# Europeiska unionens L 311/2019

| | ISSN 1977-0820 |
| --- | --- |
| Europeiska unionens
  officiella tidning | L 311 |
| | |
| Svensk utgåva | Lagstiftning | 62 årgången2 december 2019 |

ISSN 1977-0820

Europeiska unionens

officiella tidning

L 311

Svensk utgåva

Lagstiftning

62 årgången2 december 2019

---

| Innehållsförteckning | | II   Icke-lagstiftningsakter | Sida |
| --- | --- | --- | --- |
| | | BESLUT |
| | * | Kommissionens beslut (EU, Euratom) 2019/1961 av den 17 oktober 2019 om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET | 1 |
| | * | Kommissionens beslut (EU, Euratom) 2019/1962 av den 17 oktober 2019 om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED | 21 |
| | * | Kommissionens beslut (EU, Euratom) 2019/1963 av den 17 oktober 2019 om tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal | 37 |

Innehållsförteckning

II   Icke-lagstiftningsakter

Sida

BESLUT

*

Kommissionens beslut (EU, Euratom) 2019/1961 av den 17 oktober 2019 om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1

*

Kommissionens beslut (EU, Euratom) 2019/1962 av den 17 oktober 2019 om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

21

*

Kommissionens beslut (EU, Euratom) 2019/1963 av den 17 oktober 2019 om tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal

37

| SV | De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.
  Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk. |
| --- | --- |

SV

De rättsakter vilkas titlar är tryckta med fin stil är sådana rättsakter som har avseende på den löpande handläggningen av jordbrukspolitiska frågor. De har normalt en begränsad giltighetstid.

Beträffande alla övriga rättsakter gäller att titlarna är tryckta med fetstil och föregås av en asterisk.

---

II Icke-lagstiftningsakter

BESLUT

| 2.12.2019 | SV | Europeiska unionens officiella tidning | L 311/1 |
| --- | --- | --- | --- |

2.12.2019

SV

Europeiska unionens officiella tidning

L 311/1

---

KOMMISSIONENS BESLUT (EU, Euratom) 2019/1961

av den 17 oktober 2019

om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249,

med beaktande av fördraget om upprättandet av Europeiska atomenergigemenskapen, särskilt artikel 106,

med beaktande av kommissionens beslut (EU, Euratom) 2015/443 av den 13 mars 2015 om säkerhet inom kommissionen (1),

med beaktande av kommissionens beslut (EU, Euratom) 2015/444 av den 13 mars 2015 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2),

med beaktande av kommissionens beslut (EU, Euratom) 2017/46 av den 10 januari 2017 om säkerheten i Europeiska kommissionens kommunikations- och informationssystem (3), och

av följande skäl:

| (1) | Beslut (EU, Euratom) 2015/444 är tillämpligt med avseende på alla kommissionens avdelningar och lokaler. |
| --- | --- |

(1)

Beslut (EU, Euratom) 2015/444 är tillämpligt med avseende på alla kommissionens avdelningar och lokaler.

| (2) | Säkerhetsåtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter ska under hela deras livscykel särskilt anpassas till deras säkerhetsskyddsklassificering. |
| --- | --- |

(2)

Säkerhetsåtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter ska under hela deras livscykel särskilt anpassas till deras säkerhetsskyddsklassificering.

| (3) | I artiklarna 4.3, 19.1 c och 22 i beslut (EU, Euratom) 2015/444 föreskrivs att närmare bestämmelser för att komplettera och understödja genomförandet av beslutet ska fastställas i genomförandebestämmelser som reglerar frågor såsom en handbok om säkerhetsskyddsklassificering, kompensationsåtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter utanför säkrade utrymmen eller administrativa utrymmen, och upphovsmannens ansvar. |
| --- | --- |

(3)

I artiklarna 4.3, 19.1 c och 22 i beslut (EU, Euratom) 2015/444 föreskrivs att närmare bestämmelser för att komplettera och understödja genomförandet av beslutet ska fastställas i genomförandebestämmelser som reglerar frågor såsom en handbok om säkerhetsskyddsklassificering, kompensationsåtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter utanför säkrade utrymmen eller administrativa utrymmen, och upphovsmannens ansvar.

| (4) | Vid behov ska genomförandebestämmelser för att komplettera eller stödja beslut (EU, Euratom) 2015/444 antas i enlighet med artikel 60 i det beslutet. |
| --- | --- |

(4)

Vid behov ska genomförandebestämmelser för att komplettera eller stödja beslut (EU, Euratom) 2015/444 antas i enlighet med artikel 60 i det beslutet.

| (5) | Säkerhetsåtgärder som vidtas för att genomföra detta beslut ska vara förenliga med säkerhetsprinciper enligt artikel 3 i kommissionens beslut (EU, Euratom) 2015/443. |
| --- | --- |

(5)

Säkerhetsåtgärder som vidtas för att genomföra detta beslut ska vara förenliga med säkerhetsprinciper enligt artikel 3 i kommissionens beslut (EU, Euratom) 2015/443.

| (6) | Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa största möjliga enhetlighet vid tillämpningen av säkerhetsbestämmelser när det gäller skydd av säkerhetsskyddsklassificerade EU-uppgifter, med beaktande av deras särskilda institutionella och organisatoriska behov, i enlighet med uttalandena till protokollet från det rådsmöte då rådets beslut 2013/488/EU (4) antogs. |
| --- | --- |

(6)

Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa största möjliga enhetlighet vid tillämpningen av säkerhetsbestämmelser när det gäller skydd av säkerhetsskyddsklassificerade EU-uppgifter, med beaktande av deras särskilda institutionella och organisatoriska behov, i enlighet med uttalandena till protokollet från det rådsmöte då rådets beslut 2013/488/EU (4) antogs.

| (7) | Den 4 maj 2016 antog kommissionen ett beslut (5) om bemyndigande för den ledamot av kommissionen som ansvarar för säkerhetsfrågor att, på kommissionens vägnar och under dess ansvar, anta de genomförandebestämmelser som avses i artikel 60 (där kallade ”tillämpningsföreskrifter”) i beslut (EU, Euratom) 2015/444. |
| --- | --- |

(7)

Den 4 maj 2016 antog kommissionen ett beslut (5) om bemyndigande för den ledamot av kommissionen som ansvarar för säkerhetsfrågor att, på kommissionens vägnar och under dess ansvar, anta de genomförandebestämmelser som avses i artikel 60 (där kallade ”tillämpningsföreskrifter”) i beslut (EU, Euratom) 2015/444.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL 1

ALLMÄNNA BESTÄMMELSER

Artikel 1

Syfte och tillämpningsområde

1.   I detta beslut fastställs villkoren för hantering av säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL (6) och SECRET UE/EU SECRET (7) i enlighet med beslut (EU, Euratom) 2015/444.

2.   Detta beslut ska tillämpas på alla kommissionens avdelningar och lokaler.

Artikel 2

Kriterier för tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1.   Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får beviljas efter att följande har gjorts:

| a) | Det har fastställts att en person måste ha tillgång till vissa EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET för att kunna utöva en yrkesfunktion eller utföra uppgifter för Europeiska kommissionen. |
| --- | --- |

a)

Det har fastställts att en person måste ha tillgång till vissa EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET för att kunna utöva en yrkesfunktion eller utföra uppgifter för Europeiska kommissionen.

| b) | Personen har informerats om reglerna och relevanta säkerhetsstandarder och riktlinjer för skydd av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET. |
| --- | --- |

b)

Personen har informerats om reglerna och relevanta säkerhetsstandarder och riktlinjer för skydd av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET.

| c) | Personen har bekräftat sitt ansvar för att skydda de berörda uppgifterna. |
| --- | --- |

c)

Personen har bekräftat sitt ansvar för att skydda de berörda uppgifterna.

| d) | Personen har godkänts av kommissionens säkerhetsmyndighet för tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till den berörda säkerhetsskyddsklassificeringsnivån och till och med ett angivet datum i enlighet med artikel 10.1 3 i beslut (EU, Euratom) 2015/444. |
| --- | --- |

d)

Personen har godkänts av kommissionens säkerhetsmyndighet för tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till den berörda säkerhetsskyddsklassificeringsnivån och till och med ett angivet datum i enlighet med artikel 10.1 3 i beslut (EU, Euratom) 2015/444.

2.   Kommissionens praktikanter ska inte få uppgifter som kräver tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

3.   Tillgång ska vägras eller tillåtas för andra personalkategorier i enlighet med tabellen i bilagan.

KAPITEL 2

UPPRÄTTA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 3

Upphovsman

Även om upphovsmannen i den mening som avses i artikel 1 i beslut (EU, Euratom) 2015/444 är en EU-institution, en EU-byrå eller ett EU-organ, en medlemsstat, tredjestat eller en internationell organisation under vars behörighet säkerhetsskyddsklassificerade uppgifter har upprättats och/eller införts i unionens strukturer, är den som utarbetar EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inte nödvändigtvis densamma.

Artikel 4

Fastställande av säkerhetsskyddsklassificeringsnivå

1.   Personal som utarbetar en handling på grundval av uppgifter i den mening som avses i artikel 1 ska alltid ta ställning till om handlingen behöver säkerhetsskyddsklassificeras. Klassificeringen av en handling som säkerhetsskyddsklassificerade EU-uppgifter ska inbegripa en bedömning och ett beslut av upphovsmannen om huruvida utlämnandet av handlingen till obehöriga personer skulle skada Europeiska unionens eller en eller flera medlemsstaters intressen. Om de personer som utarbetar en handling hyser tvivel om huruvida handlingen ska säkerhetsskyddsklassificeras på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, bör de samråda med den ansvarige enhetschefen eller den ansvarige direktören.

2.   En handling ska säkerhetsskyddsklassificeras minst på nivån CONFIDENTIEL UE/EU CONFIDENTIAL om dess obehöriga röjande bland annat skulle kunna

| a) | påtagligt skada diplomatiska förbindelser, dvs. förorsaka formella protester eller andra sanktioner, |
| --- | --- |

a)

påtagligt skada diplomatiska förbindelser, dvs. förorsaka formella protester eller andra sanktioner,

| b) | äventyra enskilda personers säkerhet och frihet, |
| --- | --- |

b)

äventyra enskilda personers säkerhet och frihet,

| c) | vålla skada på den operativa effektiviteten eller säkerheten hos medlemsstaternas eller andra medverkande staters utstationerade personal, eller på effektiviteten hos värdefulla säkerhets- eller underrättelseoperationer, |
| --- | --- |

c)

vålla skada på den operativa effektiviteten eller säkerheten hos medlemsstaternas eller andra medverkande staters utstationerade personal, eller på effektiviteten hos värdefulla säkerhets- eller underrättelseoperationer,

| d) | väsentligt undergräva större organisationers finansiella livskraft, |
| --- | --- |

d)

väsentligt undergräva större organisationers finansiella livskraft,

| e) | hindra utredning av allvarliga brott eller göra det lättare att begå sådana, |
| --- | --- |

e)

hindra utredning av allvarliga brott eller göra det lättare att begå sådana,

| f) | väsentligt motarbeta unionens eller medlemsstaternas finansiella, monetära, ekonomiska och kommersiella intressen, |
| --- | --- |

f)

väsentligt motarbeta unionens eller medlemsstaternas finansiella, monetära, ekonomiska och kommersiella intressen,

| g) | allvarligt hindra utvecklingen eller genomförandet av unionens viktigare strategier, |
| --- | --- |

g)

allvarligt hindra utvecklingen eller genomförandet av unionens viktigare strategier,

| h) | innebära ett avbrott för eller på annat sätt väsentligt störa betydelsefull unionsverksamhet, |
| --- | --- |

h)

innebära ett avbrott för eller på annat sätt väsentligt störa betydelsefull unionsverksamhet,

| i) | leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå. |
| --- | --- |

i)

leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå.

3.   En handling ska säkerhetsskyddsklassificeras minst på nivån SECRET UE/EU SECRET om dess obehöriga röjande bland annat skulle kunna

| a) | skapa internationella spänningar, |
| --- | --- |

a)

skapa internationella spänningar,

| b) | allvarligt skada förbindelserna med tredjeländer eller internationella organisationer, |
| --- | --- |

b)

allvarligt skada förbindelserna med tredjeländer eller internationella organisationer,

| c) | utgöra ett direkt hot mot liv eller allvarligt skada den allmänna ordningen eller den enskildes säkerhet eller frihet, |
| --- | --- |

c)

utgöra ett direkt hot mot liv eller allvarligt skada den allmänna ordningen eller den enskildes säkerhet eller frihet,

| d) | vålla allvarlig skada på den operativa effektiviteten eller säkerheten hos medlemsstaternas eller andra medverkande staters utstationerade personal, eller på den fortsatta effektiviteten hos ytterst värdefulla säkerhets- eller underrättelseoperationer, |
| --- | --- |

d)

vålla allvarlig skada på den operativa effektiviteten eller säkerheten hos medlemsstaternas eller andra medverkande staters utstationerade personal, eller på den fortsatta effektiviteten hos ytterst värdefulla säkerhets- eller underrättelseoperationer,

| e) | vålla väsentlig materiell skada på EU:s eller en av dess medlemsstaters finansiella, monetära, ekonomiska eller kommersiella intressen, |
| --- | --- |

e)

vålla väsentlig materiell skada på EU:s eller en av dess medlemsstaters finansiella, monetära, ekonomiska eller kommersiella intressen,

| f) | leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå. |
| --- | --- |

f)

leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå.

4.   Upphovsmän får besluta att tilldela en standardiserad säkerhetsskyddsklassificeringsnivå till de kategorier av uppgifter som de regelbundet upprättar. De ska dock se till att enskilda uppgifter ges lämplig säkerhetsskyddsklassificeringsnivå.

Artikel 5

Utarbetande av utkast

1.   Uppgifter ska säkerhetsskyddsklassificeras så snart de har upprättats. Personliga meddelanden, preliminära utkast eller meddelanden som innehåller uppgifter som motiverar en säkerhetsskyddsklassificering på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska markeras som sådana från början och ska framställas och hanteras i enlighet med detta beslut.

2.   Om den slutliga handlingen inte längre motiverar den ursprungliga säkerhetsskyddsklassificeringsnivån ska den inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad.

Artikel 6

Register över källmaterial

För att göra det möjligt att utöva upphovsmannens kontroll i enlighet med artikel 14 ska upphovsmän till handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET föra register över alla säkerhetsskyddsklassificerade källor som används för framställning av säkerhetsskyddsklassificerade handlingar, inbegripet uppgifter om källor som ursprungligen kommer från EU:s medlemsstater, internationella organisationer eller tredjeländer. När så är lämpligt ska säkerhetsskyddsklassificerade uppgifter i aggregerad form märkas på ett sådant sätt att uppgifter som anger upphovsmännen till säkerhetsskyddsklassificerat källmaterial bevaras.

Artikel 7

Säkerhetsskyddsklassificering av delar av en handling

1.   I enlighet med artikel 22.6 i beslut (EU, Euratom) 2015/444 ska en handlings övergripande säkerhetsskyddsklassificeringsnivå vara minst lika hög som den del som har fått den högsta säkerhetsskyddsklassificeringsnivån. När uppgifter från olika källor sammanställs, ska den slutliga handlingen i aggregerad form ses över för att dess övergripande säkerhetsskyddsklassificeringsnivå ska kunna fastställas, eftersom den kan motivera en högre säkerhetsskyddsklassificeringsnivå än säkerhetsskyddsklassificeringsnivån för de enskilda delarna.

2.   Handlingar som innehåller både säkerhetsskyddsklassificerade och icke-säkerhetsskyddsklassificerade delar struktureras och markeras så att delar på olika klassificerings- och/eller känslighetsnivå vid behov lätt kan identifieras och avskiljas. På så sätt möjliggörs att varje del hanteras på lämpligt sätt när den skilts från de övriga delarna.

Artikel 8

Fullständig säkerhetsskyddsmarkering

1.   Uppgifter som motiverar säkerhetsskyddsklassificering ska markeras och hanteras som sådana oberoende av deras fysiska form. Säkerhetsskyddsklassificeringsnivån ska tydligt meddelas till mottagarna, antingen genom en säkerhetsskyddsmarkering, om uppgifterna tillhandahålls i skriftlig form, oavsett om så sker i pappersform, på flyttbara lagringsmedier eller i ett kommunikations- och informationssystem, eller genom ett tillkännagivande, om uppgifterna lämnas i muntlig form, t.ex. i ett samtal eller en presentation. Säkerhetsskyddsklassificerat material ska märkas fysiskt så att dess säkerhetsskyddsklassificering lätt kan identifieras.

2.   På handlingar ska den fullständiga säkerhetsskyddsmarkeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET skrivas med versaler, i sin helhet på franska och engelska (med franska först), i enlighet med punkt 3. Markeringen ska inte översättas till andra språk.

3.   Säkerhetsskyddsmarkeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska anbringas

| a) | centrerat högst upp och längst ned på varje sida i handlingen, |
| --- | --- |

a)

centrerat högst upp och längst ned på varje sida i handlingen,

| b) | med fullständig säkerhetsskyddsmarkering på en rad, utan mellanslag på någondera sidan av snedstrecket, |
| --- | --- |

b)

med fullständig säkerhetsskyddsmarkering på en rad, utan mellanslag på någondera sidan av snedstrecket,

| c) | med versaler, i svart, med teckensnittet Times New Roman 16 (om möjligt, men minst 14) i fetstil, och omgivet av en ram på alla sidor, |
| --- | --- |

c)

med versaler, i svart, med teckensnittet Times New Roman 16 (om möjligt, men minst 14) i fetstil, och omgivet av en ram på alla sidor,

4.   Vid upprättandet av en handling på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska

| a) | varje sida tydligt markeras med säkerhetsskyddsklassificeringsnivån, |
| --- | --- |

a)

varje sida tydligt markeras med säkerhetsskyddsklassificeringsnivån,

| b) | varje sida numreras, |
| --- | --- |

b)

varje sida numreras,

| c) | handlingen förses med ett referensnummer, ett registreringsnummer och en ämnesuppgift som inte i sig är en säkerhetsskyddsklassificerad uppgift, om den inte getts en sådan märkning, |
| --- | --- |

c)

handlingen förses med ett referensnummer, ett registreringsnummer och en ämnesuppgift som inte i sig är en säkerhetsskyddsklassificerad uppgift, om den inte getts en sådan märkning,

| d) | alla bilagor och bifogade handlingar ska förtecknas, om möjligt på första sidan, |
| --- | --- |

d)

alla bilagor och bifogade handlingar ska förtecknas, om möjligt på första sidan,

| e) | handlingen ska förses med datum för dess upprättande. |
| --- | --- |

e)

handlingen ska förses med datum för dess upprättande.

5.   Om möjligt ska markeringen SECRET UE/EU SECRET vara röd.

Artikel 9

Förkortade säkerhetsskyddsmarkeringar C-UE/EU- C och S-UE/EU-S

Förkortningarna C-UE/EU-C och S-UE/EU-S får användas för att ange säkerhetsskyddsklassificeringsnivån för enskilda delar av en handling klassificerad CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET eller där den fullständiga säkerhetsskyddsmarkeringen inte kan anbringas, till exempel på ett mindre flyttbart lagringsmedium. Förkortningarna får användas i brödtext där upprepad användning av fullständiga säkerhetsskyddsmarkeringar blir svårhanterlig. Förkortningen får inte användas i stället för den fullständiga säkerhetsskyddsmarkeringen i sidhuvudet och sidfoten i handlingen.

Artikel 10

Andra säkerhetsbeteckningar

1.   Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får förses med andra markeringar eller med ”säkerhetsbeteckningar”, med uppgift om till exempel det område till vilket handlingen hör eller som anger en särskild spridning på grundval av principen om behovsenlig behörighet. Ett exempel:

| KAN UTLÄMNAS TILL LIECHTENSTEIN. |
| --- |

KAN UTLÄMNAS TILL LIECHTENSTEIN.

2.   Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får förses med en säkerhetsvarning med särskilda anvisningar om hur handlingarna ska hanteras och förvaltas.

3.   Om det är möjligt ska alla uppgifter om inplacering på lägre säkerhetsskyddsklassificeringsnivå eller huruvida handlingen inte längre ska vara säkerhetsskyddsklassificerad anges på första sidan i handlingen vid den tidpunkt då den upprättas. Exempelvis kan följande märkning användas:

| SECRET UE/EU SECRET

  till [dd.mm.ååå]
  och RESTREINT UE/EU RESTRICTED

  därefter |
| --- |

SECRET UE/EU SECRET

till [dd.mm.ååå]

och RESTREINT UE/EU RESTRICTED

därefter

Artikel 11

Elektronisk behandling

1.   Handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska upprättas med hjälp av elektroniska medel om sådana finns tillgängliga.

2.   När EU-uppgifter upprättas på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska kommissionens personal använda sig av kommunikations- och informationssystem som är ackrediterade för motsvarande säkerhetsskyddsklassificeringsnivå eller högre. Personalen ska samråda med den lokalt säkerhetsansvariga om det råder tvivel om vilket kommunikations- och informationssystem som får användas. I samråd med kommissionens säkerhetsmyndighet får specifika förfaranden tillämpas i nödsituationer eller i specifika tekniska konfigurationer.

3.   Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET, inklusive utkast, får i enlighet med kravet i artikel 5 inte sändas med e-post, tryckas eller skannas på standardskrivare eller skannrar, eller hanteras på personliga enheter som tillhör personalen. Endast skrivare eller kopiatorer som är anslutna till fristående datorer eller till ett ackrediterat system ska användas för att skriva ut handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 12

Registrering för säkerhetsändamål

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska registreras för säkerhetsändamål före distribution och vid mottagandet. De ska registreras

| — | när de kommer till eller lämnar en organisatorisk enhet, |
| --- | --- |

—

när de kommer till eller lämnar en organisatorisk enhet,

| — | när de kommer till eller lämnar ett kommunikations- och informationssystem. |
| --- | --- |

—

när de kommer till eller lämnar ett kommunikations- och informationssystem.

2.   Registreringen får göras på papper eller i elektroniska loggböcker.

3.   Om uppgifterna hanteras elektroniskt i ett kommunikations- och informationssystem, kan dessa registreringsförfaranden utföras genom processer inom själva systemet. I så fall ska kommunikations- och informationssystemet omfatta åtgärder som garanterar loggregistrens integritet.

4.   Kontrolltjänstemannen för registreringsenheten ska föra ett register som innehåller minst följande uppgifter för varje handling:

| a) | Dag då den slutliga säkerhetsskyddsklassificerade handlingen registrerades. |
| --- | --- |

a)

Dag då den slutliga säkerhetsskyddsklassificerade handlingen registrerades.

| b) | Säkerhetsskyddsklassificeringsnivå. |
| --- | --- |

b)

Säkerhetsskyddsklassificeringsnivå.

| c) | I tillämpliga fall, den dag då säkerhetsskyddsklassificeringsnivån upphör att gälla. |
| --- | --- |

c)

I tillämpliga fall, den dag då säkerhetsskyddsklassificeringsnivån upphör att gälla.

| d) | Namnet på den avdelning där handlingen har sitt ursprung. |
| --- | --- |

d)

Namnet på den avdelning där handlingen har sitt ursprung.

| e) | Mottagaren eller mottagarna. |
| --- | --- |

e)

Mottagaren eller mottagarna.

| f) | En ämnesuppgift. |
| --- | --- |

f)

En ämnesuppgift.

| g) | Referensnummer för handlingen från den avdelning där den har sitt ursprung. |
| --- | --- |

g)

Referensnummer för handlingen från den avdelning där den har sitt ursprung.

| h) | Registreringsnummer. |
| --- | --- |

h)

Registreringsnummer.

| i) | Antal distribuerade exemplar. |
| --- | --- |

i)

Antal distribuerade exemplar.

| j) | Om möjligt, en logg över de källor som använts för att upprätta dokumentet. |
| --- | --- |

j)

Om möjligt, en logg över de källor som använts för att upprätta dokumentet.

| k) | Datum för inplacering på lägre säkerhetsskyddsklassificeringsnivå eller då handlingen inte längre är säkerhetsskyddsklassificerad. |
| --- | --- |

k)

Datum för inplacering på lägre säkerhetsskyddsklassificeringsnivå eller då handlingen inte längre är säkerhetsskyddsklassificerad.

| l) | Uppgifter om förstöring (ort, datum, metod, övervakning, intyg över förstöring). |
| --- | --- |

l)

Uppgifter om förstöring (ort, datum, metod, övervakning, intyg över förstöring).

Artikel 13

Spridning

Sändaren av handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska besluta till vem uppgifterna ska spridas, på grundval av behovsenlig behörighet. En distributionslista ska upprättas för att ytterligare stärka principen om behovsenlig behörighet.

KAPITEL 3

ARBETE MED BEFINTLIGA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 14

Upphovsmannens kontroll

1.   Upphovsmannen ska ha ”upphovsmannens kontroll” över EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET som han eller hon har upprättat. Upphovsmannens skriftliga förhandsmedgivande ska inhämtas innan

| a) | beslut kan fattas om att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade eller att de ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå |
| --- | --- |

a)

beslut kan fattas om att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade eller att de ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå

| b) | uppgifter används för andra ändamål än dem som fastställts av upphovsmannen, |
| --- | --- |

b)

uppgifter används för andra ändamål än dem som fastställts av upphovsmannen,

| c) | uppgifter lämnas ut till ett tredjeland eller en internationell organisation, |
| --- | --- |

c)

uppgifter lämnas ut till ett tredjeland eller en internationell organisation,

| d) | röjas för en part utanför kommissionen men inom EU, |
| --- | --- |

d)

röjas för en part utanför kommissionen men inom EU,

| e) | lämnas ut till en entreprenör eller presumtiv entreprenör i ett tredjeland. |
| --- | --- |

e)

lämnas ut till en entreprenör eller presumtiv entreprenör i ett tredjeland.

2.   Innehavare av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET har fått tillgång till de säkerhetsskyddsklassificerade uppgifterna för att kunna utföra sina uppgifter. De ansvarar för att de hanteras, lagras och skyddas korrekt i enlighet med beslut (EU, Euratom) 2015/444. Till skillnad från upphovsmän av säkerhetsskyddsklassificerade uppgifter ska innehavarna inte ha befogenhet att besluta om inplacering på lägre säkerhetsskyddsklassificeringsnivå, om att uppgifter inte längre ska vara säkerhetsskyddsklassificerade eller om utlämnande av EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till tredjeländer eller internationella organisationer.

3.   Om upphovsmannen till en EU-uppgift på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inte kan identifieras, ska den kommissionsavdelning som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll. Innan EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET lämnas ut till ett tredjeland eller en internationell organisation ska kommissionens grupp av säkerhetsexperter rådfrågas.

Artikel 15

Kommunikations- och informationssystem lämpligt för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1.   Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska upprättas och överföras med hjälp av elektroniska medel om sådana finns tillgängliga. Endast kommunikations- och informationssystem som av kommissionens ackrediteringsmyndighet för säkerhet har ackrediterats för hantering av uppgifter på den berörda säkerhetsskyddsklassificeringsnivån eller högre ska användas.

2.   Om en avdelning inom kommissionen har lämplig utrustning för att hantera och sända uppgifter med säkerhetsskyddsklassificering på dessa säkerhetsskyddsklassificeringsnivåer ska den, i den mån det är möjligt, bistå andra enheter inom kommissionen med att hantera och skicka uppgifter på ett lämpligt sätt.

Artikel 16

Särskilda åtgärder avseende EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET som lagrats på flyttbara lagringsmedier

1.   Användningen av flyttbara lagringsmedier ska hållas strikt kontrollerad och redovisas. Endast flyttbara lagringsmedier som tillhandahålls av kommissionen och krypteras med en produkt som godkänts av kommissionens säkerhetsmyndighet ska användas. Personliga flyttbara lagringsmedier och sådana som delas ut fritt vid konferenser, seminarier osv. får inte användas för överföring av säkerhetsskyddsklassificerade uppgifter. Om möjligt bör Tempest-säkra flyttbara lagringsmedier användas, i enlighet med riktlinjerna från kommissionens säkerhetsmyndighet.

2.   Om en säkerhetsskyddsklassificerad handling hanteras eller lagras elektroniskt på flyttbara lagringsmedier, såsom usb-minnen, cd-skivor eller minneskort, ska säkerhetsskyddsmarkeringen vara väl synlig på de uppgifter som visas, liksom i filnamnet och på det flyttbara lagringsmediet.

3.   Personalen ska ha i åtanke att det kan krävas en högre säkerhetsskyddsklassificeringsnivå när stora mängder säkerhetsskyddsklassificerade uppgifter lagras på löstagbara lagringsmedier.

4.   Endast kommunikations- och informationssystem som vederbörligen ackrediterats ska användas för att överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till eller från flyttbara lagringsmedier.

5.   Vid nedladdning av sådana uppgifter som finns på löstagbara lagringsmedier ska särskild omsorg ägnas åt att se till att medierna inte innehåller virus eller sabotageprogram innan överföringen av uppgifter sker.

6.   Flyttbara lagringsmedier ska i förekommande fall hanteras i enlighet med de säkra driftsmetoder som gäller för det krypteringssystem som används.

7.   Handlingar på flyttbara lagringsmedier som antingen inte längre behövs eller som har överförts till ett lämpligt kommunikations- och informationssystem ska avlägsnas eller raderas säkert med hjälp av godkända produkter eller metoder. De flyttbara lagringsmedierna ska förstöras när de inte längre behövs, om de inte förvaras i ett lämpligt kassaskåp. All förstöring eller radering ska ske med en metod som överensstämmer med kommissionens säkerhetsbestämmelser. En inventarieförteckning ska upprättas över de löstagbara medierna, och förstöringen av dem ska registreras.

Artikel 17

Hantering och lagring av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1.   I enlighet med artikel 19.3 a i beslut (EU, Euratom) 2015/444 ska EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET hanteras i ett säkrat utrymme (8).

2.   I enlighet med artikel 19.3 b i beslut (EU, Euratom) 2015/444 får dessa säkerhetsskyddsklassificerade EU-uppgifter hanteras i ett administrativt utrymme (9), förutsatt att de skyddas från att obehöriga får tillgång till dem.

3.   Dessa uppgifter får hanteras utanför ett säkrat eller administrativt utrymme, förutsatt att innehavaren har åtagit sig att följa de kompensationsåtgärder som krävs enligt artikel 19.3 c i beslut (EU, Euratom) 2015/444, som ska minst omfatta följande:

| — | Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte läsas på offentliga platser. |
| --- | --- |

—

Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte läsas på offentliga platser.

| — | Säkerhetsskyddsklassificerade EU-uppgifter ska alltid förvaras under innehavarens personliga kontroll. |
| --- | --- |

—

Säkerhetsskyddsklassificerade EU-uppgifter ska alltid förvaras under innehavarens personliga kontroll.

| — | När det gäller handlingar i pappersform har innehavaren anmält till det berörda registret att de säkerhetsskyddsklassificerade handlingarna hanteras utanför ett säkrat eller administrativt utrymme. |
| --- | --- |

—

När det gäller handlingar i pappersform har innehavaren anmält till det berörda registret att de säkerhetsskyddsklassificerade handlingarna hanteras utanför ett säkrat eller administrativt utrymme.

| — | Handlingarna ska förvaras i ett lämpligt kassaskåp när de inte läses eller diskuteras. |
| --- | --- |

—

Handlingarna ska förvaras i ett lämpligt kassaskåp när de inte läses eller diskuteras.

| — | Dörrarna till lokalen ska vara stängda när handlingen läses eller diskuteras. |
| --- | --- |

—

Dörrarna till lokalen ska vara stängda när handlingen läses eller diskuteras.

| — | Detaljerna i handlingen får inte diskuteras via telefon på en icke-säkrad linje eller i ett mejl. |
| --- | --- |

—

Detaljerna i handlingen får inte diskuteras via telefon på en icke-säkrad linje eller i ett mejl.

| — | Handlingen får inte kopieras eller skannas av innehavaren. Endast registreringsenheten får tillhandahålla ytterligare kopior. |
| --- | --- |

—

Handlingen får inte kopieras eller skannas av innehavaren. Endast registreringsenheten får tillhandahålla ytterligare kopior.

| — | Handlingen får hanteras och tillfälligt hållas utanför ett administrativt eller säkrat utrymme endast under den minsta tid som krävs, och därefter returneras till registreringsenheten. |
| --- | --- |

—

Handlingen får hanteras och tillfälligt hållas utanför ett administrativt eller säkrat utrymme endast under den minsta tid som krävs, och därefter returneras till registreringsenheten.

| — | Returneringen ska bekräftas genom underteckning. |
| --- | --- |

—

Returneringen ska bekräftas genom underteckning.

| — | Innehavaren får inte kasta bort den säkerhetsskyddsklassificerade handlingen eller förstöra den. |
| --- | --- |

—

Innehavaren får inte kasta bort den säkerhetsskyddsklassificerade handlingen eller förstöra den.

4.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska förvaras i ett säkrat utrymme i ett säkerhetsskåp eller valv.

5.   Ytterligare rådgivning kan begäras från den lokalt säkerhetsansvariga vid den berörda kommissionsavdelningen.

6.   Alla misstänkta eller faktiska säkerhetsincidenter som inbegriper handlingen ska rapporteras till den lokalt säkerhetsansvariga så snart som möjligt.

Artikel 18

Kopiering och översättning av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får kopieras eller översättas på uppdrag av innehavaren, förutsatt att upphovsmannen inte har angett några begränsningar. Det får dock inte göras fler kopior än vad som är absolut nödvändigt.

2.   Om endast en del av en säkerhetsskyddsklassificerad handling återges ska samma villkor gälla som för kopiering av den fullständiga handlingen. Utdrag ska också klassificeras på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED, såvida inte upphovsmannen särskilt har klassificerat dem på en lägre säkerhetsskyddsklassificeringsnivå eller markerat att de inte omfattas av säkerhetsskyddsklassificeringen.

3.   De säkerhetsåtgärder som är tillämpliga på de ursprungliga uppgifterna ska också tillämpas på kopior och översättningar av dessa.

Artikel 19

Allmänna principer för befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1.   När så är möjligt ska EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET som behöver tas utanför säkrade utrymmen eller administrativa utrymmen skickas på elektronisk väg med hjälp av vederbörligt ackrediterade medel och/eller skyddas med godkända kryptoprodukter.

2.   Beroende på de tillgängliga medlen eller de särskilda omständigheterna får EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET befordras fysiskt genom personligt överlämnande i form av pappersdokument eller på flyttbara lagringsmedier. För att överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska användning av flyttbara lagringsmedier ges företräde framför att skicka pappersdokument.

3.   Endast flyttbara lagringsmedier som krypteras med en produkt som godkänts av kommissionens säkerhetsmyndighet får användas. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET på löstagbara lagringsmedier som inte skyddas av en kryptoprodukt som har godkänts av kommissionens säkerhetsmyndighet ska hanteras på samma sätt som pappersutskrifter.

4.   En försändelse får innehålla mer än en säkerhetsskyddsklassificerad uppgift, förutsatt att principen om behovsenlig behörighet följs.

5.   De förpackningar som används ska förhindra att innehållet går att se. EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska befordras i dubbla ogenomskinliga förpackningar, till exempel kuvert, ogenomskinliga mappar eller en portfölj. Den yttre förpackningen ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetsskyddsklassificeringsnivå. Den inre förpackningen ska markeras CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. På båda förpackningarna anges den avsedda mottagarens namn, tjänstetitel och adress samt en returadress om leveransen inte kan utföras.

6.   Personal eller kurirer som befordrar EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vara säkerhetsbemyndigade och ett kuririntyg ska utfärdas för dem.

7.   Kuvertet/förpackningen får inte öppnas under befordran. Säkerhetsgodkännandet för kuriren bemyndigar inte honom eller henne att få tillgång till innehållet i de säkerhetsskyddsklassificerade uppgifterna.

8.   Alla säkerhetsincidenter som inbegriper EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som befordras av personal eller kurirer ska rapporteras för efterföljande undersökning till direktoratet för säkerhet vid generaldirektoratet för personal och säkerhet, via den relevanta kommissionsavdelningens lokalt säkerhetsansvariga.

Artikel 20

Personligt överlämnande av flyttbara lagringsmedier

1.   Flyttbara lagringsmedier som används för att befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska åtföljas av en fraktsedel med uppgifter om de flyttbara lagringsmedier som innehåller de säkerhetsskyddsklassificerade uppgifterna samt alla filer som finns på dem, så att mottagaren kan göra nödvändiga kontroller och bekräfta mottagandet.

2.   Endast de handlingar som ska tillhandahållas ska lagras på medierna. Exempelvis måste alla säkerhetsskyddsklassificerade uppgifter på ett enskilt usb-minne vara avsedda för en och samma mottagare. Avsändaren ska ha i åtanke att det kan krävas en högre säkerhetsskyddsklassificeringsnivå för enheten som helhet när stora mängder säkerhetsskyddsklassificerade uppgifter lagras på sådana enheter.

3.   Endast flyttbara lagringsmedier med korrekt säkerhetsskyddsmarkering ska användas för att befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

4.   Alla EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som sparas på flyttbara lagringsmedier ska registreras för säkerhetsändamål.

Artikel 21

Befordran av handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET inom kommissionsbyggnader

1.   Säkerhetsbemyndigad personal får befordra handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET inom en kommissionsbyggnad, men handlingarna får inte lämnas utan uppsikt av den person som befordrar dem eller läsas offentligt.

2.   Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte skickas med internpost.

Artikel 22

Befordran av handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET inom unionen

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får befordras av personal eller kommissionens kurirer vart som helst inom unionen, förutsatt att de följer följande anvisningar:

| a) | För befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska ogenomskinliga kuvert eller förpackningar användas. Utsidan ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetskyddsklassificeringsnivå. |
| --- | --- |

a)

För befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska ogenomskinliga kuvert eller förpackningar användas. Utsidan ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetskyddsklassificeringsnivå.

| b) | EU-uppgifterna på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får inte lämnas utan uppsikt av den person som befordrar dem. |
| --- | --- |

b)

EU-uppgifterna på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får inte lämnas utan uppsikt av den person som befordrar dem.

| c) | Kuvertet eller paketet får inte öppnas under befordran och uppgifterna får inte läsas på offentliga platser. |
| --- | --- |

c)

Kuvertet eller paketet får inte öppnas under befordran och uppgifterna får inte läsas på offentliga platser.

2.   Personal vid en registreringsenhet som önskar sända EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL till andra platser inom unionen får sörja för att uppgifterna befordras på ett av följande sätt:

| — | Med nationell post som spårar försändelsen eller vissa kommersiella kurirtjänster som garanterar personlig befordran, förutsatt att de uppfyller kraven i artikel 24 i detta beslut, |
| --- | --- |

—

Med nationell post som spårar försändelsen eller vissa kommersiella kurirtjänster som garanterar personlig befordran, förutsatt att de uppfyller kraven i artikel 24 i detta beslut,

| — | med militär-, regerings- eller diplomatkurir. |
| --- | --- |

—

med militär-, regerings- eller diplomatkurir.

3.   Personal som vill skicka EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET till andra EU-medlemsstater får komma överens med sin registreringsenhet om att de skickas med militär-, regerings- eller diplomatkurir, men inte med post eller kommersiella kurirer.

4.   Kommissionens personal eller kommissionens officiella kurirer som befordrar EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska medföra ett kuririntyg för varje försändelse, utfärdat av respektive avdelnings kansli, vilket intygar att personen är bemyndigad att befordra försändelsen.

Artikel 23

Befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET från eller till ett tredjelands territorium

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får befordras av personal mellan unionens territorium och ett tredje lands territorium genom personligt överlämnande.

2.   Registreringsenhetens personal får sörja för befordran med militär- eller diplomatkurir.

3.   Personal som befordrar antingen pappersdokument eller flyttbara lagringsmedier på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET genom personligt överlämnande, ska uppfylla samtliga följande ytterligare åtgärder:

| — | När de reser med kollektivtrafik ska de säkerhetsskyddsklassificerade uppgifterna vara placerade i en portfölj eller väska över vilken de har personlig uppsikt. De får inte befordras som lastrumsbagage. |
| --- | --- |

—

När de reser med kollektivtrafik ska de säkerhetsskyddsklassificerade uppgifterna vara placerade i en portfölj eller väska över vilken de har personlig uppsikt. De får inte befordras som lastrumsbagage.

| — | Den inre förpackningen ska vara försedd med en officiell försegling som visar att det rör sig om en officiell försändelse som inte ska genomgå säkerhetskontroll. |
| --- | --- |

—

Den inre förpackningen ska vara försedd med en officiell försegling som visar att det rör sig om en officiell försändelse som inte ska genomgå säkerhetskontroll.

| — | Den person som befordrar försändelsen ska medföra ett kuririntyg, utfärdat av den berörda avdelningens registreringsenhet, som intygar att han eller hon är bemyndigad att befordra försändelsen med säkerhetsskyddsklassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET. |
| --- | --- |

—

Den person som befordrar försändelsen ska medföra ett kuririntyg, utfärdat av den berörda avdelningens registreringsenhet, som intygar att han eller hon är bemyndigad att befordra försändelsen med säkerhetsskyddsklassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 24

Befordran med kommersiella kurirer

1.   I detta beslut avses med kommersiella kurirer nationella posttjänster och kommersiella kurirföretag som tillhandahåller en tjänst med hjälp av vilken uppgifter levereras mot en avgift, antingen med personligt överlämnande eller med spårning.

2.   Kommersiella kurirer får överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL inom en medlemsstat eller från en medlemsstat till en annan medlemsstat. Kommersiella kurirer får överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET inom en medlemsstat men inte utomlands.

3.   Kommersiella kurirtjänster ska uppmanas att leverera försändelser på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET endast till kontrolltjänstemannen för registreringsenheten, till dennes vederbörligen bemyndigade ersättare eller till den avsedda mottagaren.

4.   Kommersiella kurirer får använda sig av en underleverantörs tjänster. Ansvaret för att följa detta beslut ska dock kvarstå hos kurirföretaget.

5.   Kommersiella kurirtjänster som inbegriper elektronisk överföring av handlingar vid rekommenderade leveranser får inte användas för EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 25

Förberedelse av säkerhetsskyddsklassificerade EU-uppgifter för befordran med kommersiella kurirtjänster

1.   När säkerhetsskyddsklassificerade försändelser förbereds ska avsändaren ha i åtanke att kommersiella kurirtjänster endast får leverera försändelser på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till den avsedda mottagaren eller en bemyndigad ersättare, kontrolltjänstemannen för registreringsenheten eller dennes vederbörligen bemyndigade ersättare, eller till en receptionist.

2.   När sådana uppgifter skickas av en godkänd kommersiell kurirtjänst ska försändelsen förberedas och förpackas enligt följande:

| a) | Försändelsen ska skickas med dubbla kuvert (det inre kuvertet ska vara sådant att eventuella försök att öppna det blir uppenbara) eller annat lämpligt säkert emballage. |
| --- | --- |

a)

Försändelsen ska skickas med dubbla kuvert (det inre kuvertet ska vara sådant att eventuella försök att öppna det blir uppenbara) eller annat lämpligt säkert emballage.

| b) | Säkerhetsskyddsklassificeringsnivån ska vara klart synlig på innerkuvertet eller på innerförpackningen. |
| --- | --- |

b)

Säkerhetsskyddsklassificeringsnivån ska vara klart synlig på innerkuvertet eller på innerförpackningen.

| c) | Säkerhetsskyddsklassificeringsnivån ska inte anges på ytterkuvertet eller den yttre förpackningen. |
| --- | --- |

c)

Säkerhetsskyddsklassificeringsnivån ska inte anges på ytterkuvertet eller den yttre förpackningen.

| d) | Både inner- och ytterkuvertet eller inner- och ytterförpackningen ska vara tydligt adresserade till en namngiven person hos den avsedda mottagaren och vara försedda med en returadress. |
| --- | --- |

d)

Både inner- och ytterkuvertet eller inner- och ytterförpackningen ska vara tydligt adresserade till en namngiven person hos den avsedda mottagaren och vara försedda med en returadress.

| e) | En blankett för mottagningsbevis ska placeras inuti innerkuvertet eller innerförpackningen för mottagaren att fylla i och returnera. Mottagningsbeviset, som inte ska säkerhetsskyddsklassificeras, ska ange handlingens referensnummer, datum och exemplarnummer, men inte ämnet. |
| --- | --- |

e)

En blankett för mottagningsbevis ska placeras inuti innerkuvertet eller innerförpackningen för mottagaren att fylla i och returnera. Mottagningsbeviset, som inte ska säkerhetsskyddsklassificeras, ska ange handlingens referensnummer, datum och exemplarnummer, men inte ämnet.

| f) | Ytterkuvertet eller ytterförpackningen ska förses med leveranskvitto. Leveranskvittot, som inte ska säkerhetsskyddsklassificeras, ska ange handlingens referensnummer, datum och exemplarnummer, men inte ämnet. |
| --- | --- |

f)

Ytterkuvertet eller ytterförpackningen ska förses med leveranskvitto. Leveranskvittot, som inte ska säkerhetsskyddsklassificeras, ska ange handlingens referensnummer, datum och exemplarnummer, men inte ämnet.

| g) | Kurirtjänsten måste på en särskild blankett införskaffa och tillhandahålla avsändaren bevis på att försändelsen har levererats, eller införskaffa kvitton eller packsedlar. |
| --- | --- |

g)

Kurirtjänsten måste på en särskild blankett införskaffa och tillhandahålla avsändaren bevis på att försändelsen har levererats, eller införskaffa kvitton eller packsedlar.

3.   Avsändaren ska upprätthålla kontakt med den namngivna mottagaren innan försändelsen sänds för att komma överens om ett lämpligt datum och klockslag för leverans.

4.   Avsändaren är ensam ansvarig för försändelser som sänds med kommersiell kurirtjänst. Om försändelsen förloras eller inte levereras i tid ska avsändaren rapportera detta till kommissionens säkerhetsmyndighet, som följer upp säkerhetsincidenten.

Artikel 26

Andra särskilda hanteringsvillkor

1.   Alla villkor för befordran som anges i ett informationssäkerhetsavtal eller i administrativa överenskommelser ska uppfyllas. I tveksamma fall ska personalen samråda med sin respektive registreringsenhet eller med direktoratet för säkerhet inom generaldirektoratet för personal och säkerhet.

2.   Kravet på dubbla förpackningar får frångås för säkerhetsskyddsklassificerade uppgifter som skyddas med godkända kryptoprodukter. För adresseringen, och även eftersom det flyttbara lagringsmediet, har försetts med en uttrycklig säkerhetsskyddsmarkering, ska mediet dock transporteras i minst ett vanligt kuvert, men det kan krävas ytterligare fysiska skyddsåtgärder, t.ex. kuvert av bubbelplast.

KAPITEL 4

SÄKERHETSSKYDDSKLASSIFICERADE MÖTEN

Artikel 27

Förbereda ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas

1.   Möten där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas får endast hållas i en möteslokal som har godkänts på vederbörlig eller högre säkerhetsskyddsklassificeringsnivå. Om sådana inte är tillgängliga ska personalen rådgöra med kommissionens säkerhetsmyndighet.

2.   Som regel bör dagordningarna inte säkerhetsskyddsklassificeras. Om en dagordning för ett möte innehåller uppgifter om säkerhetsskyddsklassificerade handlingar, ska själva dagordningen inte automatiskt säkerhetsskyddsklassificeras. Punkterna på dagordningen ska formuleras på ett sådant sätt att skyddet av unionen eller en eller flera medlemsstaters intressen inte äventyras.

3.   Mötesarrangörerna ska påminna deltagarna om att alla synpunkter som lämnas in rörande en punkt på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET inte får skickas med e-post eller på något annat sätt som inte har ackrediterats på vederbörligt sätt i enlighet med artikel 11 i detta beslut.

4.   Mötesarrangörerna ska sträva efter att gruppera punkter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET efter varandra på dagordningen för att mötet ska fungera smidigt. Endast personer med behovsenlig behörighet, som har ett personalsäkerhetsgodkännande på vederbörlig säkerhetsskyddsklassificeringsnivå och i förekommande fall, ett bemyndigande, får närvara vid diskussioner om säkerhetsskyddsklassificerade punkter.

5.   I inbjudan ska deltagarna förvarnas om att säkerhetsskyddsklassificerade ämnen kommer att tas upp vid mötet och att motsvarande säkerhetsåtgärder kommer att tillämpas.

6.   Deltagarna ska påminnas om att bärbara elektroniska enheter ska lämnas utanför möteslokalen vid diskussioner om EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

7.   Mötesarrangörerna ska före mötet utarbeta en fullständig förteckning över deltagarna.

Artikel 28

Deltagarnas tillträde till ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas

1.   Mötesarrangörerna ska underrätta kommissionens säkerhetsmyndighet om eventuella externa besökare som närvarar vid ett möte i kommissionens lokaler där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas.

2.   Deltagarna måste bevisa att de innehar ett giltigt personalsäkerhetsgodkännande på lämplig säkerhetsskyddsklassificeringsnivå för att kunna närvara vid behandlingen av punkter på säkerhetsskyddsklassificeringsnivå CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

Artikel 29

Elektronisk utrustning i en möteslokal där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas

1.   Endast ackrediterade it-system i enlighet med artikel 11 i detta beslut får användas om säkerhetsskyddsklassificerade uppgifter förmedlas, t.ex. för att ge en presentation där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET visas eller för videokonferenser.

2.   Ordföranden ska se till att otillåtna bärbara elektroniska enheter har lämnats utanför möteslokalen.

Artikel 30

Förfaranden som ska följas vid ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET behandlas

1.   När diskussionen rörande säkerhetsskyddsklassificerade uppgifter inleds ska ordföranden tillkännage att mötet övergår till att behandla säkerhetsskyddsklassificerade uppgifter. Dörrarna ska vara stängda.

2.   Endast det nödvändiga antalet handlingar ska kvitteras och ges till deltagare och, i förekommande fall, tolkar, vid början av diskussionen.

3.   Handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får inte lämnas utan uppsikt under avbrott i mötet.

4.   Vid mötets slut ska deltagarna och tolkarna påminnas om att inte lämna några säkerhetsskyddsklassificerade handlingar eller säkerhetsskyddsklassificerade anteckningar som de kan ha gjort obevakade i lokalen. Eventuella handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som deltagarna inte behöver i slutet av mötet, och i alla händelser alla handlingar som använts vid tolkning, ska kvitteras och returneras till kontrolltjänstemannen vid registreringsenheten för förstöring i vederbörliga dokumentförstörare.

5.   En deltagarförteckning och en sammanfattning av alla säkerhetsskyddsklassificerade uppgifter som delats med medlemsstaterna och muntligen lämnats ut till tredjeländer eller internationella organisationer ska sammanställas under mötet och registreras i ett sammandrag av diskussionen.

Artikel 31

Tolkar och översättare

Endast tolkar och översättare som har säkerhetsgodkännande och bemyndigande samt omfattas av tjänsteföreskrifterna eller anställningsvillkoren för övriga anställda i Europeiska unionen eller som har ett avtalsförhållande med kommissionen ska ha tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

KAPITEL 5

DELA OCH UTBYTA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 32

Upphovsmannens medgivande

Om det inte är kommissionen som är upphovsman till de säkerhetsskyddsklassificerade uppgifter som är föremål för en begäran om utlämning eller delning, eller eventuellt källmaterial de kan innehålla, ska den kommissionsavdelning som innehar de säkerhetsskyddsklassificerade uppgifterna först söka upphovsmannens skriftliga medgivande till att lämna ut uppgifterna. Om upphovsmannen till en uppgift inte kan identifieras ska den kommissionsavdelning som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll.

Artikel 33

Dela EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET med andra unionsenheter

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får endast utbytas med en annan av unionens institutioner, organ, byråer eller kontor om mottagaren har behovsenlig behörighet och enheten har en motsvarande juridisk överenskommelse med kommissionen.

2.   Inom kommissionen ska den registreringsenhet som förvaltas av generalsekretariatet som regel fungera som huvudsaklig kontaktpunkt för in- och utpassering när det gäller utbyte av säkerhetsskyddsklassificerade EU-uppgifter med andra av unionens institutioner, byråer, organ och kontor. Kommissionens säkerhetsmyndighet ska rådfrågas om det finns säkerhetsmässiga, organisatoriska eller operativa skäl till att det är lämpligare att lokala registreringsenheter för säkerhetsskyddsklassificerade EU-uppgifter fungerar som kontaktpunkt för in- och utpassering i ärenden som faller inom den berörda avdelningens behörighetsområde.

Artikel 34

Utbyta EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET med medlemsstater

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får delas med medlemsstaterna om mottagaren har behovsenlig behörighet och säkerhetsgodkännande.

2.   Säkerhetsskyddsklassificerade uppgifter från medlemsstater som har en motsvarande nationell säkerhetsskyddsmarkering (10) och som tillhandahållits kommissionen ska ha samma skyddsnivå som EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET.

Artikel 35

Utbyta EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET med tredjeländer och internationella organisationer

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET får endast lämnas ut till ett tredjeland eller en internationell organisation om mottagaren har behovsenlig behörighet och landet eller den internationella organisationen har upprättat en lämplig rättslig eller administrativ ram, t.ex. ett informationssäkerhetsavtal eller en administrativ överenskommelse med kommissionen. Bestämmelserna i ett sådant avtal eller en sådan överenskommelse ska ha företräde framför bestämmelserna i detta beslut.

2.   Den registreringsenhet för säkerhetsskyddsklassificerade EU-uppgifter som förvaltas av generalsekretariatet som regel fungera som huvudsaklig kontaktpunkt för in- och utpassering när det gäller utbyte av alla EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET mellan kommissionen och med tredjestater och internationella organisationer. Kommissionens säkerhetsmyndighet ska rådfrågas om det finns säkerhetsmässiga, organisatoriska eller operativa skäl till att det är lämpligare att lokala registreringsenheter för säkerhetsskyddsklassificerade EU-uppgifter fungerar som kontaktpunkt för in- och utpassering i ärenden som faller inom den berörda avdelningens behörighetsområde.

3.   Alla säkerhetsskyddsklassificerade uppgifter som mottas från ett tredjeland eller en internationell organisation ska registreras för säkerhetsändamål. Personalen ska därför kontakta registreringsenheten om de tar emot säkerhetsskyddsklassificerade uppgifter via andra än registreringsenhetens vanliga kanaler.

4.   För att säkerställa spårbarhet ska EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET registreras

| — | när de kommer till eller lämnar en organisatorisk enhet, |
| --- | --- |

—

när de kommer till eller lämnar en organisatorisk enhet,

| — | när de kommer till eller lämnar ett kommunikations- och informationssystem. |
| --- | --- |

—

när de kommer till eller lämnar ett kommunikations- och informationssystem.

5.   Registreringen får göras på papper eller i elektroniska loggböcker.

6.   Registreringsförfaranden för säkerhetsskyddsklassificerade uppgifter som hanteras i ett ackrediterat kommunikations- och informationssystem kan utföras genom processer inom själva systemet. I så fall ska kommunikations- och informationssystemet omfatta åtgärder som garanterar loggregistrens integritet.

7.   Säkerhetsskyddsklassificerade uppgifter som mottas från tredjeländer eller internationella organisationer ska ges en motsvarande skyddsnivå som säkerhetsskyddsklassificerade EU-uppgifter som har motsvarande säkerhetsskyddsmarkering enligt respektive informationssäkerhetsavtal eller administrativa arrangemang.

Artikel 36

Ad hoc-utlämning i undantagsfall av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET

1.   Om kommissionen eller någon av dess avdelningar fastställer att det finns ett exceptionellt behov av att lämna ut EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET till ett tredjeland, en internationell organisation eller en EU-enhet men det saknas ett informationssäkerhetsavtal eller en administrativ överenskommelse, ska förfarandet för ad hoc-utlämning i undantagsfall följas.

2.   Kommissionens avdelningar ska kontakta kommissionens säkerhetsmyndighet, som ska rådfråga kommissionens grupp av säkerhetsexperter.

3.   Efter det att kommissionens grupp av säkerhetsexperter rådfrågats får kommissionen, på grundval av ett förslag från den ledamot av kommissionen som ansvarar för säkerhetsfrågor, tillåta att de berörda uppgifterna lämnas ut.

KAPITEL 6

SLUT PÅ LIVSCYKELN FÖR EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅERNA CONFIDENTIEL UE/EU CONFIDENTIAL OCH SECRET UE/EU SECRET

Artikel 37

När ska uppgifterna inplaceras på lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade?

1.   Uppgifter ska vara säkerhetsskyddsklassificerade endast så länge de kräver skydd. Inplacering på lägre säkerhetsskyddsklassificeringsnivå innebär en sänkning av nivån på säkerhetsskyddsklassificeringen. Beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade innebär att de inte längre ska betraktas som säkerhetsskyddsklassificerade över huvud taget. I samband med upprättandet av säkerhetsskyddsklassificerade EU-uppgifter ska upphovsmannen om möjligt ange huruvida uppgifterna får inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre ska vara säkerhetsskyddsklassificerade vid ett visst datum eller efter en särskild händelse. I annat fall ska upphovsmannen se över uppgifterna och bedöma riskerna minst vart 5:e år för att avgöra om den ursprungliga säkerhetsskyddsklassificeringsnivån fortfarande är lämplig.

2.   Även för kommissionens handlingar kan beslut fattas från fall till fall om att de ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade, t.ex. efter en begäran om tillgång till en handling från allmänheten.

Artikel 38

Ansvar för inplacering på lägre säkerhetsskyddsklassificeringsnivå eller för att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade

1.   Beslut att EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska inplaceras på lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade får inte fattas utan medgivande från upphovsmannen.

2.   Den kommissionsavdelning som upprättar en säkerhetsskyddsklassificerad handling ska ansvara för att besluta huruvida den ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad. Inom kommissionen ska en begäran om beslut om att en handling ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad föregås av samråd med enhetschefen eller direktören för den avdelning där den har sitt ursprung. Om avdelningen har sammanställt säkerhetsskyddsklassificerade uppgifter från olika källor ska den först inhämta samtycke från alla andra parter som tillhandahållit källmaterial, inbegripet i medlemsstaterna, andra EU-organ, tredjeländer eller internationella organisationer.

3.   Om den avdelning inom kommissionen där handlingen har sitt ursprung inte längre finns och dess ansvar har tagits över av en annan avdelning, ska beslutet att den ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad fattas av denna avdelning. Om den avdelning där handlingen har sitt ursprung inte längre finns och dess ansvar inte har tagits över av någon annan avdelning, ska beslutet att den ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerad fattas gemensamt av enhetscheferna eller direktörerna i det mottagande generaldirektoratet.

4.   Den avdelning som ansvarar för dess inplacering på en lägre säkerhetsskyddsklassificeringsnivå eller för att den inte längre ska vara säkerhetsskyddsklassificerad ska samarbeta med sin respektive registreringsenhet om de praktiska arrangemangen för detta.

Artikel 39

Känsliga uppgifter som inte är säkerhetsskyddsklassificerade

När en översyn av en handling leder till ett beslut att den inte längre ska vara säkerhetsskyddsklassificerad ska hänsyn tas till huruvida handlingen ska förses med en distributionsbeteckning för känsliga icke- säkerhetsskyddsklassificerade uppgifter i den mening som avses i artikel 9 i beslut (EU, Euratom) 2015/443.

Artikel 40

Angivande av att en handling har inplacerats på lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerad

1.   Den ursprungliga säkerhetsskyddsmarkeringen högst upp och längst ned på varje sida ska tydligt strykas över (inte tas bort) med hjälp av funktionen ”genomstrykning” för elektroniska format, eller manuellt för utskrifter.

2.   Första sidan (försättsbladet) ska förses med en markering att handlingen har inplacerats på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerad, kompletterad med uppgifter om den myndighet som ansvarar för detta och datum.

3.   De ursprungliga mottagarna av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska underrättas om att uppgifterna har inplacerats på en lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerade. De ursprungliga mottagarna ska ansvara för att underrätta eventuella efterföljande mottagare till vilka de har översänt eller för vilka de har kopierat de ursprungliga EU-uppgifterna på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

4.   Kommissionens historiska arkiv ska underrättas om alla beslut om att EU-uppgifter eller handlingar inte längre ska vara säkerhetsskyddsklassificerade.

5.   Alla översättningar av säkerhetsskyddsklassificerade uppgifter ska omfattas av samma förfaranden för inplacering av uppgifterna på lägre säkerhetsskyddsklassificeringsnivå eller för att de inte längre ska vara säkerhetsskyddsklassificerade som den ursprungliga språkversionen.

Artikel 41

Partiell inplacering på lägre säkerhetsskyddsklassificeringsnivå eller partiellt borttagande av säkerhetsskyddsklassificeringen för EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET

1.   Det är också möjligt att besluta om partiell inplacering på lägre säkerhetsskyddsklassificeringsnivå eller partiellt borttagande av säkerhetsskyddsklassificeringen (t.ex. bilagor, endast vissa punkter). Förfarandet ska vara identiskt med förfarandet för att en handling i sin helhet ska inplaceras på en lägre säkerhetsskyddsklassificeringsnivån eller inte längre vara säkerhetsskyddsklassificerad.

2.   När ett beslut har fattats om partiellt borttagande av säkerhetsskyddsklassificeringen för EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska ett utdrag ur den handling om vilket beslut fattats om partiellt borttagande av säkerhetsskyddsklassificeringen upprättas.

3.   De delar som förblir säkerhetsskyddsklassificerade ska ersättas med följande:

| PART NOT TO BE DECLASSIFIED |
| --- |

PART NOT TO BE DECLASSIFIED

antingen i själva brödtexten, om den del som förblir säkerhetsskyddsklassificerad är en del av en punkt, eller som en punkt, om den del som förblir klassificerad är en särskild punkt eller mer än en punkt.

4.   Ett särskilt omnämnande ska göras i texten om säkerhetsskyddsklassificeringen för en hel bilaga inte kan tas bort och denna därför inte ingår i utdraget.

Artikel 42

Rutinmässig förstöring och radering av EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET

1.   Kommissionen ska inte ansamla stora mängder säkerhetsskyddsklassificerade uppgifter.

2.   De avdelningar där uppgifterna har sitt ursprung ska se över handlingarna minst vart 5:e år för förstöring eller radering. En översyn ska göras med jämna mellanrum både för uppgifter som lagras i pappersform och för uppgifter som lagras i kommunikations- och informationssystem.

3.   Personalen får inte förstöra handlingar i pappersformat på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET som de inte längre behöver, utan ska i stället be kontrolltjänstemannen vid sin registreringsenhet förstöra handlingarna, med förbehåll för eventuella arkiveringsbestämmelser för originalhandlingen.

4.   Personalen behöver inte informera upphovsmannen om de raderar kopior av handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

5.   Utkast till material som innehåller säkerhetsskyddsklassificerade uppgifter ska omfattas av samma metoder för bortskaffande som slutliga säkerhetsskyddsklassificerade handlingar.

6.   Endast godkända dokumentförstörare ska användas för att förstöra handlingar på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET. Dokumentförstörare i säkerhetsklass 5 enligt standarden DIN 66399 är lämpliga för att förstöra handlingar på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL. Dokumentförstörare i säkerhetsklass 6 enligt standarden DIN 66399 är lämpliga för att förstöra handlingar på EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET.

7.   Avfallet från godkända dokumentförstörare får bortskaffas som vanligt kontorsavfall.

8.   Kontrolltjänstemannen för registreringsenheten ska upprätta intyg om förstöring och uppdatera loggböckerna och andra registreringsuppgifter i enlighet med detta.

9.   Alla medier och enheter som innehåller EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET ska saneras på vederbörligt sätt när de når slutet på sin livscykel. De elektroniska uppgifterna ska förstöras eller raderas från it-resurser och tillhörande lagringsmedier på ett sätt som ger rimliga garantier för att uppgifterna inte kan återvinnas. Genom saneringen avlägsnas data från lagringsenheten liksom alla markeringar och aktivitetsloggar.

10.   Lagringsmedier för datorer ska ges till den lokalt säkerhetsansvariga eller den säkerhetsansvariga för de lokala datasystemen och/eller kontrolltjänstemannen för registreringsenheten för förstöring och bortskaffande.

Artikel 43

Evakuering och förstöring av EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET i en nödsituation

1.   Enhetschefen ska utarbeta, godkänna och vid behov aktivera planer för evakuering och förstöring i nödsituationer för att skydda säkerhetsskyddsklassificerade EU-uppgifter som vid en kris löper stor risk att falla i händerna på obehöriga. I prioritetsordning och beroende på nödsituationens karaktär ska följande åtgärder beaktas:

| (1) | Flytta säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett säkrat utrymme i samma byggnad. |
| --- | --- |

(1)

Flytta säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett säkrat utrymme i samma byggnad.

| (2) | Evakuera säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett säkrat utrymme i en annan byggnad, om möjligt en kommissionsbyggnad. |
| --- | --- |

(2)

Evakuera säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett säkrat utrymme i en annan byggnad, om möjligt en kommissionsbyggnad.

| (3) | Förstöra säkerhetsskyddsklassificerade EU-uppgifter, om möjligt med användning av godkända metoder för förstöring. |
| --- | --- |

(3)

Förstöra säkerhetsskyddsklassificerade EU-uppgifter, om möjligt med användning av godkända metoder för förstöring.

2.   När planerna har aktiverats ska prioritet ges åt att flytta eller förstöra EU-uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET och därefter eventuella EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL.

3.   De operativa detaljerna i planerna för evakuering och förstöring i nödsituationer ska vara säkerhetsskyddsklassificerade på nivån RESTREINT UE/EU RESTRICTED. En kopia ska finnas i varje kassaskåp där EU-uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET förvaras, så att den är tillgänglig i en nödsituation.

Artikel 44

Arkivering

1.   Beslut om huruvida och när arkivering ska ske, och vilka motsvarande praktiska åtgärder som ska vidtas, ska fattas i enlighet med kommissionens policy för dokumenthantering.

2.   Handlingar på säkerhetsskyddsklassificeringsnivåerna SECRET UE/EU SECRET och CONFIDENTIEL UE/EU CONFIDENTIAL ska inte skickas till Europeiska unionens historiska arkiv i Florens.

KAPITEL 7

SLUTBESTÄMMELSER

Artikel 45

Öppenhet

Kommissionens tjänstemän och övriga personer som berörs ska informeras om detta beslut, som ska offentliggöras i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Artikel 46

Ikraftträdande

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Utfärdat i Bryssel den 17 oktober 2019.

På kommissionens vägnar

För ordföranden

Günther OETTINGER

Ledamot av kommissionen

---

(1)  
  EUT L 72, 17.3.2015, s. 41.

1

(2)  
  EUT L 72, 17.3.2015, s. 53.

2

(3)  
  EUT L 6, 11.1.2017, s. 40.

3

(4)  Rådets beslut 2013/488/EU av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 15.10.2013, s. 1).

4

(5)  Commission Decision of 4 May 2016 on an empowerment relating to security C(2016) 2797 final, ej översatt till svenska.

5

(6)  Enligt artikel 3 i beslut (EU, Euratom) 2015/444 avses med uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL ”uppgifter och materiel vars obehöriga röjande skulle kunna medföra ett inte obetydligt men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen”.

6

(7)  Enligt artikel 3 i beslut (EU, Euratom) 2015/444 avses med uppgifter på säkerhetsskyddsklassificeringsnivån SECRET UE/EU SECRET ”uppgifter och materiel vars obehöriga röjande skulle kunna medföra betydande men för Europeiska unionens eller en eller flera medlemsstaters väsentliga intressen”.

7

(8)  Enligt definitionen i artikel 18 i förordning (EU, Euratom) 2015/444.

8

(9)  Enligt definitionen i artikel 18 i förordning (EU, Euratom) 2015/444.

9

(10)  En jämförelsetabell över medlemsstaternas säkerhetsskyddsmarkeringar återfinns i bilaga I till beslut (EU, Euratom) 2015/444.

10

---

BILAGA

Personalkategorier som vid behov kan få tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET för att utföra sina arbetsuppgifter

| Kategorier av kommissionspersonal | Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna C-UE/EU- C och S-UE/EU-S | Villkor |
| --- | --- | --- |
| Tjänstemän | Ja | Säkerhetsprövning + information + bekräftelse + bemyndigande + behovsenlig behörighet |
| Tillfälligt anställda | Ja | Säkerhetsprövning + information + bekräftelse + bemyndigande + behovsenlig behörighet |
| Kontraktsanställda | Ja | Säkerhetsprövning + information + bekräftelse + bemyndigande + behovsenlig behörighet |
| Utstationerade nationella experter | Ja | Endast om de godkänts av EU:s medlemsstater innan de tillträder sin tjänst + information av kommissionen + bekräftelse + bemyndigande av kommissionen + behovsenlig behörighet |
| Praktikanter | Nej | Inga undantag möjliga |
| Övriga personalkategorier (anställda via bemanningsföretag, extern personal som arbetar internt osv.) | Nej | Rådfråga kommissionens säkerhetsmyndighet rörande eventuella undantag |

Kategorier av kommissionspersonal

Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivåerna C-UE/EU- C och S-UE/EU-S

Villkor

Tjänstemän

Ja

Säkerhetsprövning + information + bekräftelse + bemyndigande + behovsenlig behörighet

Tillfälligt anställda

Ja

Säkerhetsprövning + information + bekräftelse + bemyndigande + behovsenlig behörighet

Kontraktsanställda

Ja

Säkerhetsprövning + information + bekräftelse + bemyndigande + behovsenlig behörighet

Utstationerade nationella experter

Ja

Endast om de godkänts av EU:s medlemsstater innan de tillträder sin tjänst + information av kommissionen + bekräftelse + bemyndigande av kommissionen + behovsenlig behörighet

Praktikanter

Nej

Inga undantag möjliga

Övriga personalkategorier (anställda via bemanningsföretag, extern personal som arbetar internt osv.)

Nej

Rådfråga kommissionens säkerhetsmyndighet rörande eventuella undantag

---

| 2.12.2019 | SV | Europeiska unionens officiella tidning | L 311/21 |
| --- | --- | --- | --- |

2.12.2019

SV

Europeiska unionens officiella tidning

L 311/21

---

KOMMISSIONENS BESLUT (EU, Euratom) 2019/1962

av den 17 oktober 2019

om genomförandebestämmelser för hantering av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249,

med beaktande av fördraget om upprättandet av Europeiska atomenergigemenskapen, särskilt artikel 106,

med beaktande av kommissionens beslut (EU, Euratom) 2015/443 av den 13 mars 2015 om säkerhet inom kommissionen (1),

med beaktande av kommissionens beslut (EU, Euratom) 2015/444 av den 13 mars 2015 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2),

med beaktande av kommissionens beslut (EU, Euratom) 2017/46 av den 10 januari 2017 om säkerheten i Europeiska kommissionens kommunikations- och informationssystem (3), och

av följande skäl:

| (1) | Beslut (EU, Euratom) 2015/444 är tillämpligt med avseende på alla kommissionens avdelningar och lokaler. |
| --- | --- |

(1)

Beslut (EU, Euratom) 2015/444 är tillämpligt med avseende på alla kommissionens avdelningar och lokaler.

| (2) | Säkerhetsåtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter ska under hela deras livscykel särskilt anpassas till deras säkerhetsskyddsklassificering. |
| --- | --- |

(2)

Säkerhetsåtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter ska under hela deras livscykel särskilt anpassas till deras säkerhetsskyddsklassificering.

| (3) | I artiklarna 4.3, 19.1 c och 22 i beslut (EU, Euratom) 2015/444 föreskrivs att närmare bestämmelser för att komplettera och understödja genomförandet av beslutet ska fastställas i genomförandebestämmelser som reglerar frågor såsom en handbok om säkerhetsskyddsklassificering, kompensationsåtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter utanför säkrade utrymmen eller administrativa utrymmen, och upphovsmannens ansvar. |
| --- | --- |

(3)

I artiklarna 4.3, 19.1 c och 22 i beslut (EU, Euratom) 2015/444 föreskrivs att närmare bestämmelser för att komplettera och understödja genomförandet av beslutet ska fastställas i genomförandebestämmelser som reglerar frågor såsom en handbok om säkerhetsskyddsklassificering, kompensationsåtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter utanför säkrade utrymmen eller administrativa utrymmen, och upphovsmannens ansvar.

| (4) | Vid behov ska genomförandebestämmelser för att komplettera eller stödja beslut (EU, Euratom) 2015/444 antas i enlighet med artikel 60 i det beslutet. |
| --- | --- |

(4)

Vid behov ska genomförandebestämmelser för att komplettera eller stödja beslut (EU, Euratom) 2015/444 antas i enlighet med artikel 60 i det beslutet.

| (5) | Säkerhetsåtgärder som vidtas för att genomföra detta beslut ska vara förenliga med kommissionens säkerhetsprinciper enligt artikel 3 i kommissionens beslut (EU, Euratom) 2015/443. |
| --- | --- |

(5)

Säkerhetsåtgärder som vidtas för att genomföra detta beslut ska vara förenliga med kommissionens säkerhetsprinciper enligt artikel 3 i kommissionens beslut (EU, Euratom) 2015/443.

| (6) | Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa största möjliga enhetlighet vid tillämpningen av säkerhetsbestämmelser när det gäller skydd av säkerhetsskyddsklassificerade EU-uppgifter, med beaktande av deras särskilda institutionella och organisatoriska behov, i enlighet med uttalandena till protokollet från det rådsmöte då rådets beslut 2013/488/EU (4) antogs. |
| --- | --- |

(6)

Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa största möjliga enhetlighet vid tillämpningen av säkerhetsbestämmelser när det gäller skydd av säkerhetsskyddsklassificerade EU-uppgifter, med beaktande av deras särskilda institutionella och organisatoriska behov, i enlighet med uttalandena till protokollet från det rådsmöte då rådets beslut 2013/488/EU (4) antogs.

| (7) | Den 4 maj 2016 antog kommissionen ett beslut (5) om bemyndigande för den ledamot av kommissionen som ansvarar för säkerhetsfrågor att, på kommissionens vägnar och under dess ansvar, anta de genomförandebestämmelser som avses i artikel 60 (där kallade ”tillämpningsföreskrifter”) i kommissionens beslut (EU, Euratom) 2015/444. |
| --- | --- |

(7)

Den 4 maj 2016 antog kommissionen ett beslut (5) om bemyndigande för den ledamot av kommissionen som ansvarar för säkerhetsfrågor att, på kommissionens vägnar och under dess ansvar, anta de genomförandebestämmelser som avses i artikel 60 (där kallade ”tillämpningsföreskrifter”) i kommissionens beslut (EU, Euratom) 2015/444.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL 1

ALLMÄNNA BESTÄMMELSER

Artikel 1

Syfte och tillämpningsområde

1.   I detta beslut fastställs villkoren för hantering av säkerhetsskyddsklassificerade EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED (6) i enlighet med beslut (EU, Euratom) 2015/444.

2.   Detta beslut ska tillämpas på alla kommissionens avdelningar och lokaler.

Artikel 2

Kriterier för tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får beviljas efter att följande har gjorts:

| a) | Det har fastställts att en person måste ha tillgång till vissa EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED för att kunna utöva en yrkesfunktion eller utföra uppgifter för Europeiska kommissionen. |
| --- | --- |

a)

Det har fastställts att en person måste ha tillgång till vissa EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED för att kunna utöva en yrkesfunktion eller utföra uppgifter för Europeiska kommissionen.

| b) | Personen har informerats om reglerna och relevanta säkerhetsstandarder och riktlinjer för skydd av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED. |
| --- | --- |

b)

Personen har informerats om reglerna och relevanta säkerhetsstandarder och riktlinjer för skydd av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

| c) | Personen har bekräftat sitt ansvar för att skydda de berörda uppgifterna. |
| --- | --- |

c)

Personen har bekräftat sitt ansvar för att skydda de berörda uppgifterna.

2.   Kommissionens praktikanter ska inte få uppgifter som kräver tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

3.   Tillgång ska vägras eller tillåtas för andra personalkategorier i enlighet med tabellen i bilagan.

KAPITEL 2

UPPRÄTTA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅN RESTREINT UE/EU RESTRICTED

Artikel 3

Upphovsman

Även om upphovsmannen i den mening som avses i artikel 1 i beslut (EU, Euratom) 2015/444 är en EU-institution, en EU-byrå eller ett EU-organ, en medlemsstat, tredjestat eller en internationell organisation under vars behörighet säkerhetsskyddsklassificerade uppgifter har upprättats och/eller införts i unionens strukturer, är den som utarbetar EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inte nödvändigtvis densamma.

Artikel 4

Fastställande av säkerhetsskyddsklassificeringsnivå

1.   Personal som utarbetar en handling på grundval av uppgifter i den mening som avses i artikel 1 ska alltid ta ställning till om handlingen behöver säkerhetsskyddsklassificeras. Klassificeringen av en handling som säkerhetsskyddsklassificerade EU-uppgifter ska inbegripa en bedömning och ett beslut av upphovsmannen om huruvida utlämnandet av handlingen till obehöriga personer skulle skada Europeiska unionens eller en eller flera medlemsstaters intressen. Om de personer som utarbetar en handling hyser tvivel om huruvida handlingen ska säkerhetsskyddsklassificeras på nivån RESTREINT UE/EU RESTRICTED, bör de samråda med den ansvarige enhetschefen eller den ansvarige direktören.

2.   En handling ska säkerhetsskyddsklassificeras minst på nivån RESTREINT UE/EU RESTRICTED om dess obehöriga röjande bland annat skulle kunna

| a) | påverka diplomatiska förbindelser på ett negativt sätt, |
| --- | --- |

a)

påverka diplomatiska förbindelser på ett negativt sätt,

| b) | vålla väsentligt obehag för enskilda personer, |
| --- | --- |

b)

vålla väsentligt obehag för enskilda personer,

| c) | gör det svårare att upprätthålla den operativa effektiviteten eller säkerheten för medlemsstaternas eller andra medverkande parters utstationerade personal, |
| --- | --- |

c)

gör det svårare att upprätthålla den operativa effektiviteten eller säkerheten för medlemsstaternas eller andra medverkande parters utstationerade personal,

| d) | bryta mot åtaganden om att upprätthålla förtroendet för uppgifter som tillhandahålls av tredje part, |
| --- | --- |

d)

bryta mot åtaganden om att upprätthålla förtroendet för uppgifter som tillhandahålls av tredje part,

| e) | skada brottsutredningar eller göra det lättare att begå brott, |
| --- | --- |

e)

skada brottsutredningar eller göra det lättare att begå brott,

| f) | missgynna unionen eller medlemsstaterna vid kommersiella eller strategiska förhandlingar med andra, |
| --- | --- |

f)

missgynna unionen eller medlemsstaterna vid kommersiella eller strategiska förhandlingar med andra,

| g) | hindra en effektiv utveckling eller ett effektivt genomförande av unionens strategier, |
| --- | --- |

g)

hindra en effektiv utveckling eller ett effektivt genomförande av unionens strategier,

| h) | undergräva en god förvaltning av unionen och dess uppdrag i allmänhet, |
| --- | --- |

h)

undergräva en god förvaltning av unionen och dess uppdrag i allmänhet,

| i) | leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå. |
| --- | --- |

i)

leda till upptäckt av uppgifter som placerats på en högre säkerhetsskyddsklassificeringsnivå.

3.   Upphovsmän får besluta att tilldela en standardiserad säkerhetsskyddsklassificeringsnivå till de kategorier av uppgifter som de regelbundet upprättar. De ska dock se till att enskilda uppgifter ges lämplig säkerhetsskyddsklassificeringsnivå.

Artikel 5

Utarbetande av utkast

1.   Uppgifter ska säkerhetsskyddsklassificeras så snart de har upprättats. Personliga meddelanden, preliminära utkast eller meddelanden som innehåller uppgifter som motiverar en säkerhetsskyddsklassificering på nivån RESTREINT UE/EU RESTRICTED ska markeras som sådana från början och ska framställas och hanteras i enlighet med detta beslut.

2.   Om säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inte längre är motiverad för den slutgiltiga handlingen ska säkerhetsskyddsklassificeringen hävas.

Artikel 6

Register över källmaterial

För att göra det möjligt att utöva upphovsmannens kontroll i enlighet med artikel 13 ska upphovsmän till handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED i möjligaste mån föra register över alla säkerhetsskyddsklassificerade källor som används för framställning av säkerhetsskyddsklassificerade handlingar, inbegripet uppgifter om källor som ursprungligen kommer från EU:s medlemsstater, internationella organisationer eller tredjeländer. När så är lämpligt ska säkerhetsskyddsklassificerade uppgifter i aggregerad form märkas på ett sådant sätt att uppgifter som anger upphovsmännen till säkerhetsskyddsklassificerat källmaterial bevaras.

Artikel 7

Säkerhetsskyddsklassificering av delar av en handling

1.   I enlighet med artikel 22.6 i beslut (EU, Euratom) 2015/444 ska en handlings övergripande säkerhetsskyddsklassificeringsnivå vara minst lika hög som den del som har fått den högsta säkerhetsskyddsklassificeringsnivån. När uppgifter från olika källor sammanställs, ska den slutliga handlingen i aggregerad form ses över för att dess övergripande säkerhetsskyddsklassificeringsnivå ska kunna fastställas, eftersom den kan motivera en högre säkerhetsskyddsklassificeringsnivå än säkerhetsskyddsklassificeringsnivån för de enskilda delarna.

2.   Handlingar som innehåller både säkerhetsskyddsklassificerade och icke-säkerhetsskyddsklassificerade delar struktureras och markeras så att delar på olika klassificerings- och/eller känslighetsnivå vid behov lätt kan identifieras och avskiljas. På så sätt möjliggörs att varje del hanteras på lämpligt sätt när den skilts från de övriga delarna.

Artikel 8

Fullständig säkerhetsskyddsmarkering

1.   Uppgifter som motiverar säkerhetsskyddsklassificering ska markeras och hanteras som sådana oberoende av deras fysiska form. Säkerhetsskyddsklassificeringsnivån ska tydligt meddelas till mottagarna, antingen genom en säkerhetsskyddsmarkering, om uppgifterna tillhandahålls i skriftlig form, oavsett om så sker i pappersform, på flyttbara lagringsmedier eller i ett kommunikations- och informationssystem, eller genom ett tillkännagivande, om uppgifterna lämnas i muntlig form, t.ex. i ett samtal eller en presentation. Säkerhetsskyddsklassificerat material ska märkas fysiskt så att dess säkerhetsskyddsklassificering lätt kan identifieras.

2.   På handlingar ska den fullständiga säkerhetsskyddsmarkeringen RESTREINT UE/EU RESTRICTED skrivas med versaler, i sin helhet på franska och engelska (med franska först), i enlighet med punkt 3. Markeringen ska inte översättas till andra språk.

3.   Säkerhetsskyddsmarkeringen RESTREINT UE/EU RESTRICTED ska anbringas

| a) | centrerat högst upp och längst ned på varje sida i handlingen, |
| --- | --- |

a)

centrerat högst upp och längst ned på varje sida i handlingen,

| b) | med fullständig säkerhetsskyddsmarkering på en rad, utan mellanslag på någondera sidan av snedstrecket, |
| --- | --- |

b)

med fullständig säkerhetsskyddsmarkering på en rad, utan mellanslag på någondera sidan av snedstrecket,

| c) | med versaler, i svart, med teckensnittet Times New Roman 16 i fetstil, och omgivet av en ram på alla sidor, |
| --- | --- |

c)

med versaler, i svart, med teckensnittet Times New Roman 16 i fetstil, och omgivet av en ram på alla sidor,

4.   Vid upprättandet av en handling på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska

| a) | varje sida tydligt markeras med säkerhetsskyddsklassificeringsnivån, |
| --- | --- |

a)

varje sida tydligt markeras med säkerhetsskyddsklassificeringsnivån,

| b) | varje sida numreras, |
| --- | --- |

b)

varje sida numreras,

| c) | handlingen förses med ett referensnummer och en ämnesuppgift som inte i sig är en säkerhetsskyddsklassificerad uppgift, om den inte getts en sådan märkning, |
| --- | --- |

c)

handlingen förses med ett referensnummer och en ämnesuppgift som inte i sig är en säkerhetsskyddsklassificerad uppgift, om den inte getts en sådan märkning,

| d) | alla bilagor och bifogade handlingar ska förtecknas, om möjligt på första sidan, |
| --- | --- |

d)

alla bilagor och bifogade handlingar ska förtecknas, om möjligt på första sidan,

| e) | handlingen ska förses med datum för dess upprättande. |
| --- | --- |

e)

handlingen ska förses med datum för dess upprättande.

Artikel 9

Förkortad säkerhetsskyddsmarkering R-UE/EU-R

Förkortningen R-UE/EU-R får användas för att ange säkerhetsskyddsklassificeringsnivån för enskilda delar av en handling klassificerad RESTREINT UE/EU RESTRICTED eller där den fullständiga säkerhetsskyddsmarkeringen inte kan anbringas, till exempel på ett mindre flyttbart lagringsmedium. Den får användas i brödtext där upprepad användning av fullständiga säkerhetsskyddsmarkeringar blir svårhanterlig. Förkortningen får inte användas i stället för den fullständiga säkerhetsskyddsmarkeringen i sidhuvudet och sidfoten i handlingen.

Artikel 10

Andra säkerhetsbeteckningar

1.   Handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får förses med andra markeringar eller med ”säkerhetsbeteckningar”, med uppgift om till exempel det område till vilket handlingen hör eller som anger en särskild spridning på grundval av principen om behovsenlig behörighet. Ett exempel:

| KAN UTLÄMNAS TILL LIECHTENSTEIN. |
| --- |

KAN UTLÄMNAS TILL LIECHTENSTEIN.

2.   Handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får förses med en säkerhetsvarning med särskilda anvisningar om hur handlingarna ska hanteras och förvaltas.

3.   Om det är möjligt ska alla uppgifter om hävande av säkerhetsskyddsklassificering anges på första sidan i handlingen vid den tidpunkt då den upprättas. Exempelvis kan följande märkning användas:

| RESTREINT UE/EU RESTRICTED

  till [dd.mm.ååå] |
| --- |

RESTREINT UE/EU RESTRICTED

till [dd.mm.ååå]

Artikel 11

Elektronisk behandling

1.   Handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska upprättas med hjälp av elektroniska medel om sådana finns tillgängliga.

2.   Kommissionens personal ska använda ackrediterade kommunikations- och informationssystem för att upprätta EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED. Personalen ska samråda med den lokalt säkerhetsansvariga om det råder tvivel om vilket kommunikations- och informationssystem som får användas. I samråd med kommissionens säkerhetsmyndighet får specifika förfaranden tillämpas i nödsituationer eller i specifika tekniska konfigurationer.

3.   Handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED, inklusive utkast, får i enlighet med kravet i artikel 5 inte sändas med vanlig öppen e-post, tryckas eller skannas på standardskrivare eller skannrar, eller hanteras på personliga enheter som tillhör personalen. Endast skrivare eller kopiatorer som är anslutna till fristående datorer eller till ett ackrediterat system ska användas för att skriva ut handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

Artikel 12

Spridning

Sändaren av handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska besluta till vem uppgifterna ska spridas, på grundval av behovsenlig behörighet. Om så krävs ska en distributionslista upprättas för att ytterligare stärka principen om behovsenlig behörighet.

KAPITEL 3

ARBETE MED BEFINTLIGA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅN RESTREINT UE/EU RESTRICTED

Artikel 13

Upphovsmannens kontroll

1.   Upphovsmannen ska ha ”upphovsmannens kontroll” över EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som han eller hon har upprättat. Upphovsmannens skriftliga förhandsmedgivande ska inhämtas innan

| a) | uppgifters säkerhetsskyddsklassificering kan hävas, |
| --- | --- |

a)

uppgifters säkerhetsskyddsklassificering kan hävas,

| b) | uppgifter används för andra ändamål än dem som fastställts av upphovsmannen, |
| --- | --- |

b)

uppgifter används för andra ändamål än dem som fastställts av upphovsmannen,

| c) | uppgifter lämnas ut till ett tredjeland eller en internationell organisation, |
| --- | --- |

c)

uppgifter lämnas ut till ett tredjeland eller en internationell organisation,

| d) | röjas för en part utanför kommissionen men inom EU, |
| --- | --- |

d)

röjas för en part utanför kommissionen men inom EU,

| e) | lämnas ut till en entreprenör eller presumtiv entreprenör i ett tredjeland. |
| --- | --- |

e)

lämnas ut till en entreprenör eller presumtiv entreprenör i ett tredjeland.

2.   Innehavare av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED har fått tillgång till de säkerhetsskyddsklassificerade uppgifterna för att kunna utföra sina uppgifter. De ansvarar för att de hanteras, lagras och skyddas korrekt i enlighet med beslut (EU, Euratom) 2015/444. Till skillnad från upphovsmän av säkerhetsskyddsklassificerade uppgifter ska innehavarna inte ha befogenhet att besluta om att uppgifter inte längre ska vara säkerhetsskyddsklassificerade eller om utlämnande av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED till tredjeländer eller internationella organisationer.

3.   Om upphovsmannen till en EU-uppgift på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inte kan identifieras, ska den kommissionsavdelning som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll. Innan EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED lämnas ut till ett tredjeland eller en internationell organisation ska kommissionens grupp av säkerhetsexperter rådfrågas.

Artikel 14

Lämpligt kommunikations- och informationssystem för hantering av EU-uppgifter säkerhetsskyddsklassificeringsnivån n RESTREINT UE/EU RESTRICTED

EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska hanteras och överföras med hjälp av elektroniska medel om sådana finns tillgängliga. Endast kommunikations- och informationssystem som har ackrediterats av kommissionens ackrediteringsmyndighet för säkerhet ska användas.

Artikel 15

Särskilda åtgärder avseende EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som lagrats på flyttbara lagringsmedier

1.   Användningen av flyttbara lagringsmedier ska hållas kontrollerad och redovisas. Endast flyttbara lagringsmedier som tillhandahålls av kommissionen och krypteras med en produkt som godkänts av kommissionens säkerhetsmyndighet ska användas. Personliga flyttbara lagringsmedier och sådana som delas ut fritt vid konferenser, seminarier osv. får inte användas för överföring av säkerhetsskyddsklassificerade uppgifter. Om möjligt bör Tempest-säkra flyttbara lagringsmedier användas, i enlighet med riktlinjerna från kommissionens säkerhetsmyndighet.

2.   Om en säkerhetsskyddsklassificerad handling hanteras eller lagras elektroniskt på flyttbara lagringsmedier, såsom usb-minnen, cd-skivor eller minneskort, ska säkerhetsskyddsmarkeringen vara väl synlig på de uppgifter som visas, liksom i filnamnet och på det flyttbara lagringsmediet.

3.   Personalen ska ha i åtanke att det kan krävas en högre säkerhetsskyddsklassificeringsnivå när stora mängder säkerhetsskyddsklassificerade uppgifter lagras på löstagbara lagringsmedier.

4.   Endast kommunikations- och informationssystem som vederbörligen ackrediterats ska användas för att överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED till eller från flyttbara lagringsmedier.

5.   Vid nedladdning av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som finns på löstagbara lagringsmedier ska särskild omsorg ägnas åt att se till att medierna inte innehåller virus eller sabotageprogram innan överföringen av uppgifter sker.

6.   Flyttbara lagringsmedier ska i förekommande fall hanteras i enlighet med de säkra driftsmetoder som gäller för det krypteringssystem som används.

7.   Handlingar på flyttbara lagringsmedier som antingen inte längre behövs eller som har överförts till ett lämpligt kommunikations- och informationssystem ska avlägsnas eller raderas säkert med hjälp av godkända produkter eller metoder. Om de inte förvaras i lämpliga låsta kontorsmöbler ska de förstöras när det inte längre behövs. All förstöring eller radering ska ske med en metod som överensstämmer med kommissionens säkerhetsbestämmelser. En inventarieförteckning ska upprättas över de löstagbara medierna, och förstöringen av dem ska registreras.

Artikel 16

Hantering och lagring av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   I enlighet med artikel 19.1 a och b i beslut (EU, Euratom) 2015/444 får EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED hanteras i ett administrativt eller säkrat utrymme (7) enligt följande:

| — | Personalen ska stänga dörren när den hanterar EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED. |
| --- | --- |

—

Personalen ska stänga dörren när den hanterar EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

| — | Personalen ska stuva undan eller täcka alla EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU om de tar emot en besökare. |
| --- | --- |

—

Personalen ska stuva undan eller täcka alla EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU om de tar emot en besökare.

| — | Personalen får inte lämna EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED synliga när kontoret är obemannat. |
| --- | --- |

—

Personalen får inte lämna EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED synliga när kontoret är obemannat.

| — | Skärmar som visar EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska vara permanent bortvända från fönster och dörrar för att förhindra att de kan ses. |
| --- | --- |

—

Skärmar som visar EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska vara permanent bortvända från fönster och dörrar för att förhindra att de kan ses.

2.   I enlighet med artikel 19.1 c i beslut (EU, Euratom) 2015/444 får EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED hanteras utanför ett säkrat eller administrativt utrymme, förutsatt att innehavaren har åtagit sig att följa kompensationsåtgärder för att skydda dem från att obehöriga personers får tillgång till dem. Kompensationsåtgärderna ska minst omfatta följande:

| — | EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får inte läsas på offentliga platser. |
| --- | --- |

—

EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får inte läsas på offentliga platser.

| — | Säkerhetsskyddsklassificerade EU-uppgifter ska alltid förvaras under innehavarens personliga kontroll. |
| --- | --- |

—

Säkerhetsskyddsklassificerade EU-uppgifter ska alltid förvaras under innehavarens personliga kontroll.

| — | Handlingarna ska förvaras i lämpliga låsta möbler när de inte läses eller diskuteras. |
| --- | --- |

—

Handlingarna ska förvaras i lämpliga låsta möbler när de inte läses eller diskuteras.

| — | Dörrarna till lokalen ska vara stängda när handlingen läses eller diskuteras. |
| --- | --- |

—

Dörrarna till lokalen ska vara stängda när handlingen läses eller diskuteras.

| — | Detaljerna i handlingen får inte diskuteras via telefon på en icke-säkrad linje eller i ett okrypterat epostmeddelande. |
| --- | --- |

—

Detaljerna i handlingen får inte diskuteras via telefon på en icke-säkrad linje eller i ett okrypterat epostmeddelande.

| — | Handlingen får kopieras eller skannas endast med hjälp av fristående eller ackrediterad utrustning. |
| --- | --- |

—

Handlingen får kopieras eller skannas endast med hjälp av fristående eller ackrediterad utrustning.

| — | Handlingen får hanteras och tillfälligt hållas utanför ett administrativt eller säkrat utrymme endast under den minsta tid som krävs. |
| --- | --- |

—

Handlingen får hanteras och tillfälligt hållas utanför ett administrativt eller säkrat utrymme endast under den minsta tid som krävs.

| — | Innehavaren får inte kasta bort den säkerhetsskyddsklassificerade handlingen, utan ska återlämna den för lagring i ett administrativt eller säkrat utrymme, eller se till att den förstörs i en godkänd dokumentförstörare. |
| --- | --- |

—

Innehavaren får inte kasta bort den säkerhetsskyddsklassificerade handlingen, utan ska återlämna den för lagring i ett administrativt eller säkrat utrymme, eller se till att den förstörs i en godkänd dokumentförstörare.

3.   Uppgifter på EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska förvaras i låsta kontorsmöbler i ett administrativt utrymme eller i ett säkrat utrymme. De får tillfälligt lagras utanför ett säkrat eller administrativt utrymme, förutsatt att innehavaren har åtagit sig att följa kompensationsåtgärderna.

4.   Ytterligare rådgivning kan begäras från den lokalt säkerhetsansvariga vid den berörda kommissionsavdelningen.

5.   Alla misstänkta eller faktiska säkerhetsincidenter som inbegriper handlingen ska rapporteras till den lokalt säkerhetsansvariga så snart som möjligt.

Artikel 17

Kopiering och översättning av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får kopieras eller översättas på uppdrag av innehavaren, förutsatt att upphovsmannen inte har angett några begränsningar. Det får dock inte göras fler kopior än vad som är absolut nödvändigt.

2.   Om endast en del av en säkerhetsskyddsklassificerad handling återges ska samma villkor gälla som för kopiering av den fullständiga handlingen. Utdrag ska också klassificeras på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED, såvida inte upphovsmannen särskilt har markerat att de inte är säkerhetsskyddsklassificerade.

3.   De säkerhetsåtgärder som är tillämpliga på de ursprungliga uppgifterna ska också tillämpas på kopior och översättningar av dessa.

Artikel 18

Allmänna principer för befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   När så är möjligt ska EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som behöver tas utanför säkrade eller administrativa utrymmen skickas på elektronisk väg med hjälp av vederbörligt ackrediterade medel och/eller skyddas med godkända kryptoprodukter.

2.   Beroende på de tillgängliga medlen eller de särskilda omständigheterna får EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED befordras fysiskt genom personligt överlämnande i form av pappersdokument eller på flyttbara lagringsmedier. För att överföra EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska användning av flyttbara lagringsmedier ges företräde framför att skicka pappersdokument.

3.   Endast flyttbara lagringsmedier som krypteras med en produkt som godkänts av kommissionens säkerhetsmyndighet får användas. EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED på löstagbara lagringsmedier som inte skyddas av en kryptoprodukt som har godkänts av kommissionens säkerhetsmyndighet ska hanteras på samma sätt som pappersutskrifter.

4.   En försändelse får innehålla mer än en EU-uppgift på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED, förutsatt att principen om behovsenlig behörighet följs.

5.   De förpackningar som används ska förhindra att innehållet går att se. EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska befordras i ogenomskinliga förpackningar, till exempel ett kuvert, en ogenomskinlig mapp eller en portfölj. Förpackningens utsida ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetsskyddsklassificeringsnivå. Om en inre förpackning används ska den markeras RESTREINT UE/EU RESTRICTED. På båda förpackningarna anges den avsedda mottagarens namn, tjänstetitel och adress samt en returadress om leveransen inte kan utföras.

6.   Alla säkerhetsincidenter som inbegriper EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som befordras av personal eller kurirer ska rapporteras för efterföljande undersökning till direktoratet för säkerhet vid generaldirektoratet för personal och säkerhet, via den relevanta kommissionsavdelningens lokalt säkerhetsansvariga.

Artikel 19

Personligt överlämnande av flyttbara lagringsmedier

1.   Flyttbara lagringsmedier som används för att befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska åtföljas av en fraktsedel med uppgifter om de flyttbara lagringsmedier som innehåller de säkerhetsskyddsklassificerade uppgifterna samt alla filer som finns på dem, så att mottagaren kan göra nödvändiga kontroller.

2.   Endast de handlingar som ska tillhandahållas ska lagras på medierna. Exempelvis måste alla säkerhetsskyddsklassificerade uppgifter på ett enskilt usb-minne vara avsedda för en och samma mottagare. Avsändaren ska ha i åtanke att det kan krävas en högre säkerhetsskyddsklassificeringsnivå för enheten som helhet när stora mängder säkerhetsskyddsklassificerade uppgifter lagras på sådana enheter.

3.   Endast flyttbara lagringsmedier med vederbörlig säkerhetsskyddsmarkering ska användas för att befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

Artikel 20

Befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inom kommissionsbyggnader

1.   Personal får befordra EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inom en kommissionsbyggnad, men handlingarna får inte lämnas utan uppsikt av den person som befordrar dem eller läsas offentligt.

2.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får skickas med intern post till andra kommissionskontor i ett enda ogenomskinligt kuvert, utan några markeringar på utsidan som kan tyda på att innehållet är säkerhetsskyddsklassificerat. EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får också skickas på samma sätt till andra EU-institutioner eller EU-organ som nås direkt av kommissionens internpost.

Artikel 21

Befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inom unionen

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får befordras av personal eller kommissionens kurirer vart som helst inom unionen, förutsatt att de följer följande anvisningar:

| a) | För befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska ogenomskinliga kuvert eller förpackningar användas. Utsidan ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetskyddsklassificeringsnivå. |
| --- | --- |

a)

För befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska ogenomskinliga kuvert eller förpackningar användas. Utsidan ska inte vara försedd med någon uppgift om innehållets karaktär eller dess säkerhetskyddsklassificeringsnivå.

| b) | EU-uppgifterna på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får inte lämnas utan uppsikt av den person som befordrar dem. |
| --- | --- |

b)

EU-uppgifterna på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får inte lämnas utan uppsikt av den person som befordrar dem.

| c) | Kuvertet eller paketet får inte öppnas under befordran och uppgifterna får inte läsas på offentliga platser. |
| --- | --- |

c)

Kuvertet eller paketet får inte öppnas under befordran och uppgifterna får inte läsas på offentliga platser.

2.   Personal som önskar sända EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED till andra platser inom unionen får sörja för att uppgifterna befordras på ett av följande sätt:

| — | Med nationell post som spårar försändelsen eller vissa kommersiella kurirtjänster som garanterar personlig befordran, förutsatt att de uppfyller kraven i artikel 23 i detta beslut, |
| --- | --- |

—

Med nationell post som spårar försändelsen eller vissa kommersiella kurirtjänster som garanterar personlig befordran, förutsatt att de uppfyller kraven i artikel 23 i detta beslut,

| — | med militär-, regerings- eller diplomatkurir, i samarbete med registreringsenhetens personal. |
| --- | --- |

—

med militär-, regerings- eller diplomatkurir, i samarbete med registreringsenhetens personal.

Artikel 22

Befordran av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED från eller till ett tredjelands territorium

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får befordras av personal mellan unionens territorium och ett tredje lands territorium genom personligt överlämnande.

2.   Registreringsenhetens personal får sörja för befordran på något av följande sätt:

| — | Befordran med post som spårar försändelsen eller kommersiella kurirtjänster som garanterar personligt överlämnande. |
| --- | --- |

—

Befordran med post som spårar försändelsen eller kommersiella kurirtjänster som garanterar personligt överlämnande.

| — | Befordran med militär- eller diplomatkurir. |
| --- | --- |

—

Befordran med militär- eller diplomatkurir.

3.   Personal som befordrar antingen pappersdokument eller flyttbara lagringsmedier på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED genom personligt överlämnande, ska uppfylla samtliga följande ytterligare åtgärder:

| — | När de reser med kollektivtrafik ska de säkerhetsskyddsklassificerade uppgifterna vara placerade i en portfölj eller väska över vilken de har personlig uppsikt. De får inte befordras som lastrumsbagage. |
| --- | --- |

—

När de reser med kollektivtrafik ska de säkerhetsskyddsklassificerade uppgifterna vara placerade i en portfölj eller väska över vilken de har personlig uppsikt. De får inte befordras som lastrumsbagage.

| — | EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska befordras i dubbla förpackningar. Den inre förpackningen ska vara försedd med en officiell försegling som visar att det rör sig om en officiell försändelse som inte ska genomgå säkerhetskontroll. |
| --- | --- |

—

EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska befordras i dubbla förpackningar. Den inre förpackningen ska vara försedd med en officiell försegling som visar att det rör sig om en officiell försändelse som inte ska genomgå säkerhetskontroll.

| — | Den person som befordrar försändelsen ska medföra ett kuririntyg, utfärdat av den berörda avdelningens registreringsenhet, som intygar att han eller hon har tillstånd att befordra försändelsen med säkerhetsskyddsklassificeringen RESTREINT UE/EU RESTRICTED. |
| --- | --- |

—

Den person som befordrar försändelsen ska medföra ett kuririntyg, utfärdat av den berörda avdelningens registreringsenhet, som intygar att han eller hon har tillstånd att befordra försändelsen med säkerhetsskyddsklassificeringen RESTREINT UE/EU RESTRICTED.

Artikel 23

Befordran med kommersiella kurirer

1.   I detta beslut avses med kommersiella kurirer nationella posttjänster och kommersiella kurirföretag som tillhandahåller en tjänst med hjälp av vilken uppgifter levereras mot en avgift, antingen med personligt överlämnande eller med spårning.

2.   Kommersiella kurirer får använda sig av en underleverantörs tjänster. Ansvaret för att följa detta beslut ska dock kvarstå hos kurirföretaget.

3.   Om den avsedda mottagaren befinner sig utanför EU ska dubbla förpackningar användas. När säkerhetsskyddsklassificerade försändelser förbereds ska avsändaren ha i åtanke att kommersiella kurirtjänster endast får leverera försändelser på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED till den avsedda mottagaren eller en bemyndigad ersättare, kontrolltjänstemannen för registreringsenheten eller dennes vederbörligen bemyndigade ersättare, eller till en receptionist. För att minska risken för att försändelsen inte når den avsedda mottagaren, ska försändelsens yttre och, i förekommande fall, inre förpackning vara försedd med en returadress.

4.   Kommersiella kurirtjänster som inbegriper elektronisk överföring av handlingar vid rekommenderade leveranser får inte användas för EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

Artikel 24

Andra särskilda hanteringsvillkor

1.   Alla villkor för befordran som anges i ett informationssäkerhetsavtal eller i administrativa överenskommelser ska uppfyllas. I tveksamma fall ska personalen samråda med sin respektive registreringsenhet eller med direktoratet för säkerhet inom generaldirektoratet för personal och säkerhet.

2.   Kravet på dubbla förpackningar får frångås för säkerhetsskyddsklassificerade uppgifter som skyddas med godkända kryptoprodukter. För adresseringen, och även eftersom det flyttbara lagringsmediet, har försetts med en uttrycklig säkerhetsskyddsmarkering, ska mediet dock transporteras i minst ett vanligt kuvert, men det kan krävas ytterligare fysiska skyddsåtgärder, t.ex. kuvert av bubbelplast.

KAPITEL 4

SÄKERHETSSKYDDSKLASSIFICERADE MÖTEN

Artikel 25

Förbereda ett möte på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   Möten där EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska diskuteras får endast hållas i en möteslokal som har godkänts på vederbörlig eller högre säkerhetsskyddsklassificeringsnivå. Om sådana inte är tillgängliga ska personalen rådgöra med kommissionens säkerhetsmyndighet.

2.   Som regel bör dagordningarna inte säkerhetsskyddsklassificeras. Om en dagordning för ett möte innehåller uppgifter om säkerhetsskyddsklassificerade handlingar, ska själva dagordningen inte automatiskt säkerhetsskyddsklassificeras. Punkterna på dagordningen ska formuleras på ett sådant sätt att skyddet av unionen eller en eller flera medlemsstaters intressen inte äventyras.

3.   Om elektroniska filer med EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska bifogas dagordningen, är det obligatoriskt att skydda dem med kryptoprodukter som har godkänts av kommissionens kryptomyndighet.

4.   Mötesarrangörerna ska påminna deltagarna om att alla synpunkter som lämnas in rörande en punkt på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inte får skickas med vanliga öppna mejl eller på något annat sätt som inte har ackrediterats på vederbörligt sätt i enlighet med artikel 11 i detta beslut.

5.   Mötesarrangörerna ska sträva efter att gruppera punkter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED efter varandra på dagordningen för att mötet ska fungera smidigt. Endast personer med behovsenlig behörighet får närvara vid diskussioner om säkerhetsskyddsklassificerade punkter.

6.   I inbjudan ska deltagarna förvarnas om att säkerhetsskyddsklassificerade ämnen kommer att tas upp vid mötet och att motsvarande säkerhetsåtgärder kommer att tillämpas.

7.   I inbjudan eller på själva dagordningen ska deltagarna påminnas om att bärbara elektroniska enheter ska stängas av under diskussionerna om punkter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

8.   Mötesarrangörerna ska före mötet utarbeta en fullständig förteckning över externa deltagare.

Artikel 26

Elektronisk utrustning i en möteslokal där EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED behandlas

1.   Endast ackrediterade it-system i enlighet med artikel 11 i detta beslut får användas om säkerhetsskyddsklassificerade EU-uppgifter förmedlas, t.ex. för att ge en presentation där EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTRICTED EU/EU RESTRICTED visas eller för videokonferenser.

2.   Ordföranden ska se till att otillåtna bärbara elektroniska enheter har stängts av.

Artikel 27

Förfaranden som ska följas vid ett möte där EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED behandlas

1.   När diskussionen rörande säkerhetsskyddsklassificerade uppgifter inleds ska ordföranden tillkännage att mötet övergår till att behandla säkerhetsskyddsklassificerade uppgifter. Dörrar och persienner ska vara stängda.

2.   Endast det nödvändiga antalet handlingar ska ges till deltagare och, i förekommande fall, tolkar, vid början av diskussionen.

Handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får inte lämnas utan uppsikt under avbrott i mötet.

3.   Vid mötets slut ska deltagarna och tolkarna påminnas om att inte lämna några säkerhetsskyddsklassificerade handlingar eller säkerhetsskyddsklassificerade anteckningar som de kan ha gjort obevakade i lokalen. Säkerhetsskyddsklassificerade handlingar eller anteckningar som deltagarna inte tagit med sig vid mötets slut ska samlas in av mötesarrangörerna och förstöras i vederbörliga dokumentförstörare.

4.   En deltagarförteckning och en sammanfattning av alla säkerhetsskyddsklassificerade uppgifter som delats med medlemsstaterna och muntligen lämnats ut till tredjeländer eller internationella organisationer ska sammanställas under mötet och registreras i ett sammandrag av diskussionen.

Artikel 28

Tolkar och översättare

Endast tolkar och översättare som omfattas av tjänsteföreskrifterna eller anställningsvillkoren för övriga anställda i Europeiska unionen eller som har ett avtalsförhållande med kommissionen ska ha tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

KAPITEL 5

DELA OCH UTBYTA EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅN RESTREINT UE/EU RESTRICTED

Artikel 29

Upphovsmannens medgivande

Om det inte är kommissionen som är upphovsman till de säkerhetsskyddsklassificerade uppgifter som är föremål för en begäran om utlämning eller delning, eller eventuellt källmaterial de kan innehålla, ska den kommissionsavdelning som innehar de säkerhetsskyddsklassificerade uppgifterna först söka upphovsmannens skriftliga medgivande till att lämna ut uppgifterna. Om upphovsmannen till en uppgift inte kan identifieras ska den kommissionsavdelning som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll.

Artikel 30

Dela EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED med andra unionsenheter

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får endast utbytas med en annan av unionens institutioner, byråer, organ eller kontor om mottagaren har behovsenlig behörighet och enheten har en motsvarande juridisk överenskommelse med kommissionen.

2.   Inom kommissionen ska den registreringsenhet som förvaltas av generalsekretariatet som regel fungera som huvudsaklig kontaktpunkt för in- och utpassering när det gäller utbyte av säkerhetsskyddsklassificerade EU-uppgifter med andra av unionens institutioner, byråer, organ och kontor. EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får dock delas direkt med de avsedda mottagarna.

Artikel 31

Utbyta EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED med medlemsstater

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får delas med medlemsstaterna om mottagaren har behovsenlig behörighet.

2.   Säkerhetsskyddsklassificerade uppgifter från medlemsstater som har en motsvarande nationell säkerhetsskyddsmarkering (8) och som tillhandahållits kommissionen ska ha samma skyddsnivå som EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

Artikel 32

Utbyta EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED med tredjeländer och internationella organisationer

1.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED får endast lämnas ut till ett tredjeland eller en internationell organisation om mottagaren har behovsenlig behörighet och landet eller den internationella organisationen har upprättat en lämplig rättslig eller administrativ ram, t.ex. ett informationssäkerhetsavtal eller en administrativ överenskommelse med kommissionen. Bestämmelserna i ett sådant avtal eller en sådan överenskommelse ska ha företräde framför bestämmelserna i detta beslut.

2.   Den registreringsenhet för säkerhetsskyddsklassificerade EU-uppgifter som förvaltas av generalsekretariatet som regel fungera som huvudsaklig kontaktpunkt för in- och utpassering när det gäller utbyte av alla EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED mellan kommissionen och med tredjestater och internationella organisationer. Kommissionens säkerhetsmyndighet ska rådfrågas om det finns säkerhetsmässiga, organisatoriska eller operativa skäl till att det är lämpligare att lokala registreringsenheter för säkerhetsskyddsklassificerade EU-uppgifter fungerar som kontaktpunkt för in- och utpassering i ärenden som faller inom den berörda avdelningens behörighetsområde.

3.   För att säkerställa spårbarhet ska EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED registreras

| — | när de kommer till eller lämnar en organisatorisk enhet, |
| --- | --- |

—

när de kommer till eller lämnar en organisatorisk enhet,

| — | när de kommer till eller lämnar ett kommunikations- och informationssystem. |
| --- | --- |

—

när de kommer till eller lämnar ett kommunikations- och informationssystem.

4.   Registreringen får göras på papper eller i elektroniska loggböcker.

5.   Registreringsförfaranden för säkerhetsskyddsklassificerade uppgifter som hanteras i ett ackrediterat kommunikations- och informationssystem kan utföras genom processer inom själva systemet. I så fall ska kommunikations- och informationssystemet omfatta åtgärder som garanterar loggregistrens integritet.

6.   Säkerhetsskyddsklassificerade uppgifter som mottas från tredjeländer eller internationella organisationer ska ges en motsvarande skyddsnivå som säkerhetsskyddsklassificerade EU-uppgifter som har motsvarande säkerhetsskyddsmarkering enligt respektive informationssäkerhetsavtal eller administrativa arrangemang.

Artikel 33

Ad hoc-utlämning i undantagsfall av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   Om kommissionen eller någon av dess avdelningar fastställer att det finns ett exceptionellt behov av att lämna ut EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED till ett tredjeland, en internationell organisation eller en EU-enhet men det saknas ett informationssäkerhetsavtal eller en administrativ överenskommelse, ska förfarandet för ad hoc-utlämning i undantagsfall följas.

2.   Kommissionens avdelningar ska kontakta kommissionens säkerhetsmyndighet, som ska rådfråga kommissionens grupp av säkerhetsexperter.

3.   Efter det att kommissionens grupp av säkerhetsexperter rådfrågats får kommissionen, på grundval av ett förslag från den ledamot av kommissionen som ansvarar för säkerhetsfrågor, tillåta att de berörda uppgifterna lämnas ut.

KAPITEL 6

SLUTET PÅ LIVSCYKELN FÖR EU-UPPGIFTER PÅ SÄKERHETSSKYDDSKLASSIFICERINGSNIVÅN RESTREINT UE/EU RESTRICTED

Artikel 34

Beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade

1.   Uppgifter ska vara säkerhetsskyddsklassificerade endast så länge de kräver skydd. Beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade innebär att de inte längre ska betraktas som säkerhetsskyddsklassificerade över huvud taget. I samband med upprättandet av säkerhetsskyddsklassificerade EU-uppgifter ska upphovsmannen om möjligt ange huruvida beslut att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade kan meddelas vid en viss tidpunkt eller efter en särskild händelse. I annat fall ska upphovsmannen regelbundet se över EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED för att avgöra om klassificeringen fortfarande är lämplig.

2.   Säkerhetsskyddsklassificerade uppgifter på nivån RESTREINT UE/EU RESTRICTED som har sitt ursprung i kommissionen kommer automatiskt att förlora sin säkerhetsskyddsklassificering efter 30 år, i enlighet med förordning (EEC, Euratom) nr 354/83, ändrad genom rådets förordning (EG, Euratom) nr 1700/2003 (9), och i enlighet med artikel 59.2 a i beslut (EU, Euratom) 2015/444.

3.   Även för kommissionens handlingar kan beslut fattas från fall till fall att de inte längre ska vara säkerhetsskyddsklassificerade, t.ex. efter en begäran om tillgång till en handling från allmänheten.

Artikel 35

Ansvar för beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade

1.   Beslut att EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED inte längre ska vara säkerhetsskyddsklassificerade får inte fattas utan medgivande från upphovsmannen.

2.   Den kommissionsavdelning som upprättar en säkerhetsskyddsklassificerad handling ska ansvara för att besluta huruvida den inte längre ska vara säkerhetsskyddsklassificerad. Inom kommissionen ska en begäran om beslut om att en handling inte längre ska vara säkerhetsskyddsklassificerad föregås av samråd med enhetschefen eller direktören för den avdelning där den har sitt ursprung. Om avdelningen har sammanställt säkerhetsskyddsklassificerade uppgifter från olika källor ska den först inhämta samtycke från alla andra parter som tillhandahållit källmaterial, inbegripet i medlemsstaterna, andra EU-organ, tredjeländer eller internationella organisationer.

3.   Om den avdelning inom kommissionen där handlingen har sitt ursprung inte längre finns och dess ansvar har tagits över av en annan avdelning, ska beslutet att uppgifter inte längre ska vara säkerhetsskyddsklassificerade fattas av denna avdelning. Om den avdelning där handlingen har sitt ursprung inte längre finns och dess ansvar inte har tagits över av någon annan avdelning, ska beslutet att uppgifter inte längre ska vara säkerhetsskyddsklassificerade fattas gemensamt av enhetscheferna eller direktörerna i det mottagande generaldirektoratet.

Artikel 36

Känsliga uppgifter som inte är säkerhetsskyddsklassificerade

När en översyn av en handling leder till ett beslut att den inte längre ska vara säkerhetsskyddsklassificerad ska hänsyn tas till huruvida handlingen ska förses med en distributionsbeteckning för känsliga icke- säkerhetsskyddsklassificerade uppgifter i den mening som avses i artikel 9 i beslut (EU, Euratom) 2015/443.

Artikel 37

Angivande av att en handling inte längre är säkerhetsskyddsklassificerad

1.   Den ursprungliga säkerhetsskyddsmarkeringen högst upp och längst ned på varje sida ska tydligt strykas över (inte tas bort) med hjälp av funktionen ”genomstrykning” för elektroniska format, eller manuellt för utskrifter.

2.   Första sidan (försättsbladet) ska förses med en markering att handlingen inte längre är säkerhetsskyddsklassificerad, kompletterad med uppgifter om den myndighet som ansvarar för beslutet om detta och datum.

3.   De ursprungliga mottagarna av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska underrättas om att uppgifterna inte längre är säkerhetsskyddsklassificerade. De ursprungliga mottagarna ska ansvara för att underrätta eventuella efterföljande mottagare till vilka de har översänt eller för vilka de har kopierat de ursprungliga EU-uppgifterna på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

4.   Kommissionens historiska arkiv ska underrättas om alla beslut om att EU-uppgifter eller handlingar inte längre ska vara säkerhetsskyddsklassificerade.

5.   Alla översättningar av säkerhetsskyddsklassificerade uppgifter ska omfattas av samma förfaranden för att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade som den ursprungliga språkversionen.

Artikel 38

Partiellt borttagande av säkerhetsskyddsklassificeringen för EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   Det är också möjligt att besluta om partiellt borttagande av säkerhetsskyddsklassificeringen (t.ex. bilagor, endast vissa punkter). Förfarandet ska vara identiskt med förfarandet för att en handling i sin helhet inte längre ska vara säkerhetsskyddsklassificerad.

2.   När ett beslut har fattats om partiellt borttagande av säkerhetsskyddsklassificeringen för EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska ett utdrag ur den handling om vilket beslut fattats om partiellt borttagande av säkerhetsskyddsklassificeringen upprättas.

3.   De delar som förblir säkerhetsskyddsklassificerade ska ersättas med följande:

| PART NOT TO BE DECLASSIFIED |
| --- |

PART NOT TO BE DECLASSIFIED

antingen i själva brödtexten, om den del som förblir säkerhetsskyddsklassificerad är en del av en punkt, eller som en punkt, om den del som förblir klassificerad är en särskild punkt eller mer än en punkt.

4.   Ett särskilt omnämnande ska göras i texten om säkerhetsskyddsklassificeringen för en hel bilaga inte kan tas bort och denna därför inte ingår i utdraget.

Artikel 39

Rutinmässig förstöring och radering av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED

1.   Kommissionen ska inte ansamla stora mängder säkerhetsskyddsklassificerade uppgifter.

2.   De avdelningar där uppgifterna har sitt ursprung ska med korta intervall rutinmässigt se över mindre mängder för förstöring eller radering. En översyn ska göras med jämna mellanrum både för uppgifter som lagras i pappersform och för uppgifter som lagras i kommunikations- och informationssystem.

3.   Personalen ska förstöra eller på ett säkert sätt radera handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som inte längre behövs, med förbehåll för eventuella krav på arkivering av originaldokumentet.

4.   Personalen behöver inte informera upphovsmannen om de förstör eller raderar kopior av handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

5.   Utkast till material som innehåller säkerhetsskyddsklassificerade uppgifter ska omfattas av samma metoder för bortskaffande som slutliga säkerhetsskyddsklassificerade handlingar.

6.   Endast godkända dokumentförstörare ska användas för att förstöra handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED. Dokumentförstörare i säkerhetsklass 4 enligt standarden DIN 32757 och säkerhetsklass 5 enligt standarden DIN 66399 är lämpliga för att förstöra handlingar på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED.

7.   Avfallet från godkända dokumentförstörare får bortskaffas som vanligt kontorsavfall.

8.   Alla medier och enheter som innehåller EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska saneras på vederbörligt sätt när de når slutet på sin livscykel. De elektroniska uppgifterna ska förstöras eller raderas från it-resurser och tillhörande lagringsmedier på ett sätt som ger rimliga garantier för att uppgifterna inte kan återvinnas. Genom saneringen avlägsnas data från lagringsenheten liksom alla markeringar och aktivitetsloggar.

9.   Lagringsmedier för datorer ska ges till den lokalt säkerhetsansvariga eller den säkerhetsansvariga för de lokala datasystemen och/eller kontrolltjänstemannen för registreringsenheten för förstöring och bortskaffande.

Artikel 40

Evakuering och förstöring av EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED i en nödsituation

1.   Enhetschefen ska utarbeta, godkänna och vid behov aktivera planer för evakuering och förstöring i nödsituationer för att skydda EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED som löper stor risk att falla i händerna på obehöriga vid en kris. I prioritetsordning och beroende på nödsituationens karaktär ska följande åtgärder beaktas:

| (1) | Flytta säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett administrativt eller säkrat utrymme i samma byggnad. |
| --- | --- |

(1)

Flytta säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett administrativt eller säkrat utrymme i samma byggnad.

| (2) | Evakuera säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett administrativt eller säkrat utrymme i en annan byggnad, om möjligt en kommissionsbyggnad. |
| --- | --- |

(2)

Evakuera säkerhetsskyddsklassificerade EU-uppgifter till en alternativ säker plats, om möjligt ett administrativt eller säkrat utrymme i en annan byggnad, om möjligt en kommissionsbyggnad.

| (3) | Förstöra säkerhetsskyddsklassificerade EU-uppgifter, om möjligt med användning av godkända metoder för förstöring. |
| --- | --- |

(3)

Förstöra säkerhetsskyddsklassificerade EU-uppgifter, om möjligt med användning av godkända metoder för förstöring.

2.   När planerna har aktiverats ska prioritet ges åt att flytta eller förstöra uppgifter på högre säkerhetsskyddsklassificeringsnivåer.

3.   De operativa detaljerna i planerna för evakuering och förstöring i nödsituationer ska vara säkerhetsskyddsklassificerade på nivån RESTREINT UE/EU RESTRICTED.

Artikel 41

Arkivering

1.   Beslut om huruvida och när arkivering ska ske, och vilka motsvarande praktiska åtgärder som ska vidtas, ska fattas i enlighet med kommissionens policy för dokumenthantering.

2.   EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ska inte skickas till Europeiska unionens historiska arkiv i Florens.

KAPITEL 7

SLUTBESTÄMMELSER

Artikel 42

Öppenhet

Kommissionens tjänstemän och övriga personer som berörs ska informeras om detta beslut, som ska offentliggöras i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Artikel 43

Ikraftträdande

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Utfärdat i Bryssel den 17 oktober 2019.

På kommissionens vägnar

För ordföranden

Günther OETTINGER

Ledamot av kommissionen

---

(1)  
  EUT L 72, 17.3.2015, s. 41.

1

(2)  
  EUT L 72, 17.3.2015, s. 53.

2

(3)  
  EUT L 6, 11.1.2017, s. 40.

3

(4)  Rådets beslut 2013/488/EU av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 15.10.2013, s. 1).

4

(5)  Commission Decision of 4 May 2016 on an empowerment relating to security C(2016) 2797 final, ej översatt till svenska.

5

(6)  Enligt artikel 3 i beslut (EU, Euratom) 2015/444 avses med uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED ”uppgifter och materiel vars obehöriga röjande skulle kunna medföra endast ringa men för Europeiska unionens eller en eller flera medlemsstaters intressen”.

6

(7)  Enligt definitionen i artikel 18 i förordning (EU, Euratom) 2015/444.

7

(8)  En jämförelsetabell över medlemsstaternas säkerhetsskyddsmarkeringar återfinns i bilaga I till beslut (EU, Euratom) 2015/444.

8

(9)  Rådets förordning (EG, Euratom) nr 1700/2003 av den 22 september 2003 om ändring av förordning (EEG, Euratom) nr 354/83 om öppnandet för allmänheten av Europeiska ekonomiska gemenskapens och Europeiska atomenergigemenskapens historiska arkiv (EUT L 243, 27.9.2003, s. 1).

9

---

BILAGA

Personalkategorier som vid behov kan få tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED för att utföra sina arbetsuppgifter

| Kategorier av kommissionspersonal | Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån R-UE/EU-R | Villkor |
| --- | --- | --- |
| Tjänstemän | Ja | Information + bekräftelse + behovsenlig behörighet |
| Tillfälligt anställda | Ja | Information + bekräftelse + behovsenlig behörighet |
| Kontraktsanställda | Ja | Information + bekräftelse + behovsenlig behörighet |
| Utstationerade nationella experter | Ja | Information (av kommissionen) + bekräftelse + behovsenlig behörighet |
| Praktikanter | Nej | Inga undantag möjliga |
| Övriga personalkategorier (anställda via bemanningsföretag, extern personal som arbetar internt osv.) | Nej | Rådfråga kommissionens säkerhetsmyndighet rörande eventuella undantag |

Kategorier av kommissionspersonal

Tillgång till EU-uppgifter på säkerhetsskyddsklassificeringsnivån R-UE/EU-R

Villkor

Tjänstemän

Ja

Information + bekräftelse + behovsenlig behörighet

Tillfälligt anställda

Ja

Information + bekräftelse + behovsenlig behörighet

Kontraktsanställda

Ja

Information + bekräftelse + behovsenlig behörighet

Utstationerade nationella experter

Ja

Information (av kommissionen) + bekräftelse + behovsenlig behörighet

Praktikanter

Nej

Inga undantag möjliga

Övriga personalkategorier (anställda via bemanningsföretag, extern personal som arbetar internt osv.)

Nej

Rådfråga kommissionens säkerhetsmyndighet rörande eventuella undantag

---

| 2.12.2019 | SV | Europeiska unionens officiella tidning | L 311/37 |
| --- | --- | --- | --- |

2.12.2019

SV

Europeiska unionens officiella tidning

L 311/37

---

KOMMISSIONENS BESLUT (EU, Euratom) 2019/1963

av den 17 oktober 2019

om tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 249,

med beaktande av fördraget om upprättandet av Europeiska atomenergigemenskapen, särskilt artikel 106,

med beaktande av kommissionens beslut (EU, Euratom) 2015/443 av den 13 mars 2015 om säkerhet inom kommissionen (1),

med beaktande av kommissionens beslut (EU, Euratom) 2015/444 av den 13 mars 2015 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2),

med beaktande av kommissionens beslut (EU, Euratom) 2017/46 av den 10 januari 2017 om säkerheten i Europeiska kommissionens kommunikations- och informationssystem (3),

efter att ha hört kommissionens grupp av säkerhetsexperter i enlighet med artikel 41.5 i beslut (EU, Euratom) 2015/444, och

av följande skäl:

| (1) | Artiklarna 41, 42, 47 och 48 i beslut (EU, Euratom) 2015/444 fastställer att närmare bestämmelser för att komplettera eller understödja kapitel 6 i det beslutet ska antas i tillämpningsföreskrifter om industrisäkerhet i sådana frågor som upphandling, ingående av kontrakt som kräver säkerhetsavtal, säkerhetsgodkännande av verksamhetsställe, personalsäkerhetsgodkännande, besök samt överföring och befordran av säkerhetsskyddsklassificerade EU-uppgifter. |
| --- | --- |

(1)

Artiklarna 41, 42, 47 och 48 i beslut (EU, Euratom) 2015/444 fastställer att närmare bestämmelser för att komplettera eller understödja kapitel 6 i det beslutet ska antas i tillämpningsföreskrifter om industrisäkerhet i sådana frågor som upphandling, ingående av kontrakt som kräver säkerhetsavtal, säkerhetsgodkännande av verksamhetsställe, personalsäkerhetsgodkännande, besök samt överföring och befordran av säkerhetsskyddsklassificerade EU-uppgifter.

| (2) | Enligt beslut (EU, Euratom) 2015/444 ska kontrakt som kräver säkerhetsavtal fullgöras i nära samarbete med den nationella säkerhetsmyndigheten, den utsedda säkerhetsmyndigheten eller någon annan behörig myndighet i den berörda medlemsstaten. Medlemsstaterna har enats om att se till att alla de enheter inom deras jurisdiktion som eventuellt kan erhålla eller generera säkerhetsskyddsklassificerade uppgifter som härrör från kommissionen har genomgått lämplig säkerhetsprövning och kan ge ett ändamålsenligt skydd, på en lämplig säkerhetsnivå som är likvärdig med den som ges enligt säkerhetsbestämmelserna inom Europeiska unionens råd för säkerhetsskyddsklassificerade EU-uppgifter med motsvarande säkerhetsklassning i enlighet med avtalet mellan Europeiska unionens medlemsstater, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i Europeiska unionens intresse (2011/C 202/05) (4). |
| --- | --- |

(2)

Enligt beslut (EU, Euratom) 2015/444 ska kontrakt som kräver säkerhetsavtal fullgöras i nära samarbete med den nationella säkerhetsmyndigheten, den utsedda säkerhetsmyndigheten eller någon annan behörig myndighet i den berörda medlemsstaten. Medlemsstaterna har enats om att se till att alla de enheter inom deras jurisdiktion som eventuellt kan erhålla eller generera säkerhetsskyddsklassificerade uppgifter som härrör från kommissionen har genomgått lämplig säkerhetsprövning och kan ge ett ändamålsenligt skydd, på en lämplig säkerhetsnivå som är likvärdig med den som ges enligt säkerhetsbestämmelserna inom Europeiska unionens råd för säkerhetsskyddsklassificerade EU-uppgifter med motsvarande säkerhetsklassning i enlighet med avtalet mellan Europeiska unionens medlemsstater, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i Europeiska unionens intresse (2011/C 202/05) (4).

| (3) | Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa maximal konsekvens i tillämpningen av säkerhetsbestämmelserna avseende sitt skydd av säkerhetsskyddsklassificerade EU-uppgifter, med samtidig hänsyn till sina specifika institutionella och organisatoriska behov i enlighet med de förklaringar som fogades till protokollet från det möte där rådets beslut 2013/488/EU (5) om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter antogs. |
| --- | --- |

(3)

Rådet, kommissionen och unionens höga representant för utrikes frågor och säkerhetspolitik har enats om att säkerställa maximal konsekvens i tillämpningen av säkerhetsbestämmelserna avseende sitt skydd av säkerhetsskyddsklassificerade EU-uppgifter, med samtidig hänsyn till sina specifika institutionella och organisatoriska behov i enlighet med de förklaringar som fogades till protokollet från det möte där rådets beslut 2013/488/EU (5) om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter antogs.

| (4) | Kommissionens tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal bör därför också säkerställa maximal konsekvens och beakta de riktlinjer för industrisäkerhet som antogs av rådets säkerhetskommitté den 13 december 2016 samt artiklarna 7 och 22 i Europaparlamentets och rådets direktiv 2009/81/EG (6). |
| --- | --- |

(4)

Kommissionens tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal bör därför också säkerställa maximal konsekvens och beakta de riktlinjer för industrisäkerhet som antogs av rådets säkerhetskommitté den 13 december 2016 samt artiklarna 7 och 22 i Europaparlamentets och rådets direktiv 2009/81/EG (6).

| (5) | Den 4 maj 2016 antog kommissionen ett beslut (7) om delegering av befogenheter till den ledamot av kommissionen som ansvarar för säkerhetsfrågor för att, på kommissionens vägnar och på dess ansvar, anta de tillämpningsföreskrifter som avses i artikel 60 i beslut (EU, Euratom) 2015/444. |
| --- | --- |

(5)

Den 4 maj 2016 antog kommissionen ett beslut (7) om delegering av befogenheter till den ledamot av kommissionen som ansvarar för säkerhetsfrågor för att, på kommissionens vägnar och på dess ansvar, anta de tillämpningsföreskrifter som avses i artikel 60 i beslut (EU, Euratom) 2015/444.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL 1

ALLMÄNNA BESTÄMMELSER

Artikel 1

Syfte och tillämpningsområde

1.   Detta beslut fastställer tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal för att understödja genomförandet av beslut (EU, Euratom) 2015/444, särskilt kapitel 6 i det beslutet.

2.   Detta beslut fastställer särskilda krav för att säkerställa att säkerhetsskyddsklassificerade EU-uppgifter skyddas av ekonomiska aktörer innan avtal ingås, när sådana kontrakt med Europeiska kommissionen som kräver säkerhetsavtal genomförs samt när kommissionens entreprenörer ingår underentreprenörsavtal.

3.   Detta beslut avser uppgifter som säkerhetsklassats på följande nivåer:

| a) | RESTREINT UE/EU RESTRICTED; |
| --- | --- |

a)

RESTREINT UE/EU RESTRICTED;

| b) | CONFIDENTIEL UE/EU CONFIDENTIAL; |
| --- | --- |

b)

CONFIDENTIEL UE/EU CONFIDENTIAL;

| c) | SECRET UE/EU SECRET. |
| --- | --- |

c)

SECRET UE/EU SECRET.

Artikel 2

Kommissionens ansvarsområde

1.   Som ett led i det ansvar som beskrivs i budgetförordningen (8) ska alla utanordnare när kommissionen är upphandlande myndighet se till att kontrakt som kräver säkerhetsavtal hänvisar till de miniminormer om industrisäkerhet som fastställs i kapitel 6 i beslut (EU, Euratom) 2015/444 och i dessa tillämpningsföreskrifter, samt när det är lämpligt i meddelandet om upphandling eller anbudsinfordran, samt se till att dessa normer uppfylls i samband med genomförandet.

2.   Därför ska den berörda utanordnaren i alla stadier inhämta rådgivning från kommissionens säkerhetsmyndighet i frågor som avser säkerhetsinslag i kontrakt, program eller projekt som kräver säkerhetsavtal och ska informera den lokalt säkerhetsansvariga om de kontrakt som ingås. Beslut om vilken klassificeringsnivå som ska tilldelas ska fattas av den upphandlande myndigheten med vederbörlig hänsyn till handboken om säkerhetsklassificering.

3.   Vid genomförandet av kraven i dessa tillämpningsföreskrifter ska kommissionens säkerhetsmyndighet samarbeta nära tillsammans med de berörda medlemsstaternas nationella säkerhetsmyndigheter och utsedda säkerhetsmyndigheter, i synnerhet när det gäller säkerhetsgodkännande av verksamhetsställen och personalsäkerhetsgodkännanden, besöksrutiner och transporter.

KAPITEL 2

HANTERING AV ANBUDSINFORDRAN AVSEENDE KONTRAKT SOM KRÄVER SÄKERHETSAVTAL

Artikel 3

Grundprinciper

1.   Kontrakt som kräver säkerhetsavtal får endast tilldelas ekonomiska aktörer som är registrerade i en medlemsstat eller som är registrerade i ett sådant tredjeland eller är inrättade genom en sådan internationell organisation som slutit informationssäkerhetsavtal med Europeiska unionen eller ingått en administrativ överenskommelse med kommissionen (9).

2.   Innan anbudsinfordran för ett kontrakt som kräver säkerhetsavtal inleds ska den upphandlande myndigheten fastställa säkerhetsklassificeringen för alla uppgifter som kan komma att tillhandahållas anbudsgivarna. Den upphandlande myndigheten ska även fastställa den högsta säkerhetsklassificeringsnivån för alla uppgifter som kommer att genereras vid fullgörandet av kontraktet, programmet eller projektet, eller åtminstone den förväntade omfattningen och typen av uppgifter som ska framställas eller hanteras samt behovet av ett säkerhetsklassat kommunikations- och informationssystem.

3.   Den upphandlande myndigheten ska säkerställa att det i meddelande om upphandling av kontrakt som kräver säkerhetsavtal finns upplysningar om de särskilda säkerhetskrav som ställs avseende säkerhetsskyddsklassificerade uppgifter. Bilaga I innehåller ett förslag till mall för uppgifter i meddelande om upphandling.

4.   Den upphandlande myndigheten ska säkerställa att uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET yppas för anbudsgivarna först när de undertecknat ett sekretessavtal som ålägger dem att hantera och skydda säkerhetsskyddsklassificerade EU-uppgifter i enlighet med beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter.

5.   Alla entreprenörer som kommer att hantera eller lagra uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i sina lokaler, antingen vid fullgörandet av det kontrakt som kräver säkerhetsavtal eller innan avtal ingås, måste inneha ett säkerhetsgodkännande av verksamhetsställe på lämplig nivå. Följande tre scenarier kan uppstå vid upphandling av kontrakt som kräver säkerhetsavtal och som rör säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET:

| a) | Ingen tillgång till säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i upphandlingsfasen:
  Om meddelandet om upphandling eller anbudsinfordran avser ett kontrakt som kommer att omfatta säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET men som inte kräver att anbudsgivaren ska hantera uppgifterna i upphandlingsskedet ska anbudsgivare utan säkerhetsgodkännande av verksamhetsställe på lämplig nivå inte uteslutas från anbudslämningen därför att de saknar sådant säkerhetsgodkännande. |
| --- | --- |

a)

Ingen tillgång till säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i upphandlingsfasen:

Om meddelandet om upphandling eller anbudsinfordran avser ett kontrakt som kommer att omfatta säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET men som inte kräver att anbudsgivaren ska hantera uppgifterna i upphandlingsskedet ska anbudsgivare utan säkerhetsgodkännande av verksamhetsställe på lämplig nivå inte uteslutas från anbudslämningen därför att de saknar sådant säkerhetsgodkännande.

| b) | Tillgång till säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i den upphandlande myndighetens lokaler i upphandlingsfasen:
  Tillgång ska beviljas sådan personal från anbudsgivare som innehar personalsäkerhetsgodkännande på lämplig nivå och som har behovsenlig behörighet. Innan tillgång beviljas ska den upphandlande myndigheten via kommissionens säkerhetsmyndighet kontrollera med respektive nationell säkerhetsmyndighet eller utsedd säkerhetsmyndighet om det enligt nationella lagar och andra föreskrifter även krävs säkerhetsgodkännande av verksamhetsställe i denna fas. |
| --- | --- |

b)

Tillgång till säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i den upphandlande myndighetens lokaler i upphandlingsfasen:

Tillgång ska beviljas sådan personal från anbudsgivare som innehar personalsäkerhetsgodkännande på lämplig nivå och som har behovsenlig behörighet. Innan tillgång beviljas ska den upphandlande myndigheten via kommissionens säkerhetsmyndighet kontrollera med respektive nationell säkerhetsmyndighet eller utsedd säkerhetsmyndighet om det enligt nationella lagar och andra föreskrifter även krävs säkerhetsgodkännande av verksamhetsställe i denna fas.

| c) | Hantering eller lagring av säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i anbudsgivarens lokaler i upphandlingsfasen:
  Om meddelandet om upphandling eller anbudsinfordran kräver att anbudsgivarna hanterar eller lagrar säkerhetsskyddsklassificerade EU-uppgifter i sina lokaler måste anbudsgivaren inneha ett säkerhetsgodkännande av verksamhetsställe på lämplig nivå. I sådana fall ska den upphandlande myndigheten via kommissionens säkerhetsmyndighet inhämta försäkran från nationell säkerhetsmyndighet eller utsedd säkerhetsmyndighet om att anbudsgivaren beviljats det säkerhetsgodkännande av verksamhetsställe som krävs. Tillgång ska beviljas sådan personal från anbudsgivare som innehar personalsäkerhetsgodkännande på lämplig nivå och som har behovsenlig behörighet. |
| --- | --- |

c)

Hantering eller lagring av säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i anbudsgivarens lokaler i upphandlingsfasen:

Om meddelandet om upphandling eller anbudsinfordran kräver att anbudsgivarna hanterar eller lagrar säkerhetsskyddsklassificerade EU-uppgifter i sina lokaler måste anbudsgivaren inneha ett säkerhetsgodkännande av verksamhetsställe på lämplig nivå. I sådana fall ska den upphandlande myndigheten via kommissionens säkerhetsmyndighet inhämta försäkran från nationell säkerhetsmyndighet eller utsedd säkerhetsmyndighet om att anbudsgivaren beviljats det säkerhetsgodkännande av verksamhetsställe som krävs. Tillgång ska beviljas sådan personal från anbudsgivare som innehar personalsäkerhetsgodkännande på lämplig nivå och som har behovsenlig behörighet.

6.   I princip ska säkerhetsgodkännande av verksamhetsställe inte krävas för tillgång till uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED, vare sig i upphandlingsfasen eller under fullgörandet av kontraktet. Medlemsstater som kräver säkerhetsgodkännande av verksamhetsställe för kontrakt eller underentreprenörsavtal som rör uppgifter som säkerhetsklassats på nivå RESTREINT UE/EU RESTRICTED enligt den statens nationella lagar och andra föreskrifter, i enlighet med förteckningen i bilaga IV, får i de nationella kraven inte ställa ytterligare krav på andra medlemsstater eller utesluta anbudsgivare, entreprenörer eller underentreprenörer med säte i sådana medlemsstater som inte kräver säkerhetsgodkännande av verksamhetsställe för tillgång till uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED eller utestänga dem från sådana kontrakt eller underentreprenörsavtal eller från upphandlingen. Sådana kontrakt ska fullgöras i medlemsstaterna i enlighet med deras nationella lagar och andra föreskrifter.

7.   Om säkerhetsgodkännande av verksamhetsställe krävs för fullgörande av ett kontrakt som kräver säkerhetsavtal ska den upphandlande myndigheten, via kommissionens säkerhetsmyndighet, lämna in en begäran till entreprenörens nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet med hjälp av ett informationsblad för säkerhetsgodkännande av verksamhetsställe. I bilaga III tillägg D finns ett exempel på informationsblad för säkerhetsgodkännande av verksamhetsställe (10). Kontrakt som kräver säkerhetsavtal ska inte tilldelas innan entreprenörens nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet har bekräftat säkerhetsgodkännande av verksamhetsställe för entreprenören. Svar på informationsblad för säkerhetsgodkännande av verksamhetsställe ska så långt som möjligt lämnas inom tio arbetsdagar från den dag begäran gjordes.

Artikel 4

Underentreprenad av kontrakt som kräver säkerhetsavtal

1.   De krav som ställs för att tillåta underentreprenad från en entreprenör som av kommissionen tilldelats ett kontrakt som kräver säkerhetsavtal ska anges i anbudsinfordran och i upphandlingsunderlaget. När det kontrakt som kräver säkerhetsavtal tillåter underentreprenad av vissa delar krävs skriftligt medgivande från den upphandlande myndigheten innan underentreprenaden inleds. Innan den upphandlande myndigheten lämnar sitt medgivande ska den höra kommissionens säkerhetsmyndighet.

2.   Kontrakt som kräver säkerhetsavtal får endast läggas ut på underentreprenad till ekonomiska aktörer som är registrerade i en medlemsstat eller som är registrerade i ett sådant tredjeland eller är inrättade genom en sådan internationell organisation som slutit informationssäkerhetsavtal med EU eller ingått en administrativ överenskommelse med kommissionen (11).

KAPITEL 3

KOMMISSIONENS TILLDELNING AV KONTRAKT SOM KRÄVER SÄKERHETSAVTAL

Artikel 5

Grundprinciper

1.   Vid tilldelning av kontrakt som kräver säkerhetsavtal ska den upphandlande myndigheten tillsammans med kommissionens säkerhetsmyndighet säkerställa att man i en del av kontraktet preciserar entreprenörens skyldigheter i fråga om säkerhetsskyddsklassificerade EU-uppgifter som lämnas ut till denne eller som genereras vid fullgörandet av kontraktet. Säkerhetskrav som är specifika för kontraktet ska utformas som en säkerhetsskyddsöverenskommelse. Ett förslag på mall till säkerhetsskyddsöverenskommelse finns i bilaga III.

2.   Innan ett kontrakt som kräver säkerhetsavtal undertecknas ska den upphandlande myndigheten, efter att ha hört kommissionens säkerhetsmyndighet, utarbeta en handbok om säkerhetsklassificering för de uppgifter som ska utföras och de upplysningar som genereras vid fullgörandet av kontraktet, eller i förekommande fall på program- eller projektnivå. Handboken om säkerhetsklassificering ska utgöra en del av säkerhetsskyddsöverenskommelsen.

3.   Säkerhetskrav som är specifika för vissa program eller projekt ska utformas som säkerhetsanvisningar för program eller projekt. Säkerhetsanvisningar för program eller projekt kan utarbetas med hjälp av bestämmelserna i mallen till säkerhetsskyddsöverenskommelse i bilaga III. Säkerhetsanvisningar för program eller projekt ska tas fram av den kommissionsavdelning som förvaltar programmet eller projektet i nära samarbete med kommissionens säkerhetsmyndighet och ska lämnas in till kommissionens grupp av säkerhetsexperter för rådgivning. Om ett kontrakt ingår i ett program eller projekt med egna säkerhetsanvisningar ska säkerhetsskyddsöverenskommelsen för kontraktet i fråga förenklas och hänvisa till bestämmelserna i det övergripande programmets eller projektets säkerhetsanvisningar.

4.   Den upphandlande myndigheten ska anses som upphovsman till säkerhetsskyddsklassificerade uppgifter som skapas eller hanteras i samband med fullgörandet av kontraktet.

5.   Den upphandlande myndigheten ska via kommissionens säkerhetsmyndighet underrätta alla entreprenörers och underentreprenörers nationella säkerhetsmyndigheter och utsedda säkerhetsmyndigheter varje gång kontrakt eller underentreprenörsavtal som kräver säkerhetsavtal ingås, förlängs eller sägs upp i förtid. En förteckning över kraven i olika länder finns i bilaga IV.

6.   Kontrakt som berör uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED ska innehålla en säkerhetsklausul som gör bestämmelserna i bilaga III tillägg E bindande för entreprenören. Avtalen ska innehålla en säkerhetsskyddsöverenskommelse som fastställer minimikrav för hanteringen av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED, däribland krav på informationssäkring och särskilda krav som den upphandlande myndigheten delegerat till entreprenörerna avseende säkerhetsackreditering av det ikt-system de använder för hantering av uppgifter på nivån RESTREINT UE/EU RESTRICTED.

7.   När uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED tillhandahålls anbudsgivare eller potentiella entreprenörer ska de minimikrav som avses i punkt 6 tas med i anbuden eller relevanta sekretessavtal som ingås i anbudsfasen.

8.   När detta krävs enligt medlemsstaternas nationella lagar och andra föreskrifter ska nationella säkerhetsmyndigheter eller utsedda säkerhetsmyndigheter säkerställa att entreprenörer eller underentreprenörer inom deras jurisdiktion uppfyller de tillämpliga säkerhetsbestämmelserna för skydd av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED och ska göra kontrollbesök på entreprenörernas verksamhetsställen belägna på det egna territoriet. Om den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten inte är underställd något sådant krav ska den upphandlande myndigheten säkerställa att entreprenören fullgör säkerhetsbestämmelserna i bilaga III.

Artikel 6

Tillgång till säkerhetsskyddsklassificerade EU-uppgifter för entreprenörers och underentreprenörers personal

1.   Den avdelning på kommissionen som är upphandlande myndighet ska säkerställa att kontrakt som kräver säkerhetsavtal innehåller bestämmelser om att personal hos entreprenörer eller underentreprenörer som behöver få tillgång till säkerhetsskyddsklassificerade EU-uppgifter för att kunna fullgöra kontraktet eller underentreprenaden beviljas tillgång endast i följande fall:

| a) | Det har fastställts att vederbörande har behovsenlig behörighet. |
| --- | --- |

a)

Det har fastställts att vederbörande har behovsenlig behörighet.

| b) | För uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vederbörande ha inhämtat personalsäkerhetsgodkännande på lämplig nivå från sina respektive nationella säkerhetsmyndigheter, utsedda säkerhetsmyndigheter eller andra behöriga säkerhetsmyndigheter. |
| --- | --- |

b)

För uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vederbörande ha inhämtat personalsäkerhetsgodkännande på lämplig nivå från sina respektive nationella säkerhetsmyndigheter, utsedda säkerhetsmyndigheter eller andra behöriga säkerhetsmyndigheter.

| c) | Vederbörande har informerats om de säkerhetsbestämmelser som gäller för säkerhetsskyddsklassificerade EU-uppgifter och har bekräftat sitt ansvar för skyddet av dessa uppgifter. |
| --- | --- |

c)

Vederbörande har informerats om de säkerhetsbestämmelser som gäller för säkerhetsskyddsklassificerade EU-uppgifter och har bekräftat sitt ansvar för skyddet av dessa uppgifter.

2.   Om en entreprenör eller underentreprenör vill anställa en person som är medborgare i tredjeland på en tjänst som kräver tillgång till säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET åligger det den entreprenören eller underentreprenören att begära säkerhetsprövning för personen i enlighet med nationella lagar och andra föreskrifter som är tillämpliga på den ort där tillgången till säkerhetsskyddsklassificerade EU-uppgifter ska medges.

KAPITEL 4

BESÖK MED ANKNYTNING TILL KONTRAKT SOM KRÄVER SÄKERHETSAVTAL

Artikel 7

Grundprinciper

1.   När kommissionen, entreprenörer eller underentreprenörer behöver få tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i varandras lokaler för att fullgöra ett kontrakt som kräver säkerhetsavtal, ska besök anordnas tillsammans med de berörda nationella säkerhetsmyndigheterna/utsedda säkerhetsmyndigheterna eller andra behöriga säkerhetsmyndigheter.

2.   Följande krav ska ställas på de besök som avses i punkt 1:

| a) | Besöket ska ha ett officiellt syfte med anknytning till ett kontrakt som kräver säkerhetsavtal och som tilldelats av kommissionen. |
| --- | --- |

a)

Besöket ska ha ett officiellt syfte med anknytning till ett kontrakt som kräver säkerhetsavtal och som tilldelats av kommissionen.

| b) | Alla besökare ska inneha personalsäkerhetsgodkännande på lämplig nivå och ha behovsenlig behörighet för att få tillgång till säkerhetsskyddsklassificerade EU-uppgifter som tillhandahålls eller genereras vid fullgörandet av ett kontrakt som kräver säkerhetsavtal och som tilldelats av kommissionen. |
| --- | --- |

b)

Alla besökare ska inneha personalsäkerhetsgodkännande på lämplig nivå och ha behovsenlig behörighet för att få tillgång till säkerhetsskyddsklassificerade EU-uppgifter som tillhandahålls eller genereras vid fullgörandet av ett kontrakt som kräver säkerhetsavtal och som tilldelats av kommissionen.

Artikel 8

Begäran om besök

1.   Entreprenörers besök på andra entreprenörers verksamhetsställen eller i kommissionens lokaler som medför tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska anordnas med hjälp av följande förfarande:

| a) | Den säkerhetsansvariga på det verksamhetsställe som sänder besökaren ska fylla i alla relevanta delar av formuläret för begäran om besök och lämna begäran till verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet. En mall för formulär för begäran om besök finns i bilaga III tillägg C. |
| --- | --- |

a)

Den säkerhetsansvariga på det verksamhetsställe som sänder besökaren ska fylla i alla relevanta delar av formuläret för begäran om besök och lämna begäran till verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet. En mall för formulär för begäran om besök finns i bilaga III tillägg C.

| b) | Det sändande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet ska bekräfta besökarens personalsäkerhetsgodkännande innan begäran om besök lämnas till det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller kommissionens säkerhetsmyndighet om besöket sker i kommissionens lokaler). |
| --- | --- |

b)

Det sändande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet ska bekräfta besökarens personalsäkerhetsgodkännande innan begäran om besök lämnas till det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller kommissionens säkerhetsmyndighet om besöket sker i kommissionens lokaler).

| c) | Den säkerhetsansvariga på det sändande verksamhetsstället ska därefter från sin nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet inhämta det svar som lämnats av det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller av kommissionens säkerhetsmyndighet) varigenom begäran om besök antingen beviljas eller avslås. |
| --- | --- |

c)

Den säkerhetsansvariga på det sändande verksamhetsstället ska därefter från sin nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet inhämta det svar som lämnats av det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller av kommissionens säkerhetsmyndighet) varigenom begäran om besök antingen beviljas eller avslås.

| d) | En begäran om besök anses godkänd om inga invändningar görs fram till fem dagar innan besöket. |
| --- | --- |

d)

En begäran om besök anses godkänd om inga invändningar görs fram till fem dagar innan besöket.

2.   Besök av kommissionens tjänstemän på entreprenörers verksamhetsställen som medför tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska anordnas med hjälp av följande förfarande:

| a) | Besökaren ska fylla i alla relevanta delar av formuläret för begäran om besök och lämna det till kommissionens säkerhetsmyndighet. |
| --- | --- |

a)

Besökaren ska fylla i alla relevanta delar av formuläret för begäran om besök och lämna det till kommissionens säkerhetsmyndighet.

| b) | Kommissionens säkerhetsmyndighet ska bekräfta besökarens personalsäkerhetsgodkännande innan begäran om besök lämnas till det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet. |
| --- | --- |

b)

Kommissionens säkerhetsmyndighet ska bekräfta besökarens personalsäkerhetsgodkännande innan begäran om besök lämnas till det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet.

| c) | Kommissionens säkerhetsmyndighet ska inhämta det svar som lämnats av det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet varigenom begäran om besök antingen beviljas eller avslås. |
| --- | --- |

c)

Kommissionens säkerhetsmyndighet ska inhämta det svar som lämnats av det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet varigenom begäran om besök antingen beviljas eller avslås.

| d) | En begäran om besök anses godkänd om inga invändningar görs fram till fem dagar innan besöket. |
| --- | --- |

d)

En begäran om besök anses godkänd om inga invändningar görs fram till fem dagar innan besöket.

3.   Begäran om besök kan avse antingen ett besök eller återkommande besök. Vid återkommande besök kan begäran om besök gälla i högst ett år från begärt startdatum.

4.   Begäran om besök får inte ha en längre giltighetstid än besökarens personalsäkerhetsgodkännande.

5.   Normalt ska begäran om besök lämnas till det mottagande verksamhetsställets behöriga säkerhetsmyndighet minst 15 arbetsdagar innan besöket.

Artikel 9

Besöksrutiner

1.   Innan besökaren får tillgång till säkerhetsskyddsklassificerade EU-uppgifter ska det mottagande verksamhetsställets säkerhetsbyrå se till att besöket följer alla säkerhetsrutiner och säkerhetsbestämmelser som fastställts av dess nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet.

2.   Besökarna ska styrka sin identitet när de anländer till det mottagande verksamhetsstället genom att uppvisa giltig ID-handling eller pass. Identitetsuppgifterna måste motsvara de uppgifter som lämnats på formuläret för begäran om besök.

3.   Det mottagande verksamhetsstället ska säkerställa att alla besökare registreras tillsammans med uppgifter om deras namn, den organisation de företräder, sista giltighetsdag för deras personalsäkerhetsgodkännande, besöksdatum och namnet på de besökta personerna. Registren ska sparas i minst fem år, eller längre om detta krävs enligt nationella lagar och andra föreskrifter i det land där det mottagande verksamhetsstället är beläget.

Artikel 10

Besök som anordnas direkt

1.   Inom ramen för vissa projekt kan berörda nationella säkerhetsmyndigheter, utsedda säkerhetsmyndigheter eller kommissionens säkerhetsmyndighet enas om ett förfarande som tillåter att besök avseende ett visst kontrakt som kräver säkerhetsavtal anordnas gemensamt av den besökandes säkerhetsansvariga och den säkerhetsansvariga vid det verksamhetsställe som ska besökas. En mall för det formulär som kan användas i detta syfte finns i bilaga III tillägg C. Sådana undantagsförfaranden ska beskrivas i säkerhetsanvisningarna för program eller projekt eller i andra särskilda överenskommelser. I dessa fall ska förfarandena i artikel 8 och artikel 9.1 inte tillämpas.

2.   Besök som medför tillgång till uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED ska anordnas gemensamt av det besökande och det besökta verksamhetsstället utan att förfarandet i artikel 8 och artikel 9.1 behöver följas.

KAPITEL 5

ÖVERFÖRING OCH BEFORDRAN AV SÄKERHETSSKYDDSKLASSIFICERADE EU-UPPGIFTER VID FULLGÖRANDET AV KONTRAKT SOM KRÄVER SÄKERHETSAVTAL

Artikel 11

Grundprinciper

Den upphandlande myndigheten ska säkerställa att alla beslut om överföring och befordran av säkerhetsskyddsklassificerade EU-uppgifter följer beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter samt villkoren i det kontrakt som kräver säkerhetsavtal, däribland kravet på upphovsmannens medgivande.

Artikel 12

Elektronisk hantering

1.   Elektronisk hantering och överföring av säkerhetsskyddsklassificerade EU-uppgifter ska ske i enlighet med kapitel 5 och 6 i beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter.

De kommunikations- och informationssystem som ägs av en entreprenör och som används för att hantera säkerhetsskyddsklassificerade EU-uppgifter vid fullgörandet av kontraktet (nedan kallat entreprenörens kommunikations- och informationssystem) ska vara ackrediterat av den ansvariga ackrediteringsmyndigheten för säkerhet. All elektronisk överföring av säkerhetsskyddsklassificerade EU-uppgifter ska skyddas med hjälp av kryptoprodukter som är godkända enligt artikel 36.4 i beslut (EU, Euratom) 2015/444. Tempestsäkerhetsåtgärder ska genomföras i enlighet med artikel 36.6 i det beslutet.

2.   Säkerhetsackreditering av entreprenörens kommunikations- och informationssystem för hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED och all sammankoppling av sådana system får delegeras till entreprenörens säkerhetsansvariga om detta är tillåtet enligt nationella lagar och andra föreskrifter. Om uppgiften delegeras ska entreprenören vara ansvarig för tillämpningen av minimisäkerhetskraven enligt säkerhetsskyddsöverenskommelsen vid hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED i sitt kommunikations- och informationssystem. De berörda nationella säkerhetsmyndigheterna, utsedda säkerhetsmyndigheterna och ackrediteringsmyndigheterna för säkerhet ska dock behålla ansvaret för att skydda uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED som hanteras av entreprenören och ska ha rätt att inspektera entreprenörernas säkerhetsåtgärder. Entreprenören ska därutöver förse den upphandlande myndigheten, och där så krävs enligt nationella lagar och andra föreskrifter även den behöriga nationella ackrediteringsmyndigheten för säkerhet, med ett överensstämmelseintyg som styrker att entreprenörens kommunikations- och informationssystem och därmed sammankopplade system har ackrediterats för hantering av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED (12).

Artikel 13

Transport med kommersiella kurirtjänster

När säkerhetsskyddsklassificerade EU-uppgifter transporteras med kommersiella kurirtjänster ska detta följa relevanta bestämmelser i kommissionens beslut om tillämpningsföreskrifter för hantering av uppgifter som säkerhetsklassats på nivåerna RESTREINT UE/EU RESTRICTED eller CONFIDENTIEL UE/EU CONFIDENTIAL.

Artikel 14

Personligt överlämnande

1.   Personligt överlämnande av säkerhetsskyddsklassificerade uppgifter ska vara underställt strikta säkerhetsbestämmelser.

2.   Uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED får inom EU överlämnas personligen av entreprenörens personal om följande krav är uppfyllda:

| a) | De kuvert eller förpackningar som används ska vara ogenomskinliga och får inte ange att innehållet är säkerhetsskyddsklassificerat. |
| --- | --- |

a)

De kuvert eller förpackningar som används ska vara ogenomskinliga och får inte ange att innehållet är säkerhetsskyddsklassificerat.

| b) | De säkerhetsskyddsklassificerade uppgifterna får inte lämna bärarens besittning. |
| --- | --- |

b)

De säkerhetsskyddsklassificerade uppgifterna får inte lämna bärarens besittning.

| c) | Kuvertet eller förpackningen får inte öppnas på vägen. |
| --- | --- |

c)

Kuvertet eller förpackningen får inte öppnas på vägen.

3.   När uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vidarebefordras inom en av EU:s medlemsstater genom personligt överlämnande via entreprenörens personal ska detta överenskommas i förväg mellan det sändande och det mottagande verksamhetsstället. Den myndighet eller det verksamhetsställe som är avsändare ska informera den myndighet eller det verksamhetsställe som är mottagare om försändelsens närmare detaljer, däribland referens, klassificering, förväntad ankomsttid och kurirens namn. Personligt överlämnande är tillåtet om följande krav är uppfyllda:

| a) | De säkerhetsskyddsklassificerade uppgifterna ligger i dubbla kuvert eller förpackningar. |
| --- | --- |

a)

De säkerhetsskyddsklassificerade uppgifterna ligger i dubbla kuvert eller förpackningar.

| b) | Det yttre kuvertet eller förpackningsmaterialet ska vara säkrat och får inte ange att innehållet är säkerhetsskyddsklassificerat, medan det inre kuvertet ska vara märkt med relevant säkerhetsskyddsklassificeringsnivå. |
| --- | --- |

b)

Det yttre kuvertet eller förpackningsmaterialet ska vara säkrat och får inte ange att innehållet är säkerhetsskyddsklassificerat, medan det inre kuvertet ska vara märkt med relevant säkerhetsskyddsklassificeringsnivå.

| c) | De säkerhetsskyddsklassificerade EU-uppgifterna får inte lämna bärarens besittning. |
| --- | --- |

c)

De säkerhetsskyddsklassificerade EU-uppgifterna får inte lämna bärarens besittning.

| d) | Kuvertet eller förpackningen får inte öppnas på vägen. |
| --- | --- |

d)

Kuvertet eller förpackningen får inte öppnas på vägen.

| e) | Kuvertet eller förpackningen ska befordras i låsbar portfölj eller liknande godkänd väska av sådan storlek och vikt att bäraren hela tiden kan bära den med sig utan att behöva lämna den i bagageutrymme. |
| --- | --- |

e)

Kuvertet eller förpackningen ska befordras i låsbar portfölj eller liknande godkänd väska av sådan storlek och vikt att bäraren hela tiden kan bära den med sig utan att behöva lämna den i bagageutrymme.

| f) | Kuriren ska vara försedd med kuririntyg utfärdat av dennes behöriga säkerhetsmyndighet vilket ger kuriren behörighet att överlämna den angivna säkerhetsklassade försändelsen. |
| --- | --- |

f)

Kuriren ska vara försedd med kuririntyg utfärdat av dennes behöriga säkerhetsmyndighet vilket ger kuriren behörighet att överlämna den angivna säkerhetsklassade försändelsen.

4.   När uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vidarebefordras från en av EU:s medlemsstater till en annan genom personligt överlämnande via entreprenörens personal ska följande tilläggsbestämmelser tillämpas:

| a) | Kuriren ska ansvara för det säkerhetsklassade materialets säkerhet till dess att det överlämnats till sin mottagare. |
| --- | --- |

a)

Kuriren ska ansvara för det säkerhetsklassade materialets säkerhet till dess att det överlämnats till sin mottagare.

| b) | Vid överträdelser av säkerhetsbestämmelserna kan den avsändande nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten begära att myndigheterna i det land där överträdelsen ägde rum ska göra en utredning, rapportera sina resultat och vidta rättsliga eller andra lämpliga åtgärder. |
| --- | --- |

b)

Vid överträdelser av säkerhetsbestämmelserna kan den avsändande nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten begära att myndigheterna i det land där överträdelsen ägde rum ska göra en utredning, rapportera sina resultat och vidta rättsliga eller andra lämpliga åtgärder.

| c) | Kuriren ska ha fått information om alla säkerhetsförpliktelser avseende överlämnandet och ska ha undertecknat en bekräftelse därom. |
| --- | --- |

c)

Kuriren ska ha fått information om alla säkerhetsförpliktelser avseende överlämnandet och ska ha undertecknat en bekräftelse därom.

| d) | Instruktioner för kuriren ska bifogas kuririntyget. |
| --- | --- |

d)

Instruktioner för kuriren ska bifogas kuririntyget.

| e) | Kuriren ska ha fått en beskrivning av försändelsen och en resväg. |
| --- | --- |

e)

Kuriren ska ha fått en beskrivning av försändelsen och en resväg.

| f) | Handlingarna ska återställas till den utfärdande nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten när resan avslutats eller hållas tillgängliga för tillsyn av mottagaren. |
| --- | --- |

f)

Handlingarna ska återställas till den utfärdande nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten när resan avslutats eller hållas tillgängliga för tillsyn av mottagaren.

| g) | Om tull, migrationsmyndigheter eller gränspolis ber att få undersöka och kontrollera försändelsen ska de få öppna och se tillräckliga delar av försändelsen för att kunna fastställa att den inte innehåller annat material än det som deklarerats. |
| --- | --- |

g)

Om tull, migrationsmyndigheter eller gränspolis ber att få undersöka och kontrollera försändelsen ska de få öppna och se tillräckliga delar av försändelsen för att kunna fastställa att den inte innehåller annat material än det som deklarerats.

| h) | Tullmyndigheterna bör uppmanas att beakta den officiella ställning som bärarens transportdokument och tillstånd har. |
| --- | --- |

h)

Tullmyndigheterna bör uppmanas att beakta den officiella ställning som bärarens transportdokument och tillstånd har.

Om försändelsen öppnas av tullen ska detta göras utom synhåll för obehöriga och om möjligt i kurirens närvaro. Kuriren ska begära att försändelsen ska återförpackas och ska be de myndigheter som utfört kontrollen att återförsegla försändelsen och skriftligen bekräfta att den öppnats av dem.

5.   När uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska vidarebefordras till tredjeland eller till en internationell organisation genom personligt överlämnande via entreprenörens personal ska detta ske i enlighet med bestämmelserna i informationssäkerhetsavtalet eller den administrativa överenskommelse som ingåtts mellan Europeiska unionen eller kommissionen och det berörda tredjelandet eller den berörda internationella organisationen.

KAPITEL 6

KONTINUITETSPLANERING

Artikel 15

Beredskapsplaner och återställande åtgärder

Kommissionens avdelning som är upphandlande myndighet ska säkerställa att det i kontrakt som kräver säkerhetsavtal ställs krav på att entreprenören ska ha en beredskapsplan för att vid nödsituationer skydda säkerhetsskyddsklassificerade EU-uppgifter som hanteras vid fullgörandet av kontrakt som kräver säkerhetsavtal och att inom ramen för sin kontinuitetsplan inrätta förebyggande och återställande åtgärder för att minimera verkningarna av incidenter i samband med hantering och lagring av säkerhetsskyddsklassificerade EU-uppgifter. Entreprenören ska informera den upphandlande myndigheten om sin beredskapsplan.

Artikel 16

Ikraftträdande

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Europeiska unionens officiella tidning

Utfärdat i Bryssel den 17 oktober 2019.

På kommissionens vägnar

För ordföranden

Günther OETTINGER

Ledamot av kommissionen

---

(1)  
  EUT, L 72, 17.3.2015, s. 41.

1

(2)  
  EUT L 72, 17.3.2015, s. 53.

2

(3)  
  EUT L 6, 11.1.2017, s. 40.

3

(4)  
  EUT C 202, 8.7.2011, s. 13.

4

(5)  Rådets beslut 2013/488/EU av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (EUT L 274, 15.10.2013, s. 1).

5

(6)  Europaparlamentets och rådets direktiv 2009/81/EG av den 13 juli 2009 om samordning av förfarandena vid tilldelning av vissa kontrakt för byggentreprenader, varor och tjänster av upphandlande myndigheter och enheter på försvars- och säkerhetsområdet (EUT L 216, 20.8.2009, s. 76).

6

(7)  Kommissionens beslut av den 4 maj 2016 om delegering av befogenheter som avser säkerhet [C(2016) 2797 final].

7

(8)  Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046 av den 18 juli 2018 om finansiella regler för unionens allmänna budget, om ändring av förordningarna (EU) nr 1296/2013, (EU) nr 1301/2013, (EU) nr 1303/2013, (EU) nr 1304/2013, (EU) nr 1309/2013, (EU) nr 1316/2013, (EU) nr 223/2014, (EU) nr 283/2014 och beslut nr 541/2014/EU samt om upphävande av förordning (EU, Euratom) nr 966/2012 (EUT L 193, 30.7.2018, s. 1).

8

(9)  Förteckningen över EU:s avtal och Europeiska kommissionens administrativa överenskommelser om utbyte av säkerhetsskyddsklassificerade EU-uppgifter med tredjeland och internationella organisationer finns på kommissionens webbplats.

9

(10)  Andra formulär kan ha en annan utformning än förlagorna i dessa tillämpningsföreskrifter.

10

(11)  Förteckningen över EU:s avtal och Europeiska kommissionens administrativa överenskommelser om utbyte av säkerhetsskyddsklassificerade EU-uppgifter med tredjeland och internationella organisationer finns på kommissionens webbplats.

11

(12)  Minimikraven för kommunikations- och informationssystem som används för hantering av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED fastställs i bilaga III tillägg E.

12

---

BILAGA I

STANDARDUPPGIFTER I MEDDELANDE OM UPPHANDLING

(bör anpassas till de meddelanden om upphandling som används)

Kontrakt som rör uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET

Andra särskilda villkor (i förekommande fall)

| Fullgörandet av kontraktet är underställt särskilda villkor: | ja | nej |
| --- | --- | --- |

Fullgörandet av kontraktet är underställt särskilda villkor:

Image 1

Image 2

(om svaret är ja) Beskrivning av de särskilda villkoren:

Kontraktet kommer att medföra tillgång till, hantering och/eller lagring av uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, och lyder under de säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter som fastställs i beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter (1).

Säkerhetsgodkännande av verksamhetsställe kommer att krävas, liksom personalsäkerhetsgodkännande för entreprenörens personal som ska hantera säkerhetsskyddsklassificerade uppgifter.

Särskilda skyldigheter i fråga om säkerhet kommer att anges i kontraktet (säkerhetsskyddsöverenskommelse i bilaga till kontraktet). För underentreprenad krävs skriftligt förhandstillstånd från den upphandlande myndigheten samt att underentreprenören och dennes personal fullgör alla säkerhetsbestämmelser.

Kontrakt som rör uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED

Andra särskilda villkor (i förekommande fall)

| Fullgörandet av kontraktet är underställt särskilda villkor: | ja | nej |
| --- | --- | --- |

Fullgörandet av kontraktet är underställt särskilda villkor:

Image 3

Image 4

(om svaret är ja) Beskrivning av de särskilda villkoren:

Kontraktet kommer att medföra eller innebära tillgång till, hantering och/eller lagring av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED, och lyder under de säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter som fastställs i kommissionens beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter (2).

Särskilda skyldigheter i fråga om säkerhet kommer att anges i kontraktet (säkerhetsskyddsöverenskommelse i bilaga till kontraktet). För underentreprenad krävs skriftligt förhandstillstånd från den upphandlande myndigheten samt att underentreprenören och dennes personal fullgör alla säkerhetsbestämmelser.

---

(1)  Den upphandlande myndigheten bör föra in hänvisningarna när genomförandebestämmelserna har antagits.

(2)  Den upphandlande myndigheten bör föra in hänvisningarna när genomförandebestämmelserna har antagits.

---

BILAGA II

STANDARDKLAUSULER I UPPHANDLINGSKONTRAKT

(bör anpassas till de kontrakt som används)

ARTIKEL XX

SÄKERHETSRELATERADE SKYLDIGHETER

XX.1 Säkerhetsskyddsklassificerade EU-uppgifter

Om fullgörandet av kontraktet medför användning eller generering av säkerhetsskyddsklassificerade EU-uppgifter ska uppgifterna behandlas i enlighet med säkerhetsskyddsöverenskommelsen och handboken om säkerhetsklassificering i bilaga 1 samt beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter (1), till dess att uppgifterna inte längre är säkerhetsskyddsklassificerade.

Alla resultat som innehåller säkerhetsskyddsklassificerade uppgifter ska lämnas in enligt särskilda förfaranden som överenskommits med den upphandlande myndigheten.

Uppgifter inom åtgärden som rör säkerhetsskyddsklassificerade uppgifter får inte läggas ut på underentreprenad utan skriftligt förhandstillstånd från den upphandlande myndigheten.

Säkerhetsskyddsklassificerade EU-uppgifter får inte lämnas ut till tredje man (inte heller underentreprenörer) utan skriftligt förhandstillstånd från den upphandlande myndigheten.

---

(1)  Den upphandlande myndigheten bör föra in hänvisningarna när tillämpningsföreskrifterna har antagits.

---

BILAGA III

[Bilaga IV (till ramavtalet)]

SÄKERHETSSKYDDSÖVERENSKOMMELSE

[Mall]

Tillägg A

SÄKERHETSKRAV

Den upphandlande myndigheten ska ta med följande säkerhetsbestämmelser i säkerhetsskyddsöverenskommelsen. Vissa av klausulerna kanske inte är tillämpliga på kontraktet. Dessa anges inom hakparentes.

Förteckningen över klausuler är icke uttömmande. Ytterligare klausuler får läggas till beroende på vilken typ av kontrakt som kräver säkerhetsavtal det är fråga om.

ALLMÄNNA VILLKOR

[OBS: gäller alla kontrakt som kräver säkerhetsavtal]

| 1. | Denna säkerhetsskyddsöverenskommelse är en integrerad del av det kontrakt [eller underentreprenörsavtal] som kräver säkerhetsavtal och beskriver specifika säkerhetskrav för kontraktet. Om kraven inte fullgörs kan detta utgöra tillräckliga skäl för uppsägning av kontraktet. |
| --- | --- |

1.

| 2. | Entreprenörerna är underställda alla skyldigheter som fastställs i beslut (EU, Euratom) 2015/444 och dess tillämpningsföreskrifter (1). |
| --- | --- |

2.

| 3. | Säkerhetsskyddsklassificerade uppgifter som genereras vid fullgörandet av kontraktet ska märkas som säkerhetsskyddsklassificerade EU-uppgifter på lämplig säkerhetsnivå i enlighet med handboken om säkerhetsklassificering i bilaga B till denna säkerhetsskyddsöverenskommelse. Avvikelse från de säkerhetsskyddsnivåer som anges i handboken om säkerhetsklassificering är tillåten endast med skriftligt tillstånd från den upphandlande myndigheten. |
| --- | --- |

3.

| 4. | De rättigheter som tillkommer upphovsmannen till säkerhetsskyddsklassificerade EU-uppgifter som skapas och hanteras i samband med fullgörandet av kontrakt som kräver säkerhetsavtal ska tillfalla kommissionen i egenskap av upphandlande myndighet. |
| --- | --- |

4.

| 5. | Utan skriftligt tillstånd från den upphandlande myndigheten får entreprenören eller underentreprenören inte använda några uppgifter eller något material som tillhandahållits av den upphandlande myndigheten eller som framställts för dess räkning i andra syften än de som anges i kontraktet. |
| --- | --- |

5.

| 6. | Entreprenören är skyldig att utreda alla överträdelser av säkerhetsbestämmelserna som avser säkerhetsskyddsklassificerade EU-uppgifter och rapportera dem till den upphandlande myndigheten så snart detta är möjligt. Entreprenören eller underentreprenören ska omedelbart till sin ansvariga nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet samt, när detta är tillåtet enligt nationella lagar och andra föreskrifter, till kommissionens säkerhetsmyndighet rapportera alla situationer där det fastställts eller finns skäl att misstänka att säkerhetsskyddsklassificerade EU-uppgifter som tillhandahållits eller genererats i anknytning till kontraktet har förkommit eller yppats för obehöriga. |
| --- | --- |

6.

| 7. | När kontraktet löpt ut ska entreprenören eller underentreprenören återsända alla säkerhetsskyddsklassificerade EU-uppgifter i deras besittning till den upphandlande myndigheten så snart som möjligt. Entreprenören eller underentreprenören får, om detta är möjligt, förstöra de säkerhetsskyddsklassificerade EU-uppgifterna i stället för att återsända dem. Detta ska ske i enlighet med nationella lagar och andra föreskrifter i det land där entreprenören har sitt säte, med förhandstillstånd från kommissionens säkerhetsmyndighet och enligt den myndighetens instruktioner. Säkerhetsskyddsklassificerade EU-uppgifter ska förstöras på ett sådant sätt att de inte kan återskapas, vare sig helt eller delvis. |
| --- | --- |

7.

| 8. | Om entreprenören eller underentreprenören har rätt att behålla säkerhetsskyddsklassificerade EU-uppgifter när kontraktet fullgjorts eller avslutats måste uppgifterna fortsätta skyddas i enlighet med beslut (EU, Euratom) 2015/444 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (nedan kallat kommissionens beslut 2015/444) och dess tillämpningsföreskrifter (2). |
| --- | --- |

8.

| 9. | All elektronisk hantering, behandling och överföring av säkerhetsskyddsklassificerade EU-uppgifter måste ske enligt de bestämmelser som fastställs i kapitel 5 och 6 i kommissionens beslut 2015/444. Detta omfattar bland annat krav på att de kommunikations- och informationssystem som ägs av en entreprenör och som används för att hantera säkerhetsskyddsklassificerade EU-uppgifter vid fullgörandet av kontraktet (nedan kallat entreprenörens kommunikations- och informationssystem) ska vara ackrediterat (3). All elektronisk överföring av säkerhetsskyddsklassificerade EU-uppgifter ska skyddas av kryptoprodukter som är godkända enligt artikel 36.4 i kommissionens beslut 2015/444 och tempestsäkerhetsåtgärder ska genomföras i enlighet med artikel 36.6 i kommissionens beslut 2015/444. |
| --- | --- |

9.

| 10. | Entreprenören eller underentreprenören ska ha beredskapsplaner för att vid nödsituationer skydda säkerhetsskyddsklassificerade EU-uppgifter som hanteras i samband med fullgörandet av det kontrakt som kräver säkerhetsavtal och ska vidta förebyggande och återställande åtgärder för att minimera följderna av incidenter vid hantering och lagring av säkerhetsskyddsklassificerade EU-uppgifter. Entreprenören eller underentreprenören ska informera den upphandlande myndigheten om sin beredskapsplan. |
| --- | --- |

10.

KONTRAKT SOM KRÄVER TILLGÅNG TILL UPPGIFTER SOM SÄKERHETSKLASSATS PÅ NIVÅN RESTREINT UE/EU RESTRICTED

| 11. | Personalsäkerhetsgodkännande krävs inte för fullgörande av kontraktet. Men uppgifter och material som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED får bara vara tillgängliga för den personal hos entreprenören som behöver dem för att kunna fullgöra kontraktet (principen om behovsenlig behörighet) och som informerats av entreprenörens säkerhetsansvariga om sina skyldigheter och om följderna av eventuella läckor eller överträdelser av säkerhetsbestämmelserna, och som skriftligen bekräftat att de informerats om följderna av bristande skydd av säkerhetsskyddsklassificerade EU-uppgifter. |
| --- | --- |

11.

| 12. | Utan skriftligt medgivande från den upphandlande myndigheten får entreprenören och underentreprenören inte ge tillgång till uppgifter eller material som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED till någon annan enhet eller person än anställda med behovsenlig behörighet. |
| --- | --- |

12.

| 13. | Entreprenören eller underentreprenören måste låta säkerhetskoderna stå kvar på säkerhetsskyddsklassificerade uppgifter som genererats eller tillhandahållits i samband med fullgörandet av kontraktet och får inte deklassificera uppgifter utan skriftligt tillstånd från den upphandlande myndigheten. |
| --- | --- |

13.

| 14. | Uppgifter och material som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED ska förvaras i låsbara kontorsmöbler när de inte används. Handlingar måste förvaras i ogenomskinligt kuvert under transport. Handlingar får inte lämna bärarens besittning och får inte öppnas under transporten. |
| --- | --- |

14.

| 15. | Entreprenören eller underentreprenören får översända handlingar som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED till kommissionen med kommersiella kurirtjänster, per post, genom personligt överlämnande eller elektroniskt. I detta syfte ska entreprenören och underentreprenören följa kommissionens säkerhetsanvisningar för program eller projekt och/eller kommissionens tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal (4). |
| --- | --- |

15.

| 16. | När de inte längre behövs ska handlingar som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED förstöras på ett sådant sätt att de inte kan återskapas, vare sig helt eller delvis. |
| --- | --- |

16.

| 17. | Säkerhetsackreditering av entreprenörens kommunikations- och informationssystem för hantering av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED och all sammankoppling av sådana system får delegeras till entreprenörens säkerhetsansvariga om detta är tillåtet enligt nationella lagar och andra föreskrifter. När ackreditering delegeras behåller dock de berörda nationella säkerhetsmyndigheterna, utsedda säkerhetsmyndigheterna och ackrediteringsmyndigheterna för säkerhet ansvaret för att skydda uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED som hanteras av entreprenören och ska ha rätt att inspektera entreprenörernas säkerhetsåtgärder. Entreprenören ska därutöver förse den upphandlande myndigheten, och där så krävs enligt nationella lagar och andra föreskrifter även den behöriga nationella ackrediteringsmyndigheten för säkerhet, med ett överensstämmelseintyg som styrker att entreprenörens kommunikations- och informationssystem och därmed sammankopplade system har ackrediterats för hantering av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED. |
| --- | --- |

17.

HANTERING AV UPPGIFTER SOM SÄKERHETSKLASSATS PÅ NIVÅN RESTREINT UE/EU RESTRICTED I KOMMUNIKATIONS- OCH INFORMATIONSSYSTEM

| 18. | Minimikraven för kommunikations- och informationssystem för hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED fastställs i tillägg E till denna säkerhetsskyddsöverenskommelse. |
| --- | --- |

18.

FÖRUTSÄTTNINGAR FÖR UNDERENTREPRENAD

| 19. | Entreprenören måste inhämta tillstånd från kommissionens berörda avdelning, som är upphandlande myndighet, innan någon del av det kontrakt som kräver säkerhetsavtal läggs ut på underentreprenad. |
| --- | --- |

19.

| 20. | Ingen underentreprenad får beviljas företag som är registrerade i tredjeland eller enheter som tillhör internationella organisationer, om inte det aktuella tredjelandet eller den internationella organisationen ingått ett informationssäkerhetsavtal med EU eller en administrativ överenskommelse med kommissionen. |
| --- | --- |

20.

| 21. | Om entreprenören använt underentreprenad ska säkerhetsbestämmelserna i kontraktet i tillämpliga delar omfatta även underentreprenören och dennes personal. Det åligger då entreprenören att se till att alla underentreprenörer tillämpar samma principer på sina överenskommelser. För att garanteras lämplig säkerhetstillsyn ska entreprenörens och underentreprenörens nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet underrättas om tilldelning av alla relaterade underentreprenörsavtal på nivån CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET. Vid behov ska entreprenörens och underentreprenörens nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet förses med en kopia av de säkerhetsbestämmelser som specifikt gäller underentreprenaden. De nationella säkerhetsmyndigheter eller utsedda säkerhetsmyndigheter som ska underrättas om säkerhetsbestämmelserna i kontrakt som kräver säkerhetsavtal på nivån RESTREINT UE/EU RESTRICTED förtecknas i bilagan till kommissionens tillämpningsföreskrifter för industrisäkerhet avseende kontrakt som kräver säkerhetsavtal (5). |
| --- | --- |

21.

| 22. | Entreprenören får inte lämna ut säkerhetsskyddsklassificerade EU-uppgifter till underentreprenörer utan skriftligt förhandstillstånd från den upphandlande myndigheten. Om säkerhetsskyddsklassificerade EU-uppgifter ska överlämnas till underentreprenörer ofta eller rutinmässigt får den upphandlande myndigheten lämna tillstånd för viss tid (t.ex. 12 månader) eller för underentreprenörsavtalets löptid. |
| --- | --- |

22.

BESÖK

Om det sedvanliga förfarandet för begäran om besök ska tillämpas på besök som medför tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska den upphandlande myndigheten ta med punkterna 23, 24 och 25 samt stryka punkt 26. Om besök som medför tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET anordnas gemensamt av det sändande och det mottagande verksamhetsstället ska den upphandlande myndigheten stryka punkterna 24 och 25 och endast ta med punkt 26.

| 23. | Besök som medför eller som kan medföra tillgång till uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED ska anordnas gemensamt av det sändande och det mottagande verksamhetsstället utan att förfarandet i punkterna 24–26 nedan behöver följas. |
| --- | --- |

23.

| [24. | Besök som medför eller som kan medföra tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska ske enligt följande förfarande:






  a) | Den säkerhetsansvariga på det verksamhetsställe som sänder besökaren ska fylla i alla relevanta delar av formuläret för begäran om besök (tillägg C) och lämna begäran till verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet. |
| --- | --- | --- |

[24.

a)

Den säkerhetsansvariga på det verksamhetsställe som sänder besökaren ska fylla i alla relevanta delar av formuläret för begäran om besök (tillägg C) och lämna begäran till verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet.

| b) | Det sändande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet ska bekräfta besökarens personalsäkerhetsgodkännande innan begäran om besök lämnas till det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller kommissionens säkerhetsmyndighet om besöket sker i kommissionens lokaler). |
| --- | --- |

b)

Det sändande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet ska bekräfta besökarens personalsäkerhetsgodkännande innan begäran om besök lämnas till det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller kommissionens säkerhetsmyndighet om besöket sker i kommissionens lokaler).

| c) | Den säkerhetsansvariga vid det sändande verksamhetsstället ska därefter från sin nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet inhämta det svar som lämnats av det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller av kommissionens säkerhetsmyndighet) varigenom begäran om besök antingen beviljas eller avslås. |
| --- | --- |

c)

Den säkerhetsansvariga vid det sändande verksamhetsstället ska därefter från sin nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet inhämta det svar som lämnats av det mottagande verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet (eller av kommissionens säkerhetsmyndighet) varigenom begäran om besök antingen beviljas eller avslås.

| d) | En begäran om besök anses godkänd om inga invändningar görs fram till fem dagar innan besöket.] |
| --- | --- |

d)

En begäran om besök anses godkänd om inga invändningar görs fram till fem dagar innan besöket.]

| [25. | Innan besökaren eller besökarna får tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska det mottagande verksamhetsstället invänta tillstånd från sin nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet.] |
| --- | --- |

[25.

| [26. | Besök som medför eller kan medföra tillgång till uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska anordnas gemensamt av det sändande och det mottagande verksamhetsstället (ett exempel på formulär som kan användas finns i tillägg C).] |
| --- | --- |

[26.

| 27. | Besökarna ska styrka sin identitet när de anländer till det mottagande verksamhetsstället genom att uppvisa giltig ID-handling eller pass. |
| --- | --- |

27.

| 28. | Det verksamhetsställe som tar emot besök ska säkerställa att alla besökare registreras. Uppgifterna ska omfatta besökarnas namn, den organisation de företräder, sista giltighetsdag för deras personalsäkerhetsgodkännande (i förekommande fall), besöksdatum och namnet på de besökta personerna. Utan att det hindrar tillämpningen av EU:s bestämmelser om dataskydd får dessa register sparas under minst fem år eller under den tid som fastställs i nationella lagar och andra föreskrifter, beroende på vad som är lämpligast. |
| --- | --- |

28.

UTVÄRDERINGSBESÖK

| 29. | Kommissionens säkerhetsmyndighet får i samråd med den berörda nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten göra besök på entreprenörers eller underentreprenörers verksamhetsställen för att kontrollera att säkerhetskraven för hantering av säkerhetsskyddsklassificerade EU-uppgifter är uppfyllda. |
| --- | --- |

29.

HANDBOK OM SÄKERHETSKLASSIFICERING

| 30. | En förteckning över alla inslag i kontraktet som är säkerhetsskyddsklassificerade eller ska säkerhetsskyddsklassificeras i samband med kontraktets fullgörande, bestämmelserna för detta och angivande av tillämpliga klassificeringsnivåer finns i handboken om säkerhetsklassificering. Handboken om säkerhetsklassificering utgör en integrerad del av detta kontrakt och finns i tillägg B till denna bilaga. |
| --- | --- |

30.

---

(1)  Den upphandlande myndigheten bör föra in hänvisningarna när tillämpningsföreskrifterna har antagits.

(2)  Den upphandlande myndigheten bör föra in hänvisningarna när tillämpningsföreskrifterna har antagits.

(3)  Den part som åtar sig att göra säkerhetsackreditering måste förse den upphandlande myndigheten med ett överensstämmelseintyg, via kommissionens säkerhetsmyndighet, i samförstånd med den berörda nationella ackrediteringsmyndigheten för säkerhet.

(4)  Den upphandlande myndigheten bör föra in hänvisningarna när tillämpningsföreskrifterna har antagits.

(5)  Den upphandlande myndigheten bör föra in hänvisningarna när tillämpningsföreskrifterna har antagits.

Tillägg B

HANDBOK OM SÄKERHETSKLASSIFICERING

[Lydelsen bör justeras i förhållande till avtalsföremålet]

Tillägg C

BEGÄRAN OM BESÖK

(MALL)

Närmare anvisningar för ifyllande av begäran om besök

(Ansökan måste lämnas på engelska)

| HEADING | Kryssa för de rutor som är tillämpliga på besöket och uppgifterna och ange antal platser som ska besökas och antal besökare. |
| --- | --- |
| 4. | ADMINISTRATIVE DATA |

HEADING

Kryssa för de rutor som är tillämpliga på besöket och uppgifterna och ange antal platser som ska besökas och antal besökare.

4.

Ska fyllas i av den begärande nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten.

| 5. | REQUESTING ORGANISATION OR INDUSTRIAL FACILITY |
| --- | --- |

5.

Ange fullständigt namn och fullständig postadress.

Ange ort, postnummer och i förekommande fall region.

| 6. | ORGANISATION OR INDUSTRIAL FACILITY TO BE VISITED |
| --- | --- |

6.

Ange fullständigt namn och fullständig postadress. Ange ort, region, postnummer, telex eller faxnummer (om sådant finns), telefonnummer och e-post. Lämna namn och telefon- eller faxnummer samt e-postadress till den ansvariga kontaktpersonen eller den person som bokat in besöket.

Anmärkningar:

| 1) | Det är viktigt att postnumret är korrekt eftersom samma företag kan ha flera olika verksamhetsställen. |
| --- | --- |

1)

Det är viktigt att postnumret är korrekt eftersom samma företag kan ha flera olika verksamhetsställen.

| 2) | Vid manuell ansökan kan bilaga 1 användas om två eller flera verksamhetsställen ska besökas av samma anledning. Om en bilaga används ange i punkt 3: ”SE BILAGA 1, ANTAL VERKSAMHETSSTÄLLEN: ...” (ange antal verksamhetsställen) |
| --- | --- |

2)

Vid manuell ansökan kan bilaga 1 användas om två eller flera verksamhetsställen ska besökas av samma anledning. Om en bilaga används ange i punkt 3: ”SE BILAGA 1, ANTAL VERKSAMHETSSTÄLLEN: ...” (ange antal verksamhetsställen)

| 7. | DATES OF VISIT |
| --- | --- |

7.

Lämna uppgift om faktisk besöksdag eller besöksperiod (inledningsdatum och slutdatum) i formatet ”dag - månad - år”. Ange i förekommande fall andra datum och perioder inom hakparentes.

| 8. | TYPE OF INITIATIVE |
| --- | --- |

8.

Ange om besöket sker på den begärande organisationens eller verksamhetsställets initiativ eller på inbjudan från det verksamhetsställe som ska besökas.

| 9. | THE VISIT RELATES TO: |
| --- | --- |

9.

Lämna en fullständig hänvisning till projektet, kontraktet eller förslagsinfordran och använd endast vedertagna förkortningar.

| 10. | SUBJECT TO BE DISCUSSED/JUSTIFICATION |
| --- | --- |

10.

Lämna en kortfattad beskrivning av skälet eller skälen till besöket. Använd inte förkortningar utan förklaring.

Anmärkningar:

Vid återkommande besök bör detta anges här (t.ex. ”Återkommande besök för att diskutera _____”).

| 11. | ANTICIPATED LEVEL OF CLASSIFIED INFORMATION TO BE INVOLVED |
| --- | --- |

11.

Ange SECRET UE/EU SECRET (S-UE/EU-S)

eller

CONFIDENTIEL UE/EU CONFIDENTIAL (C-UE/EU-C), beroende på vad som är lämpligt.

| 12. | PARTICULARS OF VISITOR |
| --- | --- |

12.

Anmärkning: Om fler än två personer avlägger besök används bilaga 2.

| 13. | THE SECURITY OFFICER OF THE REQUESTING ENTITY |
| --- | --- |

13.

Ange namn, telefonnummer, faxnummer och e-post till den begärande enhetens säkerhetsansvariga.

| 14. | CERTIFICATION OF SECURITY CLEARANCE |
| --- | --- |

14.

Ska fyllas i av den intygande myndigheten.

Anmärkningar avseende den intygande myndigheten:

| a. | Ange namn, adress, telefonnummer, faxnummer och e-postadress (får vara förtryckt). |
| --- | --- |

a.

Ange namn, adress, telefonnummer, faxnummer och e-postadress (får vara förtryckt).

| b. | Denna punkt bör förses med namnteckning och stämpel (i förekommande fall). |
| --- | --- |

b.

Denna punkt bör förses med namnteckning och stämpel (i förekommande fall).

| 15. | REQUESTING SECURITY AUTHORITY |
| --- | --- |

15.

Ska fyllas i av den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten.

Anmärkningar avseende den nationella säkerhetsmyndigheten eller den utsedda säkerhetsmyndigheten:

| a. | Ange namn, adress, telefonnummer, faxnummer och e-postadress (får vara förtryckt). |
| --- | --- |

a.

Ange namn, adress, telefonnummer, faxnummer och e-postadress (får vara förtryckt).

| b. | Denna punkt bör förses med namnteckning och stämpel (i förekommande fall). |
| --- | --- |

b.

Denna punkt bör förses med namnteckning och stämpel (i förekommande fall).

Alla fält ska fyllas i och formuläret översändas via kanaler för kommunikation mellan regeringar (1).

| REQUEST FOR VISIT

  (MODEL)
  To: _______________________________________ |
| --- |
| 1. | TYPE OF VISIT REQUEST |

REQUEST FOR VISIT

(MODEL)

To: _______________________________________

1.

| 2. | TYPE OF INFORMATION |
| --- | --- |

2.

| 3. | SUMMARY |
| --- | --- |

3.

☐ Single

☐ Recurring

☐ Emergency

☐ Amendment

| | ☐ Dates |
| --- | --- |

☐ Dates

| | ☐ Visitors |
| --- | --- |

☐ Visitors

| | ☐ Facility |
| --- | --- |

☐ Facility

For an amendment, insert the NSA/DSA original RFV Reference No_____________

☐ C-UE/EU-C

☐ S-UE/EU-S

No of sites: _______

No of visitors: _____

| 4. | ADMINISTRATIVE DATA: |
| --- | --- |

4.

Requester:

To:

NSA/DSA RFV Reference No________________

Date (dd/mm/yyyy): _____/_____/_____

| 5. | REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: |
| --- | --- |

5.

NAME:

POSTAL ADDRESS:

E-MAIL ADDRESS:

FAX NO:

TELEPHONE NO:

| 6. | ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED
  (Annex 1 to be completed) |
| --- | --- |

6.

| 7. | DATE OF VISIT
  (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____ |
| --- | --- |

7.

DATE OF VISIT
  (dd/mm/yyyy): FROM _____/_____/_____ TO _____/_____/_____

| 8. | TYPE OF INITIATIVE: |
| --- | --- |

8.

☐ Initiated by requesting organisation or facility

☐ By invitation of the facility to be visited

| 9. | THE VISIT RELATES TO CONTRACT: |
| --- | --- |

9.

| 10. | SUBJECT TO BE DISCUSSED/REASONS/PURPOSE
  (Include details of host entity and any other relevant information. Abbreviations should be avoided): |
| --- | --- |

10.

| 11. | ANTICIPATED HIGHEST CLASSIFICATION LEVEL OF INFORMATION/MATERIAL OR SITE ACCESS TO BE INVOLVED: |
| --- | --- |

11.

| 12. | PARTICULARS OF VISITOR(S) (Annex 2 to be completed) |
| --- | --- |

12.

| 13. | THE SECURITY OFFICER OF THE REQUESTING ORGANISATION OR INDUSTRIAL FACILITY: |
| --- | --- |

13.

NAME:

TELEPHONE NO:

E-MAIL ADDRESS:

SIGNATURE:

| 14. | CERTIFICATION OF SECURITY CLEARANCE LEVEL: |
| --- | --- |

14.

NAME:

ADDRESS:

TELEPHONE NO:

E-MAIL ADDRESS:

Image 5

SIGNATURE:

DATE (dd/mm/yyyy): _____/_____/_____

| 15. | REQUESTING NATIONAL SECURITY AUTHORITY/DESIGNATED SECURITY AUTHORITY: |
| --- | --- |

15.

NAME:

ADDRESS:

TELEPHONE NO:

E-MAIL ADDRESS:

Image 6

SIGNATURE:

DATE (dd/mm/yyyy): _____/_____/_____

| 16. | REMARKS
  (Mandatory justification required in the case of an emergency visit): |
| --- | --- |

16.

REMARKS
  (Mandatory justification required in the case of an emergency visit):

<För in hänvisning till tillämplig lagstiftning om personuppgifter och en länk till obligatoriska upplysningar till den registrerade, t.ex. om tillämpningen av artikel 13 i den allmänna dataskyddsförordningen. (2)>

---

(1)  Om det är tillåtet att gemensamt anordna besök som kommer att eller kan medföra tillgång till säkerhetsskyddsklassificerade EU-uppgifter på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET får det ifyllda formuläret lämnas direkt till den säkerhetsansvariga vid den inrättning som ska besökas.

(2)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

BILAGA 1 till FORMULÄRET FÖR BEGÄRAN OM BESÖK

| ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED |
| --- |
| 1.
  NAME:
  ADDRESS:
  TELEPHONE NO:
  FAX NO:
  NAME OF POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:
  NAME OF SECURITY OFFICER OR
  SECONDARY POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO: |
| 2.
  NAME:
  ADDRESS:
  TELEPHONE NO:
  FAX NO:
  NAME OF POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:
  NAME OF SECURITY OFFICER OR
  SECONDARY POINT OF CONTACT:
  E-MAIL:
  TELEPHONE NO:

  (Continue as required) |

ORGANISATION(S) OR INDUSTRIAL FACILITY(IES) TO BE VISITED

1.

NAME:

ADDRESS:

TELEPHONE NO:

FAX NO:

NAME OF POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

NAME OF SECURITY OFFICER OR

SECONDARY POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

2.

NAME:

ADDRESS:

TELEPHONE NO:

FAX NO:

NAME OF POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

NAME OF SECURITY OFFICER OR

SECONDARY POINT OF CONTACT:

E-MAIL:

TELEPHONE NO:

(Continue as required)

<För in hänvisning till tillämplig lagstiftning om personuppgifter och en länk till obligatoriska upplysningar till den registrerade, t.ex. om tillämpningen av artikel 13 i den allmänna dataskyddsförordningen (1).>

---

(1)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

BILAGA 2 till FORMULÄRET FÖR BEGÄRAN OM BESÖK

| PARTICULARS OF VISITOR(S) |
| --- |
| 1.
  SURNAME:
  FIRST NAMES (as per passport):
  DATE OF BIRTH (dd/mm/yyyy): ____/____/____
  PLACE OF BIRTH:
  NATIONALITY:
  SECURITY CLEARANCE LEVEL:
  PP/ID NUMBER:
  POSITION:
  COMPANY/ORGANISATION: |
| 2.
  SURNAME:
  FIRST NAMES (as per passport):
  DATE OF BIRTH (dd/mm/yyyy): ____/____/____
  PLACE OF BIRTH:
  NATIONALITY:
  SECURITY CLEARANCE LEVEL:
  PP/ID NUMBER:
  POSITION:
  COMPANY/ORGANISATION:

  (Continue as required) |

PARTICULARS OF VISITOR(S)

1.

SURNAME:

FIRST NAMES (as per passport):

DATE OF BIRTH (dd/mm/yyyy): ____/____/____

PLACE OF BIRTH:

NATIONALITY:

SECURITY CLEARANCE LEVEL:

PP/ID NUMBER:

POSITION:

COMPANY/ORGANISATION:

2.

SURNAME:

FIRST NAMES (as per passport):

DATE OF BIRTH (dd/mm/yyyy): ____/____/____

PLACE OF BIRTH:

NATIONALITY:

SECURITY CLEARANCE LEVEL:

PP/ID NUMBER:

POSITION:

COMPANY/ORGANISATION:

(Continue as required)

<För in hänvisning till tillämplig lagstiftning om personuppgifter och en länk till obligatoriska upplysningar till den registrerade, t.ex. om tillämpningen av artikel 13 i den allmänna dataskyddsförordningen (1).>

---

(1)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

Tillägg D

INFORMATIONSBLAD FÖR SÄKERHETSGODKÄNNANDE AV VERKSAMHETSSTÄLLE

(MALL)

1.   Inledning

| 1.1 | Nedan följer ett exempel på informationsblad för säkerhetsgodkännande av verksamhetsställe för snabbt informationsutbyte mellan nationella säkerhetsmyndigheter eller utsedda säkerhetsmyndigheter, andra behöriga nationella säkerhetsmyndigheter och kommissionen (i egenskap av upphandlande myndighet) när det gäller säkerhetsgodkännande av verksamhetsställe som berörs av upphandling, kontrakt eller underentreprenörsavtal som kräver säkerhetsavtal. |
| --- | --- |

1.1

| 1.2 | Informationsbladet för säkerhetsgodkännande av verksamhetsställe är giltigt endast om det är stämplat av den nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller en annan behörig myndighet. |
| --- | --- |

1.2

| 1.3 | Informationsbladet för säkerhetsgodkännande av verksamhetsställe är indelat i ett avsnitt för begäran och ett avsnitt för besvarande och kan användas för de ovannämnda syftena eller i andra fall då säkerhetsgodkännande av verksamhetsställe krävs. Skälet till begäran måste anges av den begärande nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten i fält 7. |
| --- | --- |

1.3

| 1.4 | Uppgifterna i informationsbladet för säkerhetsgodkännande av verksamhetsställe är i normalfallet inte säkerhetsskyddsklassificerade. När ett informationsblad för säkerhetsgodkännande av verksamhetsställe ska översändas mellan en nationell säkerhetsmyndighet, utsedd säkerhetsmyndighet eller kommissionen bör detta därför helst ske elektroniskt. |
| --- | --- |

1.4

| 1.5 | Nationella säkerhetsmyndigheter och utsedda säkerhetsmyndigheter bör göra sitt yttersta för att besvara ett informationsblad för säkerhetsgodkännande av verksamhetsställe inom tio arbetsdagar. |
| --- | --- |

1.5

| 1.6 | Om säkerhetsskyddsklassificerade uppgifter ska överföras eller ett kontrakt tilldelas med anledning av denna försäkran måste den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten informeras. |
| --- | --- |

1.6

Förfarande och användningsinstruktioner avseende informationsbladet för säkerhetsgodkännande av verksamhetsställe

Dessa närmare instruktioner är avsedda för nationella säkerhetsmyndigheter, utsedda säkerhetsmyndigheter eller kommissionens upphandlande myndigheter som ska fylla i informationsblad för säkerhetsgodkännande av verksamhetsställe. Begäran bör fyllas i med versaler.

| RUBRIK | Den begärande ska ange fullständigt namn på den nationella säkerhetsmyndigheten eller den utsedda säkerhetsmyndigheten med angivande av landsnamn. |
| --- | --- |
| 1. | TYP AV BEGÄRAN |

RUBRIK

Den begärande ska ange fullständigt namn på den nationella säkerhetsmyndigheten eller den utsedda säkerhetsmyndigheten med angivande av landsnamn.

1.

Den upphandlande myndighet som gör begäran ska genom att kryssa i rutan ange vilken typ av begäran om informationsblad för säkerhetsgodkännande av verksamhetsställe som avses. Ange vilken säkerhetsnivå som avses. Följande förkortningar ska användas:

SECRET UE/EU SECRET = S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL = C-UE/EU-C

CIS = Kommunikations- och informationssystem för behandling av säkerhetsskyddsklassificerade uppgifter

| 2. | UPPGIFTER OM DEN SÖKANDE |
| --- | --- |

2.

Fält 1–6 är självförklarande.

I fält 4 bör den sedvanliga landskoden med två bokstäver användas. Fält 5 är inte obligatoriskt.

| 3. | SKÄL TILL BEGÄRAN |
| --- | --- |

3.

Ange skälen till begäran tillsammans med hänvisningar till projekt, kontraktnummer eller anbudsinfordran. Ange behovet av lagringskapacitet, säkerhetsklassificeringsnivå på kommunikations- och informationssystem osv.

Ange alla frister/löptider/tilldelningsdatum som kan vara av vikt för säkerhetsgodkännandet av verksamhetsställe.

| 4. | BEGÄRANDE NATIONELL SÄKERHETSMYNDIGHET ELLER UTSEDD SÄKERHETSMYNDIGHET |
| --- | --- |

4.

Ange den faktiska sökandens namn (för vilken den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten agerar) och datum för begäran med siffror (dd/mm/åååå).

| 5. | SVARSDEL |
| --- | --- |

5.

Fält 1–5: Fyll i lämpliga fält.

Fält 2: Om ett säkerhetsgodkännande av verksamhetsställe är under behandling bör den begärande parten få preliminära uppgifter om beräknad behandlingstid (om denna är känd).

Fält 6:

| a) | Trots att valideringen varierar mellan länder och ibland till och med mellan verksamhetsställen är det rekommenderat att uppge ett slutdatum för säkerhetsgodkännandet av verksamhetsställe. |
| --- | --- |

a)

Trots att valideringen varierar mellan länder och ibland till och med mellan verksamhetsställen är det rekommenderat att uppge ett slutdatum för säkerhetsgodkännandet av verksamhetsställe.

| b) | Om inget slutdatum fastställts för säkerhetsgodkännande av verksamhetsställe får detta fält strykas. |
| --- | --- |

b)

Om inget slutdatum fastställts för säkerhetsgodkännande av verksamhetsställe får detta fält strykas.

| c) | I enlighet med nationella lagar och andra föreskrifter ska endera den begärande parten eller entreprenören respektive underentreprenören vara ansvarig för att begära förnyat säkerhetsgodkännande av verksamhetsstället. |
| --- | --- |

c)

I enlighet med nationella lagar och andra föreskrifter ska endera den begärande parten eller entreprenören respektive underentreprenören vara ansvarig för att begära förnyat säkerhetsgodkännande av verksamhetsstället.

| 6. | ANMÄRKNINGAR |
| --- | --- |

6.

Fältet kan användas för att lämna ytterligare upplysningar om säkerhetsgodkännandet, verksamhetsstället eller de föregående punkterna.

| 7. | UTFÄRDANDE NATIONELL SÄKERHETSMYNDIGHET ELLER UTSEDD SÄKERHETSMYNDIGHET |
| --- | --- |

7.

Ange den utfärdande myndighetens namn (som agerar för den nationella säkerhetsmyndighetens eller utsedda säkerhetsmyndighetens räkning) och datum för svaret med siffror (dd/mm/åååå).

INFORMATIONSBLAD FÖR SÄKERHETSGODKÄNNANDE AV VERKSAMHETSSTÄLLE

(MALL)

Alla fält ska fyllas i och formuläret översändas via kanaler för kommunikation mellan regeringar eller för kommunikation mellan regeringar och internationella organisationer.

| BEGÄRAN OM INTYG OM SÄKERHETSGODKÄNNANDE AV VERKSAMHETSSTÄLLE

  BEGÄRAN STÄLLS TILL: ____________________________________

  (Land där den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten befinner sig) |
| --- |
| Fyll i svarsfälten med nedanstående upplysningar i förekommande fall.
  [] Begäran om tillhandahållande av säkerhetsgodkännande av verksamhetsställe på nivån: [] S-UE/EU-S [] C-UE/EU-C
  för nedan angivna verksamhetsställe | [] och för lagring av material och uppgifter som säkerhetsklassificerats |

BEGÄRAN OM INTYG OM SÄKERHETSGODKÄNNANDE AV VERKSAMHETSSTÄLLE

BEGÄRAN STÄLLS TILL: ____________________________________

(Land där den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten befinner sig)

Fyll i svarsfälten med nedanstående upplysningar i förekommande fall.

[] Begäran om tillhandahållande av säkerhetsgodkännande av verksamhetsställe på nivån: [] S-UE/EU-S [] C-UE/EU-C

för nedan angivna verksamhetsställe

[] och för lagring av material och uppgifter som säkerhetsklassificerats

| | [] och för kommunikations- och informationssystem (CIS) för behandling av säkerhetsskyddsklassificerade uppgifter |
| --- | --- |

[] och för kommunikations- och informationssystem (CIS) för behandling av säkerhetsskyddsklassificerade uppgifter

[] Begäran om att förfarande för att erhålla säkerhetsgodkännande av verksamhetsställe inleds, direkt eller på motsvarande begäran från en entreprenör eller underentreprenör, till och med säkerhetsnivå ... och för lagring säkerhetsnivå ... samt för kommunikations- och informationssystem säkerhetsnivå ..., om verksamhetsstället inte redan har denna kapacitet.

Bekräfta riktigheten i nedanstående uppgifter om verksamhetsstället och gör vid behov korrigeringar eller tillägg.

| 1. | Verksamhetsställets fullständiga namn: |
| --- | --- |

1.

Verksamhetsställets fullständiga namn:

korrigering/tillägg:

...

...

| 2. | Verksamhetsställets fullständiga adress: |
| --- | --- |

2.

Verksamhetsställets fullständiga adress:

...

...

| 3. | Postadress (om annan än den som anges ovan): |
| --- | --- |

3.

Postadress (om annan än den som anges ovan):

...

...

| 4. | Postnummer/Ort/Land: |
| --- | --- |

4.

Postnummer/Ort/Land:

...

...

| 5. | Namn på den säkerhetsansvariga: |
| --- | --- |

5.

Namn på den säkerhetsansvariga:

...

...

| 6. | Telefon/Fax/E-post: till den säkerhetsansvariga: |
| --- | --- |

6.

Telefon/Fax/E-post: till den säkerhetsansvariga:

...

...

| 7. | Begäran görs av följande skäl: (lämna närmare upplysningar om stadiet innan kontraktstilldelning (urvalsförfarandet), kontrakt eller underentreprenörsavtal, aktuellt program/projekt m.m.) |
| --- | --- |

7.

Begäran görs av följande skäl: (lämna närmare upplysningar om stadiet innan kontraktstilldelning (urvalsförfarandet), kontrakt eller underentreprenörsavtal, aktuellt program/projekt m.m.)

...

Begärande nationell säkerhetsmyndighet, utsedd säkerhetsmyndighet eller upphandlande myndighet vid kommissionen: Namn: ... Datum: (dd/mm/åååå)...

SVAR (inom tio arbetsdagar)

Härmed intygas följande:

| 1. | [] Ovannämnda verksamhetsställe innehar säkerhetsgodkännande på nivån [] S-UE/EU-S
  [] C-UE/EU-C. |
| --- | --- |

1.

[] Ovannämnda verksamhetsställe innehar säkerhetsgodkännande på nivån [] S-UE/EU-S

[] C-UE/EU-C.

| 2. | Ovannämnda verksamhetsställe har kapacitet att skydda uppgifter eller material som är säkerhetsskyddsklassificerade
  [] Ja, på nivå: ... [] Nej |
| --- | --- |

2.

Ovannämnda verksamhetsställe har kapacitet att skydda uppgifter eller material som är säkerhetsskyddsklassificerade

[] Ja, på nivå: ... [] Nej

| 3. | Ovannämnda verksamhetsställe har ett kommunikations- och informationssystem som är säkerhetsackrediterat eller godkänt
  [] Ja, på nivå: ... [] Nej |
| --- | --- |

3.

Ovannämnda verksamhetsställe har ett kommunikations- och informationssystem som är säkerhetsackrediterat eller godkänt

[] Ja, på nivå: ... [] Nej

| 4. | [] Förfarandet för säkerhetsgodkännande av verksamhetsställe avseende ovanstående begäran har inletts. Ni kommer att informeras när säkerhetsgodkännandet meddelats eller vägrats. |
| --- | --- |

4.

[] Förfarandet för säkerhetsgodkännande av verksamhetsställe avseende ovanstående begäran har inletts. Ni kommer att informeras när säkerhetsgodkännandet meddelats eller vägrats.

| 5. | [] Ovannämnda verksamhetsställe innehar inte säkerhetsgodkännande. |
| --- | --- |

5.

[] Ovannämnda verksamhetsställe innehar inte säkerhetsgodkännande.

| 6. | Detta säkerhetsgodkännande av verksamhetsställe upphör att gälla den ... (dd/mm/åååå), eller enligt vad som anges av den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten. Om godkännandet återkallas dessförinnan eller ovanstående uppgifter ändras kommer ni att informeras. |
| --- | --- |

6.

Detta säkerhetsgodkännande av verksamhetsställe upphör att gälla den ... (dd/mm/åååå), eller enligt vad som anges av den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten. Om godkännandet återkallas dessförinnan eller ovanstående uppgifter ändras kommer ni att informeras.

| 7. | Anmärkningar:
  ...
  UTFÄRDANDE NATIONELL SÄKERHETSMYNDIGHET ELLER UTSEDD SÄKERHETSMYNDIGHET Namn: ... Datum: (dd/mm/åååå) ... |
| --- | --- |

7.

Anmärkningar:

...

UTFÄRDANDE NATIONELL SÄKERHETSMYNDIGHET ELLER UTSEDD SÄKERHETSMYNDIGHET Namn: ... Datum: (dd/mm/åååå) ...

<För in hänvisning till tillämplig lagstiftning om personuppgifter och en länk till obligatoriska upplysningar till den registrerade, t.ex. om tillämpningen av artikel 13 i den allmänna dataskyddsförordningen (1).>

---

(1)  Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

Tillägg E

Minimikrav för skydd av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED som hanteras i elektronisk form i entreprenörens kommunikations- och informationssystem

Allmänt

| 1. | Entreprenören ska säkerställa att skyddet av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED uppfyller minimikraven i denna säkerhetsklausul och alla övriga krav som ställs av den upphandlande myndigheten eller i förekommande fall av den nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten. |
| --- | --- |

1.

| 2. | Det är entreprenören som har ansvar för att genomföra säkerhetskraven i denna handling. |
| --- | --- |

2.

| 3. | I denna handling avses med kommunikations- och informationssystem all utrustning som används för att hantera, lagra och överföra säkerhetsskyddsklassificerade EU-uppgifter, däribland arbetsstationer, skrivare, kopiatorer, faxapparater, servrar, näthanteringssystem, nätverkskort och kommunikationsstyrenheter, bärbara datorer, minidatorer, datorplattor, smarttelefoner och flyttbara minnen såsom USB-minnen, CD-skivor, SD-kort o.dyl. |
| --- | --- |

3.

| 4. | Särskild utrustning, t.ex. kryptoprodukter, måste skyddas i enlighet med de därför avsedda säkra driftsmetoderna. |
| --- | --- |

4.

| 5. | Entreprenörerna ska upprätta en struktur för säkerhetshantering i kommunikations- och informationssystem som används för hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED och ska utse en säkerhetsansvarig för det berörda verksamhetsstället. |
| --- | --- |

5.

| 6. | Det är inte tillåtet för entreprenörens personal att använda sin privata it-utrustning (maskinvara, programvara eller tjänster) för att lagra eller behandla uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED. |
| --- | --- |

6.

| 7. | Säkerhetsackreditering av entreprenörens kommunikations- och informationssystem för hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED ska godkännas av ackrediteringsmyndigheten för säkerhet i den berörda medlemsstaten eller delegeras till entreprenörens säkerhetsansvariga om det är tillåtet enligt nationella lagar och andra föreskrifter. |
| --- | --- |

7.

| 8. | Endast uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED som är krypterade med hjälp av godkända kryptoprodukter får hanteras, lagras eller överföras (via kabel eller trådlöst) på samma sätt som andra, icke säkerhetsskyddsklassificerade, uppgifter inom ramen för kontraktet. Kryptoprodukterna måste ha godkänts av EU eller en medlemsstat. |
| --- | --- |

8.

| 9. | Externa verksamhetsställen som arbetar med underhåll eller reparationer måste vara avtalsenligt bundna att följa tillämpliga bestämmelser om hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED enligt denna handling. |
| --- | --- |

9.

| 10. | På begäran från den upphandlande myndigheten eller berörd nationell säkerhetsmyndighet/utsedd säkerhetsmyndighet/ackrediteringsmyndighet för säkerhet ska entreprenören styrka att denne uppfyller säkerhetsklausulen i kontraktet. Om revision och kontroll av entreprenörens rutiner och verksamhetsställen också begärs för att säkerställa efterlevnaden av dessa krav ska entreprenören tillåta att företrädare för den upphandlande myndigheten, den nationella säkerhetsmyndigheten/utsedda säkerhetsmyndigheten/ackrediteringsmyndigheten för säkerhet eller berörd säkerhetsmyndighet från EU utför sådan kontroll och revision. |
| --- | --- |

10.

Fysisk säkerhet

| 11. | Områden där kommunikations- och informationssystemet används för att visa, lagra, behandla eller överföra uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED eller områden där servrar, näthanteringssystem, nätverkskort eller kommunikationsstyrenheter för sådana kommunikations- och informationssystem finns, bör inrättas som separata kontrollerade områden försedda med ett lämpligt system för kontroll av tillträdet. Tillträde till dessa separata och kontrollerade områden bör begränsas till personer med särskilt tillstånd. Utan att det hindrar tillämpningen av punkt 8, ska den utrustning som avses i punkt 3 lagras i separata och kontrollerade områden. |
| --- | --- |

11.

| 12. | Säkerhetssystem och/eller säkerhetsrutiner ska tillämpas på införsel eller anslutning av flyttbara lagringsmedier för datorer (USB-minnen, masslagringsminnen eller omskrivningsbara CD:ar) till delar av kommunikations- och informationssystemet. |
| --- | --- |

12.

Tillgång till kommunikations- och informationssystem

| 13. | Tillgång till entreprenörens kommunikations- och informationssystem som hanterar säkerhetsskyddsklassificerade EU-uppgifter ska endast tillåtas för personal med vederbörligt tillstånd och behovsenlig behörighet. |
| --- | --- |

13.

| 14. | Alla kommunikations- och informationssystem ska ha aktuella förteckningar över tillåtna användare. Användarautentisering ska göras i början av varje behandling. |
| --- | --- |

14.

| 15. | Lösenord, som vanligen ingår i de säkerhetsåtgärder som används för identifiering och autentisering, ska innehålla minst nio tecken och måste bestå av såväl siffror och specialtecken (om systemet medger detta) som bokstäver. Lösenordet ska bytas efter högst 180 dagar. Lösenord ska bytas snarast om de har läckt eller lämnats ut till obehöriga, eller vid misstänkt läcka eller utlämning. |
| --- | --- |

15.

| 16. | Alla kommunikations- och informationssystem ska vara försedda med interna tillgångskontroller för att hindra att obehöriga får tillgång till eller ändrar uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED eller ändrar systemen och säkerhetskontrollerna. Användare ska automatiskt loggas ut från kommunikations- och informationssystemet om terminalen varit inaktiv en viss förutbestämd tid; alternativt ska kommunikations- och informationssystemet aktivera en lösenordskyddad skärmsläckare efter 15 minuters inaktivitet. |
| --- | --- |

16.

| 17. | Alla användare av kommunikations- och informationssystemet ska tilldelas ett unikt användarkonto och användarnamn. Användarkonton ska automatiskt låsas om fem misslyckade inloggningsförsök i rad görs. |
| --- | --- |

17.

| 18. | Alla användare av kommunikations- och informationssystemet ska uppmärksammas på sina skyldigheter och de rutiner som ska följas för att skydda uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED i kommunikations- och informationssystemet. Skyldigheterna och rutinerna ska dokumenteras och användarna ska skriftligen bekräfta att de informerats. |
| --- | --- |

18.

| 19. | Säkra driftsmetoder ska vara tillgängliga för användarna och administratörerna och ska omfatta beskrivningar av säkerhetsrollerna och därmed sammanhängande uppgifter, instruktioner och planer. |
| --- | --- |

19.

Redovisning, revision och incidenthantering

| 20. | All tillgång till kommunikations- och informationssystem ska registreras i en logg. |
| --- | --- |

20.

| 21. | Följande händelser ska registreras:






  a) | Alla försök att logga in, oavsett om de lyckats eller misslyckats. |
| --- | --- | --- |

21.

a)

Alla försök att logga in, oavsett om de lyckats eller misslyckats.

| b) | Utloggning (även tidsutlöst utloggning i förekommande fall). |
| --- | --- |

b)

Utloggning (även tidsutlöst utloggning i förekommande fall).

| c) | Skapande, radering och ändring av åtkomsttyp och åtkomsträttigheter. |
| --- | --- |

c)

Skapande, radering och ändring av åtkomsttyp och åtkomsträttigheter.

| d) | Skapande, radering och ändring av lösenord. |
| --- | --- |

d)

Skapande, radering och ändring av lösenord.

| 22. | För alla ovannämnda händelser ska åtminstone följande uppgifter anges:






  a) | Händelsetyp. |
| --- | --- | --- |

22.

a)

Händelsetyp.

| b) | Användarnamn. |
| --- | --- |

b)

Användarnamn.

| c) | Datum och klockslag. |
| --- | --- |

c)

Datum och klockslag.

| d) | Enhet. |
| --- | --- |

d)

Enhet.

| 23. | Redovisningsregistren bör hjälpa den säkerhetsansvariga att undersöka potentiella säkerhetsincidenter. De kan också användas som underlag för eventuella rättsliga utredningar av säkerhetsincidenter. Alla säkerhetsregister bör kontrolleras regelbundet för att kartlägga potentiella säkerhetsincidenter. Redovisningsregistren ska skyddas från otillåten radering eller ändring. |
| --- | --- |

23.

| 24. | Entreprenören ska ha en fastställd hanteringsstrategi för säkerhetsincidenter. Användare och administratörer ska informeras om hur de ska hantera och rapportera incidenter och vad som ska göras i nödsituationer. |
| --- | --- |

24.

| 25. | Om uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED har läckt eller misstänks ha läckt ska detta rapporteras till den upphandlande myndigheten. Rapporten ska innehålla en beskrivning av de berörda uppgifterna och omständigheterna kring den konstaterade eller misstänkta läckan. Alla användare måste få veta hur de ska rapportera faktiska och misstänkta säkerhetsincidenter till den säkerhetsansvariga. |
| --- | --- |

25.

Nätverk och sammankoppling

| 26. | Om entreprenörens kommunikations- och informationssystem för hantering av uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED är sammankoppplat med ett kommunikations- och informationssystem som inte är ackrediterat, ökar detta väsentligt risken både för säkerheten i entreprenörens kommunikations- och informationssystem och för de uppgifter som hanteras i systemet. Detta avser såväl internet som andra offentliga eller privata kommunikations- och informationssystem, även entreprenörens eller underentreprenörernas övriga system. I så fall ska entreprenören göra en riskbedömning för att kartlägga de ytterligare säkerhetskrav som bör uppfyllas som ett led i förfarandet för säkerhetsackreditering. Entreprenören ska förse den upphandlande myndigheten, och där så krävs enligt nationella lagar och andra föreskrifter även den behöriga ackrediteringsmyndigheten för säkerhet, med ett överensstämmelseintyg som styrker att entreprenörens kommunikations- och informationssystem och därmed sammankopplade system har ackrediterats för hantering av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED. |
| --- | --- |

26.

| 27. | Fjärråtkomst från andra system till LAN-tjänster (till exempel fjärråtkomst till e-post och systemsupport) är förbjuden om inte särskilda säkerhetsåtgärder vidtagits och godkänts av den upphandlande myndigheten, och om detta krävs enligt nationella lagar och andra föreskrifter även av den behöriga ackrediteringsmyndigheten för säkerhet. |
| --- | --- |

27.

Konfigurationsstyrning

| 28. | En ingående konfigureringsbeskrivning av maskin- och programvara enligt dokumentationen för ackreditering/godkännande (även diagram över system och nätverk) ska finnas tillhanda och regelbundet uppdateras. |
| --- | --- |

28.

| 29. | Entreprenörens säkerhetsansvariga ska göra konfigurationskontroller av maskin- och programvara för att se till att ingen otillåten maskin- eller programvara förts in. |
| --- | --- |

29.

| 30. | Förändringar i konfigurationen av entreprenörens kommunikations- och informationssystem ska bedömas ur säkerhetssynpunkt och godkännas av den säkerhetsansvariga, och om detta krävs enligt nationella lagar och andra föreskrifter även av ackrediteringsmyndigheten för säkerhet. |
| --- | --- |

30.

| 31. | Säkerhetsbrister i systemet ska sökas minst en gång i kvartalet. Programvara som ska spåra sabotageprogram ska installeras och uppdateras. Om möjligt ska sådan programvara vara föremål för nationellt godkännande eller ett erkänt internationellt godkännande eller följa en allmänt accepterad industristandard. |
| --- | --- |

31.

| 32. | Entreprenören ska utarbeta en kontinuitetsplan. Rutiner för säkerhetskopiering ska fastställas för följande:






  a) | Hur ofta säkerhetskopiering ska göras. |
| --- | --- | --- |

32.

a)

Hur ofta säkerhetskopiering ska göras.

| b) | Krav på hur säkerhetskopior ska lagras på plats (brandsäkra behållare) eller på annan plats. |
| --- | --- |

b)

Krav på hur säkerhetskopior ska lagras på plats (brandsäkra behållare) eller på annan plats.

| c) | Kontroll av tillåten tillgång till säkerhetskopior. |
| --- | --- |

c)

Kontroll av tillåten tillgång till säkerhetskopior.

Fysisk radering och förstöring

| 33. | När kommunikations- och informationssystem och datalagringsmedier någon gång innehållit uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED måste följande fysiska radering göras på hela systemet eller lagringsmediet innan det bortskaffas:






  a) | Flashminnen (t.ex. USB-minnen, SD-kort, SSD-minnen eller hybridhårddiskar) måste skrivas över minst tre gånger och därefter kontrolleras för att säkerställa att det ursprungliga innehållet inte kan återskapas; alternativt ska de raderas med hjälp av godkänd programvara. |
| --- | --- | --- |

33.

a)

Flashminnen (t.ex. USB-minnen, SD-kort, SSD-minnen eller hybridhårddiskar) måste skrivas över minst tre gånger och därefter kontrolleras för att säkerställa att det ursprungliga innehållet inte kan återskapas; alternativt ska de raderas med hjälp av godkänd programvara.

| b) | Magnetiska lagringsmedier (t.ex. hårddiskar) måste skrivas över eller avmagnetiseras. |
| --- | --- |

b)

Magnetiska lagringsmedier (t.ex. hårddiskar) måste skrivas över eller avmagnetiseras.

| c) | Optiska medier (t.ex. CD-skivor och DVD) måste strimlas eller sönderdelas. |
| --- | --- |

c)

Optiska medier (t.ex. CD-skivor och DVD) måste strimlas eller sönderdelas.

| d) | För övriga typer av lagringsmedier bör den upphandlande myndigheten eller om det är lämpligt den nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller ackrediteringsmyndigheten för säkerhet höras om vilka säkerhetskrav som ska uppfyllas. |
| --- | --- |

d)

För övriga typer av lagringsmedier bör den upphandlande myndigheten eller om det är lämpligt den nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller ackrediteringsmyndigheten för säkerhet höras om vilka säkerhetskrav som ska uppfyllas.

| 34. | Uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED måste fysiskt raderas på alla typer av datalagringsmedier innan dessa överlämnas till något organ som inte är behörigt att få tillgång till uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED (t.ex. för underhållsarbete). |
| --- | --- |

34.

---

BILAGA IV

Säkerhetsgodkännande av verksamhetsställe och personal för entreprenörer som hanterar uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED samt nationella säkerhetsmyndigheter eller utsedda säkerhetsmyndigheter som kräver anmälan av kontrakt som gäller uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED (1)

| Medlemsstat | Säkerhetsgodkännande av verksamhetsställe | Anmälan till nationella säkerhetsmyndigheter eller utsedda myndigheter av kontrakt eller underentreprenörsavtal som avser säkerhetsnivån R-UE/EU-R | Personalsäkerhetsgodkännande |
| --- | --- | --- | --- |
| JA | NEJ | JA | NEJ | JA | NEJ |
| Belgien | | X | | X | | X |
| Bulgarien | | X | | X | | X |
| Tjeckien | | X | | X | | X |
| Danmark | X | | X | | X | |
| Tyskland | | X | | X | | X |
| Estland | X | | X | | | X |
| Irland | | X | | X | | X |
| Grekland | X | | | X | X | |
| Spanien | | X | X | | | X |
| Frankrike | | X | | X | | X |
| Kroatien | | X | X | | | X |
| Italien | | X | X | | | X |
| Cypern | | X | X | | | X |
| Lettland | | X | | X | | X |
| Litauen | X | | X | | | X |
| Luxemburg | X | | X | | X | |
| Ungern | | X | | X | | X |
| Malta | | X | | X | | X |
| Nederländerna | X
  (enbart försvarsrelaterade kontrakt) | | X
  (enbart försvarsrelaterade kontrakt) | | | X |
| Österrike | | X | | X | | X |
| Polen | | X | | X | | X |
| Portugal | | X | | X | | X |
| Rumänien | | X | | X | | X |
| Slovenien | X | | X | | | X |
| Slovakien | X | | X | | | X |
| Finland | | X | | X | | X |
| Sverige | X
  (enbart försvarsrelaterade kontrakt) | | X
  (enbart försvarsrelaterade kontrakt) | | X
  (enbart försvarsrelaterade kontrakt) | |
| Förenade kungariket | | X | | X | | X |

Medlemsstat

Säkerhetsgodkännande av verksamhetsställe

Anmälan till nationella säkerhetsmyndigheter eller utsedda myndigheter av kontrakt eller underentreprenörsavtal som avser säkerhetsnivån R-UE/EU-R

Personalsäkerhetsgodkännande

JA

NEJ

JA

NEJ

JA

NEJ

Belgien

X

X

X

Bulgarien

X

X

X

Tjeckien

X

X

X

Danmark

X

X

X

Tyskland

X

X

X

Estland

X

X

X

Irland

X

X

X

Grekland

X

X

X

Spanien

X

X

X

Frankrike

X

X

X

Kroatien

X

X

X

Italien

X

X

X

Cypern

X

X

X

Lettland

X

X

X

Litauen

X

X

X

Luxemburg

X

X

X

Ungern

X

X

X

Malta

X

X

X

Nederländerna

X

(enbart försvarsrelaterade kontrakt)

X

(enbart försvarsrelaterade kontrakt)

X

Österrike

X

X

X

Polen

X

X

X

Portugal

X

X

X

Rumänien

X

X

X

Slovenien

X

X

X

Slovakien

X

X

X

Finland

X

X

X

Sverige

X

(enbart försvarsrelaterade kontrakt)

X

(enbart försvarsrelaterade kontrakt)

X

(enbart försvarsrelaterade kontrakt)

Förenade kungariket

X

X

X

---

(1)  Dessa nationella krav avseende säkerhetsgodkännande av verksamhetsställe och personalsäkerhetsgodkännande samt anmälan av kontrakt som gäller uppgifter som säkerhetsklassats på nivån RESTREINT UE/EU RESTRICTED får inte lägga ytterligare skyldigheter på andra medlemsstater eller entreprenörer inom deras jurisdiktion.

Obs: Anmälan av kontrakt som gäller uppgifter som säkerhetsklassats på nivån CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET är obligatorisk.

---

BILAGA V

FÖRTECKNING ÖVER AVDELNINGAR VID NATIONELLA SÄKERHETSMYNDIGHETER/UTSEDDA SÄKERHETSMYNDIGHETER MED ANSVAR FÖR FÖRFARANDEN AVSEENDE INDUSTRISÄKERHET

BELGIEN

| National Security Authority |
| --- |
| FPS Foreign Affairs |
| Rue des Petits Carmes 15 |
| 1000 Brussels |
| Tel.: +32 25014542 (Secretariat) |
| Fax +32 25014596 |
| Email: nvo-ans@diplobel.fed.be |

National Security Authority

FPS Foreign Affairs

Rue des Petits Carmes 15

1000 Brussels

Tel.: +32 25014542 (Secretariat)

Fax +32 25014596

Email: nvo-ans@diplobel.fed.be

BULGARIEN

| 1. | State Commission on Information Security - National Security Authority |
| --- | --- |
| 4 Kozloduy Street |
| 1202 Sofia |
| Tel.: +359 29835775 |
| Fax +359 29873750 |
| Email: dksi@government.bg |

1.

State Commission on Information Security - National Security Authority

4 Kozloduy Street

1202 Sofia

Tel.: +359 29835775

Fax +359 29873750

Email: dksi@government.bg

| 2. | Defence Information Service at the Ministry of Defence (security service) |
| --- | --- |
| 3 Dyakon Ignatiy Street |
| 1092 Sofia |
| Tel.: +359 29227002 |
| Fax +359 29885211 |
| Email: office@iksbg.org |

2.

Defence Information Service at the Ministry of Defence (security service)

3 Dyakon Ignatiy Street

1092 Sofia

Tel.: +359 29227002

Fax +359 29885211

Email: office@iksbg.org

| 3. | State Intelligence Agency (security service) |
| --- | --- |
| 12 Hajdushka Polyana Street |
| 1612 Sofia |
| Tel.: +359 29813221 |
| Fax +359 29862706 |
| Email: office@dar.bg |

3.

State Intelligence Agency (security service)

12 Hajdushka Polyana Street

1612 Sofia

Tel.: +359 29813221

Fax +359 29862706

Email: office@dar.bg

| 4. | State Agency for Technical Operations (security service) |
| --- | --- |
| 29 Shesti Septemvri Street |
| 1000 Sofia |
| Tel.: +359 29824971 |
| Fax +359 29461339 |
| Email: dato@dato.bg |

4.

State Agency for Technical Operations (security service)

29 Shesti Septemvri Street

1000 Sofia

Tel.: +359 29824971

Fax +359 29461339

Email: dato@dato.bg

(De ovan förtecknade behöriga myndigheterna utför säkerhetsprövning för utfärdande av säkerhetsgodkännande av verksamhetsställe till juridiska personer som vill ingå kontrakt som kräver säkerhetsavtal och personalsäkerhetsgodkännande för enskilda som fullgör kontrakt som kräver säkerhetsavtal för dessa myndigheters räkning.)

| 5. | State Agency National Security (security service) |
| --- | --- |
| 45 Cherni Vrah Blvd. |
| 1407 Sofia |
| Tel.: +359 28147109 |
| Fax +359 29632188, +359 28147441 |
| Email: dans@dans.bg |

5.

State Agency National Security (security service)

45 Cherni Vrah Blvd.

1407 Sofia

Tel.: +359 28147109

Fax +359 29632188, +359 28147441

Email: dans@dans.bg

(De ovanstående säkerhetstjänsterna utför säkerhetsprövning för utfärdande av säkerhetsgodkännande av verksamhetsställe och personalsäkerhetsgodkännande till alla andra juridiska personer och enskilda i landet som vill ingå eller genomför kontrakt som kräver säkerhetsavtal.)

TJECKIEN

| National Security Authority |
| --- |
| Industrial Security Department |
| PO BOX 49 |
| 150 06 Praha 56 |
| Tel.: +420 257283129 |
| Email: sbr@nbu.cz |

National Security Authority

Industrial Security Department

PO BOX 49

150 06 Praha 56

Tel.: +420 257283129

Email: sbr@nbu.cz

DANMARK

| 1. | Politiets Efterretningstjeneste |
| --- | --- |
| (Danish Security Intelligence Service) |
| Klausdalsbrovej 1 |
| 2860 Søborg |
| Tel.: +45 33148888 |
| Fax +45 33430190 |

1.

Politiets Efterretningstjeneste

(Danish Security Intelligence Service)

Klausdalsbrovej 1

2860 Søborg

Tel.: +45 33148888

Fax +45 33430190

| 2. | Forsvarets Efterretningstjeneste |
| --- | --- |
| (Danish Defence Intelligence Service) |
| Kastellet 30 |
| 2100 Copenhagen Ø |
| Tel.: +45 33325566 |
| Fax +45 33931320 |

2.

Forsvarets Efterretningstjeneste

(Danish Defence Intelligence Service)

Kastellet 30

2100 Copenhagen Ø

Tel.: +45 33325566

Fax +45 33931320

TYSKLAND

| 1. | För frågor som rör industrisäkerhet, säkerhetsgodkännande av verksamhetsställe och transportplaner (ej kryptomaterial eller konfidentiell affärsinformation): |
| --- | --- |
| Federal Ministry of Economic Affairs and Energy |
| Industrial Security Division - ZB3 |
| Villemombler Str. 76 |
| 53123 Bonn |
| Tel.: +49 228996154028 |
| Fax +49 228996152676 |
| Email: dsagermany-zb3@bmwi.bund.de (office email address) |

1.

För frågor som rör industrisäkerhet, säkerhetsgodkännande av verksamhetsställe och transportplaner (ej kryptomaterial eller konfidentiell affärsinformation):

Federal Ministry of Economic Affairs and Energy

Industrial Security Division - ZB3

Villemombler Str. 76

53123 Bonn

Tel.: +49 228996154028

Fax +49 228996152676

Email: dsagermany-zb3@bmwi.bund.de (office email address)

| 2. | För sedvanlig begäran om besök till eller från tyska företag: |
| --- | --- |
| Federal Ministry of Economic Affairs and Energy |
| Industrial Security Division – ZB2 |
| Villemombler Str. 76 |
| 53123 Bonn |
| Tel.: +49 228996152401 |
| Fax +49 228996152603 |
| Email: zb2-international@bmwi.bund.de (office email address) |

2.

För sedvanlig begäran om besök till eller från tyska företag:

Federal Ministry of Economic Affairs and Energy

Industrial Security Division – ZB2

Villemombler Str. 76

53123 Bonn

Tel.: +49 228996152401

Fax +49 228996152603

Email: zb2-international@bmwi.bund.de (office email address)

| 3. | Transportplaner för kryptoprodukter: |
| --- | --- |
| Federal Office for Information Security (BSI) |
| National Distribution Agency / NDA-EU DEU |
| Mainzer Str. 84 |
| 53179 Bonn |
| Tel.: +49 2289995826052 |
| Fax +49 228991095826052 |
| Email: NDAEU@bsi.bund.de |

3.

Transportplaner för kryptoprodukter:

Federal Office for Information Security (BSI)

National Distribution Agency / NDA-EU DEU

Mainzer Str. 84

53179 Bonn

Tel.: +49 2289995826052

Fax +49 228991095826052

Email: NDAEU@bsi.bund.de

ESTLAND

| National Security Authority Department |
| --- |
| Estonian Foreign Intelligence Service |
| Rahumäe tee 4B |
| 11316 Tallinn |
| Tel.: +372 6939211 |
| Fax +372 6935001 |
| Email: nsa@fis.gov.ee |

National Security Authority Department

Estonian Foreign Intelligence Service

Rahumäe tee 4B

11316 Tallinn

Tel.: +372 6939211

Fax +372 6935001

Email: nsa@fis.gov.ee

IRLAND

| National Security Authority Ireland |
| --- |
| Department of Foreign Affairs and Trade |
| 76–78 Harcourt Street |
| Dublin 2 |
| D02 DX45 |
| Tel.: +353 14082724 |
| Email: nsa@dfa.ie |

National Security Authority Ireland

Department of Foreign Affairs and Trade

76–78 Harcourt Street

Dublin 2

D02 DX45

Tel.: +353 14082724

Email: nsa@dfa.ie

GREKLAND

| Hellenic National Defence General Staff |
| --- |
| E' Division (Security INTEL, CI BRANCH) |
| E3 Directorate |
| Industrial Security Office |
| 227–231 Mesogeion Avenue |
| 15561 Holargos, Athens |
| Tel.: +30 2106572022, +30 2106572178 |
| Fax +30 2106527612 |
| Email: daa.industrial@hndgs.mil.gr |

Hellenic National Defence General Staff

E' Division (Security INTEL, CI BRANCH)

E3 Directorate

Industrial Security Office

227–231 Mesogeion Avenue

15561 Holargos, Athens

Tel.: +30 2106572022, +30 2106572178

Fax +30 2106527612

Email: daa.industrial@hndgs.mil.gr

SPANIEN

| Autoridad Nacional de Seguridad |
| --- |
| Oficina Nacional de Seguridad |
| Calle Argentona 30 |
| 28023 Madrid |
| Tel.: +34 913725000 |
| Fax +34 913725808 |
| Email: nsa-sp@areatec.com |
| I frågor som gäller personalsäkerhetsgodkännande: asip@areatec.com |
| I frågor som gäller transportplaner och internationella besök: sp-ivtco@areatec.com |

Autoridad Nacional de Seguridad

Oficina Nacional de Seguridad

Calle Argentona 30

28023 Madrid

Tel.: +34 913725000

Fax +34 913725808

Email: nsa-sp@areatec.com

I frågor som gäller personalsäkerhetsgodkännande: asip@areatec.com

I frågor som gäller transportplaner och internationella besök: sp-ivtco@areatec.com

FRANKRIKE

| Nationell säkerhetsmyndighet (policy och genomförande på områden som inte rör försvarsindustriella frågor) |
| --- |
| Secrétariat général de la défense et de la sécurité nationale |
| Sous-direction Protection du secret (SGDSN/PSD) |
| 51 boulevard de la Tour-Maubourg |
| 75700 Paris 07 SP |
| Tel.: +33 171758193 |
| Fax +33 171758200 |
| Email: ANSFrance@sgdsn.gouv.fr |

Nationell säkerhetsmyndighet (policy och genomförande på områden som inte rör försvarsindustriella frågor)

Secrétariat général de la défense et de la sécurité nationale

Sous-direction Protection du secret (SGDSN/PSD)

51 boulevard de la Tour-Maubourg

75700 Paris 07 SP

Tel.: +33 171758193

Fax +33 171758200

Email: ANSFrance@sgdsn.gouv.fr

| Utsedd säkerhetsmyndighet (genomförande i försvarsindustriella frågor) |
| --- |
| Direction Générale de l'Armement |
| Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI) |
| 60 boulevard du général Martial Valin |
| CS 21623 |
| 75509 Paris CEDEX 15 |
| Tel.: +33 988670421 |
| E-post: För formulär och avsändning av begäran om besök: dga-ssdi.ai.fct@intradef.gouv.fr |
| För mottagande av begäran om besök: dga-ssdi.visit.fct@intradef.gouv.fr |

Utsedd säkerhetsmyndighet (genomförande i försvarsindustriella frågor)

Direction Générale de l'Armement

Service de la Sécurité de Défense et des systèmes d'Information (DGA/SSDI)

60 boulevard du général Martial Valin

CS 21623

75509 Paris CEDEX 15

Tel.: +33 988670421

E-post: För formulär och avsändning av begäran om besök: dga-ssdi.ai.fct@intradef.gouv.fr

För mottagande av begäran om besök: dga-ssdi.visit.fct@intradef.gouv.fr

KROATIEN

| Office of the National Security Council |
| --- |
| Croatian NSA |
| Jurjevska 34 |
| 10000 Zagreb |
| Tel.: +385 14681222 |
| Fax +385 14686049 |
| Email: NSACroatia@uvns.hr |

Office of the National Security Council

Croatian NSA

Jurjevska 34

10000 Zagreb

Tel.: +385 14681222

Fax +385 14686049

Email: NSACroatia@uvns.hr

ITALIEN

| Presidenza del Consiglio dei Ministri |
| --- |
| D.I.S. - U.C.Se. |
| Via di Santa Susanna 15 |
| 00187 Roma |
| Tel.: +39 0661174266 |
| Fax +39 064885273 |

Presidenza del Consiglio dei Ministri

D.I.S. - U.C.Se.

Via di Santa Susanna 15

00187 Roma

Tel.: +39 0661174266

Fax +39 064885273

CYPERN

| ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ |
| --- |
| Εθνική Αρχή Ασφάλειας (ΕΑΑ) |
| Λεωφόρος Στροβόλου, 172–174 |
| Στρόβολος, 2048, Λευκωσία |
| Τηλέφωνα: +357 22807569, +357 22807764 |
| Τηλεομοιότυπο: +357 22302351 |
| Email: cynsa@mod.gov.cy |

ΥΠΟΥΡΓΕΙΟ ΑΜΥΝΑΣ

Εθνική Αρχή Ασφάλειας (ΕΑΑ)

Λεωφόρος Στροβόλου, 172–174

Στρόβολος, 2048, Λευκωσία

Τηλέφωνα: +357 22807569, +357 22807764

Τηλεομοιότυπο: +357 22302351

Email: cynsa@mod.gov.cy

| Ministry of Defence |
| --- |
| National Security Authority (NSA) |
| 172–174, Strovolos Avenue |
| 2048 Strovolos, Nicosia |
| Tel.: +357 22807569, +357 22807764 |
| Fax +357 22302351 |
| Email: cynsa@mod.gov.cy |

Ministry of Defence

National Security Authority (NSA)

172–174, Strovolos Avenue

2048 Strovolos, Nicosia

Tel.: +357 22807569, +357 22807764

Fax +357 22302351

Email: cynsa@mod.gov.cy

LETTLAND

| National Security Authority |
| --- |
| Constitution Protection Bureau of the Republic of Latvia |
| P.O. Box 286 |
| Riga LV-1001 |
| Tel.: +371 67025418, +371 67025463 |
| Fax +371 67025454 |
| Email: ndi@sab.gov.lt, ndi@zd.gov.lv |

National Security Authority

Constitution Protection Bureau of the Republic of Latvia

P.O. Box 286

Riga LV-1001

Tel.: +371 67025418, +371 67025463

Fax +371 67025454

Email: ndi@sab.gov.lt, ndi@zd.gov.lv

LITAUEN

| Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija |
| --- |
| (The Commission for Secrets Protection Coordination of the Republic of Lithuania) |
| National Security Authority |
| Gedimino 40/1 |
| LT-01110 Vilnius |
| Tel.: +370 70666703, +370 70666701 |
| Fax +370 70666700 |
| Email: nsa@vsd.lt |

Lietuvos Respublikos paslapčių apsaugos koordinavimo komisija

(The Commission for Secrets Protection Coordination of the Republic of Lithuania)

National Security Authority

Gedimino 40/1

LT-01110 Vilnius

Tel.: +370 70666703, +370 70666701

Fax +370 70666700

Email: nsa@vsd.lt

LUXEMBURG

| Autorité Nationale de Sécurité |
| --- |
| 207, route d'Esch |
| L-1471 Luxembourg |
| Tel.: +352 24782210 |
| Email: ans@me.etat.lu |

Autorité Nationale de Sécurité

207, route d'Esch

L-1471 Luxembourg

Tel.: +352 24782210

Email: ans@me.etat.lu

UNGERN

| National Security Authority of Hungary |
| --- |
| H-1399 Budapest P.O. Box 710/50 |
| H-1024 Budapest, Szilágyi Erzsébet fasor 11/B |
| Tel.: +36 13911862 |
| Fax +36 13911889 |
| Email: nbf@nbf.hu |

National Security Authority of Hungary

H-1399 Budapest P.O. Box 710/50

H-1024 Budapest, Szilágyi Erzsébet fasor 11/B

Tel.: +36 13911862

Fax +36 13911889

Email: nbf@nbf.hu

MALTA

| Director of Standardisation |
| --- |
| Designated Security Authority for Industrial Security |
| Standards & Metrology Institute |
| Malta Competition and Consumer Affairs Authority |
| Mizzi House |
| National Road |
| Blata I-Bajda HMR9010 |
| Tel.: +356 23952000 |
| Fax +356 21242406 |
| Email: certification@mccaa.org.mt |

Director of Standardisation

Designated Security Authority for Industrial Security

Standards & Metrology Institute

Malta Competition and Consumer Affairs Authority

Mizzi House

National Road

Blata I-Bajda HMR9010

Tel.: +356 23952000

Fax +356 21242406

Email: certification@mccaa.org.mt

NEDERLÄNDERNA

| 1. | Ministry of the Interior and Kingdom Relations |
| --- | --- |
| PO Box 20010 |
| 2500 EA The Hague |
| Tel.: +31 703204400 |
| Fax +31 703200733 |
| Email: nsa-nl-industry@minbzk.nl |

1.

Ministry of the Interior and Kingdom Relations

PO Box 20010

2500 EA The Hague

Tel.: +31 703204400

Fax +31 703200733

Email: nsa-nl-industry@minbzk.nl

| 2. | Ministry of Defence |
| --- | --- |
| Industrial Security Department |
| PO Box 20701 |
| 2500 ES The Hague |
| Tel.: +31 704419407 |
| Fax +31 703459189 |
| Email: indussec@mindef.nl |

2.

Ministry of Defence

Industrial Security Department

PO Box 20701

2500 ES The Hague

Tel.: +31 704419407

Fax +31 703459189

Email: indussec@mindef.nl

ÖSTERRIKE

| 1. | Federal Chancellery of Austria |
| --- | --- |
| Department I/12, Office for Information Security |
| Ballhausplatz 2 |
| 1014 Vienna |
| Tel.: +43 153115202594 |
| Email: isk@bka.gv.at |

1.

Federal Chancellery of Austria

Department I/12, Office for Information Security

Ballhausplatz 2

1014 Vienna

Tel.: +43 153115202594

Email: isk@bka.gv.at

| 2. | DSA in the military sphere: |
| --- | --- |
| BMLVS/Abwehramt |
| Postfach 2000 |
| 1030 Vienna |
| Email: abwa@bmlvs.gv.at |

2.

DSA in the military sphere:

BMLVS/Abwehramt

Postfach 2000

1030 Vienna

Email: abwa@bmlvs.gv.at

POLEN

| Internal Security Agency |
| --- |
| Department for the Protection of Classified Information |
| Rakowiecka 2A |
| 00–993 Warsaw |
| Tel.: +48 225857944 |
| Fax +48 225857443 |
| Email: nsa@abw.gov.pl |

Internal Security Agency

Department for the Protection of Classified Information

Rakowiecka 2A

00–993 Warsaw

Tel.: +48 225857944

Fax +48 225857443

Email: nsa@abw.gov.pl

PORTUGAL

| Gabinete Nacional de Segurança |
| --- |
| Serviço de Segurança Industrial |
| Rua da Junqueira no 69 |
| 1300–342 Lisbon |
| Tel.: +351 213031710 |
| Fax +351 213031711 |
| Email: sind@gns.gov.pt, franco@gns.gov.pt |

Gabinete Nacional de Segurança

Serviço de Segurança Industrial

Rua da Junqueira no 69

1300–342 Lisbon

Tel.: +351 213031710

Fax +351 213031711

Email: sind@gns.gov.pt, franco@gns.gov.pt

RUMÄNIEN

| Oficiul Registrului Național al Informațiilor Secrete de Stat - ORNISS |
| --- |
| Romanian NSA - ORNISS - National Registry Office for Classified Information |
| 4th Mures Street |
| 012275 Bucharest |
| Tel.: +40 212075115 |
| Fax +40 212245830 |
| Email: relatii.publice@orniss.ro, nsa.romania@nsa.ro |

Oficiul Registrului Național al Informațiilor Secrete de Stat - ORNISS

Romanian NSA - ORNISS - National Registry Office for Classified Information

4th Mures Street

012275 Bucharest

Tel.: +40 212075115

Fax +40 212245830

Email: relatii.publice@orniss.ro, nsa.romania@nsa.ro

SLOVENIEN

| Urad Vlade RS za varovanje tajnih podatkov |
| --- |
| Gregorčičeva 27 |
| 1000 Ljubljana |
| Tel.: +386 14781390 |
| Fax +386 14781399 |
| Email: gp.uvtp@gov.si |

Urad Vlade RS za varovanje tajnih podatkov

Gregorčičeva 27

1000 Ljubljana

Tel.: +386 14781390

Fax +386 14781399

Email: gp.uvtp@gov.si

SLOVAKIEN

| Národný bezpečnostný úrad |
| --- |
| (National Security Authority) |
| Security Clearance Department |
| Budatínska 30 |
| 851 06 Bratislava |
| Tel.: +421 268691111 |
| Fax +421 268691700 |
| Email: podatelna@nbu.gov.sk |

Národný bezpečnostný úrad

(National Security Authority)

Security Clearance Department

Budatínska 30

851 06 Bratislava

Tel.: +421 268691111

Fax +421 268691700

Email: podatelna@nbu.gov.sk

FINLAND

| Nationell säkerhetsmyndighet |
| --- |
| Utrikesministeriet |
| PB 453 |
| FI-00023 Statsrådet |
| E-post: NSA@formin.fi |

Nationell säkerhetsmyndighet

Utrikesministeriet

PB 453

FI-00023 Statsrådet

E-post: NSA@formin.fi

SVERIGE

| 1. | Nationell säkerhetsmyndighet |
| --- | --- |
| Utrikesdepartementet |
| UD SÄK/NSA |
| SE-103 39 Stockholm |
| Tfn +46 84051000 |
| Fax +46 87231176 |
| E-post: ud-nsa@gov.se |

1.

Nationell säkerhetsmyndighet

Utrikesdepartementet

UD SÄK/NSA

SE-103 39 Stockholm

Tfn +46 84051000

Fax +46 87231176

E-post: ud-nsa@gov.se

| 2. | DSA |
| --- | --- |
| Försvarets Materielverk |
| FMV Säkerhetsskydd |
| SE-115 88 Stockholm |
| Tfn +46 87824000 |
| Fax +46 87826900 |
| E-post: security@fmv.se |

2.

DSA

Försvarets Materielverk

FMV Säkerhetsskydd

SE-115 88 Stockholm

Tfn +46 87824000

Fax +46 87826900

E-post: security@fmv.se

FÖRENADE KUNGARIKET

| UK National Security Authority |
| --- |
| Room 335, 3rd Floor |
| 70 Whitehall |
| London |
| SW1A 2AS |
| Tel.: +44 2072765497, +44 2072765645 |
| Email: UK-NSA@cabinet-office.x.gsi.gov.uk |

UK National Security Authority

Room 335, 3rd Floor

70 Whitehall

London

SW1A 2AS

Tel.: +44 2072765497, +44 2072765645

Email: UK-NSA@cabinet-office.x.gsi.gov.uk

---