EVROPSKÁ KOMISE V Bruselu dne 22.3.2022 COM(2022) 119 final 2022/0084(COD) Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o bezpečnosti informací v orgánech, institucích a jiných subjektech Unie {SWD(2022) 65 final} - {SWD(2022) 66 final}



DŮVODOVÁ ZPRÁVA 1.SOUVISLOSTI NÁVRHU •Odůvodnění a cíle návrhu Tento návrh je součástí strategie bezpečnostní unie EU přijaté Komisí dne 24. července 2020 a stanoví její závazek přinést přidanou hodnotu Evropské unie k úsilí členských států v oblasti bezpečnosti. Součástí tohoto závazku je iniciativa na zefektivnění vnitřních právních rámců pro bezpečnost informací ve všech orgánech a institucích Unie. Klíčovým prvkem strategické agendy na období 2019–2024 přijaté Evropskou radou v červnu 2019 je chránit naši společnost před neustále se vyvíjejícími hrozbami, které jsou zaměřeny na informace, s nimiž orgány a instituce nakládají. Evropská rada ve svých závěrech zejména vyzvala „orgány EU, aby společně s členskými státy pracovaly na opatřeních ke zvýšení odolnosti a zlepšení kultury bezpečnosti EU vůči kybernetickým a hybridním hrozbám majícím původ mimo EU, jakož i za účelem lepší ochrany informačních a komunikačních sítí EU a jejích rozhodovacích procesů před nepřátelskými činnostmi všeho druhu“. Ve stejném duchu dospěla Rada pro obecné záležitosti v prosinci 2019 k závěru, že orgány a instituce EU by za podpory členských států měly vypracovat a provést komplexní soubor opatření k zajištění své bezpečnosti. Je to v souladu s dlouhodobou žádostí Bezpečnostního výboru Rady o prozkoumání společného jádra bezpečnostních pravidel pro Radu, Komisi a Evropskou službu pro vnější činnost. V současné době mají orgány a instituce Unie pro bezpečnost informací buď svá vlastní pravidla, která vycházejí z jejich jednacího řádu nebo zřizovacího aktu, nebo pravidla pro bezpečnost informací nemají vůbec. Je to většinou případ některých malých subjektů, které nemají v oblasti bezpečnosti informací žádné formální politiky. Vzhledem ke stále rostoucímu množství citlivých neutajovaných a utajovaných informací Evropské unie, které mezi sebou musí orgány a instituce Unie sdílet, a vzhledem k dramatickému vývoji hrozeb je evropská správa vystavena útokům ve všech oblastech své činnosti. Informace, s nimiž naše orgány a instituce nakládají, jsou pro aktéry hrozeb velmi přitažlivé a je třeba je náležitě chránit. Vyžaduje to rychlá opatření zaměřená na zvýšení jejich ochrany. Z tohoto důvodu a s cílem zvýšit ochranu informací, s nimiž evropská správa nakládá, je účelem této iniciativy zefektivnit různé právní rámce orgánů a institucí Unie v této oblasti tím, že: •stanoví harmonizované a komplexní kategorie informací, jakož i společná pravidla pro nakládání s nimi pro všechny orgány a instituce Unie, •vytvoří štíhlý systém spolupráce v oblasti bezpečnosti informací mezi orgány a institucemi Unie s cílem podpořit jednotnou kulturu bezpečnosti informací v celé evropské správě, •modernizuje politiky v oblasti bezpečnosti informací na všech stupních utajení/kategorizace pro všechny orgány a instituce Unie, s přihlédnutím k digitální transformaci a rozvoji práce z domova jako strukturální praxe. •Soulad s platnými předpisy v této oblasti politiky Tato iniciativa je v souladu s celou řadou politik EU v oblasti bezpečnosti a bezpečnosti informací. V roce 2016 přijaly Evropský parlament a Rada směrnici o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii. Tato směrnice byla prvním celounijním legislativním opatřením, jehož cílem bylo posílit spolupráci mezi členskými státy v oblasti kybernetické bezpečnosti. Zatímco Komise v prosinci 2020 přijala návrh na přezkum tohoto nástroje, který zavádí opatření v oblasti dohledu pro vnitrostátní orgány, správa Unie zůstává mimo jeho oblast působnosti. Ve stejném duchu a v zájmu doplnění úsilí členských států v oblasti bezpečnosti je nanejvýš důležité, aby orgány a instituce Unie dosáhly vysoké úrovně ochrany svých informací a souvisejících informačních a komunikačních systémů s cílem zajistit bezpečnost informací. V červenci 2020 přijala Komise strategii bezpečnostní unie s komplexním závazkem EU doplnit úsilí členských států ve všech oblastech bezpečnosti. Tato strategie probíhá od roku 2020 do roku 2025 a nastiňuje čtyři hlavní pilíře činnosti: bezpečnostní prostředí, které obstojí i v budoucnosti, potírání vyvíjejících se hrozeb, ochrana Evropanů před terorismem a organizovanou trestnou činností a silný evropský bezpečnostní ekosystém. Několik témat projednávaných v rámci těchto pilířů se zaměřuje na bezpečnost informací, kybernetickou bezpečnost, spolupráci a výměnu informací a kritickou infrastrukturu. V souladu se strategií bezpečnostní unie navrhuje Evropská komise vytvořit ve všech orgánech a institucích Unie minimální soubor pravidel pro bezpečnost informací, který vyvolá potřebu závazných a přísných společných norem pro bezpečnou výměnu informací. Tato iniciativa představuje závazek orgánů a institucí stanovit v rámci evropské správy v oblasti bezpečnosti stejnou úroveň ambicí, jakou požadují členské státy. Dne 16. prosince 2020 Komise a vysoký představitel pro zahraniční věci a bezpečnostní politiku představili novou strategii kybernetické bezpečnosti EU. Tato strategie stanovila priority a klíčová opatření s cílem vybudovat odolnost, autonomii, vedoucí postavení a operační schopnost Evropy vůči rostoucím a komplexním hrozbám pro její sítě a informační systémy a prosazovat globální a otevřený kyberprostor a mezinárodní partnerství. Stejně důležité je, aby orgány a instituce Unie přispívaly k dosažení těchto priorit tím, že stanoví rovnocenné požadavky v oblasti bezpečnosti informací i kybernetické bezpečnosti.

Tento návrh spolu s návrhem nařízení, kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie usiluje o to, aby byl regulační obraz strategie bezpečnostní unie doplněn o zvláštní požadavky na evropskou správu. S ohledem na vzájemné vazby mezi bezpečností informací a kybernetickou bezpečností by měl být mezi těmito dvěma návrhy zajištěn soudržný přístup k ochraně neutajovaných informací. •Soulad s ostatními politikami Unie Tato iniciativa rovněž zohledňuje další politiky Unie, které jsou pro bezpečnost informací důležité. V oblasti ochrany údajů, která se vztahuje na správu Evropské unie a Evropského společenství pro atomovou energii („Euratom“), existuje nařízení (EU) 2018/1725 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů. Stejně tak je třeba zmínit, že v případě některých orgánů a institucí Unie přijali zákonodárci EU zvláštní příslušná pravidla pro ochranu osobních údajů. V oblasti transparentnosti vychází tento návrh ze zásad zakotvených v nařízení (ES) č. 1049/2001 o přístupu veřejnosti k dokumentům Evropského parlamentu, Rady a Komise, s ohledem na další příslušná pravidla. 2.PRÁVNÍ ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právní základ Vzhledem k cíli a obsahu tohoto návrhu je jeho nejvhodnějším právním základem článek 298 Smlouvy o fungování Evropské unie (SFEU) a článek 106a Smlouvy o založení Evropského společenství pro atomovou energii. Článek 298 SFEU byl zaveden Lisabonskou smlouvou a umožňuje normotvůrcům přijmout ustanovení s cílem vytvořit účinnou a nezávislou správu, která bude podporovat orgány, instituce a jiné subjekty při plnění jejich úkolů. Efektivní a nezávislá správa se spoléhá na bezpečnost svých informací. Aby mohly orgány a instituce Unie plnit své poslání, musí mít k dispozici bezpečné prostředí pro informace, s nimiž každodenně nakládají a uchovávají je. Kromě toho by poskytnutí společného základu norem závazných pro všechny zaručilo vysokou úroveň bezpečnosti, snížilo riziko slabých vazeb při podpoře interoperability mezi orgány a institucemi a posílilo součinnost, čímž by se zvýšila odolnost správy vůči vyvíjejícím se hrozbám. S celkovým cílem dosáhnout vysoké společné úrovně bezpečnosti utajovaných informací EU i neutajovaných informací, s nimiž nakládají a které uchovávají orgány a instituce Unie, umožňuje tento návrh evropské správě, aby se lépe chránila před vnějšími zásahy a špionážními činnostmi. Článek 298 SFEU umožňuje Unii stanovit společná pravidla pro celou evropskou správu s cílem zajistit, aby všechny orgány a instituce Unie nakládaly s utajovanými informacemi EU a neutajovanými informacemi obdobně. Toto nařízení jako takové stanoví pravidla platná pro správu a může nepřímo ukládat povinnosti pouze osobám, které plní úkoly jménem této správy nebo na smluvním základě (s výjimkou komisařů, zástupců členských států jednajících v Radě, členů Evropského parlamentu, soudců soudů Unie nebo členů Evropského účetního dvora). Podle článku 298 SFEU jednají Evropský parlament a Rada prostřednictvím nařízení a v souladu s řádným legislativním postupem. Tento návrh vyžaduje dodatečný právní základ, neboť se rovněž týká informací, které souvisejí s některými činnostmi Evropského společenství pro atomovou energii. Tyto informace nejsou utajovanými informacemi Euratomu, avšak orgány a instituce Unie s nimi zacházejí v rámci obecného režimu utajovaných informací EU. Tímto dodatečným právním základem je článek 106a Smlouvy o založení Evropského společenství pro atomovou energii, který činí článek 298 SFEU použitelným i pro výše uvedené činnosti Euratomu. •Subsidiarita (v případě nevýlučné pravomoci) V souladu se zásadou subsidiarity stanovenou v čl. 5 odst. 3 Smlouvy o Evropské unii by měla být opatření na úrovni EU přijímána pouze tehdy, pokud nemůže být zamýšlených cílů uspokojivě dosaženo na úrovni členských států, a proto jich lze z důvodu jejich rozsahu či účinků lépe dosáhnout na úrovni EU. Vzhledem k tomu, že pravidla upravující utajované informace EU a citlivé neutajované informace, s nimiž nakládají a které uchovávají orgány a instituce Unie, může přijmout pouze Unie, zásada subsidiarity se nepoužije. •Proporcionalita Vytvoření společného základu pro bezpečnost informací pro všechny orgány a instituce Unie je pro nezávislou a účinnou správu nezbytné.

V souladu se zásadou proporcionality stanovenou v čl. 5 odst. 4 SEU nejsou ustanovení nařízení příliš normativní a ponechávají prostor pro různé úrovně konkrétních opatření v souladu s úrovní vyspělosti zabezpečení každého orgánu a instituce Unie. Kromě toho má řešení omezený dopad na základní práva jednotlivců. Návrh proto nepřekračuje rámec toho, co je nezbytné k řešení problému neexistence společného souboru pravidel pro bezpečnost informací pro všechny orgány a instituce Unie. •Volba nástroje Za vhodný právní nástroj se považuje nařízení založené na článku 298 SFEU. Důvodem je převaha prvků, které vyžadují jednotné uplatňování, jež neponechává prostor pro provádění ze strany orgánů a institucí Unie a jež vytváří minimální horizontální rámec. 3.VÝSLEDKY HODNOCENÍ EX POST, KONZULTACÍ SE ZÚČASTNĚNÝMI STRANAMI A POSOUZENÍ DOPADŮ •Hodnocení ex post / kontroly účelnosti platných právních předpisů Nevztahuje se na tento návrh. •Konzultace se zúčastněnými stranami Komise vedla rozsáhlé konzultace s klíčovými zúčastněnými stranami o různých hlediscích týkajících se pravidel pro bezpečnost informací orgánů a institucí Unie. Celkovým cílem konzultací bylo shromáždit relevantní vstupní informace pro přípravu legislativní iniciativy, která se týká pravidel pro bezpečnost informací společných pro všechny orgány a instituce Unie. Cílem konzultací bylo shromáždit vstupní informace o: •problémech souvisejících se stávajícím rámcem pro bezpečnost informací v orgánech a institucích Unie, které by podle názoru zúčastněných stran měly být v rámci iniciativy řešeny, •relevantnosti, účinnosti, účelnosti a přidané hodnotě iniciativy, •očekávaných dopadech iniciativy a možných dalších důsledcích pro zúčastněné strany. Při přípravě tohoto legislativního návrhu Komise konzultovala tyto kategorie zúčastněných stran: 1.orgány, instituce a jiné subjekty Unie; 2.vnitrostátní bezpečnostní orgány v členských státech; 3.výzkumné odborníky ze Společného výzkumného střediska. Vzhledem ke zvláštní povaze této iniciativy, která se vztahuje výhradně na orgány a instituce Unie a má malý dopad na evropské občany a podniky, se útvary Komise rozhodly upřednostnit shromažďování stanovisek od příslušných skupin zúčastněných stran. U této legislativní iniciativy proto neproběhla žádná veřejná konzultace. V průběhu konzultačního procesu použily útvary Komise tyto metody a formy konzultací: 1.příležitost pro všechny zúčastněné strany poskytnout zpětnou vazbu k počátečnímu posouzení dopadů prostřednictvím platformy Komise „Podělte se o svůj názor“;

2.cílený dotazník určený odborníkům na bezpečnost informací v orgánech a institucích Unie prostřednictvím internetového průzkumu EU; 3.cílený dotazník určený vnitrostátním bezpečnostním orgánům členských států prostřednictvím internetového průzkumu EU; 4.žádost o individuální posouzení rizik základních prostředků informační bezpečnosti a 5.četná setkání a výměny s protějšky z orgánů, institucí a jiných subjektů, jakož i z vnitrostátních bezpečnostních orgánů členských států. Jako hlavní výsledky konzultací, Komise vyzdvihuje následující: •roztříštěnost příslušných právních rámců mezi našimi orgány a institucemi vede ke značnému zdvojování úsilí o vytvoření a zachování vnitřních pravidel, jakož i k neinteroperabilním postupům při nakládání s informacemi. Pro členské státy zvyšuje rozmanitost těchto pravidel riziko nedorozumění, nesprávného výkladu a nedodržení pravidel, •při stanovení základní úrovně bezpečnosti informací pro všechny orgány a instituce Unie by vznikl ekosystém se společnými a standardizovanými bezpečnostními pravidly a zavedenými osvědčenými postupy, avšak měla by být zohledněna rozmanitost a odlišné provozní prostředí každého orgánu a instituce Unie a měla by se umožnit místní řešení, •tato iniciativa musí zohledňovat autonomii a různé stupně bezpečnostní vyspělosti každého orgánu a instituce Unie, které budou i nadále plně odpovědné za svou organizaci bezpečnosti informací. •Sběr a využití výsledků odborných konzultací Komise použila ke konzultaci se zúčastněnými stranami vlastní zdroje. Ředitelství pro bezpečnost GŘ pro lidské zdroje a bezpečnost vykonalo související práci v oblasti průzkumů, videokonferencí a dalších pracovních setkání. Tento úkol zahrnoval jak výběr účastníků a organizaci akcí, tak i zpracování obdržených příspěvků. Společné výzkumné středisko (JRC) provedlo posouzení rizik hlavních prostředků informační bezpečnosti, které se použilo jako základ pro analýzu dopadů. •Posouzení dopadů Tato iniciativa je určena výhradně orgánům a institucím Unie a na členské státy a jednotlivce má omezený dopad. Nebylo proto nutné provádět celkové posouzení dopadů, protože neexistovaly jasně rozpoznatelné nebo významné dopady na občany a podniky. Komplexní plán byl zveřejněn na internetových stránkách Europa a získal zpětnou vazbu od příslušných zúčastněných stran. •Účelnost právních předpisů a zjednodušení Nevztahuje se na tento návrh. •Základní práva EU je odhodlána zajistit vysoké standardy ochrany základních práv. Tato iniciativa zajišťuje plný soulad se základními právy zakotvenými v Listině základních práv Evropské unie: •Právo na řádnou správu Orgány a instituce Unie přispívají ke splnění zásady řádné správy zvýšením bezpečnosti informací, s nimiž nakládají při řešení záležitostí evropských občanů. •Ochrana osobních údajů

Veškeré zpracování osobních údajů v rámci tohoto návrhu by probíhalo v důvěryhodném prostředí a při plném dodržování nařízení Evropského parlamentu a Rady (EU) 2018/1725. •Právo na přístup k dokumentům Přístup veřejnosti k utajovaným informacím EU a citlivým neutajovaným dokumentům se nadále plně řídí nařízením Evropského parlamentu a Rady (ES) č. 1049/2001. •Právo duševního vlastnictví Při nakládání s neutajovanými informacemi a utajovanými informacemi EU a při jejich uchovávání chrání orgány a instituce Unie duševní vlastnictví v souladu se směrnicí Evropského parlamentu a Rady 2001/29/ES. •Svoboda projevu a informací Ačkoli má každý svobodu přijímat a sdílet informace a myšlenky bez zásahů orgánu veřejné moci, nebrání to Unii v tom, aby stanovila podmínky pro přístup k určitým druhům informací, nakládání s nimi a jejich uchovávání na základě stupně jejich důvěrnosti. Využívání těchto svobod se může řídit podmínkami a omezeními, které jsou stanoveny právními předpisy a v demokratické společnosti jsou nezbytné, aby se zabránilo zveřejnění informací obdržených jako důvěrné a v zájmu bezpečnosti EU. 4.ROZPOČTOVÉ DŮSLEDKY Tento návrh vyžaduje přidělení jednoho správního úředníka a jednoho asistenta do stálého sekretariátu koordinační skupiny, kterou zajišťuje Komise v rámci ředitelství pro bezpečnost Generálního ředitelství pro lidské zdroje a bezpečnost. U orgánů a institucí se očekávají úspory nákladů, pokud jde o úkoly, které jsou sdílené a založené na spolupráci, jakož i o předcházení možným hospodářským škodám způsobeným bezpečnostními incidenty, a to díky zlepšení bezpečnosti informací. Na druhé straně lze finanční úsilí potřebné pro provádění nových právních předpisů zahrnout do stávajících programů na zlepšení bezpečnosti informací v každém orgánu a instituci Unie. 5.OSTATNÍ PRVKY •Plány provádění a způsoby monitorování, hodnocení a podávání zpráv Návrh stanoví povinnost Komise podávat Evropskému parlamentu a Radě každé tři roky zprávu o provádění tohoto nařízení, včetně fungování správy stanovené tímto nařízením. Kromě toho Komise každých pět let toto nařízení vyhodnotí s cílem posoudit jeho skutečnou výkonnost a na základě toho i to, zda je zapotřebí změnit právní předpisy. •Podrobné vysvětlení konkrétních ustanovení návrhu Tento návrh je strukturován podle požadavků na nakládání s neutajovanými informacemi a s utajovanými informacemi EU a jejich uchovávání, které jsou hlavními předměty této iniciativy a jejichž zvýšená ochrana představuje její základní účel. Předmět a oblast působnosti (článek 1 a článek 2) Cílem tohoto nařízení je vytvořit minimální soubor pravidel pro bezpečnost informací použitelný pro všechny orgány a instituce Unie. Vztahuje se na všechny informace, s nimiž nakládají a které uchovávají orgány a instituce Unie, včetně informací týkajících se činností Evropského společenství pro atomovou energii, kromě utajovaných informací Euratomu. Toto nařízení se vztahuje jak na neutajované informace, tak na utajované informace EU.

Definice a obecné zásady (články 3 až 5) Definice uvedené v článku 3 vycházejí ze stávajících pravidel pro bezpečnost informací přijatých samostatně orgány a institucemi Unie. Kromě obecných zásad právních předpisů Unie: transparentnosti, proporcionality, účinnosti a odpovědnosti stanoví toto nařízení hlavní závazné pokyny, například oddělený proces řízení rizik v oblasti bezpečnosti informací prováděný každým orgánem a institucí Unie a posuzování jejich informací, aby mohly být řádně zařazeny do kategorií. Řízení a organizace bezpečnosti (články 6 až 8) Všechny orgány a instituce Unie spolupracují v interinstitucionální koordinační skupině pro bezpečnost informací, která jedná na základě konsensu a ve společném zájmu orgánů a institucí Unie. Koordinační skupina sdružuje bezpečnostní orgány všech orgánů a institucí a vypracovává pokyny k provádění tohoto nařízení. Pravidelně spolupracuje s vnitrostátními bezpečnostními orgány členských států, které se schází v rámci Výboru pro bezpečnost informací. Za účelem zjednodušení postupů a dalších praktických hledisek týkajících se bezpečnosti informací se zřizuje pět podskupin složených z odborníků, kteří zastupují různé orgány a instituce. Každý orgán a instituce Unie musí určit bezpečnostní orgán, který je odpovědný za definování a provádění vnitřních politik v oblasti bezpečnosti informací. Tento bezpečnostní orgán zřídí zvláštní funkce, například orgán pro zabezpečení informací, provozní orgán pro zabezpečení informací, orgán pro bezpečnostní akreditaci, orgán TEMPEST, schvalovací orgán pro kryptografickou ochranu a orgán pro distribuci kryptografických materiálů, které mohou být z důvodu účinnosti nebo zdrojů delegovány na jiný orgán nebo instituci. Zabezpečení informací a komunikační a informační systémy (články 9 až 11) Tímto nařízením se zřizuje podskupina pro zabezpečení informací s cílem posílit soudržnost mezi pravidly pro bezpečnost informací a výchozí úrovní kybernetické bezpečnosti ve všech orgánech a institucích Unie, jak je stanoveno v nařízení, kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie. Orgány a instituce Unie jsou povinny dodržovat zásady uvedené v těchto článcích a přijmout samostatná vnitřní pravidla pro zvláštní bezpečnostní opatření přizpůsobená jejich vlastnímu bezpečnostnímu prostředí. Neutajované informace (články 12 až 17 a příloha I) Nařízení stanoví tři kategorie neutajovaných informací: informace pro veřejné použití, běžné informace a citlivé neutajované informace. Definovány jsou všechny kategorie, přičemž pro ochranu těchto informací jsou stanoveny podmínky pro jejich označování a nakládání s nimi. Za účelem koordinace práce na rovnocennosti mezi jednotlivými kategoriemi stanovenými některými orgány a institucemi Unie a společnými kategoriemi stanovenými nařízením zřizuje návrh podskupinu pro neutajované informace. Utajované informace EU (články 18 až 58 a přílohy II až VI) Vzhledem k tomu, že se jedná o nejobsáhlejší část návrhu, je tato kapitola rozdělena do následujících sedmi oddílů: obecná ustanovení, personální bezpečnost, fyzická bezpečnost, správa utajovaných informací EU, ochrana v komunikačních a informačních systémech, průmyslová bezpečnost a sdílení utajovaných informací EU a výměna utajovaných informací. Oddíl o obecných ustanoveních stanoví čtyři stupně utajovaných informací EU: TRES SECRET UE / EU TOP SECRET, SECRET UE / EU SECRET, CONFIDENTIEL UE / EU CONFIDENTIAL, RESTREINT UE / EU RESTRICTED a stanoví povinnost orgánů a institucí Unie přijmout nezbytná bezpečnostní opatření v souladu s výsledky procesu řízení rizik v oblasti bezpečnosti informací. Každý ze zbývajících oddílů se zaměřuje na standardy ochrany utajovaných informací EU, které se týkají jejich konkrétní oblasti. Podrobné informace pro tuto ochranu utajovaných informací EU jsou stanoveny v přílohách II až V. Příloha VI stanoví srovnávací tabulku utajovaných informací EU se stupni utajení členských států a Evropského společenství pro atomovou energii. S cílem zefektivnit příslušné postupy v této oblasti a zabránit zdvojování úsilí zřizuje nařízení podskupiny pro zabezpečení informací, neutajované informace, fyzickou bezpečnost, akreditaci komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je, a pro sdílení utajovaných informací EU a výměnu utajovaných informací. Závěrečná ustanovení (články 59 až 62)

Závěrečná ustanovení zajišťují přechod od stávajících pravidel a postupů k novému právnímu rámci stanovenému tímto nařízením. Týkají se vnitřních pravidel pro bezpečnost informací platných v současné době v orgánech a institucích Unie, uznávání hodnoticích návštěv provedených před začátkem uplatňování nařízení, zacházení s dříve uzavřenými správními ujednáními a pokračování zvláštních bezpečnostních rámců použitelných na grantové dohody. Toto nařízení se použije po uplynutí dvou let ode dne jeho vstupu v platnost. 2022/0084 (COD) Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o bezpečnosti informací v orgánech, institucích a jiných subjektech Unie EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE, s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 298 této smlouvy, s ohledem na Smlouvu o založení Evropského společenství pro atomovou energii, a zejména na článek 106a této smlouvy, s ohledem na návrh Evropské komise, po postoupení návrhu legislativního aktu vnitrostátním parlamentům, v souladu s řádným legislativním postupem, vzhledem k těmto důvodům: (1)Orgány a instituce Unie mají v současnosti svá vlastní pravidla pro bezpečnost informací, která vycházejí z jejich jednacího řádu nebo zřizovacího aktu, nebo taková pravidla nemají vůbec. V této souvislosti každý orgán a instituce Unie vynakládá značné úsilí na přijetí různých přístupů, což vede k situaci, kdy výměna informací není vždy spolehlivá. Neexistence společného přístupu brání zavádění společných nástrojů založených na dohodnutém souboru pravidel v závislosti na bezpečnostních potřebách informací, které mají být chráněny. (2)Ačkoli bylo na cestě k soudržnějším pravidlům pro ochranu utajovaných informací Evropské unie a neutajovaných informací dosaženo pokroku, interoperabilita příslušných systémů je nadále omezená, což brání bezproblémovému předávání informací mezi různými orgány a institucemi Unie. Je proto třeba vyvinout další úsilí s cílem umožnit interinstitucionální přístup ke sdílení utajovaných informací EU a citlivých neutajovaných informací, se společnými kategoriemi informací a společnými klíčovými zásadami nakládání s nimi. Měl by být rovněž stanoven základ pro zjednodušení postupů pro sdílení utajovaných informací EU a citlivých neutajovaných informací mezi orgány a institucemi Unie a s členskými státy. (3)Proto by měla být stanovena příslušná pravidla zajišťující společnou úroveň bezpečnosti informací ve všech orgánech a institucích Unie. Tato pravidla by měla tvořit komplexní a soudržný obecný rámec pro ochranu utajovaných informací EU a neutajovaných informací a měla by zajistit rovnocennost základních zásad a minimálních standardů. (4)Nedávná pandemie způsobila významnou změnu způsobu práce, přičemž pravidlem se staly nástroje dálkové komunikace. Proto byla řada postupů, které byly i jen částečně v papírové podobě, rychle upravena tak, aby umožňovaly elektronické zpracování a výměnu informací. Tento vývoj vyžaduje změny v nakládání s informacemi a v jejich ochraně. Toto nařízení zohledňuje nové způsoby práce. (5)Vytvořením minimální společné úrovně ochrany utajovaných informací EU a neutajovaných informací přispívá toto nařízení k zajištění toho, aby orgány a instituce Unie měly při plnění svých úkolů podporu účinné a nezávislé správy. Zároveň si každý orgán a instituce Unie zachovává svou autonomii při určování toho, jak provádět pravidla stanovená v tomto nařízení v souladu se svými vlastními bezpečnostními potřebami. Toto nařízení v žádném případě nebrání orgánům a institucím Unie v plnění jejich poslání, kterým je pověřily právní předpisy EU, ani nezasahuje do jejich institucionální autonomie. (6)Tímto nařízením není dotčeno nařízení Rady (Euratom) č. 3/1958, nařízení č. 31 (EHS), č. 11 (ESAE), kterým se stanoví služební řád úředníků a pracovní řád ostatních zaměstnanců Evropského hospodářského společenství a Evropského společenství pro atomovou energii, nařízení Evropského parlamentu a Rady (ES) č. 1049/2001, nařízení Evropského parlamentu a Rady (EU) 2018/1725, nařízení Rady (EHS, Euratom) č. 354/83, nařízení Evropského parlamentu a Rady (EU, Euratom) 2018/1046, nařízení Evropského parlamentu a Rady (EU) 2021/697, nařízení Evropského parlamentu a Rady (EU) […], kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie. (7)V zájmu zachování zvláštní povahy činností Evropského společenství pro atomovou energii upravených nařízením Rady Evropského společenství pro atomovou energii č. 3/1958 by se toto nařízení nemělo vztahovat na utajované informace Euratomu. Do oblasti působnosti tohoto nařízení by však měly spadat veškeré informace týkající se jiných činností Euratomu, na něž se nevztahuje nařízení č. 3/1958.

(8)S cílem vytvořit formální strukturu pro spolupráci mezi orgány a institucemi Unie v oblasti bezpečnosti informací je nezbytné zřídit interinstitucionální koordinační skupinu (dále jen „koordinační skupina“), v níž budou zastoupeny bezpečnostní orgány všech orgánů a institucí Unie. Aniž by měla rozhodovací pravomoci, měla by koordinační skupina posílit soudržnost politik v oblasti bezpečnosti informací a přispět k harmonizaci postupů a nástrojů v oblasti bezpečnosti informací napříč orgány a institucemi Unie. (9)Činnost koordinační skupiny vyžaduje podporu odborníků v různých oblastech bezpečnosti informací: kategorizace a označování, komunikační a informační systémy, akreditace, fyzická bezpečnost a sdílení utajovaných informací EU a výměna utajovaných informací. Aby se zabránilo zdvojování úsilí v orgánech a institucích Unie, měly by být zřízeny tematické podskupiny. Kromě toho by koordinační skupina měla mít v případě potřeby možnost zřizovat další podskupiny se zvláštními úkoly. (10)Koordinační skupina by měla úzce spolupracovat s vnitrostátními bezpečnostními orgány členských států s cílem zvýšit bezpečnost informací v Unii. Proto by měl být zřízen Výbor pro bezpečnost informací členských států, který by koordinační skupině poskytoval poradenství. (11)Zatímco společné instituce zastupující všechny orgány a instituce Unie jsou zřizovány na základě zásady spolupráce, každý orgán a instituce by měly zůstat plně odpovědné za bezpečnost informací v rámci své organizace. Každý orgán a instituce Unie by měly mít bezpečnostní orgán a v případě potřeby i další orgány odpovědné za konkrétní povinnosti týkající se bezpečnosti informací. (12)Zásada řízení rizik v oblasti bezpečnosti informací by měla být jádrem politiky, kterou v této oblasti vypracuje každý orgán a instituce Unie. Musí být splněny minimální požadavky stanovené v tomto nařízení, avšak každý orgán a instituce Unie by měl přijmout konkrétní bezpečnostní opatření na ochranu informací v souladu s výsledky interního posouzení rizik. Stejně tak by měly být konkrétní situaci každého orgánu a instituce přizpůsobeny technické prostředky na ochranu informací. (13)Vzhledem k rozmanitosti kategorií neutajovaných informací, které orgány a instituce Unie vytvořily na základě svých vlastních pravidel pro bezpečnost informací, a aby se zabránilo zpoždění při provádění tohoto nařízení, měly by mít orgány nebo instituce Unie možnost zachovat svůj vlastní systém označování pro vnitřní účely nebo při výměně informací se svými konkrétními protějšky z jiných orgánů a institucí nebo z členských států. (14)Za účelem přizpůsobení se novým postupům práce z domova by sítě používané pro připojení ke službám dálkového přístupu orgánu nebo instituce Unie měly být chráněny vhodnými bezpečnostními opatřeními. (15)Vzhledem k tomu, že orgány a instituce Unie často využívají dodavatelů a externích služeb, je důležité stanovit společná ustanovení týkající se pracovníků dodavatelů, kteří provádějí úkoly související s bezpečností informací. (16)Základní pravidla týkající se přístupu k utajovaným informacím EU ve vnitřních předpisech různých orgánů a institucí Unie jsou v současné době sladěna, existují však značné rozdíly, pokud jde o názvy a požadované postupy. Vytváří se tak zátěž pro vnitrostátní bezpečnostní orgány členských států, které se musí přizpůsobovat různým požadavkům. Je proto nezbytné stanovit společný glosář a společné postupy v oblasti personální bezpečnosti, čímž se zjednoduší spolupráce s vnitrostátními bezpečnostními orgány členských států a omezí se riziko ohrožení utajovaných informací EU. (17)Vzhledem k rozdílům ve zdrojích mezi orgány a institucemi Unie a v zájmu zefektivnění jejich příslušných postupů a praxe mohou být úkoly související s bezpečnostními prověrkami svěřeny Komisi s cílem zajistit pokračování dlouhodobé praxe v oblasti bezpečnostních prověrek a přispět k centralizaci úkolů přidělených každému bezpečnostnímu orgánu. (18)Ochrana utajovaných informací EU je rovněž zajištěna technickými a organizačními opatřeními, která se uplatňují na prostory, budovy, místnosti, kanceláře nebo zařízení orgánů a institucí Unie, kde se utajované informace EU projednávají, nakládá se s nimi nebo se uchovávají. Toto nařízení stanoví, jak provádět proces řízení bezpečnosti informací v oblasti fyzické bezpečnosti, který by orgánům a institucím Unie umožnil vybrat vhodná bezpečnostní opatření pro svá pracoviště. (19)Všechny orgány a instituce Unie, které nakládají s utajovanými informacemi EU a uchovávají je, by měly ve svých prostorách zřídit fyzicky chráněné oblasti s cílem zajistit stejnou úroveň ochrany příslušných stupňů utajení pro utajované informace EU, s nimiž se v jejich rámci nakládá a které se v nich uchovávají. Tyto oblasti by měly být označeny jako administrativní oblasti a zabezpečené oblasti a měly by dodržovat společné minimální standardy pro ochranu utajovaných informací EU. (20)Důležitou zásadou při správě utajovaných informací EU je kontrola původce, a proto musí být jasně stanovena a rozpracována. V tomto ohledu přináší vytváření utajovaných informací EU pro původce odpovědnost, která by se měla vztahovat na celý životní cyklus příslušného dokumentu o utajovaných informacích EU. (21)Orgány a instituce Unie tradičně vyvíjejí své komunikační a informační systémy samostatně a nevěnují dostatečnou pozornost jejich interoperabilitě mezi všemi orgány a institucemi Unie. Je proto nezbytné stanovit minimální bezpečnostní požadavky týkající se komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU i neutajovanými informacemi a uchovávají je, s cílem zaručit plynulou výměnu informací s příslušnými zúčastněnými stranami. (22)Aby dosáhly jednotného standardu pro akreditaci komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je, orgány a instituce Unie by měly spolupracovat ve skupině zřízené pro tento účel. Doporučuje se, aby tento standard používali všichni s cílem přispět ke všeobecné úrovni ochrany utajovaných informací EU. Pokud však jde o organizační autonomii, rozhodnutí zůstává v pravomoci příslušného orgánu každého orgánu nebo instituce. (23)Všechny orgány a instituce Unie by se při zadávání a provádění utajovaných smluv nebo grantových dohod měly řídit stejnými postupy a uplatňovat stejná opatření. Je proto nezbytné jasně stanovit povinné i nepovinné prvky utajovaných smluv a grantových dohod. Opatření na ochranu utajovaných informací EU v souvislosti s utajovanými smlouvami a grantovými dohodami by však měla zohledňovat pravidla, která v této oblasti vypracovaly samostatně orgány a instituce Unie společně s členskými státy. (24)Úzká spolupráce mezi orgány a institucemi Unie, jakož i velké množství součinností mezi nimi znamená sdílení velkého množství informací. V zájmu bezpečnosti utajovaných informací by měla být před nakládáním s utajovanými informacemi EU a jejich uchováváním posouzena důvěryhodnost konkrétního orgánu nebo instituce Unie. (25)Sdílení utajovaných informací EU mezi orgány a institucemi Unie a výměna utajovaných informací s mezinárodními organizacemi a třetími zeměmi by měla být rovněž upravena vhodnými bezpečnostními opatřeními na ochranu těchto informací. Pokud se předpokládají dohody o bezpečnosti informací, měla by se použít ustanovení článku 218 Smlouvy. (26)Dohody o bezpečnosti informací mají zajistit celkový právní rámec pro výměnu utajovaných informací Unie s třetími zeměmi a mezinárodními organizacemi, přičemž je rovněž nezbytné umožnit orgánům a institucím Unie uzavírat správní ujednání s konkrétním protějškem z třetí země nebo z mezinárodní organizace za účelem výměny utajovaných informací EU. (27)Toto nařízení stanoví rámec společný pro všechny orgány a instituce Unie. Aby se zabránilo nadměrné administrativní zátěži pro orgány a instituce Unie během procesu, kdy se jejich vnitřní bezpečnostní pravidla přizpůsobují pravidlům stanoveným tímto nařízením, mělo by se toto nařízení použít po dvou letech od svého vstupu v platnost.

(28)V souladu s body 22 a 23 interinstitucionální dohody ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů by Komise měla toto nařízení vyhodnotit s cílem posoudit jeho skutečné účinky a potřebu dalších opatření. Komise by měla nejpozději do tří let ode dne použitelnosti tohoto nařízení předložit Evropskému parlamentu a Radě zprávu o provádění tohoto nařízení. (29)V souladu s článkem 42 nařízení Evropského parlamentu a Rady (EU) 2018/1725 byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne …, PŘIJALY TOTO NAŘÍZENÍ: Kapitola 1

Obecná ustanovení Článek 1 Předmět 1.Toto nařízení stanoví pravidla pro bezpečnost informací pro všechny orgány a instituce Unie. Článek 2 Oblast působnosti 1.Toto nařízení se vztahuje na všechny informace, s nimiž nakládají a které uchovávají orgány a instituce Unie, včetně informací týkajících se činností Evropského společenství pro atomovou energii, s výjimkou utajovaných informací Euratomu. 2.Vztahuje se na tyto stupně důvěrnosti informací: a)tři stupně neutajovaných informací: veřejné použití, běžné a citlivé neutajované informace; b)čtyři stupně utajovaných informací EU: RESTREINT UE / EU RESTRICTED, CONFIDENTIEL UE / EU CONFIDENTIAL, SECRET UE / EU SECRET, TRES SECRET UE / EU TOP SECRET. 3.Tyto stupně se určují na základě škody, kterou může neoprávněné vyzrazení způsobit legitimním soukromým a veřejným zájmům, včetně zájmů Unie, orgánů a institucí Unie a členských států nebo jiných zúčastněných stran, a podle těchto stupňů se uplatňují vhodná ochranná opatření. Článek 3 Definice Pro účely tohoto nařízení se rozumí: a)„informacemi“ veškeré údaje v ústní, vizuální, elektronické, magnetické nebo fyzické podobě nebo ve formě materiálu, zařízení nebo technologie, včetně rozmnoženin, překladů a materiálů v procesu vývoje; b)„bezpečností informací“ zajištění autenticity, dostupnosti, důvěrnosti, integrity a nepopiratelnosti informací; c)„nakládáním“ s informacemi veškeré možné činnosti, jejichž předmětem mohou informace být během celého svého životního cyklu; zahrnuje jejich vytváření, shromažďování, evidenci, přidělení stupně utajení, zpracovávání, zobrazení, konzultování, přenášení, přenos, snížení a zrušení jejich stupně utajení, archivaci a ničení;

d)„uchováváním“ uložení informací na jakémkoli médiu s cílem zajistit jejich dostupnost pro budoucí použití; e)„orgány a institucemi Unie“ orgány, instituce a jiné subjekty Unie zřízené Smlouvou o Evropské unii, Smlouvou o fungování Evropské unie, Smlouvou o založení Evropského společenství pro atomovou energii nebo legislativním aktem nebo na jejich základě; f)„utajovanými informacemi Euratomu“ informace ve smyslu nařízení Rady Evropského společenství pro atomovou energii č. 3/1958; g)„bezpečnostním orgánem“ bezpečnostní funkce každého orgánu a instituce Unie určená v souladu s jeho jednacím řádem nebo zřizovacím aktem; h)„procesem řízení rizik v oblasti bezpečnosti informací“ celý proces rozpoznávání, kontrolování a minimalizace problematických událostí, které mohou ovlivnit bezpečnost organizace nebo systémů, které používá; zahrnuje všechny činnosti týkající se rizik, včetně hodnocení, řešení, přijetí a sdělování; i)„aktivem“ cokoli s významem pro orgán nebo instituci Unie, jejich činnosti a kontinuitu, včetně informačních zdrojů podporujících jejich poslání; j)„bezpečnostními provozními směrnicemi“ soubor zdokumentovaných postupů uvedených v příloze III pro provoz zabezpečené oblasti, komunikačního a informačního systému nebo jiného zařízení nebo služby související s bezpečností k zajištění jejich účinnosti; k)„komunikačním a informačním systémem“ jakýkoliv systém, který umožňuje nakládání s informacemi a jejich uchovávání v elektronickém formátu, včetně všech aktiv potřebných pro jeho provoz; l)„zabezpečením informací“ jistota, že komunikační a informační systémy ochrání informace, s nimiž nakládají a které uchovávají, a že budou fungovat správně tak, jak mají, když jsou zapotřebí, pod dohledem oprávněných uživatelů, přičemž zároveň zajistí příslušnou míru autenticity, dostupnosti, důvěrnosti, integrity a nepopiratelnosti; m)„akreditací“ formální oprávnění orgánu pro bezpečnostní akreditaci, aby komunikační a informační systém zpracoval nebo aby zabezpečená oblast uchovala předem stanový stupeň utajovaných informací EU; n)„akreditačním řízením“ kroky a úkoly požadované před akreditací; o)„bezpečnostními opatřeními TEMPEST“ opatření na ochranu jakéhokoliv komunikačního a informačního systému, který nakládá s informacemi a uchovává informace se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, před ohrožením těchto informací neúmyslným elektromagnetickým vyzařováním; p)„CERT-EU“ skupina pro reakci na počítačové hrozby v orgánech, institucích a jiných subjektech EU ve smyslu nařízení Evropského parlamentu a Rady (EU) […], kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie; q)„incidentem v oblasti bezpečnosti informací“ jakákoli událost, která by mohla ohrozit autenticitu, dostupnost, důvěrnost, integritu nebo nepopiratelnost uložených, předávaných nebo zpracovávaných informací; r)„potřebou znát“ nutnost, aby fyzická osoba měla přístup k určitým informacím, s nimiž nakládá nebo které uchovává orgán nebo instituce Unie, aby mohla plnit úkoly daného orgánu nebo instituce Unie; s)„nulovou důvěrností“ bezpečnostní model, soubor zásad návrhu systému a koordinovaná strategie kybernetické bezpečnosti a řízení systému založená na uznání existence hrozeb uvnitř tradičních hranic sítě i mimo ně; t)„označením“ štítek, který je použit na informace, aby bylo zajištěno, že jsou uplatňována vhodná bezpečnostní opatření; u)„bezpečnostním označením“ označení uvádějící stupeň důvěrnosti informací; v)„distribučním označením“ označení uvádějící zamýšlené příjemce informací v rámci orgánu nebo instituce Unie, které jsou původcem; w)„označením týkajícím se způsobilosti k předání“ označení uvádějící povolené příjemce, jimž jsou informace určeny mimo orgán nebo instituci Unie, které jsou původcem;

x)„vlastníkem systému“ osoba odpovědná za celkové pořízení, vývoj, integraci, úpravu, provoz, údržbu a vyřazení komunikačního a informačního systému z provozu; y)„bezpečnostní hrozbou pro informace“ událost či agens nebo činitel, u nichž lze důvodně očekávat nepříznivý dopad na bezpečnost informací v případě, že se na ně nebude nijak reagovat nebo se nad nimi nezíská kontrola; z)„zranitelností“ slabé místo, citlivost nebo vada aktiva, systému, procesu nebo kontroly, které mohou být zneužity pro účely jedné nebo několika hrozeb; aa)„rizikem“ možný nepříznivý účinek dané hrozby, že budou zneužita vnitřní a vnější zranitelná místa orgánu nebo instituce Unie nebo kteréhokoli ze systémů, jichž využívají, a dojde tak k poškození oprávněných veřejných a soukromých zájmů, přičemž se měří jako kombinace pravděpodobnosti výskytu hrozeb a jejich dopadu; ab)„zbytkovým rizikem“ riziko, které přetrvává i poté, co byla zavedena bezpečnostní opatření; ac)„hodnocením rizika“ rozpoznání hrozeb a zranitelných míst a provádění analýzy souvisejícího rizika, tj. analýzy pravděpodobnosti a dopadu; ad)„řešením rizika“ zmírnění, odstranění a omezení rizika (prostřednictvím vhodné kombinace technických, fyzických, organizačních nebo procedurálních opatření), přenesení rizika nebo monitorování rizika; ae)„evropským certifikátem kybernetické bezpečnosti“ certifikát ve smyslu čl. 2 bodu 11 nařízení (EU) 2019/881; af)„držitelem“ řádně oprávněná osoba, která jednoznačně potřebuje znát utajované informace a má v držení informaci vyžadující ochranu, a je tedy odpovědná za její ochranu; ag)„materiálem“ jakýkoli dokument, datový nosič nebo část technického zařízení či vybavení, ať vyhotovené, či v procesu zhotovování; ah)„utajovanými informacemi EU“ jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států; ai)„oprávněním k přístupu k utajovaným informacím EU“ rozhodnutí bezpečnostního orgánu o tom, že úředníkovi, jinému zaměstnanci nebo vyslanému národnímu odborníkovi orgánu nebo instituce Unie může být na stanovenou dobu udělen přístup k utajovaným informacím EU až do určitého stupně utajení; aj)„vnitrostátním bezpečnostním orgánem“ vládní orgán členského státu, který nese konečnou odpovědnost za bezpečnost utajovaných informací v daném členském státě; ak)„určeným bezpečnostním orgánem“ orgán členského státu (vnitrostátní bezpečnostní orgán nebo jakýkoli jiný příslušný orgán), který je odpovědný za poskytování pokynů a pomoci při provádění průmyslové bezpečnosti nebo při prověrkách, případně obojím; al)„bezpečnostním šetřením“ postupy šetření prováděné příslušným orgánem členského státu v souladu s jeho vnitrostátními právními předpisy za účelem získání záruky, že nejsou známy žádné negativní skutečnosti, které by bránily tomu, aby byla určité osobě udělena bezpečnostní prověrka až do určitého stupně utajení (CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího); am)„fyzickou bezpečností“ uplatňování fyzických, technických a organizačních opatření na prostory, budovy, místnosti, kanceláře nebo zařízení orgánu nebo instituce Unie, která vyžadují ochranu před neoprávněným přístupem k informacím, s nimiž se tam nakládá, jsou tam uchovávány nebo se tam o nich jedná; an)„pracovišti“ prostory, budovy, místnosti, kanceláře nebo zařízení orgánu nebo instituce Unie; ao)„hloubkovou obranou“ druh bezpečnosti, který využívá několik nezávislých úrovní bezpečnostních kontrol k zajištění toho, že v případě selhání jedné z nich bude fungovat jiná; ap)„kryptografickými materiály“ šifrovací algoritmy, hardwarové a softwarové kryptografické moduly a prostředky, včetně prováděcích pravidel a související dokumentace, a klíčový materiál; aq)„kryptografickým prostředkem“ prostředek, jehož primární a hlavní funkcí je zajištění bezpečnostních služeb (autenticita, dostupnost, důvěrnost, integrita a nepopiratelnost) prostřednictvím jednoho či více kryptografických mechanismů;

ar)„původcem“ orgán nebo instituce Unie, členský stát, třetí země nebo mezinárodní organizace, z jejichž pověření byly utajované informace vytvořeny nebo uvedeny do struktur Unie; as)„dokumentem“ jakýkoli obsah na jakémkoli nosiči (papírovém, elektronickém, magnetickém nebo jiném), a to v písemné podobě, v elektronickém formátu nebo jako vizuální nebo audiovizuální nahrávka; at)„evidencí z bezpečnostních důvodů“ uplatňování postupů, kterými se zaznamenává životní cyklus daného materiálu, včetně jeho distribuce a zničení; au)„zrušením stupně utajení“ odstranění veškerých stupňů utajení; av)„snížením stupně utajení“ označení informace nižším stupněm utajení; aw)„utajovanou smlouvou“ rámcová smlouva nebo smlouva podle nařízení Evropského parlamentu a Rady (EU, Euratom) 2018/1046, kterou uzavírá orgán nebo instituce Unie s určitým dodavatelem na dodání movitého nebo nemovitého majetku, provedení prací nebo poskytnutí služeb, jejichž plnění vyžaduje nebo zahrnuje nakládání s utajovanými informacemi EU, včetně jejich vytváření a uchovávání; ax)„utajovanou grantovou dohodou“ dohoda, na jejímž základě orgán nebo instituce Unie udělí grant uvedený v hlavě VIII nařízení (ES, Euratom) 2018/1046, a jejíž plnění vyžaduje nebo zahrnuje nakládání s utajovanými informacemi EU, včetně jejich vytváření a uchovávání; ay)„utajovanou subdodavatelskou smlouvou“ smlouva mezi dodavatelem nebo příjemcem z orgánu či instituce Unie se subdodavatelem o dodání movitého nebo nemovitého majetku, provedení prací nebo poskytnutí služeb, jejichž plnění vyžaduje nebo zahrnuje nakládání s utajovanými informacemi EU, včetně jejich vytváření a uchovávání; az)„bezpečnostními pokyny k programu nebo projektu“ seznam bezpečnostních postupů, které se uplatňují u konkrétního programu nebo projektu s cílem standardizovat bezpečnostní postupy; ba)„seznamem bezpečnostních požadavků“ soubor zvláštních smluvních podmínek vydaný zadavatelem nebo poskytovatelem grantu, který je nedílnou součástí kterékoli utajované smlouvy nebo grantové dohody, jejichž plnění vyžaduje přístup k utajovaným informacím EU nebo jejich vytváření, a který stanoví bezpečnostní požadavky nebo části smlouvy nebo grantu vyžadující bezpečnostní ochranu; bb)„příručkou pro stanovování stupně utajení“ dokument popisující prvky programu, projektu, smlouvy nebo grantové dohody, které jsou utajované, přičemž stanoví použitelné stupně utajení. Článek 4 Obecné zásady 1.Každý orgán a instituce Unie odpovídá za provádění ustanovení tohoto nařízení v rámci své organizace s přihlédnutím k vlastnímu procesu řízení rizik v oblasti bezpečnosti informací. 2. Nedodržení tohoto nařízení, zejména neoprávněné zveřejnění informací se stupni utajení uvedenými v čl. 2 odst. 2, s výjimkou informací pro veřejné použití, podléhá vyšetřování a může vést k osobní odpovědnosti v souladu se Smlouvami nebo příslušnými služebními předpisy. 3.Orgány a instituce Unie posoudí veškeré informace, s nimiž nakládají a které uchovávají, s cílem zařadit je do kategorií v souladu se stupni důvěrnosti uvedenými v čl. 2 odst. 2. 4.Orgány a instituce Unie určí bezpečnostní potřeby všech informací, s nimiž nakládají a které uchovávají, s přihlédnutím k těmto hlediskům: a)autenticita: záruka, že informace jsou autentické a z důvěryhodných zdrojů; b)dostupnost: přístupnost a použitelnost informací na žádost oprávněného subjektu; c)důvěrnost: nezpřístupnění informací neoprávněným osobám, subjektům nebo procesům;

d)integrita: skutečnost, že informace jsou úplné a úplnost informací je nezměněna; e)nepopiratelnost: schopnost prokázat zpětně jednání či událost tak, aby dané jednání či událost nemohly být následně popřeny. 5.U každého komunikačního a informačního systému, za který odpovídají, určí orgány a instituce Unie nejvyšší stupeň důvěrnosti, na kterém mohou tyto komunikační a informační systémy nakládat s informacemi a uchovávat je, provedou posouzení rizik týkající se bezpečnosti informací a pravidelně sledují bezpečnostní potřeby a správné provádění určených ochranných opatření. 6.Všechny orgány a instituce Unie poskytují školení a osvětovou činnost týkající se toho, jak s neutajovanými informacemi a utajovanými informacemi EU nakládat a uchovávat je. Orgány a instituce Unie, které nakládají s utajovanými informacemi EU a uchovávají je, organizují nejméně jednou za pět let povinné školení pro všechny osoby oprávněné k přístupu k utajovaným informacím EU. Dotčené orgány a instituce Unie organizují zvláštní školení pro konkrétní funkce pověřené úkoly v oblasti bezpečnosti informací. Orgán nebo instituce Unie může tuto odbornou přípravu a osvětovou činnost koordinovat s jinými orgány a institucemi Unie. Článek 5 Proces řízení rizik v oblasti bezpečnosti informací 1.Každý orgán a instituce Unie zavede proces řízení rizik v oblasti bezpečnosti informací na ochranu informací, s nimiž nakládá a které uchovává. 2.Proces řízení rizik v oblasti bezpečnosti informací zahrnuje tyto kroky: a)určení hrozeb a zranitelnosti; b)posouzení rizika; c)řešení rizika; d)přijetí rizika; e)sdělování rizika. 3.Proces řízení rizik v oblasti bezpečnosti informací zohlední všechny činitele významné pro dotčený orgán nebo instituci, zejména: a)stupeň důvěrnosti informací a související právní povinnosti; b)formu a množství informací a zařízení nebo komunikačních a informačních systémů, v nichž se s informacemi nakládá a kde se uchovávají; c)osoby, které mají přístup k informacím na pracovištích nebo na dálku; d)okolní prostředí a uspořádání budov nebo prostor, v nichž se informace uchovávají;

e)hrozby namířené proti Unii, orgánům a institucím Unie nebo členským státům, které vyplývají z kybernetických útoků, útoků v dodavatelském řetězci, špionáže, sabotáže, teroristické, podvratné nebo jiné trestné činnosti; f)kontinuitu činností a obnovu po havárii; g)případně výsledky inspekcí, auditů nebo hodnoticích návštěv. Kapitola 2

Řízení a organizace bezpečnosti Článek 6 Interinstitucionální koordinační skupina pro bezpečnost informací 1.Zřizuje se interinstitucionální koordinační skupina pro bezpečnost informací (dále jen „koordinační skupina“). Skládá se ze všech bezpečnostních orgánů v rámci orgánů a institucí Unie a má mandát vymezit jejich společnou politiku v oblasti bezpečnosti informací. 2.Koordinační skupina na základě souhlasu a ve společném zájmu všech orgánů a institucí Unie: a)přijímá svůj jednací řád a roční společné cíle a priority; b)přijímá rozhodnutí o zřízení tematických podskupin a o jejich mandátu; c)ve vhodných případech vypracovává pokyny k provádění tohoto nařízení, a to ve spolupráci s interinstitucionálním výborem pro kybernetickou bezpečnost uvedeným v článku 9 nařízení EU […], kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie; d)zřizuje specializované platformy pro sdílení osvědčených postupů a znalostí o společných tématech týkajících se bezpečnosti informací, jakož i pro poskytování pomoci v případě bezpečnostních incidentů v oblasti informací; e)zajišťuje, aby bezpečnostní opatření byla v případě potřeby koordinována s příslušnými vnitrostátními bezpečnostními orgány za účelem ochrany utajovaných informací EU. 3.Koordinační skupina jmenuje ze svých členů předsedu a dva místopředsedy, a to na období tří let. 4.Koordinační skupina se schází nejméně jednou ročně z podnětu svého předsedy nebo na žádost orgánu či instituce Unie. 5.Koordinační skupina má správní podporu stálého sekretariátu, který zajišťuje Komise. 6.V koordinační skupině a případně v tematických podskupinách je náležitě zastoupen každý orgán nebo instituce Unie. 7.Orgány a instituce Unie upozorní koordinační skupinu na jakýkoli významný vývoj politik v oblasti bezpečnosti informací v rámci své organizace. 8.Koordinační skupině je při plnění úkolů uvedených v odst. 2 písm. e) nápomocen Výbor pro bezpečnost informací. Tento výbor se skládá z jednoho zástupce z každého vnitrostátního bezpečnostního orgánu a předsedá mu zástupce sekretariátu koordinační skupiny uvedené v odstavci 5. Výbor pro bezpečnost informací má poradní úlohu.

Článek 7 Tematické podskupiny 1.Koordinační skupina zřídí následující stálé tematické podskupiny s cílem usnadnit provádění tohoto nařízení: a)podskupinu pro zabezpečení informací; b)podskupinu pro neutajované informace; c)podskupinu pro fyzickou bezpečnost; d)podskupinu pro akreditaci komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je; e)podskupinu pro sdílení utajovaných informací EU a výměnu utajovaných informací. 2.V případě potřeby může koordinační skupina zřídit podskupiny ad hoc pro konkrétní úkol a na omezenou dobu. 3.Není-li v jejich mandátu stanoveno jinak, jsou podskupiny založeny na otevřeném členství zastupujícím dotčený orgán nebo instituci Unie. Členy podskupin jsou odborníci v příslušné oblasti působnosti. 4.Sekretariát koordinační skupiny uvedený v čl. 5 odst. 5 podporuje práci všech podskupin a zajišťuje komunikaci mezi jejími členy. Článek 8 Organizace bezpečnosti 1.Každý orgán a instituce Unie určí bezpečnostní orgán, který převezme povinnosti stanovené tímto nařízením a případně jeho vnitřními bezpečnostními pravidly. Při plnění svých úkolů má každý bezpečnostní orgán podporu útvaru nebo úředníka pověřeného úkoly v oblasti bezpečnosti informací. 2.V případě potřeby přijme bezpečnostní orgán každé instituce a orgánu Unie vnitřní prováděcí pravidla pro ochranu informací v souladu s jejich zvláštním posláním, kterým je pověřilo právo EU, a na základě jejich institucionální autonomie. 3.V příslušných případech plní každý bezpečnostní orgán rovněž tyto funkce: a)orgán pro zabezpečení informací pověřený vypracováním bezpečnostních politik a bezpečnostních pokynů pro zabezpečení informací a sledováním jejich účinnosti a vhodnosti; b)provozní orgán pro zabezpečení informací odpovědný za vypracování bezpečnostní dokumentace, zejména bezpečnostních provozních směrnic a kryptografického plánu v rámci akreditačního řízení pro komunikační a informační systémy; c)orgán pro bezpečnostní akreditaci odpovědný za akreditaci zabezpečených oblastí a komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je; d)orgán TEMPEST odpovědný za schvalování opatření přijatých na ochranu před ohrožením utajovaných informací EU prostřednictvím neúmyslného elektromagnetického vyzařování;

e)schvalovací orgán pro kryptografickou ochranu odpovědný za schvalování používání šifrovacích technologií na základě žádosti vlastníka systému; f)orgán pro distribuci kryptografických materiálů odpovědný za distribuci kryptografických materiálů používaných k ochraně utajovaných informací EU (šifrovací zařízení, kryptografické klíče, certifikáty a související autentizační přístroje) dotčeným uživatelům. 4.Odpovědnost za jednu nebo více z funkcí uvedených v odstavci 3 lze přenést na jiný orgán nebo instituci Unie vždy, když decentralizované zajišťování bezpečnosti přinese významné úspory z hlediska účinnosti, zdrojů nebo času. Kapitola 3

Zabezpečení informací a komunikační a informační systémy Článek 9 Zásady zabezpečení informací 1.Posouzení potřeb v oblasti bezpečnosti informací se zohlední u všech komunikačních a informačních systémů, včetně interních, externě zajišťovaných a hybridních komunikačních a informačních systémů, a to od počátku jejich vytváření nebo ve fázi zadávání veřejných zakázek. 2.Každý komunikační a informační systém, který nakládá s utajovanými informacemi EU a uchovává je, musí být akreditován v souladu s kapitolou 5 oddílem 5. Každý komunikační a informační systém, který nakládá s citlivými neutajovanými informacemi a uchovává je, musí splňovat minimální požadavky na citlivé neutajované informace v komunikačních a informačních systémech stanovené v kapitole 4. Článek 10 Podskupina pro zabezpečení informací 1.Podskupina pro zabezpečení informací uvedená v čl. 7 odst. 1 písm. a) má tyto úkoly a povinnosti: a)poskytování pokynů a osvědčených postupů týkajících se označování informací, nakládání s informacemi a jejich uchovávání v komunikačních a informačních systémech v úzké spolupráci s interinstitucionálním výborem pro kybernetickou bezpečnost uvedeným v článku 9 nařízení EU [XXX], kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie; b)vytvoření systému metadat pro označování a všechny nezbytné technické informace s cílem přispět k interoperabilní a bezproblémové výměně informací mezi orgány a institucemi Unie při propojování jejich příslušných komunikačních a informačních systémů; c)přispívání k soudržnosti mezi pravidly pro bezpečnost informací a výchozí úrovní kybernetické bezpečnosti ve všech orgánech a institucích Unie, jak je uvedeno v článku 5 nařízení EU [XXX], kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie. Článek 11 Požadavky na komunikační a informační systémy 1.Orgány a instituce Unie informují uživatele o stupni důvěrnosti informací, se kterými lze nakládat nebo mohou být uchovávány v komunikačním a informačním systému. Pokud komunikační a informační systém nakládá s informacemi a uchovává je na různém stupni důvěrnosti, použijí se metadata a vizuální označení, aby se zajistilo rozlišení těchto různých stupňů. 2.Orgány a instituce Unie identifikují uživatele komunikačních a informačních systémů před tím, než jim udělí přístup k jednotlivým stupňům důvěrnosti, s výjimkou veřejného použití. Uživatelé musí být ověřeni na takové úrovni zabezpečení, která odpovídá stupni důvěrnosti. V případě potřeby se použije bezpečný společný identifikační systém. 3.Pro všechny komunikační a informační systémy jsou vedeny odpovídající bezpečnostní protokoly s cílem zajistit rychlé vyšetření v případě porušení zabezpečení nebo úniku informací. Tyto protokoly se uchovávají po dobu stanovenou v posouzení obchodního dopadu nebo v příslušných bezpečnostních politikách, a to nezpochybnitelným způsobem. Pokud komunikační a informační systém nakládá s utajovanými informacemi EU a uchovává je, protokoly týkající se potřeby znát informace a přístupu k informacím se uchovávají, dokud není stupeň utajení těchto informací zrušen. Bezpečnostní protokoly umožňují, aby se v nich vyhledávalo, a má k nim přístup bezpečnostní orgán.

4.Orgány a instituce Unie přijmou vnitřní pravidla pro bezpečnost komunikačních a informačních systémů s cílem stanovit vhodná bezpečnostní opatření v souladu s bezpečnostními potřebami informací, s nimiž má být nakládáno a které se mají uchovávat, a s přihlédnutím k jurisdikcím, v nichž jsou informace uchovávány, jimž jsou předávány a kde je s nimi nakládáno. Tato opatření případně zahrnují: a)omezení zeměpisné polohy; b)zvážení možných střetů zájmů, bojkotů nebo sankcí týkajících se dodavatelů; c)smluvní ustanovení k zajištění bezpečnosti informací; d)šifrování informací v klidu a při přenosu; e)omezení dostupnosti informací v orgánech a institucích Unie ze strany pracovníků dodavatele; f)ochranu osobních údajů v souladu s platnými právními předpisy o ochraně údajů. 5.Orgány a instituce Unie spravují své komunikační a informační systémy v souladu s těmito zásadami: a)každý komunikační a informační systém má vlastníka systému nebo provozní orgán pro zabezpečení informací, který je odpovědný za jeho bezpečnost; b)musí být proveden proces řízení rizik v oblasti bezpečnosti informací, který se týká hledisek bezpečnosti informací; c)bezpečnostní požadavky a bezpečnostní provozní směrnice jsou formálně vymezeny, prováděny, kontrolovány a přezkoumávány; d)incidenty v oblasti bezpečnosti informací jsou formálně zaznamenávány a sledovány v souladu s nařízením EU [XXX], kterým se stanoví opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti v orgánech, institucích a jiných subjektech Unie. Kapitola 4

Neutajované informace Článek 12 Informace pro veřejné použití 1.Informace určené pro veřejné použití nebo úřední zveřejnění nebo již zpřístupněné, které mohou být bez omezení sdíleny v rámci orgánů a institucí Unie nebo mimo ně, jsou kategorizovány jako informace pro veřejné použití a takto se s nimi nakládá a uchovávají se. 2.Orgány a instituce Unie mohou informace uvedené v odstavci 1 opatřit označením „PUBLIC USE“. 3.Všechny orgány a instituce Unie zajistí integritu a dostupnost informací k veřejnému použití vhodnými opatřeními, která vycházející z jejich bezpečnostních potřeb. Článek 13 Běžné informace

1.Informace určené pro použití orgánem nebo institucí Unie při výkonu jejich funkcí, které nejsou citlivými neutajovanými informacemi ani informacemi pro veřejné použití, se kategorizují jako běžné informace a takto se s nimi i nakládá a jsou tak i uchovávány. Tato kategorie zahrnuje veškeré běžné pracovní informace zpracovávané v dotčeném orgánu nebo instituci Unie. 2.Běžné informace mohou být označeny vizuálně nebo v metadatech, je-li to nezbytné k zajištění jejich ochrany, zejména pokud jsou sdíleny mimo orgány a instituce Unie. V tom případě se použije označení „EU NORMAL“ nebo „název nebo zkratka orgánu nebo instituce Unie NORMAL“ (upraví se případ od případu). 3.Orgány a instituce Unie stanoví standardní ochranná opatření pro běžné informace s přihlédnutím k pokynům podskupiny pro neutajované informace a k veškerým specifickým rizikům, která souvisejí s jejich úkoly a činnostmi. 4.Běžné informace se vyměňují mimo orgány a instituce Unie pouze s fyzickými nebo právnickými osobami na základě potřeby tyto informace znát. Článek 14 Citlivé neutajované informace 1.Orgány a instituce Unie kategorizují jako citlivé neutajované informace, a budou s nimi i takto nakládat a uchovávat je, veškeré informace, které nejsou utajované, ale které musí chránit z důvodu právních povinností nebo z důvodu újmy, která může být způsobena oprávněným soukromým nebo veřejným zájmům, včetně zájmů orgánů nebo institucí Unie, členských států nebo osob tím, že budou neoprávněně zveřejněny. 2.Každý orgán a instituce Unie identifikuje citlivé neutajované informace pomocí viditelného bezpečnostního označení a určí odpovídající pokyny pro nakládání s nimi v souladu s přílohou I. 3.Orgány a instituce Unie chrání citlivé neutajované informace použitím vhodných opatření pro nakládání s nimi a jejich uchovávání. Tyto informace mohou být v rámci orgánů a institucí Unie zpřístupněny pouze osobám s potřebou tyto informace znát za účelem plnění svěřených úkolů. 4.Citlivé neutajované informace se mimo orgány a instituce Unie vyměňují pouze s fyzickými a právnickými osobami, které potřebují tyto informace znát, přičemž dodrží pokyny pro nakládání s informacemi k nim připojené. Všechny zúčastněné strany musí být informovány o příslušných pokynech, jak s informacemi nakládat. Článek 15 Ochrana neutajovaných informací a interoperabilita 1.Orgány a instituce Unie stanoví postupy pro hlášení a řízení každého incidentu nebo podezření na incident, který by mohl vést k ohrožení bezpečnosti neutajovaných informací. 2.V případě potřeby používají orgány a instituce Unie označení stanovená v článcích 12, 13 a 14. Výjimečně lze použít interně a ve vztahu ke konkrétním protějškům jiná rovnocenná označení od jiných orgánů a institucí Unie nebo členských států, pokud se na tom všechny strany dohodnou. Tato výjimka se oznámí podskupině pro neutajované informace uvedené v čl. 7 odst. 1 písm. b). 3.Stanoví se smluvní záruky s cílem zajistit ochranu běžných a citlivých neutajovaných informací, které zpracovávají externí útvary. Tyto záruky musí být koncipovány tak, aby zaručovaly úroveň ochrany přinejmenším rovnocennou úrovni ochrany poskytované tímto nařízením, přičemž mezi ně patří závazky týkající se důvěrnosti a nezveřejňování informací, které podepíší všichni příslušní poskytovatelé služeb, kteří se podílejí na poskytování externích systémů. Článek 16 Podskupina pro neutajované informace 1.Podskupina pro neutajované informace uvedená v čl. 7 odst. 1 písm. b) má tyto úkoly a povinnosti: a)zjednodušení postupů týkajících se nakládání s neutajovanými informacemi a jejich uchovávání a vypracování příslušných pokynů; b)koordinace s podskupinou pro zabezpečení informací uvedenou v čl. 7 odst. 1 písm. a) v záležitostech týkajících se systémů, které nakládají s neutajovanými informacemi a uchovávají je;

c)vypracování pokynů pro nakládání s různými úrovněmi důvěrnosti neutajovaných informací; d)pomoc orgánům a institucím Unie při určování rovnocennosti mezi jejich konkrétními kategoriemi neutajovaných informací a kategoriemi stanovenými v článcích 12, 13 a 14; e)usnadnění sdílení neutajovaných informací mezi orgány a institucemi Unie poskytováním pomoci a pokynů. Článek 17 Nakládání s citlivými neutajovanými informacemi a jejich uchovávání v komunikačních a informačních systémech 1.Orgány a instituce Unie zajistí, aby komunikační a informační systémy splňovaly při nakládání s citlivými neutajovanými informacemi a jejich uchovávání tyto minimální požadavky: a)pro přístup k citlivým neutajovaným informacím se zavede silná autentizace a citlivé neutajované informace se při přenosu a uchovávání zašifrují; b)za šifrovací klíče používané pro uchovávání odpovídá orgán nebo instituce Unie odpovědné za provoz komunikačního a informačního systému; c)citlivé neutajované informace se uchovávají a zpracovávají v Unii; d)smluvní ustanovení týkající se bezpečnosti zaměstnanců, aktiv a informací musí být zahrnuta do všech smluv o externím zajišťování činnosti; e)interoperabilní metadata se používají k zaznamenávání stupně důvěrnosti elektronických dokumentů a k usnadnění automatizace bezpečnostních opatření; f)orgány a instituce Unie provádějí opatření k zabránění úniků údajů a jejich odhalování za účelem ochrany citlivých neutajovaných informací; g)použije se bezpečnostní vybavení s evropským certifikátem kybernetické bezpečnosti, je-li k dispozici; h)provádění bezpečnostních opatření na základě zásad potřeby znát informace a nulové důvěrnosti s cílem minimalizovat přístup poskytovatelů služeb a dodavatelů k citlivým neutajovaným informacím. 2.Každá odchylka od minimálních požadavků stanovených v odstavci 1 je podmíněna schválením na příslušné úrovni vedení dotčeného orgánu nebo instituce Unie na základě posouzení rizik, které se týká právních a technických rizik pro bezpečnost citlivých neutajovaných informací. 3.Orgán pro zabezpečení informací příslušného orgánu nebo instituce Unie může kdykoli během životního cyklu komunikačního a informačního systému zkontrolovat dodržování zásad stanovených v odstavci 1. Kapitola 5

Utajované informace EU Oddíl 1

Obecná ustanovení Článek 18 Stupně utajení a označení

1.Utajované informace EU se utajují na jednom z těchto stupňů a označují se takto: a)TRES SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Unie nebo jednoho či více členských států; b)SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Unie nebo jednoho či více členských států; c)CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Unie nebo jednoho či více členských států; d)RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Unie nebo jednoho či více členských států. 2.Koordinační skupina přijme pokyny týkající se vytváření a klasifikace utajovaných informací EU. Článek 19 Vhodnost nakládání s utajovanými informacemi EU a jejich uchovávání 1.Kterýkoliv orgán a instituce Unie může nakládat s utajovanými informacemi EU a uchovávat je, jsou-li splněny tyto podmínky: a)v souladu s tímto nařízením stanoví pravidla a postupy zajišťující ochranu informací pro daný stupeň utajení a b)orgán nebo instituce absolvovaly hodnoticí návštěvu v souladu s článkem 53 a následně bylo potvrzeno, že jsou schopny chránit utajované informace EU v souladu s tímto nařízením a případně s veškerými dalšími příslušnými pravidly a postupy. 2.Podmínky stanovené v odstavci 1 se považují za automaticky splněné členy podskupiny pro sdílení a výměnu utajovaných informací EU uvedené v čl. 7 odst. 1 písm. e). Článek 20 Ochrana utajovaných informací EU 1.Držitel jakékoli utajované informace EU je odpovědný za její ochranu. 2.Pokud členské státy poskytnou do struktur či sítí orgánu nebo instituce Unie utajované informace označené vnitrostátním stupněm utajení, tento orgán nebo instituce tyto informace ochrání v souladu s odpovídajícím označením stupně utajení, který je stanoven v Dohodě mezi členskými státy Evropské unie zasedajícími v Radě o ochraně utajovaných informací vyměňovaných v zájmu Evropské unie. Odpovídající srovnávací tabulka je uvedena v příloze VI tohoto nařízení. 3.Soubor shromážděných utajovaných informací EU může být důvodem pro úroveň ochrany odpovídající vyššímu stupni utajení než v případě jednotlivých složek takového souboru. Článek 21 Proces řízení rizik v oblasti bezpečnosti utajovaných informací EU 1.Bezpečnostní orgán každého orgánu a instituce Unie schvaluje bezpečnostní opatření na ochranu utajovaných informací EU během celého jejich životního cyklu v souladu s výsledkem posouzení rizik provedeným příslušným orgánem nebo institucí Unie.

2.Bezpečnostní opatření přijatá každým orgánem a institucí Unie musí být přiměřená stupni utajení informací, se kterými se nakládá a které se uchovávají, podobě a objemu informací a umístění a ochranným vlastnostem zařízení, kde se s utajovanými informacemi EU nakládá a jsou uchovávány, a na místě vyhodnocené hrozbě zlovolných nebo trestných činností. 3.Všechny orgány a instituce Unie stanoví: a)pohotovostní plány s cílem zajistit bezpečnost utajovaných informací EU během mimořádných situací; b)plány zajištění kontinuity provozu zahrnující preventivní a nápravná opatření, která minimalizují dopad velkých selhání nebo bezpečnostních incidentů na nakládání s utajovanými informacemi EU a na jejich uchovávání. Článek 22 Narušení bezpečnosti a ohrožení utajovaných informací EU 1.Jednání nebo opomenutí určitého orgánu nebo instituce Unie nebo určité osoby, jež je v rozporu s tímto nařízením, se považuje za narušení bezpečnosti. 2.Utajované informace EU se považují za ohrožené, pokud byly v důsledku narušení bezpečnosti zcela nebo zčásti zpřístupněny jedné nebo více osobám, které nejsou oprávněny mít k těmto informacím přístup. 3.Jakékoli ohrožení utajovaných informací EU nebo podezření na něj se neprodleně oznámí bezpečnostnímu orgánu příslušného orgánu nebo instituce Unie, který provede bezpečnostní šetření a přijme alespoň tato opatření: a)informuje původce; b)zajistí, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědní; c)posoudí možnou škodu z hlediska zájmů Unie a členských států; d)přijme vhodná opatření, která zabrání opakování události; e)oznámí příslušným orgánům důsledky skutečného nebo možného ohrožení a přijatá opatření. Oddíl 2

Personální bezpečnost Článek 23 Základní zásady 1.Bezpečnostní orgán orgánu nebo instituce Unie může osobám umožnit přístup k utajovaným informacím EU, pokud jsou splněny všechny tyto podmínky: a)tyto osoby mají potřebu znát utajované informace; b)tyto osoby byly poučeny o bezpečnostních pravidlech a postupech na ochranu utajovaných informací EU a o souvisejících bezpečnostních standardech a pokynech, přičemž písemně uznaly své povinnosti ohledně ochrany těchto informací;

c)v případě utajovaných informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším byla osobám udělena bezpečnostní prověrka a získaly oprávnění pro odpovídající stupeň utajení. 2.Orgány a instituce Unie přihlížejí k loajalitě, důvěryhodnosti a spolehlivosti určité osoby zjištěné na základě bezpečnostního šetření, jež provádějí příslušné orgány členského státu, jehož je žadatel občanem nebo státním příslušníkem. 3.Orgány a instituce Unie mohou akceptovat bezpečnostní prověrky od třetích zemí a mezinárodních organizací, s nimiž Unie uzavřela dohodu o bezpečnosti informací. 4.Orgány a instituce Unie mohou řídit postupy prověřování samostatně nebo pro účely bezpečnostní prověrky usilovat o dohodu o úrovni služeb s Komisí. Je-li uzavřena dohoda o úrovni služeb, bezpečnostní orgán Komise je v souvislosti s otázkami bezpečnostní prověrky kontaktním místem mezi bezpečnostními kancelářemi dotčeného orgánu a instituce Unie a příslušnými vnitrostátními orgány členských států. 5.Bezpečnostní orgán každého orgánu a instituce Unie vede záznamy o svých bezpečnostních prověrkách, informativních schůzích, písemných potvrzeních a oprávněních pro přístup k utajovaným informacím EU. 6.Orgány a instituce Unie, které s Komisí uzavřou dohodu o úrovni služeb, zpřístupní příslušné záznamy bezpečnostnímu orgánu Komise, a to alespoň pokud jde o stupeň utajení utajovaných informací EU, k nimž může být dané osobě umožněn přístup, datum vydání bezpečnostního oprávnění pro přístup k utajovaným informacím EU a dobu jeho platnosti. Tyto záznamy jsou v odůvodněných případech přístupné ostatním orgánům a institucím Unie s dohodou o úrovni služeb. Článek 24 Oprávnění pro přístup k utajovaným informacím EU 1.Každý orgán a instituce Unie určí v rámci své organizace pozice, které k plnění povinností držitele vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším. 2.Pokud určitá osoba potřebuje mít oprávnění k přístupu k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, dotčený orgán nebo instituce informuje příslušný bezpečnostní orgán, který provede formality požadované v bodě 1 přílohy II. 3.Bezpečnostní orgán každého orgánu a instituce Unie odpovídá za udělování, pozastavení, zrušení a obnovení oprávnění pro přístup k utajovaným informacím EU pro své zaměstnance. 4.Za výjimečných okolností, je-li to řádně odůvodněno služebním zájmem, a až do dokončení bezpečnostního šetření v plném rozsahu může bezpečnostní orgán určitého orgánu nebo instituce Unie po ověření příslušným vnitrostátním bezpečnostním orgánem vydat osobám dočasné oprávnění pro přístup k utajovaným informacím EU pro konkrétní pozici, aniž by tím byla dotčena ustanovení o obnově oprávnění pro přístup k utajovaným informacím EU. 5.Orgány a instituce Unie dodržují postupy pro správu oprávnění k přístupu k utajovaným informacím EU stanovené v příloze II. Článek 25 Uznání oprávnění pro přístup k utajovaným informacím EU 1.Oprávnění k přístupu k utajovaným informacím EU až do stanoveného stupně utajení platí pro každý orgán nebo instituci Unie, k nimž daná osoba náleží. 2.Orgány a instituce Unie uznají oprávnění pro přístup k utajovaným informacím EU udělené jiným orgánem nebo institucí Unie. 3.Pokud držitel oprávnění pro přístup k utajovaným informacím EU nastoupí do zaměstnání v jiném orgánu nebo instituci Unie, oznámí tento orgán nebo instituce Unie příslušnému vnitrostátnímu bezpečnostnímu orgánu změnu zaměstnavatele prostřednictvím příslušného bezpečnostního orgánu. Článek 26

Informativní schůze o utajovaných informacích EU 1.Bezpečnostní orgán určitého orgánu nebo instituce Unie informuje všechny osoby, které potřebují přístup k utajovaným informacím EU, o veškerých bezpečnostních hrozbách a o jejich povinnosti oznámit jakoukoli podezřelou činnost. Informativní schůze se uskuteční před poskytnutím přístupu k jakýmkoli utajovaným informacím EU a poté nejméně každých pět let. 2.Po informativní schůzi uvedené v odstavci 1 všechny dotčené osoby písemně potvrdí, že pochopily své povinnosti týkající se ochrany utajovaných informací EU a důsledky ohrožení utajovaných informací EU. 3.Informativní schůze uvedená v odstavci 1 obsahuje tyto informace: a)každá osoba, která je odpovědná za porušení bezpečnostních pravidel stanovených v tomto nařízení, může být předmětem disciplinárních opatření v souladu s platnými pravidly a předpisy; b)každá osoba, která je odpovědná za ohrožení nebo ztrátu utajovaných informací EU, může být předmětem disciplinárních nebo právních opatření v souladu s platnými právními a správními předpisy. 4.Pokud osoby, kterým bylo poskytnuto oprávnění pro přístup k utajovaným informacím EU, tento přístup již nepožadují, orgány a instituce Unie zajistí, aby tyto osoby byly informovány o svých povinnostech týkajících se pokračující ochrany utajovaných informací EU a aby je případně písemně potvrdily. 5.Úkol vytvářet a řídit informativní schůze pro utajované informace EU mohou orgány a instituce Unie sdílet za předpokladu, že budou zohledněny jejich zvláštní požadavky. Oddíl 3

Fyzická bezpečnost Článek 27 Základní zásady 1.Každý orgán a instituce Unie stanoví vhodná opatření fyzické bezpečnosti pro svá pracoviště v souladu s přílohou III a zásadou hloubkové ochrany na základě posouzení rizik provedeného jejich bezpečnostním orgánem. Opatření zajistí tyto cíle: a)znemožnit přístup k utajovaným informacím EU nebo násilné vniknutí narušitele; b)odradit od neoprávněné činnosti a takové činnosti zabránit a odhalit ji a co nejdříve reagovat na bezpečnostní incidenty; c)umožnit oddělení pracovníků, pokud jde o jejich přístup k utajovaným informacím EU, na základě potřeby znát utajované informace a případně na základě bezpečnostní prověrky. 2.Orgány a instituce Unie zavedou opatření fyzické bezpečnosti pro všechna pracoviště, kde jsou utajované informace EU projednávány, uchovávány nebo je s nimi nakládáno, včetně oblastí, v nichž jsou umístěny komunikační a informační systémy uvedené v oddíle 5 této kapitoly. 3.K fyzické ochraně utajovaných informací EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším se použije pouze bezpečnostní vybavení schválené bezpečnostním orgánem orgánu nebo instituce Unie. 4.Orgány a instituce Unie mohou po uzavření dohody sdílet zabezpečené oblasti uvedené v příloze III pro nakládání s utajovanými informacemi EU a jejich uchovávání. Článek 28 Podskupina pro fyzickou bezpečnost

1.Podskupina pro fyzickou bezpečnost uvedená v čl. 7 odst. 1 písm. c) má tyto úkoly a povinnosti: a)příprava pokynů týkajících se otázek fyzické bezpečnosti; b)vymezení obecných bezpečnostních kritérií pro získávání zařízení, například bezpečnostních úschovných objektů, skartovacích přístrojů, dveřních zámků, elektronických systémů kontroly vstupu, systémů detekce narušení a poplašných systémů pro fyzickou ochranu utajovaných informací EU; c)pomoc orgánům a institucím Unie při určování vhodných bezpečnostních opatření pro jejich pracoviště; d)navržení náhradních opatření pro ochranu utajovaných informací EU, pokud je s utajovanými informacemi EU nakládáno mimo fyzicky chráněné oblasti orgánu a instituce Unie. Článek 29 Fyzická ochrana utajovaných informací EU 1.K zajištění fyzické ochrany utajovaných informací EU zřídí orgány a instituce Unie tyto fyzicky chráněné oblasti: a)administrativní oblasti uvedené v příloze III; b)případně zabezpečené oblasti, včetně oblastí kategorie I, kategorie II a technicky zabezpečených oblastí, jak je uvedeno v příloze III. 2.Bezpečnostní orgán dotčeného orgánu a instituce Unie provede vnitřní kontrolu s cílem ověřit, zda jsou splněny podmínky pro oblast, která má být zřízena jako administrativní oblast nebo zabezpečená oblast, jak je stanoveno v příloze III. Pokud z inspekční zprávy vyplývá, že podmínky jsou splněny, může bezpečnostní orgán vydat akreditaci pro zabezpečenou oblast za účelem ochrany utajovaných informací EU až do stanoveného stupně utajení na dobu nepřesahující pět let. Bezpečnostní orgán dotčeného orgánu nebo instituce Unie odpovídá za provedení opětovného akreditačního řízení pro své zabezpečené oblasti před skončením platnosti akreditace nebo v případě, že byly v akreditované oblasti provedeny změny. 3.Každý orgán a instituce Unie přijme postupy pro správu klíčů a nastavení kódů pro kanceláře, místnosti, trezorové místnosti a bezpečnostní úschovné objekty pro stupeň CONFIDENTIEL UE / EU CONFIDENTIAL a pro vyšší stupně. 4.Bezpečnostní orgán může povolit provádění prohlídek při vstupu a odchodu s cílem odradit od neoprávněného vnášení materiálů nebo neoprávněného vynášení utajovaných informací EU z pracovišť a odhalovat je. 5.Orgány a instituce Unie zavedou opatření pro fyzickou ochranu utajovaných informací EU v souladu s přílohou III. Oddíl 4

Správa utajovaných informací EU Článek 30 Základní zásady 1.Orgány a instituce Unie své dokumenty týkající se utajovaných informací EU zaznamenají, roztřídí, uchovají a případně odstraní nebo zčásti či zcela převedou do příslušných archivů v souladu s politikou uchovávání a pravidly specifickými pro spisy každého orgánu a instituce Unie. 2.Každý orgán a instituce Unie, které jsou původcem utajovaných informací EU, stanoví stupeň utajení těchto informací při jejich vytvoření a v souladu s čl. 18 odst. 1.

3.Orgány a instituce Unie jasně sdělí příjemcům stupeň utajení, a to buď označením stupně utajení, nebo oznámením, jsou-li informace poskytovány ústně. 4.Bezpečnostní opatření vztahující se na původní dokument se použijí i na návrhy, kopie a překlady těchto dokumentů. 5.Orgány a instituce Unie stanoví opatření pro správu utajovaných informací EU v souladu s přílohou IV. Článek 31 Vytváření utajovaných informací EU 2. Orgány a instituce Unie, s jejichž pověřením jsou utajované informace EU vytvářeny, zajistí, aby byly splněny tyto požadavky: a)na každé straně se jasně vyznačí příslušný stupeň utajení; b)každá strana se očísluje; c)na dokumentu se uvede referenční číslo, případně evidenční číslo a předmět, které samy o sobě nejsou utajovanými informacemi EU, pokud tak nejsou označeny; d)dokument obsahuje datum jeho vyhotovení; e)uvede se seznam všech příloh, pokud možno na první straně; f)na dokumentech se stupněm utajení SECRET UE / EU SECRET nebo vyšším, které mají být distribuovány ve více výtiscích, se na každé straně uvede číslo výtisku. Elektronické kopie, které jsou distribuovány mimo systém jejich držení, jsou opatřeny jedinečným identifikátorem založeným na elektronickém podpisu. Článek 32 Kontrola původcem 1.Orgán nebo instituce Unie, s jejichž pověřením je dokument s utajovanými informacemi EU vytvořen, vykonává nad tímto dokumentem kontrolu původcem. Původce určí pro dokument stupeň utajení a odpovídá za jeho počáteční distribuci. Aniž je dotčeno nařízení č. 1049/2001, musí být předchozí písemný souhlas původce získán před tím, než jsou informace: a)předmětem zrušení nebo snížení stupně utajení; b)použity pro jiné účely než účely stanovené původcem; c)předány jakémukoli subjektu mimo orgán nebo instituci Unie, které mají informace v držení, včetně třetí země nebo mezinárodní organizace, jiného orgánu či instituce Unie, členských států, dodavatele nebo předpokládaného dodavatele, příjemce nebo potenciálního příjemce; d)zkopírovány a přeloženy v případě stupně utajení TRES SECRET UE / EU TOP SECRET. 2.Pokud nelze původce dokumentu s utajovanými informacemi EU určit, vykonává kontrolu původcem orgán nebo instituce Unie, které mají tyto utajované informace v držení.

3.Původci každého dokumentu s utajovanými informacemi EU vedou záznamy o veškerých utajovaných zdrojích použitých k vytváření utajovaných dokumentů, a to včetně podrobných údajů o zdrojích pocházejících původně z členských států, mezinárodních organizací nebo třetích zemí. Agregované utajované informace se v příslušném případě označí tak, aby byla zachována identifikace původců použitých utajovaných zdrojových materiálů. Článek 33 Označení stupně utajení 1.V příslušných případech mohou dokumenty s utajovanými informacemi EU kromě některého z označení stupně utajení nést doplňující označení, jako jsou distribuční označení nebo označení týkající se způsobilosti k předání, nebo mohou nést označení původce. 2.Různé části dokumentu s utajovanými informacemi EU mohou vyžadovat různé stupně utajení a být podle toho označeny. Stupeň utajení dokumentu nebo spisu jako celku musí být alespoň stejně vysoký jako u jeho části s nejvyšším stupněm utajení. 3.Dokumenty obsahující části s různými stupni utajení musí být strukturovány tak, aby části s různým stupněm utajení mohly být v případě potřeby snadno rozpoznány a odděleny. Článek 34 Systém evidence utajovaných informací EU 1.Všechny orgány a instituce Unie, které nakládají s informacemi a uchovávají informace se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIEL nebo vyšším, zřídí jeden nebo více registrů utajovaných informací EU s cílem zajistit jejich evidenci pro bezpečnostní účely v okamžiku, kdy jsou doručeny orgánu nebo instituci Unie nebo když je opouští. 2.Všechny registry utajovaných informací EU jsou zřízeny v zabezpečených oblastech, jak je uvedeno v příloze III. 3.Orgány a instituce Unie jmenují vedoucího registru, který spravuje každý registr utajovaných informací EU. Vedoucí registru má náležitou bezpečnostní prověrku a oprávnění v souladu s článkem 24. Orgány a instituce Unie zajistí pro své vedoucí registru řádnou odbornou přípravu. Článek 35 Snížení a zrušení stupně utajení 1.Informace se utajují pouze po dobu, po kterou vyžadují ochranu. Pokud utajované informace EU již nepotřebují původní stupeň utajení, tento stupeň utajení se sníží na stupeň nižší. Pokud utajované informace EU již nemusí být považovány za utajované, stupeň utajení se zruší. 2.V době vytvoření utajovaných informací EU uvede původce, je-li to možné, zejména v případě informací se stupněm utajení RESTREINT UE / EU RESTRICTED, zda je k určitému datu nebo po určité události možné jejich stupeň utajení snížit nebo zrušit. 3.Za rozhodnutí, zda lze u dokumentu s utajovanými informacemi EU snížit nebo zrušit jeho stupeň utajení, odpovídají orgán nebo instituce Unie, které jsou jeho původcem. Tento orgán nebo instituce pravidelně přezkoumává informace a posuzuje rizika a alespoň každých pět let s cílem stanovit, zda je původní stupeň utajení stále odpovídající. 4.Orgány a instituce Unie, které mají v držení utajované informace EU, jichž nejsou původcem, nesmí snížit stupeň utajení daného dokumentu ani jej zrušit, ani změnit či odstranit žádné z označení uvedených v čl. 18 odst. 1 bez předchozího písemného souhlasu původce. 5.Orgány a instituce Unie mohou u utajovaných informací EU, které vytvářejí, částečně snížit stupeň utajení nebo jej zrušit. V takových případech se vytvoří výňatek se sníženým nebo zrušeným stupněm utajení. 6.Orgány a instituce Unie informují přijímající organizaci utajovaných informací EU o snížení nebo zrušení stupně utajení těchto informací. Článek 36

Označení dokumentů se sníženým nebo zrušeným stupněm utajení 1.Pokud se orgány a instituce Unie rozhodnou zrušit stupeň utajení dokumentu s utajovanými informacemi EU, je třeba zvážit, zda má být opatřen distribučním označením citlivých neutajovaných informací. 2.Původní označení stupně utajení uvedené na horním a dolním okraji každé stránky se viditelně přeškrtne, a to v případě elektronických formátů za pomocí funkce „přeškrtnutí“ a v případě tištěných dokumentů ručně. Původní označení stupně utajení se neodstraňuje. 3.První strana nebo titulní strana se opatří razítkem oznamujícím, že došlo ke snížení nebo zrušení stupně utajení, a doplní se informace o orgánu odpovědném za snížení nebo zrušení stupně utajení a odpovídající datum. Snížení nebo zrušení stupně utajení elektronických dokumentů s utajovanými informacemi EU musí být doloženo elektronickým podpisem z pověření původce. Článek 37 Zničení a vymazání utajovaných informací EU 1.Orgány a instituce Unie přezkoumají utajované informace EU na papíře i v komunikačních a informačních systémech alespoň jednou za pět let s cílem určit, zda mají být zničeny nebo vymazány. Jsou-li utajované informace EU zničeny nebo vymazány, vydají pokyny každému, kdo tyto utajované informace EU již dříve obdržel. 2.Orgány a instituce Unie mohou zničit duplikáty utajovaných informací EU, které již nejsou potřebné, s přihlédnutím k příslušným pravidlům pro správu dokumentů pro originály. 3.Orgány a instituce Unie zničí tištěnou verzi informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším pouze prostřednictvím svého vedoucího registru. Vedoucí registru odpovídajícím způsobem aktualizuje záznamy a jiné informace o evidenci a uchovává základní metadata zničeného dokumentu. Zničení dokumentů se stupněm utajení SECRET UE / EU SECRET nebo vyšším provádí pouze vedoucí registru za přítomnosti svědka, který má bezpečnostní prověrku alespoň pro stupeň utajení ničeného dokumentu. 4.Vedoucí registru a případně svědek podepíší zápis o zničení, který se uloží v registru. Zápis se uchovává po dobu nejméně pěti let v případě informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET a po dobu nejméně deseti let v případě informací se stupněm utajení TRES SECRET UE / EU TOP SECRET. Článek 38 Vyklizení a zničení utajovaných informací EU v mimořádných situacích 1.Každý orgán a instituce Unie vypracuje na základě místních podmínek plány vyklizení a zničení s cílem chránit utajované informace EU, u nichž existuje značné riziko, že se dostanou do neoprávněných rukou. Provozní podrobnosti týkající se plánů na vyklizení a zničení v mimořádných situacích se rovněž označí stupněm utajení RESTREINT UE / EU RESTRICTED. 2.V případě mimořádné situace, kdy hrozí bezprostřední riziko neoprávněného vyzrazení utajovaných informací EU, orgány a instituce Unie vyklidí utajované informace EU. Není-li vyklizení možné, zničí se utajované informace EU tak, aby nemohly být zcela ani částečně rekonstruovány. 3.Původce a registr původců jsou informováni o vyklizení nebo zničení registrovaných utajovaných informací EU v případech nouze. 4.Pokud došlo k aktivaci plánů pro případ mimořádné situace, je prioritou nejprve vyklidit či zničit utajované informace EU s vyššími stupni utajení, včetně kódovacího zařízení. Článek 39

Archivace 1.Orgány a instituce Unie rozhodnou, zda a kdy archivovat utajené informace EU a o odpovídajících praktických opatřeních v souladu se svou politikou správy dokumentů. 2.Do historických archivů Evropské unie se nepřenášejí žádné dokumenty s utajovanými informacemi EU. Oddíl 5

Ochrana utajovaných informací EU v komunikačních a informačních systémech Článek 40 Podskupina pro akreditaci komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je Podskupina pro akreditaci komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je, uvedená v čl. 7 odst. 1 písm. d), má tyto úlohy a povinnosti: a)pomáhat orgánům a institucím Unie při jejich akreditačních řízeních; b)doporučit normu pro akreditaci, kterou by měly všechny orgány a instituce Unie dodržovat; c)šířit a sdílet osvědčené postupy a pokyny týkající se akreditace komunikačních a informačních systémů. Článek 41 Komunikační a informační systémy Orgány a instituce Unie plní v souvislosti s komunikačními a informačními systémy, které nakládají s utajovanými informacemi EU a uchovávají je, tyto požadavky: a)vlastník systému nebo provozní orgán pro zabezpečení informací konzultují orgán pro bezpečnostní akreditaci před vytvořením a pořízením utajovaných informací EU a jejich uchováváním nebo umožněním toho, aby s nimi nakládal nebo je uchovával komunikační a informační systém, s cílem stanovit požadavky na akreditaci; b)klíčové bezpečnostní zásady pro navrhování komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je, se použijí při zahájení projektu jako součást procesu řízení rizik v oblasti bezpečnosti informací a při zohlednění potřeby znát, minimální funkčnosti, hloubkové ochrany, co nejomezenějších práv, oddělení funkcí a zásady čtyř očí; c)složky pro uchovávání, centrální zpracování a správu sítě komunikačního a informačního systému, který nakládá s utajovanými informacemi EU a uchovává je, jsou instalovány v zabezpečené oblasti, jak je uvedeno v příloze III; d)zavést „bezpečnostní opatření TEMPEST“, která jsou úměrná riziku využívání a stupni utajení informací; e)všichni zaměstnanci, kteří se podílejí na provozu komunikačního a informačního systému, který s utajovanými informacemi EU nakládá a uchovává je, oznámí bezpečnostnímu orgánu a příslušnému vlastníkovi systému nebo provoznímu orgánu pro zabezpečení informací všechny potenciální bezpečnostní nedostatky, incidenty, narušení bezpečnosti nebo ohrožení systému, které mohou mít dopad na ochranu daného komunikačního a informačního systému nebo utajovaných informací EU v něm obsažených; f)bezpečnostní orgán případně informuje bezpečnostní orgány všech dalších dotčených orgánů a institucí Unie o možných bezpečnostních nedostatcích nebo incidentech, které by mohly ovlivnit nakládání s utajovanými informacemi EU a jejich uchovávání v komunikačních a informačních systémech. Článek 42

Kryptografické prostředky 1.Během přenosu a uchovávání utajovaných informací EU elektronickými prostředky se použijí schválené kryptografické prostředky. Seznam schválených kryptografických prostředků vede Rada na základě informací od vnitrostátních bezpečnostních orgánů. 2.Pokud seznam uvedený v odstavci 1 neobsahuje žádný vhodný prostředek k zamýšlenému účelu, schvalovací orgán pro kryptografickou ochranu dotčeného orgánu nebo instituce Unie požádá Radu o prozatímní schválení. Je-li to možné, vybere se kryptografický prostředek schválený vnitrostátním bezpečnostním orgánem členského státu. Rada přijme nezbytná opatření, aby zajistila zařazení vhodného prostředku na seznam. 3.Schválení kryptografických prostředků jsou platná po dobu nejvýše pěti let a poté každoročně přezkoumávána. 4.Rada vyřadí ze seznamu schválených kryptografických prostředků každý kryptografický prostředek, pro který bylo vnitrostátní schválení zrušeno nebo jehož platnost skončila. 5.Koordinační skupina každoročně informuje Radu o všech kryptografických prostředcích, které doporučuje k hodnocení schvalovacím orgánem členského státu pro kryptografickou ochranu na základě průzkumu provedeného v orgánech a institucích Unie. Článek 43 Akreditace komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je 1.Akreditací komunikačních a informačních systémů, které nakládají s utajovanými informacemi EU a uchovávají je, potvrdí orgány a instituce Unie, že byla provedena veškerá vhodná bezpečnostní opatření a že byla dosažena dostatečná úroveň ochrany utajovaných informací EU a komunikačního a informačního systému v souladu s tímto nařízením. 2.Vlastník komunikačního a informačního systému nebo provozní orgán pro zabezpečení informací odpovídá za přípravu akreditačních spisů a dokumentace, včetně příruček pro různé typy uživatelů. 3.Orgán pro bezpečnostní akreditaci každého orgánu a instituce Unie odpovídá za to, že pro všechny komunikační a informační systémy spadající do jejich pravomoci zavede akreditační řízení s jasnými podmínkami, jež je třeba schválit. 4.Pokud do komunikačního a informačního systému, který nakládá s utajovanými informacemi EU a uchovává je, patří jak orgány a instituce Unie, tak vnitrostátní bezpečnostní orgány, pak dotčené orgány a instituce Unie zřídí prostřednictvím dalších prováděcích pravidel přijatých podle čl. 8 odst. 2 společnou radu pro bezpečnostní akreditaci odpovědnou za akreditaci systému. Tato rada se skládá ze zástupců orgánu pro bezpečnostní akreditaci zúčastněných stran a předsedá jí orgán pro bezpečnostní akreditaci orgánu nebo instituce Unie, který vlastní komunikační a informační systém. Článek 44 Akreditační řízení komunikačního a informačního systému, který nakládá s utajovanými informacemi EU a uchovává je 1.Všechny komunikační a informační systémy, které nakládají s utajovanými informacemi EU a uchovávají je, procházejí akreditačním řízením založeným na zásadách zabezpečení informací, které musí být natolik podrobné, aby to odpovídalo požadované úrovni ochrany. 2.Výsledkem akreditačního řízení je rozhodnutí o akreditaci, které stanoví maximální stupeň utajení informací, s nimiž lze v komunikačním a informačním systému nakládat a uchovávat je, jakož i příslušné podmínky. Rozhodnutí o akreditaci je založeno na formálním potvrzení posouzení rizik a bezpečnostních opatření zavedených pro dotčený komunikační a informační systém, přičemž poskytuje jistotu ohledně těchto prvků: a)proces řízení rizik v oblasti bezpečnosti informací byl řádně proveden; b)vlastník systému nebo vlastník rizika vědomě přijal zbytkové riziko; c)v souladu s tímto nařízením bylo dosaženo dostatečné úrovně ochrany komunikačního a informačního systému a utajovaných informací EU, s nimiž se v něm nakládá a které se v něm uchovávají.

3.Orgán pro bezpečnostní akreditaci orgánu nebo instituce Unie formálně potvrdí rozhodnutí o akreditaci. Po úspěšném ověření vydá orgán pro bezpečnostní akreditaci oprávnění k provozu, které stanoví maximální stupeň utajení utajovaných informací EU, s nimiž lze v komunikačním a informačním systému nakládat, jakož i odpovídající podmínky provozu. Schválení se vydává na určené období. Není-li zavedeno jedno nebo více požadovaných bezpečnostních opatření, ale nemá-li to významný dopad na celkovou bezpečnost, může být vydáno dočasné schválení k provozu s uvedením bodů pro nápravu. 4.Kdykoli během životního cyklu komunikačního a informačního systému může orgán pro bezpečnostní akreditaci dotčeného orgánu nebo instituce Unie přijmout tato opatření: a)použít akreditační řízení; b)provést audit či kontrolu komunikačního a informačního systému; c)tam, kde podmínky pro provoz již nejsou splněny, například pokud bezpečnostní incident odhalil významnou zranitelnost komunikačního a informačního systému, požadovat vytvoření a účinné provádění plánu na zlepšení bezpečnosti v jasně vymezeném časovém horizontu, a případně odebrat povolení pro provoz systému do té doby, než budou podmínky pro provoz splněny. 5.Vlastník systému nebo provozní orgán pro zabezpečení informací podávají každoročně během doby platnosti schválení k provozu formální zprávu orgánu pro bezpečnostní akreditaci, včetně shrnutí všech významných incidentů, změn a rizikových faktorů. Článek 45 Mimořádné okolnosti 1.Orgány