratos públicos classificados (4). |
| --- | --- |

15.

| 16. | Quando já não forem necessários, os documentos com classificação RESTREINT UE/EU RESTRICTED devem ser destruídos de forma a não poderem ser reconstituídos, quer total quer parcialmente. |
| --- | --- |

16.

| 17. | A acreditação de segurança do SCI do contratante que trata ICUE ao nível de classificação RESTREINT UE/EU RESTRICTED e qualquer interligação do mesmo pode ser delegada no responsável de segurança de um contratante, se tal for permitido pelas disposições legislativas e regulamentares nacionais. Nos casos em que a acreditação é delegada, as ANS/ASD e AAS continuam a ser responsáveis pela proteção das informações RESTREINT UE/EU RESTRICTED manuseadas pelo contratante e a ter o direito de inspecionar as medidas de segurança tomadas pelo contratante. Além disso, o contratante deve fornecer à entidade adjudicante e, se as disposições legislativas e regulamentares nacionais o exigirem, à AAS nacional competente, uma declaração de conformidade certificando que o SCI do contratante e as interligações conexas foram acreditados para o manuseamento de ICUE ao nível RESTREINT UE/EU RESTRICTED. |
| --- | --- |

17.

TRATAMENTO DE INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED EM SISTEMAS DE COMUNICAÇÃO E INFORMAÇÃO (SCI)

| 18. | Os requisitos mínimos aplicáveis aos SCI que tratam informações com a classificação RESTREINT UE/EU RESTRICTED constam do apêndice E destas CAS. |
| --- | --- |

18.

CONDIÇÕES EM QUE O CONTRATANTE PODE SUBCONTRATAR

| 19. | O contratante deve obter autorização do serviço da Comissão em causa, na qualidade de entidade adjudicante, antes de proceder à subcontratação de qualquer parte de um contrato classificado. |
| --- | --- |

19.

| 20. | Não pode ser adjudicado qualquer subcontrato a uma empresa registada num Estado que não seja membro da UE ou a uma entidade pertencente a uma organização internacional, se esse Estado não membro da UE ou organização internacional não tiver celebrado um acordo de segurança das informações com a UE ou um convénio administrativo com a Comissão. |
| --- | --- |

20.

| 21. | Quando o contratante procede a uma subcontratação, as disposições de segurança do contrato aplicam-se, mutatis mutandis, ao(s) subcontratante(s) e ao respetivo pessoal. Nesse caso, cabe ao contratante assegurar que todos os subcontratantes aplicam estes princípios nas suas próprias disposições de subcontratação. A fim de assegurar uma supervisão adequada da segurança, as ANS/ASD do contratante e subcontratante devem ser notificadas da atribuição de todos os subcontratos classificados conexos aos níveis de classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET. Quando adequado, as ANS/ASD do contratante e subcontratante devem receber uma cópia das disposições de segurança específicas do subcontrato. As ANS/ASD que exigem a notificação das disposições de segurança de contratos classificados ao nível RESTREINT UE/EU RESTRICTED são enumeradas no anexo às regras de execução da Comissão relativas a segurança industrial no que respeita aos contratos públicos classificados (5). |
| --- | --- |

21.

| 22. | O contratante não pode comunicar quaisquer ICUE a um subcontratante sem a aprovação prévia, por escrito, da entidade adjudicante. Se forem enviadas ICUE a subcontratantes de forma frequente ou rotineira, então a entidade adjudicante pode dar a sua aprovação por um período especificado (por exemplo, 12 meses) ou durante o período de vigência do subcontrato. |
| --- | --- |

22.

VISITAS

Se for aplicável o procedimento PDV normal a visitas que envolvam informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, a entidade adjudicante deve integrar os n.os 23, 24 e 25 e suprimir o n.o 26. Se forem organizadas visitas envolvendo informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET diretamente entre o estabelecimento de envio e o estabelecimento de acolhimento, a entidade adjudicante deve suprimir os n.os 24 e 25 e integrar apenas o n.o 26.

| 23. | As visitas que impliquem o acesso efetivo ou potencial a informações com classificação RESTREINT UE/EU RESTRICTED devem ser organizadas diretamente entre a entidade de envio e a entidade de acolhimento, sem necessidade de seguir os procedimentos estabelecidos nos n.os 24 a 26 infra. |
| --- | --- |

23.

| [24. | As visitas que impliquem o acesso efetivo ou potencial a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET estão sujeitas ao seguinte procedimento:






  a) | O responsável de segurança da instalação que envia o visitante deve preencher todas as partes relevantes do formulário de pedido de visita (PDV) (Apêndice C) e apresentar o pedido à ANS/ASD da instalação; |
| --- | --- | --- |

[24.

a)

O responsável de segurança da instalação que envia o visitante deve preencher todas as partes relevantes do formulário de pedido de visita (PDV) (Apêndice C) e apresentar o pedido à ANS/ASD da instalação;

| b) | A ANS/ASD da instalação de envio tem de confirmar a CSP do visitante antes de submeter o PDV à ANS/ASD da instalação de acolhimento (ou à autoridade de segurança da Comissão, se a visita for efetuada a instalações da Comissão); |
| --- | --- |

b)

A ANS/ASD da instalação de envio tem de confirmar a CSP do visitante antes de submeter o PDV à ANS/ASD da instalação de acolhimento (ou à autoridade de segurança da Comissão, se a visita for efetuada a instalações da Comissão);

| c) | O responsável de segurança da instalação de envio obtém então da sua ANS/ASD a resposta da ANS/ASD da instalação de acolhimento (ou da autoridade de segurança da Comissão), aceitando ou recusando o PDV e |
| --- | --- |

c)

O responsável de segurança da instalação de envio obtém então da sua ANS/ASD a resposta da ANS/ASD da instalação de acolhimento (ou da autoridade de segurança da Comissão), aceitando ou recusando o PDV e

| d) | O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita.] |
| --- | --- |

d)

O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita.]

| [25. | Antes de dar ao(s) visitante(s) acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, a instalação de acolhimento deve ter recebido autorização da sua ANS/ASD.] |
| --- | --- |

[25.

| [26. | As visitas que impliquem acesso efetivo ou potencial a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser organizadas diretamente entre o estabelecimento de envio e o estabelecimento de acolhimento (um exemplo do formulário que pode ser utilizado para esse efeito consta do apêndice C).] |
| --- | --- |

[26.

| 27. | Os visitantes devem comprovar a sua identidade na chegada à instalação de acolhimento mediante a apresentação de bilhete de identidade ou passaporte válido. |
| --- | --- |

27.

| 28. | A instalação que acolhe a visita deve assegurar que sejam mantidos registos de todos os visitantes. Estes devem incluir os seus nomes, a organização que representam, a data de termo da CSP (se aplicável), a data da visita e o nome da(s) pessoa(s) visitada(s). Sem prejuízo das regras europeias em matéria de proteção de dados, esses registos devem ser conservados por um período não inferior a cinco anos ou em conformidade com as normas e regulamentações nacionais, conforme adequado. |
| --- | --- |

28.

VISITAS DE AVALIAÇÃO

| 29. | A autoridade de segurança da Comissão pode, em cooperação com a ANS/ASD competente, efetuar visitas a instalações de contratantes ou subcontratantes a fim de verificar se estão a ser cumpridos os requisitos de segurança aplicáveis ao manuseamento de ICUE. |
| --- | --- |

29.

GUIA DA CLASSIFICAÇÃO DE SEGURANÇA

| 30. | No Guia da Classificação de Segurança (GCS) está incluída uma lista de todos os elementos do contrato classificados ou a classificar no decurso da execução do mesmo, as regras para tal e a especificação dos níveis de classificação de segurança aplicáveis. O GCS faz parte integrante do presente contrato e consta do apêndice B do presente anexo. |
| --- | --- |

30.

---

(1)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

(2)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

(3)  A parte que procede à acreditação terá de fornecer à entidade adjudicante uma declaração de conformidade, por intermédio da autoridade de segurança da Comissão, e em coordenação com a autoridade de acreditação de segurança nacional (AAS) competente.

(4)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

(5)  A entidade adjudicante deve inserir as referências após a adoção das regras de execução.

Apêndice B

GUIA DA CLASSIFICAÇÃO DE SEGURANÇA

[texto específico a adaptar em função do objeto do contrato]

Apêndice C

PEDIDOS DE VISITA

(MODELO)

Instruções pormenorizadas para preenchimento do pedido de visita

(O pedido deve ser apresentado apenas em inglês)

| HEADING | Assinalar as caixas relativas ao tipo de visita e ao tipo de informação e indicar o número de locais a visitar e o número de visitantes. |
| --- | --- |
| 4. | ADMINISTRATIVE DATA |

HEADING

Assinalar as caixas relativas ao tipo de visita e ao tipo de informação e indicar o número de locais a visitar e o número de visitantes.

4.

A preencher pela ANS/ASD requerente.

| 5. | REQUESTING ORGANISATION OR INDUSTRIAL FACILITY |
| --- | --- |

5.

Indicar o nome completo e o endereço postal.

Incluir a cidade, o Estado e o código postal, conforme aplicável.

| 6. | ORGANISATION OR INDUSTRIAL FACILITY TO BE VISITED |
| --- | --- |

6.

Indicar o nome completo e o endereço postal. Incluir a cidade, o Estado, o código postal, o número de telex ou fax (se aplicável), o número de telefone e o endereço de correio eletrónico. Indicar o nome e o número de telefone/fax e o endereço de correio eletrónico do seu principal ponto de contacto ou da pessoa com quem marcou a visita.

Observações:

| 1) | É importante indicar o código postal correto (código zip) uma vez que uma empresa pode ter várias instalações. |
| --- | --- |

1)

É importante indicar o código postal correto (código zip) uma vez que uma empresa pode ter várias instalações.

| 2) | Quando o pedido é preenchido manualmente, pode ser utilizado o anexo 1 quando da visita de duas ou mais instalações sobre um mesmo assunto. Quando é utilizado um anexo, o ponto 3 deve indicar: «VER ANEXO 1, NÚMERO DE INSTAL: ...» (indicar o número de instalações). |
| --- | --- |

2)

Quando o pedido é preenchido manualmente, pode ser utilizado o anexo 1 quando da visita de duas ou mais instalações sobre um mesmo assunto. Quando é utilizado um anexo, o ponto 3 deve indicar: «VER ANEXO 1, NÚMERO DE INSTAL: ...» (indicar o número de instalações).

| 7. | DATES OF VISIT |
| --- | --- |

7.

Indicar a data ou o período efetivo (data-a-data) da visita no formato «dia — mês — ano». Quando aplicável, indicar uma data ou um período alternativo entre parênteses.

| 8. | TYPE OF INITIATIVE |
| --- | --- |

8.

Especificar se a visita é da iniciativa da organização ou instalação requerente ou a convite da instalação a visitar.

| 9. | THE VISIT RELATES TO: |
| --- | --- |

9.

Especificar o nome completo do projeto, do contrato ou do convite à apresentação de propostas usando apenas abreviaturas correntemente utilizadas.

| 10. | SUBJECT TO BE DISCUSSED/JUSTIFICATION |
| --- | --- |

10.

Apresentar uma breve descrição do(s) motivo(s) da visita. Não utilizar abreviaturas sem explicação.

Observações:

No caso de visitas recorrentes, este ponto deve indicar «Visitas recorrentes» como primeiras palavras do elemento de dados (por exemplo, visitas recorrentes para debater ___)

| 11. | ANTICIPATED LEVEL OF CLASSIFIED INFORMATION TO BE INVOLVED |
| --- | --- |

11.

Indicar SECRET UE/EU SECRET (S-UE/EU-S)

ou

CONFIDENTIEL UE/EU CONFIDENTIAL (C-UE/EU-C), conforme adequado.

| 12. | PARTICULARS OF VISITOR |
| --- | --- |

12.

Observação: quando a visita é efetuada por dois visitantes, deve ser utilizado o anexo 2.

| 13. | THE SECURITY OFFICER OF THE REQUESTING ENTITY |
| --- | --- |

13.

Este ponto diz respeito ao nome, número de telefone e de fax, bem como ao correio eletrónico do responsável de segurança da instalação requerente.

| 14. | CERTIFICATION OF SECURITY CLEARANCE |
| --- | --- |

14.

Este campo deve ser preenchido pela autoridade de certificação.

Notas relativas à autoridade de certificação:

| a. | Indicar o nome, endereço, número de telefone, número de fax e endereço de correio eletrónico (pode ser pré-impresso). |
| --- | --- |

a.

Indicar o nome, endereço, número de telefone, número de fax e endereço de correio eletrónico (pode ser pré-impresso).

| b. | Este ponto deve ser assinado e carimbado (se aplicável). |
| --- | --- |

b.

Este ponto deve ser assinado e carimbado (se aplicável).

| 15. | REQUESTING SECURITY AUTHORITY |
| --- | --- |

15.

Este campo deve ser preenchido pela ANS/ASD.

Nota para a ANS/ASD:

| a. | Indicar o nome, endereço, número de telefone, número de fax e endereço de correio eletrónico (pode ser pré-impresso). |
| --- | --- |

a.

Indicar o nome, endereço, número de telefone, número de fax e endereço de correio eletrónico (pode ser pré-impresso).

| b. | Este ponto deve ser assinado e carimbado (se aplicável). |
| --- | --- |

b.

Este ponto deve ser assinado e carimbado (se aplicável).

Devem ser preenchidos todos os campos e o formulário deve ser apresentado através de canais intergovernamentais (1)

| REQUEST FOR VISIT

  (MODEL)
  To: _______________________________________ |
| --- |
| 1. | TYPE OF VISIT REQUEST |

REQUEST FOR VISIT

(MODEL)

To: _______________________________________

1.

| 2. | TYPE OF INFORMATION |
| --- | --- |

2.

| 3. | SUMMARY |
| --- | --- |

3.

☐ Single

☐ Recurring

☐ Emergency

☐ Amendment

| | ☐ Dates |
| --- | --- |

☐ Dates

| | ☐ Visitors |
| --- | --- |

☐ Visitors

| | ☐ Facility |
| --- | --- |

☐ Facility

For an amendment, insert the NSA/DSA original RFV Reference No_____________

☐ C-UE/EU-C

☐ S-UE/EU-S

No of sites: _______

No of visitors: _____

| 4. | ADMINISTRATIVE DATA: |
| --- | --- |

4.

Requester:

To:

NSA/DSA RFV Reference No________________

Date (dd/mm/yyyy): _____/_____/_____

| 5. | REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: |
| --- | --- |

5.

NAME:

POSTAL ADDRESS:

E-MAIL ADDRESS:

FAX NO:

TELEPHONE NO:

| 6. | ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED
  (Annex 1 to be completed) |
| --- | --- |

6.

| 7. | DATE OF VISIT
  (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____ |
| --- | --- |

7.

DATE OF VISIT
  (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____

| 8. | TYPE OF INITIATIVE: |
| --- | --- |

8.

☐ Initiated by requesting organisation or facility

☐ By invitation of the facility to be visited

| 9. | THE VISIT RELATES TO CONTRACT: |
| --- | --- |

9.

| 10. | SUBJECT TO BE DISCUSSED/REASONS/PURPOSE
  (Include details of host entity and any other relevant information. Abbreviations should be avoided): |
| --- | --- |

10.

SUBJECT TO BE DISCUSSED/REASONS/PURPOSE
  (Include details of host entity and any other relevant information. Abbreviations should be avoided):

| 11. | ANTICIPATED HIGHEST CLASSIFICATION LEVEL OF INFORMATION/MATERIAL OR SITE ACCESS TO BE INVOLVED: |
| --- | --- |

11.

| 12. | PARTICULARS OF VISITOR(S)
  (Annex 2 to be completed) |
| --- | --- |

12.

| 13. | THE SECURITY OFFICER OF THE REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: |
| --- | --- |

13.

NAME:

TELEPHONE NO:

E-MAIL ADDRESS:

SIGNATURE:

| 14. | CERTIFICATION OF SECURITY CLEARANCE LEVEL: |
| --- | --- |

14.

NAME:

ADDRESS:

TELEPHONE NO:

E-MAIL ADDRESS:

Image 5

SIGNATURE:

DATE (dd/mm/yyyy): _____/_____/_____

| 15. | REQUESTING NATIONAL SECURITY AUTHORITY/DESIGNATED SECURITY AUTHORITY: |
| --- | --- |

15.

NAME:

ADDRESS:

TELEPHONE NO:

E-MAIL ADDRESS:

Image 6

SIGNATURE:

DATE (dd/mm/yyyy): _____/_____/_____

| 16. | REMARKS
  (Mandatory justification required in the case of an emergency visit): |
| --- | --- |

16.

REMARKS
  (Mandatory justification required in the case of an emergency visit):

< Espaço reservado para referência à legislação aplicável em matéria de dados pessoais e hiperligação às informações obrigatórias para o titular dos dados, por exemplo, de que forma é aplicado o artigo 13.o do Regulamento Geral sobre a Proteção de Dados (2).>

---

(1)  Se foi acordado que as visitas que impliquem o acesso efetivo ou potencial a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET podem ser organizadas diretamente, o formulário preenchido pode ser apresentado diretamente ao responsável de segurança do estabelecimento a visitar.

(2)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

ANEXO 1 do FORMULÁRIO DE PDV

| ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED |
| --- |
| 1.
  NAME:
  ADDRESS:
  TELEPHONE NO:
  FAX NO:
  NAME OF POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:
  NAME OF SECURITY OFFICER OR
  SECONDARY POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO: |
| 2.
  NAME:
  ADDRESS:
  TELEPHONE NO:
  FAX NO:
  NAME OF POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:
  NAME OF SECURITY OFFICER OR
  SECONDARY POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:

  (Continue as required) |

ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED

1.

NAME:

ADDRESS:

TELEPHONE NO:

FAX NO:

NAME OF POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

NAME OF SECURITY OFFICER OR

SECONDARY POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

2.

NAME:

ADDRESS:

TELEPHONE NO:

FAX NO:

NAME OF POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

NAME OF SECURITY OFFICER OR

SECONDARY POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

(Continue as required)

<Espaço reservado para referência à legislação aplicável em matéria de dados pessoais e hiperligação às informações obrigatórias para o titular dos dados, por exemplo, de que forma é aplicado o artigo 13.o do Regulamento Geral sobre a Proteção de Dados (1).>

---

(1)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

ANEXO 2 do FORMULÁRIO DE PDV

| PARTICULARS OF VISITOR(S) |
| --- |
| 1.
  SURNAME:
  FIRST NAMES (as per passport):
  DATE OF BIRTH (dd/mm/yyyy): ____/____/____
  PLACE OF BIRTH:
  NATIONALITY:
  SECURITY CLEARANCE LEVEL:
  PP/ID NUMBER:
  POSITION:
  COMPANY/ORGANISATION: |
| 2.
  SURNAME:
  FIRST NAMES (as per passport):
  DATE OF BIRTH (dd/mm/yyyy): ____/____/____
  PLACE OF BIRTH:
  NATIONALITY:
  SECURITY CLEARANCE LEVEL:
  PP/ID NUMBER:
  POSITION:
  COMPANY/ORGANISATION:

  (Continue as required) |

PARTICULARS OF VISITOR(S)

1.

SURNAME:

FIRST NAMES (as per passport):

DATE OF BIRTH (dd/mm/yyyy): ____/____/____

PLACE OF BIRTH:

NATIONALITY:

SECURITY CLEARANCE LEVEL:

PP/ID NUMBER:

POSITION:

COMPANY/ORGANISATION:

2.

SURNAME:

FIRST NAMES (as per passport):

DATE OF BIRTH (dd/mm/yyyy): ____/____/____

PLACE OF BIRTH:

NATIONALITY:

SECURITY CLEARANCE LEVEL:

PP/ID NUMBER:

POSITION:

COMPANY/ORGANISATION:

(Continue as required)

<Espaço reservado para referência à legislação aplicável em matéria de dados pessoais e hiperligação às informações obrigatórias para o titular dos dados, por exemplo, de que forma é aplicado o artigo 13.o do Regulamento Geral sobre a Proteção de Dados (1).>

---

(1)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

APÊNDICE D

FICHA DE INFORMAÇÃO DA CREDENCIAÇÃO DE SEGURANÇA DA EMPRESA (FICSE)

(MODELO)

1.   Introdução

| 1.1. | É apensa uma Ficha de Informação de Credenciação de Segurança da Empresa (FICSE) para fins de um rápido intercâmbio de informações entre a autoridade nacional de segurança (ANS) ou a autoridade de segurança designada (ASD), outras autoridades nacionais de segurança competentes e a Comissão (enquanto entidade adjudicante) no que respeita à credenciação de segurança da instalação (CSE) de uma instalação participante em concursos, contratos ou subcontratos classificados. |
| --- | --- |

1.1.

| 1.2. | A FICSE só é válida quando carimbada pela ANS/ASD competente ou outra autoridade competente. |
| --- | --- |

1.2.

| 1.3. | A FICSE está dividida numa secção de pedido e numa secção de resposta e pode ser utilizada para os fins supramencionados ou para quaisquer outros fins para os quais seja necessário o estatuto de CSE de uma determinada instalação. O motivo do pedido deve ser identificado pela ANS/ASD requerente no campo 7 da secção de pedido. |
| --- | --- |

1.3.

| 1.4. | Os dados contidos na FICSE não são normalmente classificados; por conseguinte, quando do envio de uma FICSE entre as ANS/ASD/Comissão, é preferível fazê-lo por via eletrónica. |
| --- | --- |

1.4.

| 1.5. | As ANS/ASD devem envidar todos os esforços para responder a um pedido de FICSE no prazo de dez dias úteis. |
| --- | --- |

1.5.

| 1.6. | No caso da transferência de informações classificadas ou da adjudicação de um contrato relacionado com essa garantia, a ANS/ASD emissora deve ser informada. |
| --- | --- |

1.6.

Procedimentos e instruções parautilização da Ficha de Informação de Credenciação de Segurança da Empresa (FICSE)

Estas instruções pormenorizadas destinam-se à ANS/ASD ou à entidade adjudicante da Comissão que preenche a FICSE. O pedido deve, de preferência, ser datilografado em maiúsculas.

| RUBRICA | O requerente insere o nome completo da ANS/ASD e o nome do país. |
| --- | --- |
| 1. | TIPO DE REQUERENTE |

RUBRICA

O requerente insere o nome completo da ANS/ASD e o nome do país.

1.

A entidade adjudicante requerente seleciona a caixa adequada para o tipo de pedido de FICSE. Incluir o nível de credenciação de segurança solicitado. Devem ser utilizadas as seguintes abreviaturas:

SECRET UE/EU SECRET = S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C

CIS = Sistemas de comunicação e informação para o tratamento de informações classificadas

| 2. | INFORMAÇÕES SOBRE O ASSUNTO |
| --- | --- |

2.

Os campos 1 a 6 são óbvios.

No campo 4 deve ser utilizado o código de país normalizado de duas letras. O campo 5 é facultativo.

| 3. | MOTIVO DO PEDIDO |
| --- | --- |

3.

Indicar o motivo específico do pedido, os indicadores de projeto e o número do contrato ou do convite à apresentação de propostas. Especificar a necessidade de capacidade de armazenamento, nível de classificação do SCI, etc.

Devem ser incluídos os prazos/as datas de caducidade/as datas de adjudicação que possam ser de interesse para a finalização de uma CSE.

| 4. | ANS/ASD REQUERENTE |
| --- | --- |

4.

Indicar o nome do requerente efetivo (em nome da ANS/ASD) e a data do pedido em formato numérico (dd/mm/aaaa).

| 5. | SECÇÃO DE RESPOSTA |
| --- | --- |

5.

Campos 1-5: selecionar os campos adequados.

Campo 2: se estiver em curso uma CSE, recomenda-se que seja dada uma indicação ao requerente quanto ao tempo necessário para o tratamento (se conhecido).

Campo 6:

| a) | Embora a validação seja diferente consoante o país ou até mesmo consoante a instalação, recomenda-se que seja indicada a data de termo da CSE. |
| --- | --- |

a)

Embora a validação seja diferente consoante o país ou até mesmo consoante a instalação, recomenda-se que seja indicada a data de termo da CSE.

| b) | Nos casos em que a data de termo da garantia CSE seja indeterminada, este campo pode ser riscado. |
| --- | --- |

b)

Nos casos em que a data de termo da garantia CSE seja indeterminada, este campo pode ser riscado.

| c) | Em conformidade com as respetivas regras e regulamentos nacionais, o requerente, ou o contratante ou subcontratante, é responsável pela apresentação do pedido de renovação da CSE. |
| --- | --- |

c)

Em conformidade com as respetivas regras e regulamentos nacionais, o requerente, ou o contratante ou subcontratante, é responsável pela apresentação do pedido de renovação da CSE.

| 6. | OBSERVAÇÕES |
| --- | --- |

6.

Podem ser utilizadas para informações adicionais no que diz respeito à CSE, à instalação ou aos elementos supramencionados.

| 7. | ANS/ASD EMISSORA |
| --- | --- |

7.

Indicar o nome da autoridade remetente (em nome da ANS/ASD) e a data da resposta em formato numérico (dd/mm/aaaa).

FICHA DE INFORMAÇÃO DA CREDENCIAÇÃO DE SEGURANÇA DA EMPRESA (FICSE)

(MODELO)

Devem ser preenchidos todos os campos e o formulário deve ser enviado através de canais intergovernamentais ou canais entre administrações públicas e organizações internacionais.

| PEDIDO DE GARANTIA DA CREDENCIAÇÃO DE SEGURANÇA DA EMPRESA

  À atenção de: ____________________________________

  (nome do país da ANS/ASD) |
| --- |
| Preencher as caixas de resposta, quando aplicável:
  [] Fornecer uma garantia CSE ao nível de: [] S-UE/EU-S [] C-UE/EU-C
  para a instalação infra | [] Incluindo a salvaguarda de material/informações classificados |

PEDIDO DE GARANTIA DA CREDENCIAÇÃO DE SEGURANÇA DA EMPRESA

À atenção de: ____________________________________

(nome do país da ANS/ASD)

Preencher as caixas de resposta, quando aplicável:

[] Fornecer uma garantia CSE ao nível de: [] S-UE/EU-S [] C-UE/EU-C

para a instalação infra

[] Incluindo a salvaguarda de material/informações classificados

| | [] Incluindo sistemas de comunicação e informação (SCI) para o tratamento de informações classificadas |
| --- | --- |

[] Incluindo sistemas de comunicação e informação (SCI) para o tratamento de informações classificadas

[] Iniciar, diretamente ou mediante pedido de um contratante ou subcontratante, o processo de obtenção de uma CSE até ao nível de..., inclusive, com nível de salvaguarda ... e nível de SCI ..., se a instalação não dispuser atualmente desses níveis de capacidades.

Confirmar a exatidão dos dados da instalação a seguir enumerados e apresentar correções/aditamentos conforme necessário.

| 1. | Nome completo da instalação: |
| --- | --- |

1.

Nome completo da instalação:

Correções/Aditamentos:

...

...

| 2. | Endereço completo da instalação: |
| --- | --- |

2.

Endereço completo da instalação:

...

...

| 3. | Endereço postal (se diferente do indicado no ponto 2): |
| --- | --- |

3.

Endereço postal (se diferente do indicado no ponto 2):

...

...

| 4. | Zip/código postal/cidade/país |
| --- | --- |

4.

Zip/código postal/cidade/país

...

...

| 5. | Nome do responsável de segurança |
| --- | --- |

5.

Nome do responsável de segurança

...

...

| 6. | Telefone/fax/correio eletrónico do responsável de segurança |
| --- | --- |

6.

Telefone/fax/correio eletrónico do responsável de segurança

...

...

| 7. | Este pedido é apresentado pelo(s) motivo(s) a seguir indicado(s): [apresentar pormenores da fase pré-contratual (seleção de propostas), contrato ou subcontrato, programa/projeto, etc.] |
| --- | --- |

7.

Este pedido é apresentado pelo(s) motivo(s) a seguir indicado(s): [apresentar pormenores da fase pré-contratual (seleção de propostas), contrato ou subcontrato, programa/projeto, etc.]

...

Entidade adjudicante requerente da ANS/ASD/Comissão: Nome: ... Data: (dd/mm/aaaa) ...

RESPOSTA (no prazo de 10 dias úteis)

Certifica-se que:

| 1. | [] a referida instalação dispõe de uma CSE até ao nível de [] S-UE/EU-S, inclusive.
  [] C-UE/EU-C. |
| --- | --- |

1.

[] a referida instalação dispõe de uma CSE até ao nível de [] S-UE/EU-S, inclusive.

[] C-UE/EU-C.

| 2. | A referida instalação tem capacidade para salvaguardar informações/material classificados:
  [] sim, nível: ... [] não. |
| --- | --- |

2.

A referida instalação tem capacidade para salvaguardar informações/material classificados:

[] sim, nível: ... [] não.

| 3. | A instalação supramencionada dispõe de um SCI acreditado/autorizado:
  [] sim, nível: ... [] não. |
| --- | --- |

3.

A instalação supramencionada dispõe de um SCI acreditado/autorizado:

[] sim, nível: ... [] não.

| 4. | [] em relação ao pedido supramencionado, foi iniciado o processo de CSE. Será informado quando a CSE tiver sido aprovada ou recusada. |
| --- | --- |

4.

[] em relação ao pedido supramencionado, foi iniciado o processo de CSE. Será informado quando a CSE tiver sido aprovada ou recusada.

| 5. | [] a referida instalação não dispõe de uma CSE. |
| --- | --- |

5.

[] a referida instalação não dispõe de uma CSE.

| 6. | Esta garantia de CSE termina na seguinte data: ... (dd/mm/aaaa), ou conforme recomendação da ANS/ASD. Em caso de invalidação antecipada ou de alterações nas informações supramencionadas, será informado do facto. |
| --- | --- |

6.

Esta garantia de CSE termina na seguinte data: ... (dd/mm/aaaa), ou conforme recomendação da ANS/ASD. Em caso de invalidação antecipada ou de alterações nas informações supramencionadas, será informado do facto.

| 7. | Observações:
  ...
  ANS/ASD emissora Nome: ... Data (dd/mm/aaaa): ... |
| --- | --- |

7.

Observações:

...

ANS/ASD emissora Nome: ... Data (dd/mm/aaaa): ...

<Espaço reservado para referência à legislação aplicável em matéria de dados pessoais e hiperligação às informações obrigatórias para o titular dos dados, por exemplo, de que forma é aplicado o artigo 13.o do Regulamento Geral sobre a Proteção de Dados (1).>

---

(1)  Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO L 119 de 4.5.2016, p. 1).

Apêndice E

Requisitos mínimos para a proteção de ICUE em formato eletrónico do nível RESTREINT UE/EU RESTRICTED tratadas no SCI do contratante

Considerações gerais

| 1. | Cabe ao contratante assegurar que a proteção de informações RESTREINT UE/EU RESTRICTED cumpra os requisitos mínimos de segurança estabelecidos nesta cláusula de segurança, bem como quaisquer outros requisitos adicionais aconselhados pela entidade adjudicante ou, se aplicável, pela autoridade nacional de segurança (ANS) ou pela autoridade de segurança designada (ASD). |
| --- | --- |

1.

| 2. | O contratante é responsável pelo cumprimento dos requisitos de segurança identificados no presente documento. |
| --- | --- |

2.

| 3. | Para fins do presente documento, um sistema de comunicação e informação (SCI) abrange todos os equipamentos utilizados para o tratamento, armazenamento e transmissão de ICUE, incluindo estações de trabalho, impressoras, fotocopiadoras, copiadoras, máquinas de fax, servidores, sistemas de gestão de rede, controladores de rede e controladores de comunicações, computadores portáteis, notebooks, tabletes, telefones inteligentes e suportes de armazenamento amovíveis, como chaves USB, CD, cartões SD, etc. |
| --- | --- |

3.

| 4. | Os equipamentos especiais, como produtos criptográficos, devem ser protegidos em conformidade com os seus procedimentos operacionais de segurança (POS) específicos. |
| --- | --- |

4.

| 5. | Os contratantes devem estabelecer uma estrutura responsável pela gestão da segurança dos SCI que tratam informações com classificação RESTREINT UE/EU RESTRICTED e nomear um responsável de segurança da instalação em causa. |
| --- | --- |

5.

| 6. | Não é autorizada, para fins de armazenamento ou tratamento de informações RESTREINT UE/EU RESTRICTED, a utilização de soluções informáticas (hardware, software ou serviços) que sejam propriedade do pessoal do contratante. |
| --- | --- |

6.

| 7. | A acreditação do SCI do contratante que trata informações com a classificação RESTREINT UE/EU RESTRICTED deve ser aprovada pela autoridade de acreditação de segurança (AAS) do Estado-Membro em causa ou delegada no responsável de segurança do contratante, em conformidade com as disposições legislativas e regulamentares nacionais. |
| --- | --- |

7.

| 8. | Só as informações com classificação RESTREINT UE/EU RESTRICTED encriptadas com produtos criptográficos aprovados podem ser tratadas, armazenadas ou transmitidas (por ligações com ou sem fios) como qualquer outra informação não classificada no âmbito do contrato. Esses produtos criptográficos devem ser aprovados pela UE ou por um Estado-Membro. |
| --- | --- |

8.

| 9. | As instalações externas envolvidas em trabalhos de manutenção/reparação devem estar contratualmente obrigadas a cumprir as disposições aplicáveis ao tratamento de informações com classificação RESTREINT UE/EU RESTRICTED, conforme estabelecido no presente documento. |
| --- | --- |

9.

| 10. | A pedido da entidade adjudicante ou da ANS/ASD/AAS competente, o contratante deve fornecer provas da conformidade com a cláusula de segurança do contrato. Caso seja também solicitada a realização de uma auditoria e inspeção dos processos e instalações do contratante a fim de assegurar o cumprimento desses requisitos, os contratantes devem autorizar os representantes da entidade adjudicante, a ANS/ASD/SAA ou a autoridade de segurança da UE competente a proceder a essa auditoria e inspeção. |
| --- | --- |

10.

Segurança material

| 11. | Os espaços em que os SCI são utilizados para visualizar, armazenar, tratar ou transmitir informações RESTREINT UE/EU RESTRICTED ou os espaços onde estão instalados os servidores, sistemas de gestão de rede, controladores de rede e controladores de comunicações para os referidos SCI devem ser estabelecidos como zonas separadas e controladas, com um sistema de controlo de acesso adequado. O acesso a estas zonas separadas e controladas deve ser limitado às pessoas com autorização específica. Sem prejuízo do disposto no n.o 8, o equipamento descrito no n.o 3 deve ser armazenado em zonas separadas e controladas. |
| --- | --- |

11.

| 12. | Devem ser implementados mecanismos e/ou procedimentos de segurança a fim de regulamentar a instalação ou ligação de suportes informáticos amovíveis (como chaves USB, dispositivos de armazenamento maciço de dados ou CD-RW) a componentes do SCI. |
| --- | --- |

12.

Acesso ao SCI

| 13. | É permitido o acesso ao SCI de um contratante que trata ICUE com base no princípio da estrita necessidade de tomar conhecimento e na autorização concedida ao pessoal. |
| --- | --- |

13.

| 14. | Todos os SCI devem dispor de listas atualizadas dos utilizadores autorizados. Todos os utilizadores devem ser autenticados no início de cada sessão de tratamento. |
| --- | --- |

14.

| 15. | As senhas, que fazem parte da maioria das medidas de segurança de identificação e autenticação, devem ter pelo menos nove carateres e incluir carateres numéricos e «especiais» (se o sistema o permitir), bem como carateres alfabéticos. As senhas devem ser alteradas pelo menos de 180 em 180 dias. Devem ser alteradas o mais rapidamente possível se tiverem sido comprometidas ou divulgadas a uma pessoa não autorizada ou se houver suspeitas de tal comprometimento ou divulgação. |
| --- | --- |

15.

| 16. | Todos os SCI devem ter controlos internos de acesso para impedir que utilizadores não autorizados acedam ao sistema ou alterem informações com a classificação RESTREINT UE/EU RESTRICTED e controlos de segurança e do sistema. Os utilizadores devem ser automaticamente desligados do SCI se os seus terminais estiverem inativos durante um período predeterminado ou o SCI deve ativar um economizador de ecrã protegido por senha após 15 minutos de inatividade. |
| --- | --- |

16.

| 17. | A cada utilizador do SCI é atribuída uma conta de utilizador única e uma identificação única. As contas de utilizador devem ser automaticamente bloqueadas quando são efetuadas, pelo menos, cinco tentativas incorretas de acesso. |
| --- | --- |

17.

| 18. | Todos os utilizadores do SCI devem ser informados das suas responsabilidades e dos procedimentos a seguir para fins de proteção das informações com classificação RESTREINT UE/EU RESTRICTED no SCI. As responsabilidades e os procedimentos a seguir devem ser documentados e reconhecidos por escrito pelos utilizadores. |
| --- | --- |

18.

| 19. | Os procedimentos operacionais de segurança devem estar ao dispor dos utilizadores e administradores e incluir descrições das funções de segurança e a lista associada de tarefas, instruções e planos. |
| --- | --- |

19.

Contabilização, auditoria e resposta a incidentes

| 20. | Devem ser registados todos os acessos ao SCI. |
| --- | --- |

20.

| 21. | Devem ser registados os seguintes eventos:






  a) | Todas as tentativas de início de sessão, com ou sem sucesso; |
| --- | --- | --- |

21.

a)

Todas as tentativas de início de sessão, com ou sem sucesso;

| b) | Encerramento de sessão (incluindo, quando aplicável, o tempo de espera máximo); |
| --- | --- |

b)

Encerramento de sessão (incluindo, quando aplicável, o tempo de espera máximo);

| c) | Criação, supressão ou alteração de direitos de acesso e privilégios; |
| --- | --- |

c)

Criação, supressão ou alteração de direitos de acesso e privilégios;

| d) | Criação, supressão ou alteração de senhas. |
| --- | --- |

d)

Criação, supressão ou alteração de senhas.

| 22. | Relativamente a todos os eventos supramencionados, devem ser comunicadas, no mínimo, as seguintes informações:






  a) | Tipo de evento; |
| --- | --- | --- |

22.

a)

Tipo de evento;

| b) | Identificação do utilizador; |
| --- | --- |

b)

Identificação do utilizador;

| c) | Data e hora; |
| --- | --- |

c)

Data e hora;

| d) | Identificação do dispositivo. |
| --- | --- |

d)

Identificação do dispositivo.

| 23. | Os registos devem ajudar o responsável de segurança no exame dos potenciais incidentes de segurança. Podem também ser utilizados como apoio a inquéritos judiciais em caso de incidente de segurança. Todos os registos de segurança devem ser regularmente verificados a fim de detetar potenciais incidentes de segurança. Os registos devem ser protegidos contra eliminação ou alteração não autorizada. |
| --- | --- |

23.

| 24. | O contratante deve dispor de uma estratégia de resposta para fazer face a incidentes de segurança. Os utilizadores e administradores devem receber instruções sobre a forma de responder a incidentes, de os comunicar e de atuar face a uma emergência. |
| --- | --- |

24.

| 25. | O comprometimento ou a suspeita de comprometimento de informações com classificação RESTREINT UE/EU RESTRICTED deve ser comunicado à entidade adjudicante. O relatório deve conter uma descrição das informações em causa e uma descrição das circunstâncias do comprometimento ou da suspeita de comprometimento. Todos os utilizadores do SCI devem ser informados sobre a forma de comunicar ao responsável de segurança qualquer incidente ou suspeita de incidente. |
| --- | --- |

25.

Ligação em rede e interligação

| 26. | Quando o SCI de um contratante que trata informações com a classificação RESTREINT UE/EU RESTRICTED está interligado a um SCI que não esteja acreditado, tal aumenta significativamente a ameaça à segurança do SCI e das informações RESTREINT UE/EU RESTRICTED tratadas por esse SCI. É o caso da Internet e de outros SCI públicos ou privados, como outros SCI pertencentes ao contratante ou ao subcontratante. Nesse caso, o contratante deve efetuar uma avaliação dos riscos a fim de identificar os requisitos de segurança adicionais que devem ser aplicados no âmbito do processo de acreditação de segurança. O contratante deve fornecer à entidade adjudicante e, se as disposições legislativas e regulamentares nacionais o exigirem, à AAS competente uma declaração de conformidade certificando que o SCI do contratante e as interligações conexas foram acreditados para o tratamento de ICUE do nível RESTREINT UE/EU RESTRICTED. |
| --- | --- |

26.

| 27. | É proibido o acesso remoto a partir de outros sistemas para serviços LAN (por exemplo, acesso remoto a correio eletrónico e apoio remoto ao sistema) a menos que sejam implementadas medidas de segurança especiais acordadas pela entidade adjudicante e, quando exigido pelas disposições legislativas e regulamentares nacionais, que estas sejam aprovadas pela AAS competente. |
| --- | --- |

27.

Gestão da configuração

| 28. | Deve estar disponível e ser regularmente mantida uma configuração pormenorizada do hardware e software, conforme estabelecida na documentação de acreditação/aprovação (incluindo diagramas de sistema e de rede). |
| --- | --- |

28.

| 29. | O responsável de segurança do contratante deve proceder a verificações da configuração do hardware e do software, a fim de garantir que não foi instalado qualquer hardware ou software não autorizado. |
| --- | --- |

29.

| 30. | As alterações à configuração do SCI do contratante devem ser avaliadas em função das suas implicações em termos de segurança e devem ser aprovadas pelo responsável de segurança e, quando exigido pelas disposições legislativas e regulamentares nacionais, pela AAS. |
| --- | --- |

30.

| 31. | O sistema deve ser analisado, pelo menos uma vez por trimestre, a fim de detetar eventuais vulnerabilidades de segurança. Deve ser instalado e mantido atualizado software para detetar software malicioso. Se possível, esse software deve ser objeto de uma aprovação nacional ou reconhecida a nível internacional; caso contrário deve corresponder a uma norma setorial amplamente aceite. |
| --- | --- |

31.

| 32. | O contratante deve elaborar um plano de continuidade das atividades. Devem ser estabelecidos procedimentos de salvaguarda no que diz respeito aos seguintes aspetos:






  a) | Frequência das cópias de segurança; |
| --- | --- | --- |

32.

a)

Frequência das cópias de segurança;

| b) | Requisitos de armazenamento no local (contentores à prova de fogo) ou fora do local; |
| --- | --- |

b)

Requisitos de armazenamento no local (contentores à prova de fogo) ou fora do local;

| c) | Controlo do acesso autorizado a cópias de segurança. |
| --- | --- |

c)

Controlo do acesso autorizado a cópias de segurança.

Limpeza definitiva e destruição de dados

| 33. | Nos SCI ou suportes de armazenamento de dados que tenham contido, em qualquer momento, informações com a classificação RESTREINT UE/EU RESTRICTED, deve ser efetuada a seguinte limpeza definitiva de todo o sistema ou dos suportes de armazenamento antes da sua eliminação:






  a) | As memórias flash (por exemplo, chaves USB, cartões SD, unidades de estado sólido, discos rígidos híbridos), devem ser sujeitas a um processo de reescrita de dados sobre dados, pelo menos, três vezes e em seguida verificadas a fim de garantir que o conteúdo original não possa ser recuperado, ou ser limpas utilizando um software de eliminação de dados aprovado; |
| --- | --- | --- |

33.

a)

As memórias flash (por exemplo, chaves USB, cartões SD, unidades de estado sólido, discos rígidos híbridos), devem ser sujeitas a um processo de reescrita de dados sobre dados, pelo menos, três vezes e em seguida verificadas a fim de garantir que o conteúdo original não possa ser recuperado, ou ser limpas utilizando um software de eliminação de dados aprovado;

| b) | Os suportes magnéticos (por exemplo, discos rígidos) devem ser sujeitos a um processo de reescrita de dados sobre dados ou desmagnetizados; |
| --- | --- |

b)

Os suportes magnéticos (por exemplo, discos rígidos) devem ser sujeitos a um processo de reescrita de dados sobre dados ou desmagnetizados;

| c) | Os suportes óticos (por exemplo, CD e DVD) devem ser triturados ou desintegrados; |
| --- | --- |

c)

Os suportes óticos (por exemplo, CD e DVD) devem ser triturados ou desintegrados;

| d) | Quanto a outros suportes de armazenamento, a entidade adjudicante ou, quando adequado, a ANS/ASD/AAS deve ser consultada sobre os requisitos de segurança a cumprir. |
| --- | --- |

d)

Quanto a outros suportes de armazenamento, a entidade adjudicante ou, quando adequado, a ANS/ASD/AAS deve ser consultada sobre os requisitos de segurança a cumprir.

| 34. | Todos os suportes de armazenamento de dados que contenham informações com classificação RESTREINT UE/EU RESTRICTED devem ser objeto de limpeza definitiva antes de serem entregues a uma entidade que não esteja autorizada a aceder a informações com classificação RESTREINT UE/EU RESTRICTED (por exemplo, para trabalhos de manutenção). |
| --- | --- |

34.

---

ANEXO IV

Credenciação de segurança do pessoal e da empresa para contratantes que manuseiem informações com classificação RESTREINT UE/EU RESTRICTED e ANS/ASD que exigem a notificação de contratos classificados do nível RESTREINT UE/EU RESTRICTED (1)

| Estado-Membro | CSE | Notificação à ANS/ASD do contrato ou subcontrato que implique informações R-UE/EU-R | CSP |
| --- | --- | --- | --- |
| SIM | NÃO | SIM | NÃO | SIM | NÃO |
| Bélgica | | X | | X | | X |
| Bulgária | | X | | X | | X |
| Chéquia | | X | | X | | X |
| Dinamarca | X | | X | | X | |
| Alemanha | | X | | X | | X |
| Estónia | X | | X | | | X |
| Irlanda | | X | | X | | X |
| Grécia | X | | | X | X | |
| Espanha | | X | X | | | X |
| França | | X | | X | | X |
| Croácia | | X | X | | | X |
| Itália | | X | X | | | X |
| Chipre | | X | X | | | X |
| Letónia | | X | | X | | X |
| Lituânia | X | | X | | | X |
| Luxemburgo | X | | X | | X | |
| Hungria | | X | | X | | X |
| Malta | | X | | X | | X |
| Países Baixos | X
  (apenas para contratos relacionados com a defesa) | | X
  (apenas para contratos relacionados com a defesa) | | | X |
| Áustria | | X | | X | | X |
| Polónia | | X | | X | | X |
| Portugal | | X | | X | | X |
| Roménia | | X | | X | | X |
| Eslovénia | X | | X | | | X |
| Eslováquia | X | | X | | | X |
| Finlândia | | X | | X | | X |
| Suécia | X
  (apenas para contratos relacionados com a defesa) | | X
  (apenas para contratos relacionados com a defesa) | | X
  (apenas para contratos relacionados com a defesa) | |
| Reino Unido | | X | | X | | X |

Estado-Membro

CSE

Notificação à ANS/ASD do contrato ou subcontrato que implique informações R-UE/EU-R

CSP

SIM

NÃO

SIM

NÃO

SIM

NÃO

Bélgica

X

X

X

Bulgária

X

X

X

Chéquia

X

X

X

Dinamarca

X

X

X

Alemanha

X

X

X

Estónia

X

X

X

Irlanda

X

X

X

Grécia

X

X

X

Espanha

X

X

X

França

X

X

X

Croácia

X

X

X

Itália

X

X

X

Chipre

X

X

X

Letónia

X

X

X

Lituânia

X

X

X

Luxemburgo

X

X

X

Hungria

X

X

X

Malta

X

X

X

Países Baixos

X

(apenas para contratos relacionados com a defesa)

X

(apenas para contratos relacionados com a defesa)

X

Áustria

X

X

X

Polónia

X

X

X

Portugal

X

X

X

Roménia

X

X

X

Eslovénia

X

X

X

Eslováquia

X

X

X

Finlândia

X

X

X

Suécia

X

(apenas para contratos relacionados com a defesa)

X

(apenas para contratos relacionados com a defesa)

X

(apenas para contratos relacionados com a defesa)

Reino Unido

X

X

X

---

(1)  Estes requisitos nacionais aplicáveis às CSE/CSP e às notificações relativas a contratos que impliquem o manuseamento de informações RESTREINT UE/EU RESTRICTED não devem impor obrigações adicionais a outros Estados-Membros ou contratantes sob a sua jurisdição.

N.B.: As notificações de contratos que impliquem informações CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET são obrigatórias.

---

ANEXO V

LISTA DAS AUTORIDADES NACIONAIS DE SEGURANÇA/SERVIÇOS DAS AUTORIDADES DE SEGURANÇA DESIGNADAS RESPONSÁVEIS PELO TRATAMENTO DOS PROCEDIMENTOS ASSOCIADOS À SEGURANÇA INDUSTRIAL

BÉLGICA

| National Security Authority |
| --- |
| FPS Foreign Affairs |
| Rue des Petits Carmes 15 |
| 1000 Brussels |
| Tel. +32 25014542 (Secretariat) |
| Fax: +32 25014596 |
| Email: nvo-ans@diplobel.fed.be |

National Security Authority

FPS Foreign Affairs

Rue des Petits Carmes 15

1000 Brussels

Tel. +32 25014542 (Secretariat)

Fax: +32 25014596

Email: nvo-ans@diplobel.fed.be

BULGÁRIA

| 1. | State Commission on Information Security - National Security Authority |
| --- | --- |
| 4 Kozloduy Street |
| 1202 Sofia |
| Tel. +359 29835775 |
| Fax: +359 29873750 |
| Email: dksi@government.bg |

1.

State Commission on Information Security - National Security Authority

4 Kozloduy Street

1202 Sofia

Tel. +359 29835775

Fax: +359 29873750

Email: dksi@government.bg

| 2. | Defence Information Service at the Ministry of Defence (security service) |
| --- | --- |
| 3 Dyakon Ignatiy Street |
| 1092 Sofia |
| Tel. +359 29227002 |
| Fax: +359 29885211 |
| Email: office@iksbg.org |

2.

Defence Information Service at the Ministry of Defence (security service)

3 Dyakon Ignatiy Street

1092 Sofia

Tel. +359 29227002

Fax: +359 29885211

Email: office@iksbg.org

| 3. | State Intelligence Agency (security service) |
| --- | --- |
| 12 Hajdushka Polyana Street |
| 1612 Sofia |
| Tel. +359 29813221 |
| Fax: +359 29862706 |
| Email: office@dar.bg |

3.

State Intelligence Agency (security service)

12 Hajdushka Polyana Street

1612 Sofia

Tel. +359 29813221

Fax: +359 29862706

Email: office@dar.bg

| 4. | State Agency for Technical Operations (security service) |
| --- | --- |
| 29 Shesti Septemvri Street |
| 1000 Sofia |
| Tel. +359 29824971 |
| Fax: +359 29461339 |
| Email: dato@dato.bg |

4.

State Agency for Technical Operations (security service)

29 Shesti Septemvri Street

1000 Sofia

Tel. +359 29824971

Fax: +359 29461339

Email: dato@dato.bg

(As autoridades competentes enumeradas supra executam os procedimentos de verificação aplicáveis à emissão de CSE a entidades jurídicas que se candidatem à celebração de um contrato classificado, e de CSP a pessoas singulares que executam um contrato classificado para satisfazer as necessidades dessas autoridades.)

| 5. | State Agency National Security (security service) |
| --- | --- |
| 45 Cherni Vrah Blvd. |
| 1407 Sofia |
| Tel. +359 28147109 |
| Fax: +359 29632188, +359 28147441 |
| Email: dans@dans.bg |

5.

State Agency National Security (security service)

45 Cherni Vrah Blvd.

1407 Sofia

Tel. +359 28147109

Fax: +359 29632188, +359 28147441

Email: dans@dans.bg

(O serviço de segurança supramencionado executa os procedimentos de verificação aplicáveis à emissão de CSE e CSP a todas as outras entidades jurídicas e pessoas singulares no país candidatas à celebração de um contrato classificado ou à execução de um contrato classificado.)

CHÉQUIA

| National Security Authority |
| --- |
| Industrial Security Department |
| PO BOX 49 |
| 150 06 Praha 56 |
| Tel. +420 257283129 |
| Email: sbr@nbu.cz |

National Security Authority

Industrial Security Department

PO BOX 49

150 06 Praha 56

Tel. +420 257283129

Email: sbr@nbu.cz

DINAMARCA

| 1. | Politiets Efterretningstjeneste |
| --- | --- |
| (Danish Security Intelligence Service) |
| Klausdalsbrovej 1 |
| 2860 Søborg |
| Tel. +45 33148888 |
| Fax: +45 33430190 |

1.

Politiets Efterretningstjeneste

(Danish Security Intelligence Service)

Klausdalsbrovej 1

2860 Søborg

Tel. +45 33148888

Fax: +45 33430190

| 2. | Forsvarets Efterretningstjeneste |
| --- | --- |
| (Danish Defence Intelligence Service) |
| Kastellet 30 |
| 2100 Copenhagen Ø |
| Tel. +45 33325566 |
| Fax: +45 33931320 |

2.

Forsvarets Efterretningstjeneste

(Danish Defence Intelligence Service)

Kastellet 30

2100 Copenhagen Ø

Tel. +45 33325566

Fax: +45 33931320

ALEMANHA

| 1. | Para questões relativas à política de segurança industrial, CSE, planos de transporte (exceto para cripto/CCI): |
| --- | --- |
| Federal Ministry of Economic Affairs and Energy |
| Industrial Security Division - ZB3 |
| Villemombler Str. 76 |
| 53123 Bonn |
| Tel. +49 228996154028 |
| Fax: +49 228996152676 |
| Email: dsagermany-zb3@bmwi.bund.de (office email address) |

1.

Para questões relativas à política de segurança industrial, CSE, planos de transporte (exceto para cripto/CCI):

Federal Ministry of Economic Affairs and Energy

Industrial Security Division - ZB3

Villemombler Str. 76

53123 Bonn

Tel. +49 228996154028

Fax: +49 228996152676

Email: dsagermany-zb3@bmwi.bund.de (office email address)

| 2. | Para pedidos de visita normalizados de/para empresas alemãs: |
| --- | --- |
| Federal Ministry of Economic Affairs and Energy |
| Industrial Security Division – ZB2 |
| Villemombler Str. 76 |
| 53123 Bonn |
| Tel. +49 228996152401 |
| Fax: +49 228996152603 |
| Email: zb2-international@bmwi.bund.de (office email address) |

2.

Para pedidos de visita normalizados de/para empresas alemãs:

Federal Ministry of Economic Affairs and Energy

Industrial Security Division – ZB2

Villemombler Str. 76

53123 Bonn

Tel. +49 228996152401

Fax: +49 228996152603

Email: zb2-international@bmwi.bund.de (office email address)

| 3. | Planos de transporte para material criptográfico: |
| --- | --- |
| Federal Office for Information Security (BSI) |
| National Distribution Agency/NDA-EU DEU |
| Mainzer Str. 84 |
| 53179 Bonn |
| Tel. +49 2289995826052 |
| Fax: +49 228991095826052 |
| Email: NDAEU@bsi.bund.de |

3.

Planos de transporte para material criptográfico:

Federal Office for Information Security (BSI)

National Distribution Agency/NDA-EU DEU

Mainzer Str. 84

53179 Bonn

Tel. +49 2289995826052

Fax: +49 228991095826052

Email: NDAEU@bsi.bund.de

ESTÓNIA

| National Security Authority Department |
| --- |
| Estonian Foreign Intelligence Service |
| Rahumäe tee 4B |
| 11316 Tallinn |
| Tel. +372 6939211 |
| Fax: +372 6935001 |
| Email: nsa@fis.gov.ee |

National Security Authority Department

Estonian Foreign Intelligence Service

Rahumäe tee 4B

11316 Tallinn

Tel. +372 6939211

Fax: +372 6935001

Email: nsa@fis.gov.ee

IRLANDA

| National Security Authority Ireland |
| --- |
| Department of Foreign Affairs and Trade |
| 76-78 Harcourt Street |
| Dublin 2 |
| D02 DX45 |
| Tel. +353 14082724 |
| Email: nsa@dfa.ie |

National Security Authority Ireland

Department of Foreign Affairs and Trade

76-78 Harcourt Street

Dublin 2

D02 DX45

Tel. +353 14082724

Email: nsa@dfa.ie

GRÉCIA

| Hellenic National Defence General Staff |
| --- |
| E' Division (Security INTEL, CI BRANCH) |
| E3 Directorate |
| Industrial Security Office |
| 227-231 Mesogeion Avenue |
| 15561 Holargos, Athens |
| Tel. +30 2106572022, +30 2106572178 |
| Fax: +30 2106527612 |
| Email: daa.industrial@hndgs.mil.gr |

Hellenic National Defence General Staff

E' Division (Security INTEL, CI BRANCH)

E3 Directorate

Industrial Security Office

227-231 Mesogeion Avenue

15561 Holargos, Athens

Tel. +30 2106572022, +30 2106572178

Fax: +30 2106527612

Email: daa.industrial@hndgs.mil.gr

ESPANHA

| Autoridad Nacional de Seguridad |
| --- |
| Oficina Nacional de Seguridad |
| Calle Argentona 30 |
| 28023 Madrid |
| Tel. +34 913725000 |
| Fax: +34 913725808 |
| Email: nsa-sp@areatec.com |
| Para questões relativas à credenciação de segurança do pessoal: asip@areatec.com |
| Para planos de transporte e visitas internacionais: sp-ivtco@areatec.com |

Autoridad Nacional de Seguridad

Oficina Nacional de Seguridad

Calle Argentona 30

28023 Madrid

Tel. +34 913725000

Fax: +34 913725808

Email: nsa-sp@areatec.com

Para questões relativas à credenciação de segurança do pessoal: asip@areatec.com

Para planos de transporte e visitas internacionais: sp-ivtco@areatec.com

FRANÇA

| National Security Authority (NSA) (para ação política e execução noutros domínios que não a indústria da defesa) |
| --- |
| Secrétariat général de la défense et de la sécurité nationale |
| Sous-direction Protection du secret (SGDSN/PSD) |
| 51 boulevard de la Tour-Maubourg |
| 75700 Paris 07 SP |
| Tel. +33 171758193 |
| Fax: +33 171758200 |
| Email: ANSFrance@sgdsn.gouv.fr |

National Security Authority (NSA) (para ação política e execução noutros domínios que não a indústria da defesa)

Secrétariat général de la défense et de la sécurité nationale

Sous-direction Protection du secret (SGDSN/PSD)

51 boulevard de la Tour-Maubourg

75700 Paris 07 SP

Tel. +33 171758193

Fax: +33 171758200

Email: ANSFrance@sgdsn.gouv.fr

| Designated Security Authority (para implementação na indústria da defesa) |
| --- |
| Direction Générale de l'Armement |
| Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI) |
| 60 boulevard du général Martial Valin |
| CS 21623 |
| 75509 Paris CEDEX 15 |
| Tel. +33 988670421 |
| Email: para formulários e PDV saídos: dga-ssdi.ai.fct@intradef.gouv.fr |
| para PDV entrados: dga-ssdi.visit.fct@intradef.gouv.fr |

Designated Security Authority (para implementação na indústria da defesa)

Direction Générale de l'Armement

Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI)

60 boulevard du général Martial Valin

CS 21623

75509 Paris CEDEX 15

Tel. +33 988670421

Email: para formulários e PDV saídos: dga-ssdi.ai.fct@intradef.gouv.fr

para PDV entrados: dga-ssdi.visit.fct@intradef.gouv.fr

CROÁCIA

| Office of the National Security Council |
| --- |
| Croatian NSA |
| Jurjevska 34 |
| 10000 Zagreb |
| Tel. +385 14681222 |
| Fax: +385 14686049 |
| Email: NSACroatia@uvns.hr |

Office of the National Security Council

Croatian NSA

Jurjevska 34

10000 Zagreb

Tel. +385 14681222

Fax: +385 14686049

Email: NSACroatia@uvns.hr

ITÁLIA

| Presidenza del Consiglio dei Ministri |
| --- |
| D.I.S. - U.C.Se. |
| Via di Santa Susanna 15 |
| 00187 Roma |
| Tel. +39 0661174266 |
| Fax: +39 064885273 |

Presidenza del Consiglio dei Ministri

D.I.S. - U.C.Se.

Via di Santa Susanna 15

00187 Roma

Tel. +39 0661174266

Fax: +39 064885273

CHIPRE

| ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ |
| --- |
| Εθνική Αρχή Ασφάλειας (ΕΑΑ) |
| Λεωφόρος Στροβόλου, 172-174 |
| Στρόβολος, 2048, Λευκωσία |
| Τηλέφωνα: +357 22807569, +357 22807764 |
| Τηλεομοιότυπο: +357 22302351 |
| Email: cynsa@mod.gov.cy |

ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ

Εθνική Αρχή Ασφάλειας (ΕΑΑ)

Λεωφόρος Στροβόλου, 172-174

Στρόβολος, 2048, Λευκωσία

Τηλέφωνα: +357 22807569, +357 22807764

Τηλεομοιότυπο: +357 22302351

Email: cynsa@mod.gov.cy

| Ministry of Defence |
| --- |
| National Security Authority (NSA) |
| 172-174, Strovolos Avenue |
| 2048 Strovolos, Nicosia |
| Tel. +357 22807569, +357 22807764 |
| Fax: +357 22302351 |
| Email: cynsa@mod.gov.cy |

Ministry of Defence

National Security Authority (NSA)

172-174, Strovolos Avenue

2048 Strovolos, Nicosia

Tel. +357 22807569, +357 22807764

Fax: +357 22302351

Email: cynsa@mod.gov.cy

LETÓNIA

| National Security Authority |
| --- |
| Constitution Protection Bureau of the Republic of Latvia |
| P.O. Box 286 |
| Riga LV-1001 |
| Tel. +371 67025418, +371 67025463 |
| Fax: +371 67025454 |
| Email: ndi@sab.gov.lt, ndi@zd.gov.lv |

National Security Authority

Constitution Protection Bureau of the Republic of Latvia

P.O. Box 286

Riga LV-1001

Tel. +371 67025418, +371 67025463

Fax: +371 67025454

Email: ndi@sab.gov.lt, ndi@zd.gov.lv

LITUÂNIA

| Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija |
| --- |
| (The Commission for Secrets Protection Coordination of the Republic of Lithuania) |
| National Security Authority |
| Gedimino 40/1 |
| LT-01110 Vilnius |
| Tel. +370 70666703, +370 70666701 |
| Fax: +370 70666700 |
| Email: nsa@vsd.lt |

Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija

(The Commission for Secrets Protection Coordination of the Republic of Lithuania)

National Security Authority

Gedimino 40/1

LT-01110 Vilnius

Tel. +370 70666703, +370 70666701

Fax: +370 70666700

Email: nsa@vsd.lt

LUXEMBURGO

| Autorité Nationale de Sécurité |
| --- |
| 207, route d'Esch |
| L-1471 Luxembourg |
| Tel. +352 24782210 |
| Email: ans@me.etat.lu |

Autorité Nationale de Sécurité

207, route d'Esch

L-1471 Luxembourg

Tel. +352 24782210

Email: ans@me.etat.lu

HUNGRIA

| National Security Authority of Hungary |
| --- |
| H-1399 Budapest P.O. Box 710/50 |
| H-1024 Budapest, Szilágyi Erzsébet fasor 11/B |
| Tel. +36 13911862 |
| Fax: +36 13911889 |
| Email: nbf@nbf.hu |

National Security Authority of Hungary

H-1399 Budapest P.O. Box 710/50

H-1024 Budapest, Szilágyi Erzsébet fasor 11/B

Tel. +36 13911862

Fax: +36 13911889

Email: nbf@nbf.hu

MALTA

| Director of Standardisation |
| --- |
| Designated Security Authority for Industrial Security |
| Standards & Metrology Institute |
| Malta Competition and Consumer Affairs Authority |
| Mizzi House |
| National Road |
| Blata I-Bajda HMR9010 |
| Tel.: +356 23952000 |
| Fax: +356 21242406 |
| Email: certification@mccaa.org.mt |

Director of Standardisation

Designated Security Authority for Industrial Security

Standards & Metrology Institute

Malta Competition and Consumer Affairs Authority

Mizzi House

National Road

Blata I-Bajda HMR9010

Tel.: +356 23952000

Fax: +356 21242406

Email: certification@mccaa.org.mt

PAÍSES BAIXOS

| 1. | Ministry of the Interior and Kingdom Relations |
| --- | --- |
| PO Box 20010 |
| 2500 EA The Hague |
| Tel. +31 703204400 |
| Fax: +31 703200733 |
| Email: nsa-nl-industry@minbzk.nl |

1.

Ministry of the Interior and Kingdom Relations

PO Box 20010

2500 EA The Hague

Tel. +31 703204400

Fax: +31 703200733

Email: nsa-nl-industry@minbzk.nl

| 2. | Ministry of Defence |
| --- | --- |
| Industrial Security Department |
| PO Box 20701 |
| 2500 ES The Hague |
| Tel. +31 704419407 |
| Fax: +31 703459189 |
| Email: indussec@mindef.nl |

2.

Ministry of Defence

Industrial Security Department

PO Box 20701

2500 ES The Hague

Tel. +31 704419407

Fax: +31 703459189

Email: indussec@mindef.nl

ÁUSTRIA

| 1. | Federal Chancellery of Austria |
| --- | --- |
| Department I/12, Office for Information Security |
| Ballhausplatz 2 |
| 1014 Vienna |
| Tel. +43 153115202594 |
| Email: isk@bka.gv.at |

1.

Federal Chancellery of Austria

Department I/12, Office for Information Security

Ballhausplatz 2

1014 Vienna

Tel. +43 153115202594

Email: isk@bka.gv.at

| 2. | DSA in the military sphere: |
| --- | --- |
| BMLVS/Abwehramt |
| Postfach 2000 |
| 1030 Vienna |
| Email: abwa@bmlvs.gv.at |

2.

DSA in the military sphere:

BMLVS/Abwehramt

Postfach 2000

1030 Vienna

Email: abwa@bmlvs.gv.at

POLÓNIA

| Internal Security Agency |
| --- |
| Department for the Protection of Classified Information |
| Rakowiecka 2A |
| 00-993 Warsaw |
| Tel. +48 225857944 |
| Fax: +48 225857443 |
| Email: nsa@abw.gov.pl |

Internal Security Agency

Department for the Protection of Classified Information

Rakowiecka 2A

00-993 Warsaw

Tel. +48 225857944

Fax: +48 225857443

Email: nsa@abw.gov.pl

PORTUGAL

| Gabinete Nacional de Segurança |
| --- |
| Serviço de Segurança Industrial |
| Rua da Junqueira n.o 69 |
| 1300-342 Lisboa |
| Tel. +351 213031710 |
| Fax: +351 213031711 |
| Email: sind@gns.gov.pt, franco@gns.gov.pt |

Gabinete Nacional de Segurança

Serviço de Segurança Industrial

Rua da Junqueira n.o 69

1300-342 Lisboa

Tel. +351 213031710

Fax: +351 213031711

Email: sind@gns.gov.pt, franco@gns.gov.pt

ROMÉNIA

| Oficiul Registrului Național al Informațiilor Secrete de Stat - ORNISS |
| --- |
| Romanian NSA - ORNISS - National Registry Office for Classified Information |
| 4th Mures Street |
| 012275 Bucharest |
| Tel. +40 212075115 |
| Fax: +40 212245830 |
| Email: relatii.publice@orniss.ro, nsa.romania@nsa.ro |

Oficiul Registrului Național al Informațiilor Secrete de Stat - ORNISS

Romanian NSA - ORNISS - National Registry Office for Classified Information

4th Mures Street

012275 Bucharest

Tel. +40 212075115

Fax: +40 212245830

Email: relatii.publice@orniss.ro, nsa.romania@nsa.ro

ESLOVÉNIA

| Urad Vlade RS za varovanje tajnih podatkov |
| --- |
| Gregorčičeva 27 |
| 1000 Ljubljana |
| Tel. +386 14781390 |
| Fax: +386 14781399 |
| Email: gp.uvtp@gov.si |

Urad Vlade RS za varovanje tajnih podatkov

Gregorčičeva 27

1000 Ljubljana

Tel. +386 14781390

Fax: +386 14781399

Email: gp.uvtp@gov.si

ESLOVÁQUIA

| Národný bezpečnostný úrad |
| --- |
| (National Security Authority) |
| Security Clearance Department |
| Budatínska 30 |
| 851 06 Bratislava |
| Tel. +421 268691111 |
| Fax: +421 268691700 |
| Email: podatelna@nbu.gov.sk |

Národný bezpečnostný úrad

(National Security Authority)

Security Clearance Department

Budatínska 30

851 06 Bratislava

Tel. +421 268691111

Fax: +421 268691700

Email: podatelna@nbu.gov.sk

FINLÂNDIA

| National Security Authority |
| --- |
| Ministry for Foreign Affairs |
| P.O. Box 453 |
| FI-00023 Government |
| Email: NSA@formin.fi |

National Security Authority

Ministry for Foreign Affairs

P.O. Box 453

FI-00023 Government

Email: NSA@formin.fi

SUÉCIA

| 1. | National Security Authority |
| --- | --- |
| Utrikesdepartementet (Ministry for Foreign Affairs) |
| UD SÄK/NSA |
| SE-103 39 Stockholm |
| Tel. +46 84051000 |
| Fax: +46 87231176 |
| Email: ud-nsa@gov.se |

1.

National Security Authority

Utrikesdepartementet (Ministry for Foreign Affairs)

UD SÄK/NSA

SE-103 39 Stockholm

Tel. +46 84051000

Fax: +46 87231176

Email: ud-nsa@gov.se

| 2. | DSA |
| --- | --- |
| Försvarets Materielverk (Swedish Defence Materiel Administration) |
| FMV Säkerhetsskydd |
| SE-115 88 Stockholm |
| Tel. +46 87824000 |
| Fax: +46 87826900 |
| Email: security@fmv.se |

2.

DSA

Försvarets Materielverk (Swedish Defence Materiel Administration)

FMV Säkerhetsskydd

SE-115 88 Stockholm

Tel. +46 87824000

Fax: +46 87826900

Email: security@fmv.se

REINO UNIDO

| UK National Security Authority |
| --- |
| Room 335, 3rd Floor |
| 70 Whitehall |
| London |
| SW1A 2AS |
| Tel. +44 2072765497, +44 2072765645 |
| Email: UK-NSA@cabinet-office.x.gsi.gov.uk |

UK National Security Authority

Room 335, 3rd Floor

70 Whitehall

London

SW1A 2AS

Tel. +44 2072765497, +44 2072765645

Email: UK-NSA@cabinet-office.x.gsi.gov.uk

---