2001D0264 — DA — 28.02.2004 — 001.001 — 1
Dette dokument er et dokumentationsredskab, og institutionerne påtager sig intet ansvar herfor
►B RÅDETS AFGØRELSE
af 19. marts 2001
om vedtagelse af Rådets sikkerhedsforskrifter
(2001/264/EF)
(EFT L 101 af 11.4.2001, s. 1)
Ændret ved:
Tidende
nr. side dato
►M1 Rådets afgørelse 2004/194/EF af 10. februar 2004 L 63 48 28.2.2004
▼B
RÅDETS AFGØRELSE
af 19. marts 2001
om vedtagelse af Rådets sikkerhedsforskrifter
(2001/264/EF)
RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om oprettelse af Det Europæiske Fælles-
skab, særlig artikel 207, stk. 3,
under henvisning til Rådets afgørelse 2000/396/EF, EKSF, Euratom af
5. juni 2000 om vedtagelse af Rådets forretningsorden (1), særlig artikel
24 heri, og
ud fra følgende betragtninger:
(1) For at udbygge Rådets virksomhed på områder, som kræver
beskyttelse af visse oplysninger, er det hensigtsmæssigt atindføre en overordnet sikkerhedsordning, der omfatter bådeRådet, dets Generalsekretariat og medlemsstaterne.
(2) Denne ordning bør i én og samme tekst behandle de spørgsmål,der har været omfattet af alle tidligere afgørelser og bestem-melser på området.
(3) Størstedelen af de EU-oplysninger, der klassificeres CONFI-
DENTIEL UE eller højere, vil i praksis dreje sig om den fælles
sikkerheds- og forsvarspolitik.
(4) For at denne sikkerhedsordning kan blive effektiv, bør medlems-staterne omfattes af ordningen og træffe de nationaleforanstaltninger, der er nødvendige for at overholde bestemmel-
serne i denne afgørelse i situationer, hvor deres kompetente
myndigheder og disses medarbejdere behandler EU-klassifice-rede oplysninger.
(5) Rådet hilser med tilfredshed, at Kommissionen på den dato,
hvorfra denne afgørelse anvendes, ligeledes indfører en samlet
ordning, der er i overensstemmelse med bilagene hertil, så detsikres, at Unionens beslutningsproces kan fungere tilfredsstil-lende.
(6) Rådet understreger, at det er vigtigt, at Europa-Parlamentet ogKommissionen i relevant omfang følger de forskrifter og stan-darder for sikkerhedsbeskyttelse, der er nødvendige for atbeskytte Unionens og dens medlemsstaters interesser.
(7) Denne afgørelse gælder med forbehold af artikel 255 i traktatenog instrumenter til gennemførelse heraf.
(8) Denne afgørelse berører ikke gældende praksis i medlemssta-terne med hensyn til underretning af de nationale parlamenterom Unionens virksomhed —
TRUFFET FØLGENDE AFGØRELSE:
Artikel 1
Rådets sikkerhedsforskrifter, som findes i bilaget, godkendes herved.
Artikel 2
1. Generalsekretæren/den højtstående repræsentant træffer passende
foranstaltninger til at sikre, at de i artikel 1 nævnte forskrifter over-holdes i Generalsekretariatet for Rådet (i det følgende benævnt»GSR«), af GSR's tjenestemænd og øvrige ansatte, af GSR's eksternetjenesteleverandører og af personale udstationeret ved GSR samt inden2001D0264 — DA — 28.02.2004 — 001.001 — 2
(1) EFT L 149 af 23.6.2000, s. 21.
▼B
for såvel Rådets som EU's decentrale organers bygninger og områder i
forbindelse med behandling af EU-klassificerede oplysninger (1).
2. Medlemsstaterne træffer i overensstemmelse med deres nationale
ordninger passende foranstaltninger til at sikre, at de i artikel 1 nævnte
bestemmelser overholdes, inden for deres tjenester og deres bygninger,af følgende kategorier af personer i forbindelse med behandling af EU-klassificerede oplysninger:
a) medlemmer af medlemsstaternes faste repræsentationer ved EU
samt medlemmer af medlemsstaternes delegationer, der deltager imøder i Rådet eller dets organer eller i andre rådsaktiviteter
b) andre medlemmer af medlemsstaternes administrationer, uanset om
de pågældende gør tjeneste på medlemsstaternes område eller i tred-jelande, når de behandler EU-klassificerede oplysninger, og
c) medlemsstaternes eksterne tjenesteleverandører og udstationerede
medarbejdere, når de behandler EU-klassificerede oplysninger.
Medlemsstaterne underretter straks GSR om de trufne foranstaltninger.3. De i stk. 1 og 2 nævnte foranstaltninger træffes inden den 30.
november 2001.
Artikel 3
I overensstemmelse med de grundlæggende principper og minimums-
standarder for sikkerhed, der er fastsat i bilagets del I, kangeneralsekretæren/den højtstående repræsentant træffe foranstaltningeri henhold til bilagets del II, afsnit I, punkt 1 og 2.
Artikel 4
Denne afgørelse træder fra datoen for dens anvendelse i stedet for:
a) Rådets afgørelse nr. 98/319/EF af 27. april 1998 om procedurer,
hvorefter tjenestemænd og øvrige ansatte i GSR kan sikkerhedsgod-
kendes med henblik på at få indsigt i klassificerede oplysninger i
Rådets besiddelse (
2)
b) afgørelse truffet af generalsekretæren/den højtstående repræsentant
den 27. juli 2000 om de foranstaltninger, der skal anvendes i GSR
til beskyttelse af klassificerede oplysninger (3)
c) afgørelse nr. 433/97 af 22. maj 1997 truffet af generalsekretæren for
Rådet om proceduren for sikkerhedsgodkendelse af tjenestemænd,der betjener CORTESY-systemet.
Artikel 5
1. Denne afgørelse træder i kraft på datoen for offentliggørelsen.2. Den anvendes fra den 1. december 2001.2001D0264 — DA — 28.02.2004 — 001.001 — 3
(1) Jf. Rådets konklusioner af 10.11.2000.
(2) EFT L 140 af 12.5.1998, s. 12.
(3) EFT C 239 af 23.8.2000, s. 1.
▼B
BILAG
SIKKERHEDSFORSKRIFTER FOR RÅDET FOR DEN EUROPÆISKE
UNION2001D0264 — DA — 28.02.2004 — 001.001 — 4
▼B
INDHOLDSFORTEGNELSE
DEL I
Grundlæggende principper og minimumsstandarder for sikkerhedsbeskyttelse ...............
D E L I I ................................................................
AFSNIT I
Kompetencefordelingen for sikkerhedsbeskyttelse i Rådet for den Europæiske Union . .............
AFSNIT II
Klassifikationsgrad og anden påtegning ...................................................
AFSNIT IIIKlassifikationsstyring . . . ...............................................................
AFSNIT IV
Fysisk sikkerhedsbeskyttelse . . ..........................................................
AFSNIT V
Almindelige bestemmelser om »need-to-know«-princippet og sikkerhedsgodkendelse . .............
AFSNIT VIAfgørelse om sikkerhedsgodkendelse af tjenestemænd og øvrige ansatte i GSR ..................
AFSNIT VII
Udarbejdelse, fordeling, videregivelse, opbevaring og destruktion af EU-klassificeret materiale ......
AFSNIT VIII
TRÈS SECRET UE/EU TOP SECRET-sekretariater .........................................
AFSNIT IXSikkerhedsforanstaltninger, hvis der ved møder uden for Rådets bygninger skal behandles meget
følsomme spørgsmål ...................................................................
AFSNIT XBrud på sikkerhedsbestemmelserne og risiko for lækage af EU-klassificerede oplysninger . . ........
AFSNIT XI
Beskyttelse af oplysninger, der behandles i informationsteknologi- og kommunikationssystemer . . . . .AFSNIT XII
Videregivelse af EU-klassificerede oplysninger til tredjelande eller internationale organisationer . . . . .
TillægTillæg 1
Fortegnelse over de nationale sikkerhedsmyndigheder .......................................
Tillæg 2Sammenlignende oversigt over de nationale klassifikationsgrader ..............................
Tillæg 3
Praktisk klassifikationsvejledning ........................................................
Tillæg 4
Retningslinjer for videregivelse af EU-klassificerede oplysninger til tredjelande eller internationale
organisationer — Niveau 1 samarbejde ...................................................
Tillæg 5
Retningslinjer for videregivelse af EU-klassificerede oplysninger til tredjelande eller internationale
organisationer — Niveau 2 samarbejde ...................................................
Tillæg 6
Retningslinjer for videregivelse af EU-klassificerede oplysninger til tredjelande eller internationale
organisationer — Niveau 3 samarbejde ...................................................2001D0264 — DA — 28.02.2004 — 001.001 — 5
▼B
DEL I
GRUNDLÆGGENDE PRINCIPPER OG MINIMUMSSTANDARDER
FOR SIKKERHEDSBESKYTTELSE
INDLEDNING
1. I disse forskrifter fastlægges de grundlæggende principper og minimums-
standarder for sikkerhedsbeskyttelse og den måde, hvorpå disse skal
overholdes ikke blot af Rådet og Generalsekretariatet for Rådet (i det
følgende benævnt »GSR«), men også af medlemsstaterne og Den Europæ-
iske Unions decentrale organer (i det følgende benævnt »EU's decentrale
organer«) for at værne om sikkerheden og for at sikre, at der gælder en
fælles standard for sikkerhedsbeskyttelse.
2. Ved »EU-klassificerede oplysninger« forstås alle oplysninger og ethvert
materiale, der i tilfælde af videregivelse uden dertil indhentet bemyndigelse
i forskellig grad ville kunne forvolde EU's interesser eller en eller flere af
dets medlemsstater skade, uanset om sådanne oplysninger og sådant mate-riale er udstedt af EU eller modtages fra medlemsstater, tredjelande eller
internationale organisationer.
3. I disse forskrifter forstås ved:
a) »dokument« enhver form for skrivelse, note, referat, rapport, memo-
randum, signal/meddelelse, skitse, foto, diapositiv, film, kort, diagram,
plan, notesbog, stencil, karbonpapir, farvebånd til skrivemaskine eller
printer, bånd, kassette, edb-diskette, cd-rom eller andet fysisk medium,
hvori eller hvorpå oplysninger er registreret
b) »materiale« et dokument som defineret i litra a) samt alle former for
udstyr eller våben, både færdigfremstillet og under fremstilling.
4. Sikkerhedsbeskyttelsens vigtigste formål er:
a) at beskytte EU-klassificerede oplysninger mod spionage, lækage eller
uautoriseret videregivelse
b) at beskytte EU-oplysninger, der behandles i kommunikations- og infor-
mationssystemer og -netværk, mod risikoen for uautoriseret ændring og
for, at de ikke er til rådighed, når de skal anvendes
c) at beskytte anlæg, der rummer EU-oplysninger, mod sabotage, hærværk
og anden forsætlig skade
d) i tilfælde af brud på sikkerhedsforskrifterne at vurdere den forvoldte
skade, begrænse følgerne og træffe de nødvendige foranstaltninger for
at undgå gentagelse.
5. Grundlaget for en effektiv sikkerhedsbeskyttelse er:
a) at der i hver medlemsstat udpeges en national sikkerhedsmyndighed,
som er ansvarlig for:
i) indsamling og registrering af efterretninger om spionage, sabotage,
terrorisme og anden undergravende virksomhed, og
ii) underretning og rådgivning af myndighederne og derigennem af
Rådet om sikkerhedsrisici og modforholdsregler
b) at der både i hver medlemsstat og i GSR udpeges en teknisk INFOSEC-
myndighed, som inden for den pågældende sikkerhedsorganisation er
ansvarlig for at underrette og rådgive om tekniske sikkerhedsrisici og
modforholdsregler
c) at der er et løbende samarbejde mellem ministerier, offentlige organer og
relevante tjenestegrene i GSR med henblik på alt efter omstændighe-
derne at fastslå eller anbefale:
i) hvilke oplysninger, ressourcer og anlæg det er nødvendigt at
beskytte, og
ii) fælles standarder for sikkerhedsbeskyttelse.
6. Der skal udvises stor omhu og eftertanke ved udvælgelsen af, hvilke oplys-
ninger og hvilket materiale der skal sikkerhedsbeskyttes, og ved vurderingen
af, hvilken grad af sikkerhedsbeskyttelse der er behov for. Det er afgørende,
at klassifikationsgraden stemmer overens med den sikkerhedsrisiko, som
den enkelte oplysning eller det enkelte materiale skal beskyttes mod. For
at sikre en smidig informationsstrøm skal der træffes foranstaltninger for at
undgå, at der anvendes en for høj klassifikationsgrad. Klassificeringsord-
ningen er det instrument, hvormed disse principper skal gennemføres; der
bør anvendes en tilsvarende klassificeringsordning ved planlægning og
tilrettelæggelse af beskyttelsen mod spionage, sabotage, terrorisme og andre
trusler, således at de vigtigste bygninger og områder, der rummer klassifice-2001D0264 — DA — 28.02.2004 — 001.001 — 6
▼B
rede oplysninger, og de mest følsomme steder i disse bygninger og områder
sikres bedst.
GRUNDLÆGGENDE PRINCIPPER
7.Sikkerhedsforanstaltningerne skal:
a) omfatte alle personer med adgang til klassificerede oplysninger, informa-
tionsbærende medier med klassificerede oplysninger, alle bygninger og
områder, der rummer sådanne oplysninger, og vigtige anlæg
b) tage sigte på at identificere personer, som kunne udgøre en sikkerheds-
mæssig risiko for klassificerede oplysninger og vigtige anlæg, der
rummer klassificerede oplysninger, og enten forhindre, at de får indsigt
heri, eller fjerne dem
c) forhindre, at uautoriserede personer får indsigt i klassificerede oplys-
ninger eller adgang til anlæg, der indeholder sådanne oplysninger
d) sikre, at klassificerede oplysninger kun videregives til de personer, for
hvem aktindsigt er tjenstlig nødvendig (»need-to-know«-princippet),
hvilket er af afgørende betydning for alle sikkerhedsaspekter
e) sikre alle oplysningers integritet (dvs. hindre forvanskning eller uautori-
seret ændring/slettelse uden bemyndigelse) og tilgængelighed (dvs. sikre,
at de er til rådighed for autoriserede brugere, når de skal anvendes),
navnlig oplysninger, som lagres, behandles eller fremsendes elektronisk,
uanset om oplysningerne er klassificerede eller uklassificerede.
TILRETTELÆGGELSE AF SIKKERHEDSBESKYTTELSEN
Fælles minimumsstandarder
8. Rådet og de enkelte medlemsstater sikrer, at alle administrative afdelinger,
ministerier og styrelser, andre EU-institutioner, organer og tjenesteleveran-
dører overholder fælles minimumsstandarder for sikkerhed, så EU-
klassificerede oplysninger kan videregives i tillid til, at de vil blive sikret
på tilsvarende måde. Disse minimumsstandarder skal omfatte kriterier for
sikkerhedsgodkendelse af personale samt procedurer for beskyttelse af EU-
klassificerede oplysninger.
MEDARBEJDERNE OG SIKKERHEDSBESKYTTELSEN
Sikkerhedsgodkendelse af medarbejdere
9. Alle medarbejdere, som skal have indsigt i oplysninger, der er klassificeret
CONFIDENTIEL UE eller højere, skal forinden være officielt sikkerheds-
godkendt. Tilsvarende skal der foretages forudgående
sikkerhedsgodkendelse af personer, der skal stå for den tekniske drift eller
vedligeholdelse af kommunikations- og informationssystemer, som inde-
holder klassificerede oplysninger. Meddelelse af sikkerhedsgodkendelse
forudsætter, at de pågældende medarbejdere
a) er ubetinget pålidelige
b) har en sådan karakterstyrke og er så påpasselige, at der ikke kan herske
tvivl om deres ubestikkelighed med hensyn til behandling af klassifice-
rede oplysninger, og
c) ikke risikerer at blive udsat for pres fra udlandet eller anden side, f.eks.
som følge af tidligere bopælsland eller tidligere tilhørsforhold, der kan
udgøre en sikkerhedsrisiko.
Der skal foretages en særlig grundig sikkerhedsundersøgelse af medarbej-
dere, der:
d) skal have indsigt i oplysninger, som er klassificeret TRÈS SECRET UE/
EU TOP SECRET
e) beklæder stillinger, som indebærer, at de regelmæssigt skal have indsigt i
betydelige mængder af oplysninger, der er klassificeret TRÈS SECRET
UE/EU TOP SECRET
f) har særlig tjenstlig adgang til kommunikations- og informationssystemer
med kritisk betydning for EU-operationer, og dermed ville have
mulighed for at skaffe sig uautoriseret adgang til store mængder EU-
klassificerede oplysninger eller for at forvolde de pågældende operati-oner betydelig skade gennem tekniske sabotagehandlinger.
I de i litra d), e) og f) nævnte tilfælde skal de pågældende medarbejderes
personlige baggrund undersøges i videst muligt omfang.
10. Personer, for hvem indsigt ikke er tjenstlig nødvendig (f.eks. kontorbude,
sikkerhedsvagter, vedligeholdelses- og rengøringspersonale), må ikke2001D0264 — DA — 28.02.2004 — 001.001 — 7
▼B
arbejde under forhold, hvor de kan få indsigt i EU-klassificerede oplys-
ninger, medmindre de forinden er blevet sikkerhedsgodkendt til den
relevante klassifikationsgrad.
Liste over sikkerhedsgodkendte personer
11. Alle tjenestegrene, styrelser mv., organer eller institutioner, der behandler
EU-klassificerede oplysninger eller rummer kommunikations- og informati-
onssystemer med kritisk betydning for EU-operationer, skal have en
ajourført liste over deres sikkerhedsgodkendte medarbejdere. Hver enkelt
sikkerhedsgodkendelse skal tages op til nyvurdering, når omstændighederne
kræver det, for at sikre, at den svarer til den pågældendes aktuelle arbejds-
opgaver; en sikkerhedsgodkendelse skal straks tages op til nyvurdering, hvis
der fremkommer oplysninger, hvoraf det fremgår, at fortsat arbejde med
klassificerede oplysninger ikke længere er foreneligt med hensynet til
sikkerheden. Listen over sikkerhedsgodkendte medarbejdere føres af sikker-
hedschefen for vedkommende tjenestegren, styrelse m.v. organ eller
institution.
Sikkerhedsinstruks til medarbejderne
12. Alle medarbejdere, der varetager opgaver, hvor de kan få indsigt i klassifi-
cerede oplysninger, skal, inden de påbegynder arbejdet og derefter
regelmæssigt, modtage en indgående instruks om nødvendigheden af sikker-
hedsbeskyttelsen og procedurerne for gennemførelse af
sikkerhedsbeskyttelsen. Det er hensigtsmæssigt at kræve, at de pågældende
medarbejdere skriftligt attesterer, at de har forstået de sikkerhedsbestem-melser fuldt ud, der gælder for deres arbejdsopgaver.
Ledelsens ansvar
13. Det er ledelsens ansvar at vide, hvilke medarbejdere der behandler klassifi-
cerede oplysninger eller har adgang til kommunikations- og
informationssystemer med kritisk betydning for EU-operationer, og at sikre,
at alle former for hændelser eller klare svagheder, der kan have betydning
for sikkerhedsbeskyttelsen, registreres og indberettes.
Medarbejdernes sikkerhedsstatus
14. Der indføres procedurer for at sikre, at hvis der fremkommer negative
oplysninger om en medarbejder, bliver der taget stilling til, om den pågæl-
dende behandler klassificerede oplysninger eller har adgang til
kommunikations- og informationssystemer med kritisk betydning for EU-
operationer, og den relevante myndighed underrettes. Hvis det bekræftes,
at medarbejderen udgør en sikkerhedsrisiko, må den pågældende ikke
længere have adgang til oplysningerne og pålægges i stedet arbejdsopgaver,
der ikke medfører nogen sikkerhedsrisiko.
FYSISK SIKKERHEDSBESKYTTELSE
Behovet for sikkerhedsbeskyttelse
15. Graden af de fysiske foranstaltninger, der skal bringes i anvendelse for at
sikre beskyttelsen af EU-klassificerede oplysninger, skal stå i forhold til
klassifikationsgraden samt omfanget af og truslen mod de oplysninger og
det materiale, det drejer sig om. Man skal derfor søge at undgå, at der
anvendes en for høj eller for lav klassificeringsgrad, og klassifikations-
graden skal regelmæssigt tages op til nyvurdering. Alle, der ligger inde
med EU-klassificerede oplysninger, skal følge en ensartet praksis med
hensyn til klassificering af de pågældende oplysninger og opfylde fælles
standarder for sikkerhedsbeskyttelse for så vidt angår opbevaring, fremsen-
delse og bortskaffelse af oplysninger og materiale, der skal beskyttes.
Kontrol
16. Medarbejdere, der har modtaget EU-klassificerede oplysninger, må ikke
efterlade disse uden opsigt, men skal sikre sig, at de opbevares forsvarligt,
og at alle sikkerhedsanordninger er aktiveret (låse, alarmsystemer osv.).
Herudover foretages der efter arbejdstids ophør kontrol af, om disse krav
er opfyldt.
Sikkerhedsbeskyttelse af bygninger
17. Bygninger, der rummer EU-klassificerede oplysninger eller kommunika-
tions- og informationssystemer med kritisk betydning for EU-operationer,
skal beskyttes mod uautoriseret indsigt. Hvordan EU-klassificerede oplys-
ninger skal beskyttes, med gitre for vinduer, låse på døre, vagtposter ved
indgange, automatiske adgangskontrolsystemer, sikkerhedskontrol og
-patruljering, alarm- og overvågningssystemer, vagthunde m.v., afhænger af:
a) klassifikationsgraden af de oplysninger og det materiale, der skal
beskyttes, samt deres omfang og placering i bygningen2001D0264 — DA — 28.02.2004 — 001.001 — 8
▼B
b) kvaliteten af de penge- eller stålskabe m.v., hvor oplysningerne eller
materialet opbevares, og
c) bygningens fysiske beskaffenhed og beliggenhed.
18. Hvordan kommunikations- og informationssystemer skal sikkerhedsbe-
skyttes, afhænger tilsvarende af en vurdering dels af værdien af de
pågældende aktiver og den potentielle skade i tilfælde af brud på sikker-
hedsbestemmelserne, dels af den fysiske beskaffenhed og beliggenhed af
den bygning, der rummer systemet, dels af systemets placering i bygningen.
Beredskabsplaner
19. Der skal på forhånd udarbejdes detaljerede planer for, hvordan klassifice-
rede oplysninger skal beskyttes, hvis der opstår en lokal eller
landsomfattende kritisk situation.
INFORMATIONSSIKKERHED (INFOSEC)
20. INFOSEC defineres som identifikation og iværksættelse af sikkerhedsforan-
staltninger, for at oplysninger, der behandles, lagres eller videregives via
kommunikations-, informations- eller andre elektroniske systemer, kan
sikres mod uagtsomt eller forsætligt at komme ikke-bemyndigede i hænde,
samt mod ændring eller lækage. Der skal træffes fyldestgørende modforan-staltninger for at forhindre, at uautoriserede brugere får adgang til EU-
oplysninger, og at autoriserede brugere ikke får adgang til EU-oplysninger,
samt forebygge, at EU-oplysninger forvanskes, eller at de ændres eller
slettes uden bemyndigelse.
BEKÆMPELSE AF SABOTAGE OG ANDRE FORMER FOR FORSÆTLIG
SKADE
21. Fysiske forholdsregler til beskyttelse af vigtige anlæg med klassificerede
oplysninger er de mest egnede sikkerhedsforanstaltninger, der kan træffes
mod sabotage og anden forsætlig skade, og sikkerhedsgodkendelse af perso-
nalet er i sig selv ikke nok. Vedkommende nationale
sikkerhedsmyndigheder indsamler efterretninger om spionage, sabotage,
terrorisme og anden undergravende virksomhed.
VIDEREGIVELSE AF KLASSIFICEREDE OPLYSNINGER TIL TREDJE-
LANDE ELLER INTERNATIONALE ORGANISATIONER
22. Beslutninger om, at EU-klassificerede oplysninger, der er udstedt af Rådet,
skal videregives til et tredjeland eller en international organisation, træffes
af Rådet. Hvis de oplysninger, der ønskes videregivet, ikke er udstedt af
Rådet, skal Rådet først indhente udstederens samtykke til videregivelsen.
Hvis det ikke kan fastslås, hvem udstederen er, påtager Rådet sig dennes
ansvar.
23. Modtager Rådet klassificerede oplysninger fra tredjelande, internationale
organisationer eller anden tredjepart, skal de pågældende oplysninger
beskyttes i overensstemmelse med deres klassifikationsgrad og de stan-
darder, der ifølge denne afgørelse gælder for EU-klassificerede
oplysninger, eller eventuelt højere standarder, som den tredjepart, der vide-
regiver oplysningerne, måtte stille krav om. Der kan åbnes mulighed for
gensidige kontrol.
24. Ovennævnte principper gennemføres i overensstemmelse med de nærmere
bestemmelser i del II.2001D0264 — DA — 28.02.2004 — 001.001 — 9
▼B
DEL II
AFSNIT I
KOMPETENCEFORDELINGEN FOR SIKKERHEDSBESKYTTELSE I
RÅDET FOR DEN EUROPÆISKE UNION
Generalsekretæren/den højtstående repræsentant
1. Generalsekretæren/den højtstående repræsentant skal:
a) gennemføre Rådets sikkerhedspolitik
b) tage stilling til sikkerhedsproblemer, der forelægges ham af Rådet eller
dets kompetente organer
c) behandle spørgsmål, der indebærer ændringer i Rådets sikkerhedspolitik,
i tæt kontakt med medlemsstaternes nationale sikkerhedsmyndigheder
(eller andre relevante myndigheder). Tillæg 1 indeholder en liste over
disse myndigheder.
2. Generalsekretæren/den højtstående repræsentant er navnlig ansvarlig for:
a) at samordne alle sikkerhedsspørgsmål, der vedrører Rådets virksomhed
b) at henstille, at hver medlemsstat opretter et centralt sekretariat for oplys-
ninger, der er klassificeret TRÈS SECRET UE/EU TOP SECRET, og
kræve, at et sådant sekretariat ligeledes oprettes i EU's decentraleorganer, hvor det er relevant
c) at anmode de af medlemsstaterne udpegede myndigheder om, at de nati-
onale sikkerhedsmyndigheder foretager sikkerhedsgodkendelse af
personale, der arbejder i GSR, jf. afgørelsen i afsnit VI
d) at iværksætte en undersøgelse eller foranledige en undersøgelse iværksat
i eventuelle tilfælde af uautoriseret videregivelse af EU-klassificerede
oplysninger, der umiddelbart forekommer at være sket i GSR eller et af
EU's decentrale organer
e) at anmode de relevante sikkerhedsmyndigheder om at iværksætte efter-
forskning, hvis uautoriseret videregivelse af EU-klassificerede
oplysninger forekommer at være sket uden for GSR eller EU's decentrale
organer, og samordne efterforskningen, hvis mere end én sikkerheds-
myndighed er involveret
f) sammen med og i forståelse med de pågældende nationale sikkerheds-
myndigheder at foretage regelmæssig gennemgang af
sikkerhedsordningerne for beskyttelse af EU-klassificerede oplysninger i
medlemsstaterne
g) at holde løbende kontakt til vedkommende sikkerhedsmyndigheder med
henblik på at varetage den overordnede samordning af sikkerhedsbeskyt-
telsen
h) løbende at tage Rådets sikkerhedspolitik og -procedurer op til nyvurde-
ring og at udarbejde relevante henstillinger. Han forelægger i den
forbindelse Rådet den årlige inspektionsplan, der udarbejdes af GSR's
Sikkerhedskontor.
Rådets Sikkerhedsudvalg
3. Der oprettes et sikkerhedsudvalg sammensat af repræsentanter for de
enkelte medlemsstaters nationale sikkerhedsmyndigheder og med generalse-
kretæren/den højtstående repræsentant eller en af denne udpeget
stedfortræder som formand. Repræsentanter for EU's decentrale organer
kan ligeledes opfordres til at deltage, hvis der skal drøftes spørgsmål, som
berører dem.
4. Sikkerhedsudvalget træder sammen efter Rådets anvisninger på anmodning
af generalsekretæren/den højtstående repræsentant eller en national sikker-
hedsmyndighed. Det har beføjelse til at behandle og vurdere alle
sikkerhedsspørgsmål i forbindelse med Rådets arbejde og til at forelægge
Rådet relevante indstillinger. For så vidt angår GSR's virksomhed har
udvalget beføjelse til at forelægge generalsekretæren/den højtstående repræ-
sentant relevante indstillinger vedrørende sikkerhedsspørgsmål.
Sikkerhedskontoret ved Generalsekretariatet for Rådet
5. Med henblik på udførelsen af de opgaver, der er nævnt i nr. 1 og 2 ovenfor,
kan generalsekretæren/den højtstående repræsentant pålægge GSR's Sikker-
hedskontor at samordne, føre tilsyn med og gennemføre
sikkerhedsforanstaltninger.
6. Chefen for GSR's Sikkerhedskontor er generalsekretærens/den højtstående
repræsentants ledende konsulent i sikkerhedsspørgsmål og fungerer som2001D0264 — DA — 28.02.2004 — 001.001 — 10
▼B
Sikkerhedsudvalgets sekretær. I denne forbindelse forestår han ajourføringen
af sikkerhedsforskrifterne og samordner sikkerhedsforanstaltningerne med
medlemsstaternes myndigheder samt i relevant omfang med internationale
organisationer, der har sikkerhedsaftaler med Rådet. Med henblik herpå
fungerer han som forbindelsesofficer.
7. Chefen for GSR's Sikkerhedskontor er ansvarlig for godkendelsen af IT-
systemer og -netværk i GSR. Chefen for GSR's Sikkerhedskontor og
vedkommende nationale sikkerhedsmyndighed træffer, hvor det er relevant,
i fællesskab beslutning om godkendelsen af IT-systemer og -netværk, der
berører GSR, medlemsstaterne, EU's decentraliserede organer og/eller tred-
jeparter (lande eller internationale organisationer).
EU's decentraliserede organer
8. Direktøren for hvert af EU's decentrale organer er ansvarlig for gennem-
førelsen af sikkerhedsbeskyttelsen i det pågældende organ. Direktøren
udpeger normalt en af sine medarbejdere som ansvarlig over for direktøren
på dette område. Denne medarbejder udpeges som det decentrale organs
sikkerhedsofficer.
Medlemsstaterne
9. Hver medlemsstat udpeger en national sikkerhedsmyndighed med ansvar for
beskyttelse af EU-klassificerede oplysninger (1).
10. Inden for de enkelte medlemsstaters forvaltninger er den nationale sikker-
hedsmyndighed ansvarlig for:
a) beskyttelse af EU-klassificerede oplysninger, der opbevares af ministe-
rier, styrelser m.v. eller offentlige såvel som private organer, i ind- eller
udland
b) at give bemyndigelse til oprettelse af registre over oplysninger, der er
klassificeret TRÈS SECRET UE/EU TOP SECRET (denne bemyndi-
gelse kan delegeres til et centralt sekretariats kontrolansvarlige for
oplysninger, der er klassificeret TRÈS SECRET UE/EU TOP SECRET)
c) regelmæssig inspektion af sikkerhedsordningerne for beskyttelse af EU-
klassificerede oplysninger
d) at sikre, at alle landets egne statsborgere samt alle udlændinge, der
arbejder i nationale ministerier, organer eller myndigheder, som har
direkte adgang til oplysninger, der er klassificeret TRÈS SECRET UE/
EU TOP SECRET, SECRET UE eller CONFIDENTIEL UE, er blevet
sikkerhedsgodkendt
e) at udarbejde de sikkerhedsplaner, der skønnes nødvendige for at
forhindre uautoriseret indsigt i EU-klassificerede oplysninger.
Gensidige sikkerhedsinspektioner
11. GSR's Sikkerhedskontor og vedkommende nationale sikkerhedsmyndighed
gennemfører i fællesskab og efter fælles aftale regelmæssige inspektioner
af sikkerhedsordningerne for beskyttelse af EU-klassificerede oplysninger i
GSR og i medlemsstaternes faste repræsentationer ved Den Europæiske
Union samt i medlemsstaternes lokaler i Rådets bygninger (2).
12. GSR's Sikkerhedskontor eller, på anmodning af generalsekretæren/den
højtstående repræsentant, værtsmedlemsstatens nationale sikkerhedsmyn-
dighed gennemfører regelmæssige inspektioner af sikkerhedsordningerne
for beskyttelse af EU-klassificerede oplysninger i EU's decentraliserede
organer.2001D0264 — DA — 28.02.2004 — 001.001 — 11
(1) En liste over de nationale sikkerhedsmyndigheder med ansvar for beskyttelse af EU-
klassificerede oplysninger findes i tillæg 1.
(2) Med forbehold af Wienerkonventionen af 1961 om diplomatiske forbindelser.
▼B
AFSNIT II
KLASSIFIKATIONSGRAD OG ANDEN PÅTEGNING
KLASSIFIKATIONSGRADER (1)
Oplysninger klassificeres således:1. TRÈS SECRET UE/EU TOP SECRET: Denne klassifikation anvendes kun
til oplysninger og materiale, hvis videregivelse uden dertil indhentet bemyn-
digelse ville kunne forvolde Den Europæiske Unions eller én eller flere af
dens medlemsstaters vitale interesser overordentlig alvorlig skade.
2. SECRET UE: Denne klassifikation anvendes kun til oplysninger og mate-
riale, hvis videregivelse uden dertil indhentet bemyndigelse ville kunne
forvolde Den Europæiske Unions eller én eller flere af dens medlemsstaters
vitale interesser alvorlig skade.
3. CONFIDENTIEL UE: Denne klassifikation anvendes til oplysninger og
materiale, hvis videregivelse uden dertil indhentet bemyndigelse ville kunne
forvolde Den Europæiske Unions eller en eller flere af dens medlemsstaters
vitale interesser skade.
4. RESTREINT UE: Denne klassifikation anvendes til oplysninger og materiale,
hvis videregivelse uden dertil indhentet bemyndigelse vil være uhensigts-
mæssig for Den Europæiske Unions eller en eller flere af dens
medlemsstaters interesser.
ANDEN PÅTEGNING
5. Det kan med en særlig påtegning angives, hvilket område dokumentet
omhandler, eller hvordan det skal fordeles efter »need-to-know«-princippet.
6. Betegnelsen ESDP/PESD kan anføres på dokumenter eller kopier deraf, som
vedrører EU's eller en eller flere af dets medlemsstaters sikkerhed eller
forsvar, eller som vedrører militær eller ikke-militær krisestyring.
7. Herudover kan visse dokumenter, navnlig vedrørende IT-systemer, forsynes
med en påtegning om yderligere sikkerhedsforanstaltninger i henhold til rele-
vante bestemmelser.
ANFØRING AF KLASSIFIKATIONSGRAD
8. Klassifikationsgraden anføres således:
a) på dokumenter, der er klassificeret RESTREINT UE: mekanisk eller elek-
tronisk
b) på dokumenter, der er klassificeret CONFIDENTIEL UE: mekanisk eller i
hånden eller ved fortryk på registreret papir
c) på dokumenter, der er klassificeret SECRET UE eller TRÈS SECRET
UE/EU TOP SECRET: mekanisk eller i hånden.2001D0264 — DA — 28.02.2004 — 001.001 — 12
(1) En sammenlignende oversigt over EU's, NATO's, WEU's og medlemsstaternes klassifi-
kationsgrader findes i tillæg 2.
▼B
AFSNIT III
KLASSIFIKATIONSSTYRING
1. Oplysninger klassificeres kun i nødvendigt omfang. Klassifikationsgraden
skal fremgå klart og korrekt, og den gælder kun, så længe der er grund til
at beskytte oplysningerne.
2. Ansvaret for klassificering af oplysninger og for eventuel senere nedklassi-
ficering eller afklassificering (1) påhviler alene udstederen.
Tjenestemænd og øvrige ansatte ved GSR klassificerer, nedklassificerer
eller afklassificerer oplysninger efter instruks fra eller aftale med deres
generaldirektør.
3. De detaljerede procedurer for behandling af klassificerede dokumenter er
udformet således, at det sikres, at dokumenterne beskyttes i overensstem-
melse med de oplysninger, de indeholder.
4. Antallet af medarbejdere, der er berettiget til at udstede dokumenter med
klassifikationsgraden TRÈS SECRET UE/EU TOP SECRET, skal holdes
på et minimum, og deres navne skal stå på en liste, der udarbejdes af
GSR, hver medlemsstat samt i relevant omfang hvert af EU's decentrale
organer.
ANVENDELSE AF KLASSIFICERING
5. Klassificeringen af et dokument afhænger af, hvor følsomt dets indhold er,
jf. definitionen i afsnit II, punkt 1-4. Det er vigtigt, at oplysninger klassifi-
ceres korrekt, og at klassificering ikke overdrives. Dette gælder navnlig
anvendelse af klassifikationsgraden TRÈS SECRET UE/EU TOP SECRET.
6. Når et dokument klassificeres, skal udstederen være opmærksom på oven-
nævnte bestemmelser og bremse enhver tendens til at anvende for høj eller
for lav klassifikationsgrad.
Selv om en høj klassifikationsgrad umiddelbart kunne tænkes at sikre et
dokument større beskyttelse, kan rutinemæssig anvendelse af en for høj
klassifikationsgrad nedsætte tilliden til klassifikationsordningen.
På den anden side må dokumenter ikke klassificeres for lavt blot for at
undgå de begrænsninger, de enkelte klassifikationsgrader medfører.
En praktisk klassifikationsvejledning findes i tillæg 3.
7. De enkelte sider, afsnit og punkter i et dokument samt bilag, tillæg og
vedhæftet materiale kan kræve forskellig klassifikationsgrad, hvilket skal
fremgå tydeligt. Dokumentet som helhed skal dog have samme klassifikati-
onsgrad som den del, der har den højeste klassifikationsgrad.
8. En følgeskrivelse klassificeres i overensstemmelse med bilagenes højeste
klassifikationsgrad. Dokumentets udsteder bør klart angive, på hvilket
niveau følgeskrivelsen skal klassificeres, hvis den adskilles fra bilaget.
NEDKLASSIFICERING OG AFKLASSIFICERING
9. EU-klassificerede dokumenter må kun nedklassificeres eller afklassificeres
med udstederens tilladelse og om nødvendigt efter drøftelse med andre
berørte parter. Nedklassificeringen eller afklassificeringen skal bekræftes
skriftligt. Den institution eller medlemsstat, den styrelse eller afdeling, den
efterfølgende organisation eller højere myndighed, der har udstedt doku-
mentet, er ansvarlig for at underrette dokumentets modtagere om
ændringen, og disse er på deres side ansvarlige for at underrette efterføl-
gende modtagere, til hvem de har sendt eller kopieret dokumentet, om
ændringen.
10. Så vidt muligt anfører udstederen på de klassificerede dokumenter en dato
eller frist, efter hvilken indholdet kan nedklassificeres eller afklassificeres. I
modsat fald skal vedkommende tage klassificeringen op til revision mindst
hvert femte år for at undersøge, om den oprindelige klassifikationsgrad
stadig er nødvendig.2001D0264 — DA — 28.02.2004 — 001.001 — 13
(1) Ved nedklassificering (»downgrading«) forstås anvendelse af en lavere klassifikations-
grad; ved afklassificering (»declassification«) forstås ophævelse af enhver form for
klassificering.
▼B
AFSNIT IV
FYSISK SIKKERHEDSBESKYTTELSE
GENERELT
1. Hovedformålet med fysiske sikkerhedsforanstaltninger er at forhindre uauto-
riseret adgang til EU-klassificerede oplysninger og/eller EU-klassificeret
materiale.
SIKKERHEDSKRAV2. Alle lokaliteter, områder, bygninger, kontorer, lokaler, kommunikations- og
informationssystemer m.v., hvor der opbevares og/eller behandles EU-klas-
sificerede oplysninger og EU-klassificeret materiale, skal beskyttes ved
hjælp af passende fysiske sikkerhedsforanstaltninger.
3. Når det skal afgøres, hvilken grad af fysisk sikkerhedsbeskyttelse der er
nødvendigt, skal der tages hensyn til alle relevante faktorer som f.eks.:
a) oplysningernes og/eller materialets klassifikationsgrad
b) oplysningernes mængde og form (f.eks. på papir eller i elektronisk form)
c) vedkommende efterretningstjenesters vurdering af den lokale trussel mod
EU, medlemsstaterne og/eller andre institutioner eller tredjeparter, der
ligger inde med EU-klassificerede oplysninger, navnlig med hensyn til
risiko for sabotage, terrorisme, undergravende og/eller anden kriminel
virksomhed.
4. De fysiske sikkerhedsforanstaltninger, der bringes i anvendelse, skal tage
sigte på:
a) at forhindre, at uautoriserede personer ubemærket kan få adgang eller
kan tiltvinge sig adgang til de pågældende oplysninger
b) at forebygge, vanskeliggøre og i givet fald afsløre handlinger fra upåli-
delige medarbejderes side (»muldvarpe«)
c) at forhindre, at medarbejdere ved GSR, medlemsstaternes ministerier,
styrelser m.v. og/eller andre institutioner eller tredjeparter, for hvem
indsigt ikke er tjenstlig nødvendig, får adgang til EU-klassificerede
oplysninger.
FYSISKE SIKKERHEDSFORANSTALTNINGER
Sikkerhedszoner
5. Zoner, hvor oplysninger, der er klassificeret CONFIDENTIEL UE eller
højere, behandles eller opbevares, skal være således struktureret og indrettet,
at de opfylder kravene for en af følgende klasser:
a) Sikkerhedszone af klasse I: zone, hvor oplysninger, der er klassificeret
CONFIDENTIEL UE eller højere, behandles eller opbevares på en
sådan måde, at personer, der har adgang til zonen, uden videre også har
adgang til de klassificerede oplysninger. Zonen skal:
i) være tydeligt afgrænset og sikret, og al ind- og udgang skal kontrol-
leres
ii) have et adgangskontrolsystem, så der kun er adgang for særligt auto-
riserede medarbejdere
iii) ved tydelig skiltning vise, hvilken klassifikationsgrad af oplysninger,
der normalt opbevares i zonen, dvs. hvilke oplysninger man får
adgang til ved at komme ind i zonen
b) Sikkerhedszone af klasse II: zone, hvor oplysninger, der er klassificeret
CONFIDENTIEL UE eller højere, behandles eller opbevares på en sådan
måde, at medarbejdere, der ikke er berettiget til at få indsigt i oplysnin-
gerne, kan forhindres ved hjælp af intern kontrol i at komme ind på
områder med kontorer m.v., hvor oplysninger, der er klassificeret
CONFIDENTIEL UE eller højere, normalt behandles eller opbevares.
Zonen skal:
i) være tydeligt afgrænset og sikret, og al ind- og udgang skal kontrol-
leres
ii) have et adgangskontrolsystem, så der kun er adgang uden ledsagelse
for særligt autoriserede medarbejdere med relevant sikkerhedsgod-
kendelse. Alle andre personer skal ledsages eller på anden måde
forhindres i at få uautoriseret adgang til EU-klassificerede oplys-
ninger eller ukontrolleret adgang til zoner, som er omfattet af
teknisk sikkerhedsinspektion.2001D0264 — DA — 28.02.2004 — 001.001 — 14
▼B
Zoner, hvortil vagter ikke døgnet rundt kontrollerer adgangen, skal inspi-
ceres umiddelbart efter normal arbejdstids ophør for at sikre, at EU-
klassificerede oplysninger opbevares efter sikkerhedsforskrifterne.
Administrativ zone
6. Der kan oprettes en administrativ zone med et lavere sikkerhedsniveau rundt
om eller foran sikkerhedszoner af klasse I eller klasse II. En sådan zone skal
være tydeligt afgrænset, så personer og køretøjer kan kontrolleres. I admini-
strative zoner må der ikke behandles eller opbevares oplysninger, der er
klassificeret højere end RESTREINT UE.
Adgangskontrol
7. Adgang til sikkerhedszoner af klasse I og II kontrolleres ved hjælp af
adgangsbadge eller et personligt identifikationssystem for de fastemedarbej-
dere. Der indføres tillige et kontrolsystem for besøgende; dette udformes
således, at uautoriserede personer ikke kan få adgang til EU-klassificerede
oplysninger. Adgangsbadgeordningen kan suppleres med automatiseret iden-
tifikation, der skal betragtes som et supplement til vagternes visuelle
kontrol, men ikke fuldstændig kan træde i stedet for en sådan kontrol. En
ændret trusselsvurdering kan betyde, at der må indføres skærpet adgangs-
kontrol, f.eks. i forbindelse med VIP-besøg.
Rundering
8. I sikkerhedszoner af klasse I og II gennemføres rundering uden for normal
arbejdstid for at beskytte EU's aktiver mod lækage, skade eller tab. Runde-
ring foretages så ofte, som de stedlige omstændigheder kræver det eller hver
anden time.
Bokslokaler, penge- eller stålskabe, m.v.
9. Der anvendes tre klasser af sikrede bokslokaler, penge- eller stålskabe m.v.
til opbevaring af oplysninger med EU-klassifikation:
— Klasse A: bokslokaler, penge- eller stålskabe m.v., som er godkendt
på nationalt plan til opbevaring af oplysninger, der er klassificeret
TRÈS SECRET UE/EU TOP SECRET, i en sikkerhedszone af klasse I
eller II
— Klasse B: bokslokaler, penge- eller stålskabe m.v., som er godkendt
på nationalt plan til opbevaring af oplysninger, der er klassificeret
SECRET UE eller CONFIDENTIEL UE i en sikkerhedszone af klasse
I eller II
— Klasse C: kontormøbler, hvori der ikke må opbevares oplysninger,
hvis de er klassificeret højere end RESTREINT UE.
10. I bokslokaler, der indrettes inde i en sikkerhedszone af klasse I eller II og i
alle sikkerhedszoner af klasse I, hvor der på åbne reoler eller plottet ind på
kort m.v. opbevares oplysninger, som er klassificeret CONFIDENTIEL UE
eller højere, skal vægge, gulve og lofter samt dør(e) og låsemekanismer
være godkendt af den nationale sikkerhedsmyndighed, som attesterer, at
lokalerne yder samme beskyttelse som den type bokslokale, penge- eller
stålskab m.v., der er godkendt til opbevaring af oplysninger med samme
klassifikationsgrad.
Låsemekanismer
11. De låsemekanismer, der anvendes til bokslokaler, penge- eller stålskabe
m.v., hvori der opbevares EU-klassificerede oplysninger, skal opfylde
følgende krav:
— Gruppe A: godkendt på nationalt plan til bokslokaler, penge- eller
stålskabe m.v. af klasse A
— Gruppe B: godkendt på nationalt plan til bokslokaler, penge- eller
stålskabe m.v. af klasse B
— Gruppe C: kun egnet til kontormøbler af klasse C.
Kontrol med nøgler og koder
12. Nøgler til bokslokaler, penge- eller stålskabe m.v. må ikke tages med uden
for kontorbygningen. Medarbejdere, for hvem det er tjenstlig nødvendigt at
kende en evt. adgangskode, skal lære denne udenad. Vedkommende sikker-
hedsofficer har ansvaret for at opbevare reservenøgler samt en skriftlig
fortegnelse over alle koderne, som kan anvendes, hvis der opstår en nødsi-
tuation; koderne skal opbevares for sig i forseglede uigennemsigtige
kuverter. Arbejdsnøgler, reservesikkerhedsnøgler og koder skal opbevares
hver for sig i penge- eller stålskabe m.v. Nøgler eller koder må ikke have
et lavere beskyttelsesniveau end det materiale, de giver adgang til.2001D0264 — DA — 28.02.2004 — 001.001 — 15
▼B
13. Så få medarbejdere som muligt skal have kendskab til koderne til penge-
eller stålskabe m.v. Koderne ændres:
a) hver gang der modtages et nyt penge- eller stålskab m.v.
b) hver gang en medarbejder fratræder, og hver gang en ny medarbejder
tiltræder
c) hvis oplysninger er lækket, eller der er mistanke om, at oplysninger er
lækket
d) om muligt hver sjette måned, dog mindst en gang om året.
Anordninger til afsløring af uvedkommendes forsøg på at skaffe sig
adgang
14. Anvendes der alarmsystemer, kameraovervågning eller andre elektriske
anordninger for at beskytte EU-klassificerede oplysninger, skal der være en
nød-elforsyning, som sikrer systemets fortsatte drift, hvis hoved-elforsy-
ningen afbrydes. Et andet grundlæggende krav er, at alarmen skal udløses,
eller at vagterne på anden pålidelig måde skal alarmeres, hvis der opstår fejl
i systemets drift, eller hvis der forsøges foretaget ulovlige indgreb i det.
Godkendt udstyr
15. Den nationale sikkerhedsmyndighed ajourfører ud fra egne eller bilaterale
kilder fortegnelser over de typer og modeller af sikkerhedsudstyr, den har
godkendt til direkte eller indirekte beskyttelse af klassificerede oplysninger
under forskellige nærmere angivne omstændigheder og vilkår. GSR's sikker-
hedskontor fører en tilsvarende fortegnelse, blandt andet på grundlag af
oplysninger fra de nationale sikkerhedsmyndigheder. Decentrale EU-organer
skal høre GSR's sikkerhedskontor og eventuelt værtslandets nationale
sikkerhedsmyndighed inden anskaffelse af sådant udstyr.
Fysisk beskyttelse af kopi- og telefaxmaskiner
16. Kopi- og telefaxmaskiner beskyttes fysisk i det omfang, det er nødvendigt
for at sikre, at de kun kan anvendes af autoriserede medarbejdere, og at
der føres den nødvendige kontrol med alt klassificeret materiale.
BESKYTTELSE MOD UVEDKOMMENDES BLIKKE OG AFLYTNING
Uvedkommendes blikke
17. Der træffes alle nødvendige foranstaltninger til at sikre, at uvedkommende
ikke på noget tidspunkt af døgnet kan få lejlighed til at se EU-klassificerede
oplysninger, end ikke ved et tilfælde.
Aflytning
18. Kontorer eller zoner, hvor der regelmæssigt drøftes anliggender, der er klas-
sificeret SECRET UE (hemmeligt) eller højere, beskyttes mod aktiv og
passiv aflytning i det omfang en risikovurdering tilsiger det. Det påhviler
vedkommende sikkerhedsmyndighed at vurdere risikoen for aflytning, om
nødvendigt efter at have hørt nationale sikkerhedsmyndigheder.
19. Med henblik på fastsættelse af de beskyttelsesforanstaltninger, der skal
træffes i bygninger, hvor det er vigtigt at undgå dels passiv aflytning
(f.eks. isolering af vægge, døre, gulve og lofter og måling af, hvor meget
man kan høre udenfor) og dels aktiv aflytning (f.eks. detektion af skjulte
mikrofoner), kan GSR's sikkerhedskontor anmode om bistand fra de natio-
nale sikkerhedsmyndigheder. Decentrale EU-organers sikkerhedsofficer kan
anmode GSR's sikkerhedskontor om at udføre tekniske inspektioner og/eller
anmode om bistand fra nationale sikkerhedsmyndigheders eksperter.
20. Når omstændighederne tilsiger det, kan sikkerhedsteknikere fra nationale
sikkerhedsmyndigheder på vedkommende sikkerhedsofficers anmodning
ligeledes inspicere telekommunikationsudstyr og det elektriske eller elektro-
niske kontormateriel, der anvendes under møder, hvor drøftelserne er
klassificeret SECRET UE eller højere.
TEKNISK SIKREDE ZONER21. Visse zoner kan udpeges som teknisk sikrede zoner. Der foretages en særlig
adgangskontrol. Når disse zoner ikke bruges, skal de holdes aflåst ved hjælp
af en godkendt procedure, og alle nøgler skal betragtes som sikkerheds-
nøgler. Der foretages regelmæssig fysisk inspektion af sådanne zoner, og
inspektion foretages ligeledes, hvis uvedkommende har fået adgang til
zonerne, eller hvis der er mistanke om, at uvedkommende har fået adgang.2001D0264 — DA — 28.02.2004 — 001.001 — 16
▼B
22. Der udarbejdes en detaljeret fortegnelse over materiel og møblement, så der
kan føres kontrol med, i hvilket lokale det hører hjemme. Intet møbel eller
udstyr må bringes ind i disse zoner, uden at det først er blevet nøje inspi-
ceret af særligt uddannet sikkerhedspersonale med henblik på detektion af
aflytningsudstyr. Det bør normalt undgås at installere kommunikationslinjer
i teknisk sikrede zoner.2001D0264 — DA — 28.02.2004 — 001.001 — 17
▼B
AFSNIT V
ALMINDELIGE BESTEMMELSER OM »NEED-TO-KNOW«-PRIN-
CIPPET OG SIKKERHEDSGODKENDELSE
1. Kun personer, for hvem indsigt er tjenstlig nødvendig (»need-to-know«), må
få indsigt i EU klassificerede oplysninger. Oplysninger, der er klassificeret
TRÈS SECRET/EU TOP SECRET, SECRET UE eller CONFIDENTIEL
UE, må kun komme personer i hænde, der er sikkerhedsgodkendt til den
pågældende klassifikationsgrad.
2. Det påhviler GSR, de decentrale EU-organer eller vedkommende myndig-
heder i den medlemsstat, hvor en ny medarbejder skal tiltræde, at træffe
afgørelse om, hvilke oplysninger den pågældende har tjenstligt behov for
at få kendskab til, alt efter de arbejdsopgaver, der vil blive pålagt.
3. Arbejdsgiveren er ansvarlig for, at medarbejderne er sikkerhedsgodkendt
efter de relevante procedurer. For så vidt angår GSR's tjenestemænd og
øvrige ansatte anvendes proceduren for sikkerhedsgodkendelse i afsnit VI.
Der vil derefter blive udstedt et »sikkerhedscertifikat« med angivelse af den
højeste klassifikationsgrad den godkendte har adgang til, samt udløbsdatoen
for godkendelsen.
Et sikkerhedscertifikat til en bestemt klassifikationsgrad gælder ligeledes for
adgang til oplysninger med lavere klassifikationsgrad.
4. Hvis det er nødvendigt at drøfte EU-klassificerede oplysninger med
personer, som ikke er tjenestemænd eller andre ansatte i GSR eller
medlemsstaternes egne medarbejdere, men f.eks. er medlemmer af eller
tjenestemænd eller andre ansatte ved EU's øvrige institutioner, eller det er
nødvendigt at vise dem sådanne oplysninger, skal de pågældende først
være sikkerhedsgodkendt til EU-klassificerede oplysninger, og de skal
orienteres om deres sikkerhedsmæssige ansvar. Samme regel gælder under
tilsvarende omstændigheder for eksterne kontrahenter, eksperter eller konsu-
lenter.
SÆRBESTEMMELSER OM INDSIGT I OPLYSNINGER, DER ER KLASSI-
FICERET TRÈS SECRET UE/EU TOP SECRET
5. Enhver, der skal have indsigt i oplysninger, som er klassificeret TRÈS
SECRET UE/EU TOP SECRET, skal først være sikkerhedsgodkendt til
denne klassifikationsgrad.
6. Enhver, der skal have indsigt i oplysninger, som er klassificeret TRÈS
SECRET UE/EU TOP SECRET, udpeges af chefen for den pågældende
afdeling eller styrelse, og deres navn skal optages på listen over de medar-
bejdere, der er sikkerhedsgodkendt til TRÈS SECRET UE/EU TOP
SECRET.
7. Enhver, der skal have indsigt i oplysninger, som er klassificeret TRÈS
SECRET UE/EU TOP SECRET, skal forinden underskrive en erklæring
om at være blevet orienteret om Rådets sikkerhedsprocedurer og fuldt ud
at have forstået sit særlige ansvar for at beskytte oplysninger, der er klassi-
ficeret TRÈS SECRET UE/EU TOP SECRET, samt konsekvenserne i
henhold til EU-bestemmelser og medlemsstaternes love eller administrative
bestemmelser, såfremt uvedkommende med forsæt eller uagtsomt får
adgang til klassificerede oplysninger.
8. Hvis en medarbejder skal deltage i møder o.l., hvor den pågældende vil få
adgang til oplysninger, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, skal sikkerhedsofficeren i den styrelse eller afdeling, hvor medar-
bejderen er ansat, meddele den instans, som afholder mødet, at
medarbejderen har den nødvendige sikkerhedsgodkendelse.
9. Navnene på samtlige personer, hvis arbejdsopgaver ikke længere kræver
indsigt i oplysninger, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, skal fjernes fra TRÈS SECRET UE/EU TOP SECRET-listen.
Derudover skal de pågældende gøres opmærksom på deres særlige ansvar
for beskyttelse af de oplysninger, de er blevet bekendt med, og som er klas-
sificeret TRÈS SECRET/EU TOP SECRET. De skal desuden underskrive
en erklæring om, at de hverken vil bruge eller videregive oplysninger i
deres besiddelse, der er klassificeret TRÈS SECRET UE/EU TOP SECRET.
SÆRBESTEMMELSER OM INDSIGT I OPLYSNINGER, DER ER KLASSI-
FICERET SECRET UE ELLER CONFIDENTIEL UE
10. Enhver, der skal have indsigt i oplysninger, som er klassificeret SECRET
UE eller CONFIDENTIEL UE, skal først være sikkerhedsgodkendt til den
pågældende klassifikationsgrad.2001D0264 — DA — 28.02.2004 — 001.001 — 18
▼B
11. Enhver, der skal have indsigt i oplysninger, som er klassificeret SECRET
UE eller CONFIDENTIEL UE, skal gøres bekendt med de relevante sikker-
hedsbestemmelser og skal være klar over konsekvenserne af uagtsomhed.
12. Hvis en medarbejder skal deltage i møder o.l., hvor den pågældende vil få
adgang til oplysninger, der er klassificeret SECRET UE eller CONFIDEN-
TIEL UE, skal sikkerhedsofficeren i den styrelse eller afdeling, hvor
medarbejderen er ansat, meddele den instans, der afholder mødet, at medar-
bejderen har den nødvendige sikkerhedsgodkendelse.
SÆRBESTEMMELSER OM INDSIGT I OPLYSNINGER, DER ER KLASSI-
FICERET RESTREINT UE
13. Alle, der har indsigt i oplysninger, som er klassificeret RESTREINT UE,
gøres bekendt med disse sikkerhedsforskrifter og konsekvenserne af uagt-
somhed.
OVERDRAGELSE AF MATERIALE14. Hvis en medarbejder skal gøre tjeneste andetsteds efter at have behandlet
EU-klassificeret materiale og afløses af en anden, påser vedkommende
sekretariat, at det klassificerede materiale overdrages korrekt fra den fratræ-
dende til den tiltrædende medarbejder.
SÆRLIGE INSTRUKSER
15. Personer, som tjenstlig skal have indsigt i EU-klassificerede oplysninger,
bør ved tildelingen af sådanne arbejdsopgaver og med regelmæssige
mellemrum derefter gøres opmærksom på:
a) sikkerhedsrisikoen ved uoverlagt tale
b) forholdsregler over for pressen
c) truslen fra efterretningstjenester, der opererer i EU og medlemsstaterne
med henblik på at indsamle oplysninger og følge aktiviteter, der er EU-
klassificerede
d) pligten til straks at rapportere til vedkommende sikkerhedsmyndigheder
om enhver henvendelse eller handling, der kan vække mistanke om
spionage, eller enhver usædvanlig sikkerhedsrelevant omstændighed.
16. Enhver, der normalt er i hyppig kontakt med repræsentanter for lande, hvis
efterretningstjenester opererer i EU og medlemsstaterne med henblik på at
indsamle oplysninger og følge aktiviteter, der er EU-klassificerede, skal
orienteres om de teknikker, sådanne efterretningstjenester vides at benytte
sig af.
17. Rådet har ingen sikkerhedsbestemmelser vedrørende private rejser, som
foretages af medarbejdere, der er sikkerhedsgodkendt til EU-klassificerede
oplysninger. Vedkommende sikkerhedsmyndigheder gør imidlertid sådanne
medarbejdere bekendt med de rejsebestemmelser, de inden for deres
ansvarsområde er omfattet af. Sikkerhedsofficeren drager omsorg for, at
der afholdes genopfriskningskurser for medarbejderne vedrørende sådanne
særbestemmelser.2001D0264 — DA — 28.02.2004 — 001.001 — 19
▼B
AFSNIT VI
AFGØRELSE OM SIKKERHEDSGODKENDELSE AF TJENESTE-
MÆND OG ØVRIGE ANSATTE I GSR
1. Kun tjenestemænd og øvrige ansatte i GSR eller personer, der arbejder i
GSR, og som i embeds medfør og af tjenstlige grunde har brug for at få
kendskab til eller behandle klassificerede oplysninger i Rådets besiddelse,
kan få adgang til sådanne oplysninger.
2. For at få indsigt i oplysninger, der er klassificeret TRÈS SECRET UE/EU
TOP SECRET, SECRET UE eller CONFIDENTIEL UE, skal de i nr. 1
omhandlede personer først godkendes til den pågældende klassifikationsgrad
efter proceduren i nr. 4 og 5.
3. Godkendelsen gives kun til personer, der er blevet sikkerhedsundersøgt af
medlemsstaternes kompetente nationale myndigheder (den nationale sikker-
hedsmyndighed) efter proceduren i nr. 6-10.
4. Ansættelsesmyndigheden som defineret i personalevedtægtens artikel 2, stk.
1, meddeler de i nr. 1, 2 og 3 omhandlede godkendelser.
Ansættelsesmyndigheden meddeler godkendelsen efter at have indhentet
udtalelse fra medlemsstaternes kompetente nationale myndigheder på
grundlag af sikkerhedsundersøgelsen i henhold til nr. 6-12.
5. Godkendelsen er gyldig i fem år, dog ikke længere end varigheden af de
arbejdsopgaver, der ligger til grund for den. Gyldighedsperioden kan
forlænges af ansættelsesmyndigheden efter proceduren i nr. 4.
Ansættelsesmyndigheden kan dog inddrage godkendelsen, såfremt den
finder, at der er grund hertil. Ansættelsesmyndigheden giver underretning
om inddragelsen til den pågældende person, der kan anmode om at måtte
fremsætte sine bemærkninger over for ansættelsesmyndigheden, samt til de
kompetente nationale myndigheder.
6. Sikkerhedsundersøgelsen har til formål at sikre, at der ikke er noget til
hinder for, at den pågældende person kan få adgang til klassificerede oplys-
ninger i Rådets besiddelse.
7. Sikkerhedsundersøgelsen foretages med den berørte persons medvirken og
efter anmodning fra ansættelsesmyndigheden; undersøgelsen foretages af
de kompetente myndigheder i den medlemsstat, hvor den person, der skal
sikkerhedsgodkendes, er statsborger. Såfremt den pågældende person er
bosiddende på en anden medlemsstats område, kan de kompetente nationale
myndigheder sikre sig bopælsstatens myndigheders samarbejde.
8. Den pågældende skal med henblik på sikkerhedsundersøgelsen udfylde et
skema med angivelse af personlige oplysninger.
9. Ansættelsesmyndigheden giver i sin anmodning nærmere oplysninger om
arten af og klassifikationsniveauet for de oplysninger, som den pågældende
person vil få kendskab til, så de kompetente nationale myndigheder kan
foretage sikkerhedsundersøgelsen og afgive en udtalelse om den pågæl-
dendes relevante godkendelsesniveau.
10. De forskrifter og bestemmelser vedrørende sikkerhedsundersøgelse, som er
gældende i vedkommende medlemsstat, herunder forskrifter og bestem-
melser om eventuel klageadgang, finder anvendelse i forbindelse med hele
sikkerhedsundersøgelsens forløb og dens resultater.
11. Såfremt medlemsstaternes kompetente nationale myndigheder afgiver
positiv udtalelse, kan ansættelsesmyndigheden godkende den pågældende
person.
12. Såfremt de kompetente nationale myndigheder afgiver negativ udtalelse,
underrettes den pågældende person om udtalelsens resultat, og vedkom-
mende kan anmode om at måtte fremsætte sine bemærkninger over for
ansættelsesmyndigheden. Hvis ansættelsesmyndigheden finder det nødven-
digt, kan den rette henvendelse til de kompetente nationale myndigheder
og bede om de nærmere oplysninger, som disse er i stand til at give.
Såfremt den negative udtalelse bekræftes, kan godkendelse ikke meddeles.
13. Enhver person, der er godkendt efter nr. 4 og 5, får i forbindelse med
godkendelsen og herefter med jævne mellemrum de nødvendige instrukser
om beskyttelsen af de klassificerede oplysninger og om, hvorledes beskyt-
telsen sikres. Den pågældende underskriver en erklæring som bekræftelse
på, at han har modtaget disse instrukser, og at han forpligter sig til at over-
holde dem.2001D0264 — DA — 28.02.2004 — 001.001 — 20
▼B
14. Ansættelsesmyndigheden træffer enhver nødvendig foranstaltning med
henblik på gennemførelsen af denne afgørelse, navnlig vedrørende reglerne
for adgang til listen over godkendte personer.
15. Ansættelsesmyndigheden kan undtagelsesvis og af tjenstlige grunde,
forudsat den på forhånd har underrettet de kompetente myndigheder, og
disse ikke har fremsat bemærkninger inden for en måned, give midlertidig
godkendelse for et tidsrum, der ikke kan overstige seks måneder, medens
den afventer resultatet af sikkerhedsundersøgelsen som omhandlet i nr. 7.
16. Sådanne formålsbestemte og midlertidige godkendelser giver ikke adgang til
oplysninger, der er klassificeret TRÈS SECRET UE/EU TOP SECRET;
adgang hertil er forbeholdt tjenestemænd, som har gennemgået en egentlig
sikkerhedsundersøgelse med positivt resultat efter nr. 7. Indtil resultatet af
sikkerhedsundersøgelsen foreligger, kan der meddeles midlertidig og formå-
lsbestemt godkendelse til tjenestemænd, for hvem der er anmodet om
sikkerhedsgodkendelse til TRÈS SECRET UE/EU TOP SECRET, så de
kan få adgang til oplysninger, der er klassificeret til og med SECRET UE.2001D0264 — DA — 28.02.2004 — 001.001 — 21
▼B
AFSNIT VII
UDARBEJDELSE, FORDELING, VIDEREGIVELSE, OPBEVARING OG
DESTRUKTION AF EU-KLASSIFICERET MATERIALE
Indholdsfortegnelse
Almindelige bestemmelser
Kapitel I Udarbejdelse og fordeling af EU-klassificerede dokumenter . . . .................
Kapitel II Videregivelse af EU-klassificerede dokumenter . . ............................
Kapitel III Elektronisk eller anden teknisk videregivelse ................................
Kapitel IV Kopiering, oversættelse og uddrag af EU-klassificerede dokumenter . . ...........
Kapitel V Fornyet gennemgang og kontrol, opbevaring og destruktion af EU-klassificerede
dokumenter . . . ........................................................
Kapitel VI Særlige bestemmelser for dokumenter til brug i Rådet . . ......................2001D0264 — DA — 28.02.2004 — 001.001 — 22
▼B
Almindelige bestemmelser
Dette afsnit indeholder nærmere bestemmelser vedrørende udarbejdelse, forde-
ling, videregivelse, opbevaring og destruktion af EU-klassificerede dokumenter
som defineret i nr. 3, litra a), i de grundlæggende principper og minimumsstan-
darder for sikkerhed i del I i dette bilag. Det udgør referencerammen for
tilpasning af tilsvarende foranstaltninger for andet EU-klassificeret materiale,
afhængig af materialets type og fra sag til sag.
Kapitel I
Udarbejdelse og fordeling af EU-klassificerede dokumenter
UDARBEJDELSE
1. EU-klassifikationsgrader og påtegninger anvendes som omhandlet i afsnit II
og anføres centreret foroven og forneden på hver side, ligesom hver side
skal forsynes med nummer. Hvert dokument med EU-klassifikation skal
være forsynet med referencenummer og dato. På dokumenter, der er klassi-
ficeret TRÈS SECRET UE/EU TOP SECRET eller SECRET UE, anføres
referencenummeret på hver side. Hvis dokumenter skal fordeles i flere
eksemplarer, skal hvert eksemplar have et nummer, som skal anføres på
første side tillige med det samlede sideantal. På dokumenter, der er klassifi-
ceret CONFIDENTIEL UE eller højere, skal der på første side være angivet,
hvor mange bilag der er.
2. Dokumenter, der er klassificeret CONFIDENTIEL UE eller højere, må kun
skrives, oversættes, opbevares, fotokopieres, reproduceres magnetisk eller
mikrofilmes af personer, som er blevet sikkerhedsgodkendt med henblik på
adgang til oplysninger med EU-klassifikation på et niveau, der mindst svar-
er til det pågældende dokuments klassifikationsgrad, bortset fra det særlige
tilfælde, som er omhandlet i nr. 27 i dette afsnit.
Bestemmelserne om anvendelse af PC m.v. til fremstilling af klassificerede
dokumenter findes i afsnit XI.
FORDELING
3. EU-klassificerede oplysninger må kun komme de personer i hænde, for
hvem indsigt er tjenstlig nødvendig, og som har den relevante sikkerheds-
godkendelse. Udstederen af dokumentet skal specificere, hvem der skal
modtage det.
4. Dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP SECRET,
fordeles via et TRÈS SECRET UE/EU TOP SECRET-sekretariat (jf. afsnit
VIII). Ved meddelelser, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, kan vedkommende sekretariat give chefen for kommunikations-
centret tilladelse til at fremstille det antal kopier, som er angivet i
modtagerlisten.
5. Dokumenter, der er klassificeret SECRET UE eller lavere, kan videregives
af den første modtager til andre modtagere, for hvem indsigt er tjenstlig
nødvendig. Udstederen skal imidlertid tydeligt angive eventuelle nærmere
betingelser. Angives sådanne nærmere betingelser, må modtagerne kun
videregive dokumentet med udstederens samtykke.
6. Ethvert dokument, der er klassificeret CONFIDENTIEL UE eller højere,
registreres ved såvel modtagelse og som udsendelse af sekretariatet i den
instans, som modtager eller udsender det. De oplysninger (dokumentrefe-
rence, dato og evt. eksemplarnummer), som er nødvendige for at kunne
identificere dokumentet, indføres i en journal eller i en særligt beskyttet
edb-databærer.
Kapitel II
Videregivelse af EU-klassificerede dokumenter
KUVERTER
7. Dokumenter, der er klassificeret CONFIDENTIEL UE eller højere, sendes i
to uigennemsigtige kuverter af svært papir. Den inderste kuvert forsynes
med angivelse af den pågældende EU-klassifikationsgrad og om muligt
udførlig angivelse af modtagerens stilling og kontoradresse.
8. Kun sekretariatets leder eller dennes stedfortræder må åbne den inderste
kuvert og kvittere for modtagelsen af dokumenterne, medmindre kuverten
er adresseret til en bestemt person. I så fald journaliseres kuverten af det
pågældende sekretariat, og kun den person, den er adresseret til, må åbne
den inderste kuvert og kvittere for modtagelsen af de fremsendte doku-
menter.2001D0264 — DA — 28.02.2004 — 001.001 — 23
▼B
9. Den inderste kuvert skal indeholde en kvitteringsformular. Kvitteringen,
som ikke er klassificeret, skal indeholde oplysning om dokumentreference,
dato og eksemplarnummer, men aldrig om, hvad sagen vedrører.
10. Den inderste kuvert anbringes i en kuvert, som forsynes med et registre-
ringsnummer. Klassifikationsgraden må under ingen omstændigheder
angives på den yderste kuvert.
11. Ved dokumenter, der er klassificeret CONFIDENTIEL UE eller højere,
modtager kureren en kvittering for hvert registreringsnummer.
TRANSPORT INDEN FOR EN BYGNING ELLER GRUPPE AF
BYGNINGER
12. Inden for en given bygning eller gruppe af bygninger kan klassificerede
dokumenter bæres i en forseglet kuvert, som kun er forsynet med modtage-
rens navn, når blot den person, der bærer dem, er sikkerhedsgodkendt til de
pågældende dokumenters klassifikationsgrad.
VIDEREGIVELSE AF EU-DOKUMENTER INDEN FOR ET LANDS
GRÆNSER
13. Inden for et lands grænser sendes dokumenter, der er klassificeret TRÈS
SECRET UE/EU TOP SECRET, kun med officiel kurertjeneste eller med
personer, der er sikkerhedsgodkendt til TRÈS SECRET UE/EU TOP
SECRET.
14. Hvis dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, sendes med kurertjeneste uden for en bygning eller gruppe af
bygninger, skal bestemmelserne om emballering og modtagelse i dette
kapitel altid overholdes. Kurertjenesternes bemanding skal være tilstræk-
kelig til, at pakker indeholdende dokumenter, der er klassificeret TRÈS
SECRET UE/EU TOP SECRET, til enhver tid er under direkte opsyn af
en ansvarlig medarbejder.
15. Undtagelsesvis kan et dokument, der er klassificeret TRÈS SECRET UE/EU
TOP SECRET, medbringes til lokalt brug ved møder og drøftelser af andre
medarbejdere end kurerer uden for en bygning eller gruppe af bygninger,
men kun på følgende betingelser:
a) bæreren af dokumentet skal være sikkerhedsgodkendt til og være beret-
tiget til indsigt i TRÈS SECRET UE/EU TOP SECRET-dokumenter
b) transportmåden skal være i overensstemmelse med landets regler om
forsendelse af nationale YDERST HEMMELIGT-dokumenter
c) den pågældende må under ingen omstændigheder efterlade dokumentet,
der er klassificeret TRÈS SECRET UE/EU TOP SECRET uden opsyn
d) en fortegnelse over dokumenter, der transporteres på denne måde, opbe-
vares i TRÈS SECRET UE/EU TOP SECRET-sekretariatet, som har
ansvaret for dokumenterne, og indføres i en journal, og dokumenterne
sammenholdes med denne fortegnelse, når de leveres tilbage.
16. Inden for et givet lands grænser kan dokumenter, der er klassificeret
SECRET UE eller CONFIDENTIEL UE, sendes med posten, hvis dette er
tilladt efter landets egne bestemmelser og er i overensstemmelse med disse
bestemmelser, eller de kan sendes med kurertjeneste eller med personer, der
er sikkerhedsgodkendt til at få indsigt i EU-klassificerede oplysninger.
17. Hver medlemsstat og hvert decentralt EU-organ udarbejder på grundlag af
disse bestemmelser instrukser om personlig transport af EU-klassificerede
dokumenter. Den, der bærer sådanne dokumenter, skal læse og underskrive
disse instrukser. Det skal navnlig fremgå klart af instrukserne, at dokumen-
terne under ingen omstændigheder må:
a) overlades til andre, medmindre de deponeres i overensstemmelse med
bestemmelserne i afsnit IV
b) efterlades uden opsyn i offentlige transportmidler eller private køretøjer
eller på steder som restauranter eller hoteller. De må ikke opbevares i
hotelbokse eller efterlades uden opsyn på hotelværelser
c) læses på offentlige steder såsom i fly eller tog.
VIDEREGIVELSE FRA EN MEDLEMSSTAT TIL EN ANDEN18. Materiale, der er klassificeret CONFIDENTIEL UE eller højere, sendes fra
en medlemsstat til en anden med diplomatpost eller militær kurertjeneste.
19. Der kan imidlertid gives tilladelse til personlig transport af materiale, der er
klassificeret SECRET UE eller CONFIDENTIEL UE, hvis det kan sikres, at
materialet transporteres på en sådan måde, at det ikke kan komme uautori-
serede personer i hænde.2001D0264 — DA — 28.02.2004 — 001.001 — 24
▼B
20. De nationale sikkerhedsmyndigheder kan give tilladelse til personlig trans-
port, hvis der ikke er mulighed for diplomatpost eller en militær kurer, eller
hvis anvendelse heraf vil medføre en forsinkelse, der vil skade EU's opera-
tioner, og det haster at få materialet frem til modtageren. Hver medlemsstat
udarbejder instrukser om anden form for personlig transport end diplomat-
post og militær kurertjeneste med henblik på international forsendelse af
materiale med klassifikationsgrad til og med SECRET UE. Instrukserne
skal indeholde følgende krav:
a) den, der bærer materialet, skal have medlemsstaternes relevante sikker-
hedsgodkendelse
b) alt, hvad der transporteres på denne måde, skal registreres af vedkom-
mende sekretariat
c) pakker og bagage, mv., der indeholder EU-klassificeret materiale, skal
plomberes officielt for at undgå toldeftersyn og skal mærkes med identi-
fikation og instrukser til finderen
d) den pågældende skal være i besiddelse af et kurercertifikat og/eller en
tjenesterejseordre, som anerkendes af alle EU-medlemsstater og giver
tilladelse til at transportere pakken som beskrevet
e) den pågældende må ikke ved rejse over land rejse gennem en stat, som
ikke er medlem af EU, eller krydse dens grænse, medmindre den stat,
der står for transporten, er i besiddelse af en særlig garanti fra denne stat
f) den pågældendes rejseplaner med hensyn til bestemmelsessted, rejseruter
og anvendte transportmidler skal være i overensstemmelse med EU-
bestemmelserne eller med de nationale bestemmelser herom, hvis disse
er strengere end EU's
g) materialet skal hele tiden være i den pågældendes varetægt, medmindre
det deponeres i overensstemmelse med bestemmelserne om deponering i
afsnit IV
h) materialet må ikke efterlades uden opsyn i offentlige eller private køre-
tøjer eller på steder som restauranter eller hoteller. Det må ikkeopbevares i hotelbokse eller efterlades uden opsyn på hotelværelser
i) hvis det transporterede materiale omfatter dokumenter, må disse ikke
læses på offentlige steder (f.eks. i fly eller tog).
Den person, der udpeges til at transportere det klassificerede materiale, skal
læse og underskrive en sikkerhedsorientering, der som et minimum omfatterovennævnte instrukser samt de procedurer, der skal følges i en krisesituation
eller i tilfælde af, at pakken med det klassificerede materiale kræves under-
søgt af toldmyndighederne eller sikkerhedspersonalet i en lufthavn.
VIDEREGIVELSE AF DOKUMENTER, DER ER KLASSIFICERET
RESTREINT UE
21. Der fastsættes ingen særlige bestemmelser for forsendelse af dokumenter,
der er klassificeret RESTREINT UE; det skal dog sikres, at uvedkommende
ikke kommer i besiddelse af dem.
SIKKERHEDSGODKENDELSE AF KURERPERSONALE
22. Alle kurerer, der ansættes til at transportere dokumenter, der er klassificeret
SECRET UE og CONFIDENTIEL UE, skal forinden have den relevante
sikkerhedsgodkendelse.
Kapitel III
Elektronisk eller anden teknisk videregivelse
23. Der træffes foranstaltninger med hensyn til kommunikationssikkerhed, så
EU-klassificerede oplysninger kan videregives under sikre forhold. De
nærmere bestemmelser om sådan videregivelse af EU-klassificerede oplys-
ninger er omhandlet i afsnit XI.
24. Oplysninger, der er klassificeret CONFIDENTIEL UE eller SECRET UE,
må kun videregives via godkendte kommunikationscentre og -netværk og/
eller godkendte terminaler og systemer.
Kapitel IV
Kopiering, oversættelse og uddrag af EU-klassificerede dokumenter
25. Dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP SECRET, må
kun kopieres eller oversættes med udstederens godkendelse.
26. Hvis medarbejdere, der ikke er sikkerhedsgodkendt til TRÈS SECRET UE/
EU TOP SECRET har brug for oplysninger, som er indeholdt i et TRÈS
SECRET UE/EU TOP SECRET-dokument, men ikke er klassificeret så2001D0264 — DA — 28.02.2004 — 001.001 — 25
▼B
højt, kan lederen af TRÈS SECRET UE/EU TOP SECRET-sekretariatet
opnå tilladelse til at udlevere de nødvendige uddrag af det pågældende
dokument. Vedkommende tager samtidig de nødvendige skridt til at sikre,
at uddragene klassificeres på et passende niveau.
27. Dokumenter, der er klassificeret SECRET UE eller lavere, kan mangfoldig-
gøres og oversættes af modtageren inden for rammerne af de nationale
sikkerhedsbestemmelser, for så vidt det sker under nøje overholdelse af
»need-to-know«-princippet. De sikkerhedsforanstaltninger, der gælder for
det oprindelige dokument, skal også gælde for kopier og/eller oversættelser
af det. Decentrale EU-organer følger disse sikkerhedsforskrifter.
Kapitel V
Fornyet gennemgang og kontrol, opbevaring og destruktion af EU-klassifi-
cerede dokumenter
FORNYET GENNEMGANG OG KONTROL28. Hvert år gennemgår det i afsnit VIII omhandlede TRÈS SECRET UE/EU
TOP SECRET-sekretariat hvert af de dokumenter, der er klassificeret
TRÈS SECRET UE/EU TOP SECRET, i overensstemmelse med bestem-
melserne i afsnit VIII, nr. 9-11. Der foretages intern kontrol af EU-
klassificerede dokumenter, der er klassificeret lavere end TRÈS SECRET
UE/EU TOP SECRET, i overensstemmelse med nationale retningslinjer,
og for så vidt angår GSR og decentrale EU-organer, i overensstemmelse
med instrukser fra generalsekretæren/den højtstående repræsentant.
En sådan fornyet gennemgang og kontrol giver mulighed for at indhente
ihændehavernes opfattelse af, hvilke dokumenter der kan:
a) nedklassificeres eller afklassificeres
b) destrueres.
ARKIVERING AF EU-KLASSIFICEREDE OPLYSNINGER29. For at begrænse opbevaringsproblemerne mest muligt har sekretariatets
leder bemyndigelse til at lade dokumenter, der er klassificeret TRÈS
SECRET UE/EU TOP SECRET, SECRET UE eller CONFIDENTIEL UE,
mikrofilme eller på anden måde arkivere i en magnetisk eller optisk udgave
på følgende betingelser:
a) optagelsen på mikrofilm/arkiveringen skal foretages af personale, der har
en gyldig sikkerhedsgodkendelse svarende til det enkelte dokuments
klassifikationsgrad
b) der gælder samme sikkerhedsbestemmelser for det medium, der
anvendes til optagelsen/arkiveringen, som for de oprindelige dokumenter
c) udstederen underrettes om optagelse/arkivering af dokumenter, der er
klassificeret TRÈS SECRET UE/EU TOP SECRET
d) filmruller eller andre former for medier må kun indeholde dokumenter
med samme klassifikationsgrad, dvs. enten TRÈS SECRET UE/EU
TOP SECRET, SECRET UE eller CONFIDENTIEL UE
e) optagelse/arkivering af et dokument, der er klassificeret TRÈS SECRET
UE/EU TOP SECRET eller SECRET UE, angives tydeligt i den journal,
der anvendes til den årlige oversigt
f) originale dokumenter, som er blevet mikrofilmet, eller som opbevares på
anden vis, tilintetgøres i overensstemmelse med bestemmelserne i nr. 28-
32 nedenfor.
30. Disse bestemmelser gælder ligeledes for enhver anden form for opbevaring,
som godkendes af den nationale sikkerhedsmyndighed, såsom elektromag-
netiske og optiske medier.
RUTINEMÆSSIG DESTRUKTION AF EU-KLASSIFICEREDE DOKU-
MENTER
31. For at undgå unødvendig ophobning af EU-klassificerede dokumenter
destrueres dokumenter, som chefen for den instans, styrelse m.v., hvor de
opbevares, anser for at være forældede eller overskydende, så hurtigt som
muligt på følgende måde:
a) dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP SECRET,
må kun destrueres af det sekretariat, som er ansvarligt for dem. Hvert af
de destruerede dokumenter anføres i en erklæring om destruktionen, som
underskrives af den sikkerhedsansvarlige på TRÈS SECRET UE/EU
TOP SECRET-niveau og af den medarbejder, der overværer destrukti-
onen, og som skal være sikkerhedsgodkendt til TRÈS SECRET UE/EU
TOP SECRET. Der indføres en bemærkning herom i journalen2001D0264 — DA — 28.02.2004 — 001.001 — 26
▼B
b) erklæringer om destruktion samt fortegnelser over fordeling opbevares af
sekretariatet i ti år. Der skal kun sendes kopier til udstederen eller det
relevante centrale sekretariat på udtrykkelig anmodning
c) dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP SECRET,
herunder alt klassificeret affald fra udarbejdelsen af sådanne dokumenter,
såsom uanvendelige eksemplarer, arbejdsudkast, maskinskrevne notater
og karbonpapir, destrueres under opsyn af en ansvarlig på TRÈS
SECRET UE/EU TOP SECRET-niveau ved afbrænding, opløsning,
makulering eller på anden måde reducering til et produkt, der hverken
kan genkendes eller rekonstrueres.
32. Dokumenter, der er klassificeret SECRET UE, destrueres af det sekretariat,
som er ansvarligt for de pågældende dokumenter, under opsyn af en sikker-
hedsgodkendt medarbejder og ved hjælp af processerne i nr. 31, litra c).
Destruerede dokumenter, der var klassificeret SECRET UE, anføres på
underskrevne erklæringer om destruktion, som opbevares af sekretariatet i
mindst tre år tillige med fortegnelser over udbredelse.
33. Dokumenter, der er klassificeret CONFIDENTIEL UE, destrueres af det
sekretariat, som er ansvarligt for de pågældende dokumenter, under opsyn
af en sikkerhedsgodkendt medarbejder og ved hjælp af processerne i nr.
31, litra c). Destruktionen registreres i overensstemmelse med nationale
bestemmelser eller, hvis det drejer sig om GSR eller decentrale EU-organer,
efter instrukser fra generalsekretæren/den højtstående repræsentant.
34. Dokumenter, der er klassificeret RESTREINT UE, destrueres af det sekreta-
riat, som er ansvarligt for de pågældende dokumenter, eller af brugeren i
overensstemmelse med nationale bestemmelser eller, hvis det drejer sig om
GSR eller decentrale EU-organer, efter instruks fra generalsekretæren/den
højtstående repræsentant.
DESTRUKTION I KRISESITUATIONER
35. GSR, medlemsstaterne og de decentrale EU-organer udarbejder på grundlag
af lokale forhold planer for sikker opbevaring af EU-klassificeret materiale i
krisesituationer, herunder om nødvendigt planer for destruktion eller flyt-
ning; de bekendtgør i deres respektive instanser de instrukser, som de
finder nødvendige for at undgå, at uautoriserede personer får EU-klassifice-
rede oplysninger i hænde.
36. Foranstaltningerne til sikker opbevaring og/eller destruktion i krisesituati-
oner af materiale, der er klassificeret SECRET UE eller CONFIDENTIEL
UE, må under ingen omstændigheder være til skade for opbevaringen eller
destruktionen af materiale, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET; dette gælder ligeledes krypteringsudstyr, som skal prioriteres over
alt andet. Der udstedes ad hoc-instrukser vedrørende foranstaltninger til
sikker opbevaring og tilintetgørelse af krypteringsudstyr i en krisesituation.
Kapitel VI
Særlige bestemmelser for dokumenter til brug i Rådet
37. Inden for GSR fører Sekretariatet for Klassificerede Oplysninger (B.I.C.)
kontrol med de oplysninger, der er klassificeret SECRET UE eller CONFI-
DENTIEL UE, hvis disse oplysninger indgår i dokumenter til brug i Rådet.
Med reference til generaldirektøren for personale og administration har dette
sekretariat til opgave
a) at administrere opgaverne vedrørende oplysningernes journalisering,
gengivelse, oversættelse, forsendelse, transport og tilintetgørelse
b) at ajourføre listen med data vedrørende klassificerede oplysninger
c) med regelmæssige mellemrum at spørge udstederne om, hvorvidt det er
nødvendigt at opretholde klassifikationen af oplysningerne
d) i samråd med Sikkerhedskontoret at fastsætte de nærmere praktiske
bestemmelser for klassificering og afklassificering af oplysninger.
38. Sekretariatet for Klassificerede Oplysninger (B.I.C.) fører et register, der
omfatter følgende data:
a) dato for udfærdigelsen af den klassificerede oplysning
b) klassifikationsgrad
c) den dato, indtil hvilken oplysningen er klassificeret
d) udstederens navn og tjenestegren
e) modtageren eller modtagerne med angivelse af løbenummer
f) emne
g) nummer2001D0264 — DA — 28.02.2004 — 001.001 — 27
▼B
h) antal videregivne eksemplarer
i) opgørelser over, hvilke klassificerede oplysninger der er forelagt Rådetj) registrering af afklassificering og nedklassificering af klassificerede
oplysninger.
39. De almindelige bestemmelser i kapitel I-V i dette afsnit gælder for Sekreta-
riatet for Klassificerede Oplysninger (B.I.C.), medmindre de særlige
bestemmelser i dette kapitel afviger herfra.2001D0264 — DA — 28.02.2004 — 001.001 — 28
▼B
AFSNIT VIII
TRÈS SECRET UE/EU TOP SECRET-SEKRETARIATER
1. Formålet med TRÈS SECRET UE/EU TOP SECRET-sekretariaterne er at
sikre, at dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, journaliseres, behandles og fordeles i overensstemmelse med
sikkerhedsbestemmelserne. Lederen af TRÈS SECRET UE/EU TOP
SECRET-sekretariatet i henholdsvis den enkelte medlemsstat, GSR eller
decentrale EU-organer er den sikkerhedsansvarlige for klassifikationsgraden
TRÈS SECRET UE/EU TOP SECRET.
2. Det centrale sekretariat er hovedkontoret for modtagelse og afsendelse både
i medlemsstaterne, i GSR og i de af de decentrale EU-organer, hvor der er
oprettet et sådant kontor, samt eventuelt i andre EU-institutioner, internatio-
nale organisationer og tredjelande, med hvilke Rådet har indgået aftaler om
sikkerhedsprocedurer for udveksling af klassificerede oplysninger.
3. Om nødvendigt oprettes der undersekretariater med ansvar for den interne
styring af dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET; undersekretariaterne registrerer løbende, hvor samtlige doku-
menter, som de er ansvarlige for, befinder sig.
4. Hvis der er et langsigtet behov herfor, oprettes der efter retningslinjerne i
afsnit I TRÈS SECRET UE/EU TOP SECRET-undersekretariater, som
knyttes til det centrale TRÈS SECRET UE/EU TOP SECRET-sekretariat.
Hvis der kun midlertidigt og lejlighedsvis er behov for at konsultere doku-
menter, der er klassificeret TRÈS SECRET UE/EU TOP SECRET, kan
sådanne dokumenter fordeles uden oprettelse af et TRÈS SECRET UE/EU
TOP SECRET-undersekretariat, men der skal fastsættes regler, der sikrer, at
det pågældende TRÈS SECRET UE/EU TOP SECRET-sekretariat stadig
har kontrol med dokumenterne, og at samtlige fysiske og personalemæssigesikkerhedsforanstaltninger overholdes.
5. Undersekretariaterne må ikke sende dokumenter, der er klassificeret TRÈS
SECRET UE/EU TOP SECRET, direkte til andre undersekretariater under
samme centrale TRÈS SECRET UE/EU TOP SECRET-sekretariat uden
sidstnævntes udtrykkelige godkendelse.
6. Al udveksling af dokumenter, der er klassificeret TRÈS SECRET UE/EU
TOP SECRET, mellem undersekretariater, som ikke er knyttet til samme
centrale sekretariat, skal foregå via det centrale TRÈS SECRET UE/EU
TOP SECRET-sekretariat.
DET CENTRALE TRÈS SECRET UE/EU TOP SECRET-SEKRETARIAT
7. Som sikkerhedsansvarlig er lederen af det centrale TRÈS SECRET UE/EU
TOP SECRET-sekretariat ansvarlig for:
a) at dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, forsendes i overensstemmelse med bestemmelserne i afsnit
VII
b) at en fortegnelse over samtlige TRÈS SECRET UE/EU TOP SECRET-
undersekretariater, der er knyttet til det pågældende centrale sekretariat,
samt en liste med de udpegede sikkerhedsansvarliges og deres bemyndi-
gede stedfortræderes navn og underskrift til stadighed holdes ajour
c) at arkivkvitteringer for alle TRÈS SECRET UE/EU TOP SECRET-doku-
menter, som fordeles via det centrale sekretariat, opbevares
d) at opbevarede og fordelte TRÈS SECRET UE/EU TOP SECRET-doku-
menter journaliseres
e) at en fortegnelse over alle de centrale TRÈS SECRET UE/EU TOP
SECRET-sekretariater, som vedkommende jævnligt er i forbindelse
med, tillige med de udpegede sikkerhedsansvarliges og deres bemyndi-
gede stedfortræderes navn og underskrift løbende holdes ajour
f) at alle sekretariatets dokumenter, der er klassificeret TRÈS SECRET
UE/EU TOP SECRET, sikres fysisk i overensstemmelse med bestem-
melserne i afsnit IV.
TRÈS SECRET UE/EU TOP SECRET-UNDERSEKRETARIATER
8. Som sikkerhedsansvarlig er lederen af et TRÈS SECRET UE/EU TOP
SECRET-undersekretariat ansvarlig for:
a) at dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, forsendes i overensstemmelse med bestemmelserne i afsnit
VII og nr. 5-6 i afsnit VIII2001D0264 — DA — 28.02.2004 — 001.001 — 29
▼B
b) at en fortegnelse over alle, der har adgang til de TRÈS SECRET UE/EU
TOP SECRET-klassificerede oplysninger, der er i vedkommendes vare-
tægt løbende holdes ajour
c) at dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, fordeles i overensstemmelse med udstederens instrukser eller
efter »need-to-know«-princippet, såfremt det kan fastslås, at modtageren
har den fornødne sikkerhedsgodkendelse
d) at alle dokumenter, der er klassificeret TRÈS SECRET UE/EU TOP
SECRET, og hvis opbevaring og fordeling sker under vedkommendes
kontrol, eller som er overført til andre TRÈS SECRET UE/EU TOP
SECRET-sekretariater, løbende journaliseres, og at samtlige kvitteringer
i forbindelse hermed opbevares
e) at en fortegnelse over de TRÈS SECRET UE/EU TOP SECRET-sekreta-
riater, som vedkommende har bemyndigelse til at udveksle TRÈS
SECRET UE/EU TOP SECRET-dokumenter med, tillige med de sikker-
hedsansvarliges og deres bemyndigede stedfortræderes navn og
underskrift løbende holdes ajour
f) at alle undersekretariatets dokumenter, der er klassificeret TRÈS
SECRET UE/EU TOP SECRET, sikres fysisk i overensstemmelse med
bestemmelserne i afsnit IV.
ÅRSOPGØRELSE
9. Hver tolvte måned udarbejder hvert TRÈS SECRET UE/EU TOP SECRET-
sekretariat en specificeret opgørelse over alle de TRÈS SECRET UE/EU
TOP SECRET-dokumenter, som det er ansvarligt for. Sekretariatet anses
for at have redegjort for et dokument, hvis det fysisk er i besiddelse af
dokumentet eller af en kvittering fra det TRÈS SECRET UE/EU TOP
SECRET-sekretariat, hvortil dokumentet er blevet sendt, en erklæring om
tilintetgørelse af det pågældende dokument eller en instruks om at nedklas-
sificere eller afklassificere det.
10. Undersekretariaterne sender resultatet af deres årsopgørelse til det centrale
sekretariat, som de har reference til, på en dato, som fastsættes af det
centrale sekretariat.
11. De nationale sikkerhedsmyndigheder samt de EU-institutioner, internatio-
nale organisationer og decentrale EU-organer, hvor der findes et TRÈS
SECRET UE/EU TOP SECRET-sekretariat, sender hvert år senest den 1.
april resultatet af årsopgørelserne i de centrale TRÈS SECRET UE/EU
TOP SECRET-sekretariater til generalsekretæren/den højtstående repræsen-
tant.2001D0264 — DA — 28.02.2004 — 001.001 — 30
▼B
AFSNIT IX
SIKKERHEDSFORANSTALTNINGER, HVIS DER VED MØDER UDEN
FOR RÅDETS BYGNINGER SKAL BEHANDLES MEGET FØLSOMME
SPØRGSMÅL
ALMINDELIGE BESTEMMELSER
1. Hvis møder i Det Europæiske Råd eller Rådet, ministermøder eller andre
vigtige møder ikke afholdes i Rådets lokaler i Bruxelles eller Luxembourg,
og hvis særlige sikkerhedshensyn kræver det, fordi der på sådanne møder
skal behandles meget følsomme spørgsmål eller oplysninger, træffes neden-
stående sikkerhedsforanstaltninger. Disse foranstaltninger vedrører
udelukkende beskyttelse af EU-klassificerede oplysninger; det kan være
nødvendigt at træffe yderligere sikkerhedsforanstaltninger.
ANSVARSFORDELING
Værtslandet
2. Den medlemsstat, på hvis område sådanne møder afholdes (værtslandet), er
i samarbejde med GSR's Sikkerhedskontor ansvarlig for sikkerheden i
forbindelse med møder i Det Europæiske Råd eller Rådet, ministermøder
eller andre vigtige møder samt for de ledende delegeredes og disses medar-
bejderes fysiske sikkerhed.
Dette krav om sikkerhedsbeskyttelse indebærer, at:
a) der udarbejdes planer for håndtering af sikkerhedstrusler og sikkerheds-
relaterede hændelser, og at de relevante foranstaltninger navnlig tager
sigte på at opbevare EU-klassificerede dokumenter på kontorerne under
sikre forhold
b) der træffes foranstaltninger til at give adgang til Rådets kommunikati-
onssystem med henblik på modtagelse og videregivelse af EU-
klassificerede oplysninger. Værtslandet stiller i nødvendigt omfang
sikrede telefonsystemer til rådighed.
Medlemsstaterne
3. Myndighederne i medlemsstaterne tager de nødvendige skridt til at sikre, at:
a) attestation af relevant sikkerhedsgodkendelse af deres egne delegerede
sendes enten direkte til den sikkerhedsansvarlige for møderne eller via
GSR's Sikkerhedskontor, om nødvendigt elektronisk eller med fax
b) værtslandets myndigheder og i givet fald GSR's Sikkerhedskontor under-
rettes om enhver konkret trussel, så der kan træffes passende
foranstaltninger.
Sikkerhedsofficeren for møderne
4. Der udpeges en sikkerhedsofficer, som har ansvar for det almindelige forbe-
redende arbejde, for at kontrollere de almindelige interne
sikkerhedsforanstaltninger og for at koordinere samarbejdet med andre
involverede sikkerhedsmyndigheder. Vedkommende sørger navnlig for:
a) i) beskyttelse af mødelokaliteterne, så det sikres, at mødet kan afholdes
uden hændelser, der kunne indebære en sikkerhedsrisiko for eventu-
elle EU-klassificerede oplysninger, som skal behandles på mødet
ii) kontrol af de personer, som har adgang til mødelokaliteterne, delega-
tionernes lokaler og mødelokaler, samt kontrol af alt udstyr
iii) løbende samordning med værtslandets kompetente myndigheder og
GSR's Sikkerhedskontor
b) indsættelse af et eksemplar af sikkerhedsinstrukserne i hvert dokument-
charteque til mødet under hensyn til de krav, der er indeholdt i sikker-
hedsforskrifter, og til alle andre sikkerhedsinstrukser, som måtte findes
relevante.
GSR's Sikkerhedskontor
5. GSR's Sikkerhedskontor fungerer som sikkerhedsrådgiver under forbere-
delsen af møderne; det sender en repræsentant til stedet til at assistere og
rådgive sikkerhedsofficeren for mødet og delegationerne.
6. Hver af delegationerne udpeger en sikkerhedsofficer, som har ansvaret for
sikkerhedsspørgsmål i den pågældende delegation og for at opretholde den
fornødne kontakt med sikkerhedsofficeren for møderne og med GSR's
Sikkerhedskontor.2001D0264 — DA — 28.02.2004 — 001.001 — 31
▼B
SIKKERHEDSFORANSTALTNINGER
Sikkerhedszoner
7. Der oprettes følgende sikkerhedszoner:
a) sikkerhedszone af klasse II, bestående af arbejdsrum, GSR-kontorer og
reprografisk udstyr samt delegationskontorer, hvis dette er relevant
b) sikkerhedszone af klasse I, bestående af mødelokalet med bokse til tolke
og lydteknikere
c) administrative zoner, bestående af presselokalerne og de dele af mødel-
okaliteterne, som anvendes til administrativt arbejde, forplejning og
indkvartering samt det område, der støder op til pressecentret og mødel-
okaliteterne.
Adgangsbadger
8. Sikkerhedsofficeren for mødet udsteder de adgangsbadger, delegationerne
har bedt om. Om nødvendigt kan der sondres mellem adgang til de enkelte
sikkerhedszoner.
9. Det bør fremhæves i sikkerhedsinstrukserne, at alle involverede konstant
skal bære deres adgangsbadge, så det tydeligt kan ses, så længe de befinder
sig i mødelokaliteterne, så sikkerhedspersonalet kan foretage den nødven-
dige kontrol.
10. Ud over deltagere med adgangsbadge skal så få som muligt have adgang til
mødelokaliteterne. Hvis de enkelte landes delegationer ønsker at modtage
besøg under mødet, underretter de sikkerhedsofficeren for mødet herom.
Besøgende får udleveret et gæstekort. Der udfyldes en formular med den
besøgendes navn og navnet på den person, som den besøgende skal møde.
Besøgende ledsages til stadighed af en sikkerhedsvagt eller af den person,
som den besøgende skal møde. Ovennævnte formular medbringes af den
person, der ledsager den besøgende, og leveres tilbage til sikkerhedsperso-
nalet sammen med gæstebadgen, når den besøgende forlader
mødelokaliteterne.
Kontrol af foto- og andet optageudstyr
11. Der må ikke bringes kameraer eller udstyr til lydoptagelser ind i en sikker-
hedszone af klasse I; dog er udstyr, som medbringes af fotografer og
lydteknikere med tilladelse fra den sikkerhedsansvarlige for mødet, undtaget
herfra.
Undersøgelse af dokumentmapper, bærbare computere og pakker
12. Personer med adgangsbadge til en sikkerhedszone må normalt medbringe
deres dokumentmapper og bærbare computere (må ikke tilsluttes lysnettet),
uden at disse undersøges. Sendes der pakker til delegationerne, må disse
modtage pakkerne, som enten undersøges af delegationens sikkerhedsof-
ficer, gennemlyses med særligt udstyr eller åbnes af sikkerhedspersonalet
med henblik på nærmere undersøgelse. Hvis sikkerhedsofficeren for mødet
finder det nødvendigt, kan der træffes skærpede kontrolforanstaltninger for
undersøgelse af dokumentmapper og pakker.
Teknisk sikkerhed
13. Mødelokalet kan sikres teknisk af tekniske sikkerhedseksperter, som også
kan foretage elektronisk overvågning under mødet.
Dokumenter i delegationernes varetægt
14. Delegationerne er ansvarlige for at transportere EU-klassificerede doku-
menter til og fra møderne. De er ligeledes ansvarlige for kontrol og
sikkerhed, når sådanne dokumenter anvendes i de dertil indrettede lokaler.
De kan anmode om assistance fra værtslandet til transport af klassificerede
dokumenter til og fra mødelokaliteterne.
Sikker opbevaring af dokumenter
15. Hvis GSR, Kommissionen eller delegationerne ikke er i stand til at opbe-
vare deres klassificerede dokumenter i overensstemmelse med godkendte
normer, kan de mod kvittering deponere dokumenterne i en forseglet kuvert
hos sikkerhedsofficeren for mødet, som derefter opbevarer dokumenterne i
overensstemmelse med godkendte normer.
Kontoreftersyn
16. Sikkerhedsofficeren for mødet drager omsorg for, at GSR's og delegatio-
nernes kontorer efterses efter hver arbejdsdag for at sikre, at samtlige EU-
klassificerede dokumenter opbevares på et sikkert sted; hvis han finder, at
dette ikke er tilfældet, træffer han de fornødne foranstaltninger.2001D0264 — DA — 28.02.2004 — 001.001 — 32
▼B
Bortskaffelse af EU-klassificeret affald
17. Alt affald behandles som EU-klassificeret, og papirkurve og affaldsposer
afleveres til GSR og delegationerne med henblik på bortskaffelse. Inden
GSR og delegationerne forlader de lokaler, som er blevet dem tildelt, afle-
verer de deres affald til sikkerhedsofficeren for mødet, som sørger for, at
det destrueres efter gældende bestemmelser.
18. Ved mødets afslutning behandles samtlige dokumenter, som GSR eller dele-
gationerne er i besiddelse af, men ikke længere har brug for, som affald.
Der foretages en grundig gennemsøgning af de lokaler, som GSR og delega-
tionerne har anvendt, inden sikkerhedsforanstaltningerne for mødet
ophæves. Dokumenter, for hvilke der er kvitteret ved underskrift, destrueres
så vidt muligt som foreskrevet i afsnit VII.2001D0264 — DA — 28.02.2004 — 001.001 — 33
▼B
AFSNIT X
BRUD PÅ SIKKERHEDSBESTEMMELSERNE OG RISIKO FOR
LÆKAGE AF EU-KLASSIFICEREDE OPLYSNINGER
1. Et brud på sikkerhedsbestemmelserne er en handling eller forsømmelse,
hvorved Rådets eller de nationale sikkerhedsbestemmelser overtrædes, og
EU-klassificerede oplysninger ikke længere er sikrede og risikerer at lække.
2. EU-klassificerede oplysninger anses for at være lækket, enten hvis de helt
eller delvist kommer uautoriserede personer i hænde, som hverken har den
nødvendige sikkerhedsgodkendelse, eller for hvem indsigt ikke er tjenstlig
nødvendig, eller hvis det må anses for sandsynligt, at en sådan hændelse er
indtruffet.
3. EU-klassificerede oplysninger kan lække som følge af skødesløse eller uagt-
somme handlinger eller uoverlagte ytringer, samt hvis EU og dets
medlemsstater, for så vidt angår EU-klassificerede oplysninger eller aktivi-
teter gøres til genstand for spionage eller undergravende virksomhed.
4. Det er vigtigt, at enhver, der pålægges at behandle EU-klassificerede oplys-
ninger, grundigt orienteres om sikkerhedsprocedurerne og risikoen ved
uoverlagte ytringer, navnlig over for pressen. Det bør indskærpes, at det er
vigtigt straks at rapportere om ethvert brud på sikkerheden, man måtte blive
opmærksom på, til vedkommende sikkerhedsmyndighed i medlemsstaten,
institutionen eller det decentrale organ.
5. Opdager en sikkerhedsmyndighed, at der er sket et brud på sikkerhedsbe-
skyttelsen af EU-klassificerede oplysninger, eller at EU-klassificerede
oplysninger er gået tabt eller forsvundet, eller underrettes den om en sådan
hændelse, skal den træffe de fornødne foranstaltninger for at
a) fastslå omstændighederne
b) vurdere og begrænse den forvoldte skade
c) forebygge en gentagelse
d) underrette vedkommende myndigheder om følgerne af det brud, der er
sket på sikkerhedsbeskyttelsen.
I den forbindelse skal følgende oplysninger meddeles:
i) i en beskrivelse af arten af de pågældende klassificerede oplysninger,
herunder klassifikationsgrad, dokument- og eksemplarnummer, dato,
udsteder, emne og sagsområde
ii) en kort beskrivelse af omstændighederne for bruddet på sikkerhedsbe-
stemmelserne, herunder dato, samt angivelse af hvor længe de
pågældende oplysninger ikke har været beskyttede
iii) en erklæring om, hvorvidt udstederen er blevet underrettet.
6. Hver sikkerhedsmyndighed har pligt til, så snart den får meddelelse om, at
der er sket et brud på sikkerheden, øjeblikkeligt at rapportere forholdet
under anvendelse af følgende procedure: TRÈS SECRET UE/EU TOP
SECRET-undersekretariater rapporterer hændelsen til Sikkerhedskontoret i
GSR via vedkommende centrale TRÈS SECRET UE/EU TOP SECRET-
sekretariat; såfremt EU-klassificerede oplysninger lækker inden for en
medlemsstats jurisdiktion, rapporteres hændelsen til sikkerhedskontoret i
GSR, som specificeret i punkt 5, via vedkommende nationale sikkerheds-
myndigheder.
7. Vedrører hændelsen oplysninger, der er klassificeret RESTREINT UE,
rapporteres kun, hvis der foreligger usædvanlige omstændigheder.
8. Generalsekretæren/den højtstående repræsentant skal, når han bliver orien-
teret om, at der er sket et brud på sikkerheden:
a) underrette den myndighed, der har udstedt de pågældende klassificerede
oplysninger
b) anmode de relevante sikkerhedsmyndigheder om at iværksætte undersø-
gelser
c) samordne undersøgelser, hvor mere end en sikkerhedsmyndighed er
involveret
d) modtage en rapport om omstændighederne for bruddet, datoen samt
angivelse af, hvor længe de pågældende oplysninger ikke har været
beskyttede, hvordan det blev opdaget, samt de pågældende oplysningers
emne og klassifikationsgrad. Den skade, der er forvoldt EU's eller en
eller flere af medlemsstaternes interesser, samt de foranstaltninger, der
er truffet for at forebygge gentagelser, skal ligeledes rapporteres.2001D0264 — DA — 28.02.2004 — 001.001 — 34
▼B
9. Den myndighed, der har udstedt de pågældende oplysninger, orienterer
modtagerne og meddeler, hvordan de skal forholde sig.
10. Enhver, der har ansvaret for lækage af EU-klassificerede oplysninger,
pålægges disciplinære sanktioner i henhold til de relevante regler og
bestemmelser. Disciplinære sanktioner udelukker ikke, at den ansvarlige
ligeledes retsforfølges.2001D0264 — DA — 28.02.2004 — 001.001 — 35
▼B
AFSNIT XI
BESKYTTELSE AF OPLYSNINGER, DER BEHANDLES I INFORMATI-
ONSTEKNOLOGI- OG KOMMUNIKATIONSSYSTEMER
Indholdsfortegnelse
Kapitel I Indledning ............................................................
Kapitel II Definitioner . . . ........................................................
Kapitel III Sikkerhedsansvar ......................................................
Kapitel IV Ikke-tekniske sikkerhedsforanstaltninger . . . .................................
Kapitel V Tekniske sikkerhedsforanstaltninger .......................................
Kapitel VI Sikkerhed under behandling .............................................
Kapitel VII Anskaffelse af materiel .................................................
Kapitel VIII Midlertidig og lejlighedsvis anvendelse . . . .................................2001D0264 — DA — 28.02.2004 — 001.001 — 36
▼B
Kapitel I
Indledning
GENERELLE ASPEKTER
1. Sikkerhedspolitikken og -kravene i dette afsnit gælder for alle kommunika-
tions- og informationssystemer og net (i det følgende benævnt
»SYSTEMER«), som behandler oplysninger, der er klassificeret CONFI-
DENTIEL UE eller højere.
2. SYSTEMER, som behandler oplysninger, der er klassificeret RESTREINT
UE, kræver ligeledes sikkerhedsforanstaltninger. Alle SYSTEMER kræver
sikkerhedsforanstaltninger til at beskytte de oplysninger, de indeholder,
mod uautoriseret ændring og sikre, at de er til rådighed, når de skal
anvendes. De sikkerhedsforanstaltninger, der skal anvendes på sådanne
systemer, vil blive fastlagt af den udpegede godkendelsesmyndighed under
hensyn til den vurderede risiko og i overensstemmelse med den politik, der
er formuleret i disse sikkerhedsforskrifter.
3. Beskyttelse af sensorsystemer, der indeholder informationsteknologisy-
stemer, bestemmes og specificeres generelt i de systemer, de tilhører, ved
anvendelse af bestemmelserne i dette afsnit i det omfang, det er muligt.
TRUSLER MOD SYSTEMER OG DERES SÅRBARHED
4. Generelt kan trussel defineres som sandsynligheden for uagtsom eller
bevidst lækage af oplysninger. I forbindelse med SYSTEMER indebærer
lækage, at en eller flere sikkerhedsfeatures, der skal beskytte klassificerede
oplysninger mod uautoriseret ændring og sikre, at de er til rådighed, når de
skal anvendes. Sårbarhed kan defineres som en svaghed eller utilstrækkelig
kontrol, som vil lette eller tillade, at en trussel aktiveres mod et specifikt
aktiv eller mål. En sårbarhed kan være en tjenstlig forsømmelse eller kan
vedrøre et svagt led i en kontrols effektivitet, omfang eller konsekvens og
kan være teknisk, proceduremæssig eller operationel.
5. Både EU-klassificerede og uklassificerede oplysninger, der behandles i
SYSTEMER i komprimeret form med henblik på hurtig søgning, datatrans-
mission og udnyttelse, er udsat for mange risici. Uautoriserede kan få
adgang til oplysningerne, eller autoriserede kan blive nægtet adgang. Der
er ligeledes risiko for uautoriseret offentliggørelse, forvanskning, ændring
eller sletning af oplysningerne. Endvidere er det komplekse og undertiden
skrøbelige udstyr kostbart og ofte vanskeligt at reparere eller udskifte
hurtigt. Disse SYSTEMER er derfor lønnende mål for indsamling af efter-
retninger og for sabotage, ikke mindst hvis sikkerhedsforanstaltningerne
synes at være ineffektive.
SIKKERHEDSFORANSTALTNINGER
6. Hovedformålet med de sikkerhedsforanstaltninger, der er omhandlet i dette
afsnit, er at beskytte oplysninger mod uautoriseret indsigt eller ændring og
sikre, at de er til rådighed, når de skal anvendes. For at opnå en hensigts-
mæssig sikkerhedsbeskyttelse af et SYSTEM, der behandler EU-
klassificerede oplysninger, skal de relevante normer for konventionel
sikkerhed specificeres tillige med passende specifikke sikkerhedsprocedurer
og -teknikker, der er tilpasset det enkelte SYSTEM.
7. Et velovervejet sæt af sikkerhedsforanstaltninger skal fastlægges og
gennemføres for at skabe et sikkert miljø for det enkelte SYSTEM. Disse
sikkerhedsforanstaltninger skal omfatte fysiske aspekter, personale, ikke-
tekniske foranstaltninger samt procedurer for anvendelse af computer og
for kommunikation.
8. Der skal stilles krav om computersikkerhed (sikkerhedsfeatures for både
hardware og software) for at sikre overholdelse af princippet om, at kun
personer, for hvem indsigt er tjenstlig nødvendig, har adgang til oplysnin-
gerne, og for at forebygge eller afsløre uautoriseret offentliggørelse af
oplysninger. I hvilket omfang computersikkerhedsforanstaltningerne er
tilstrækkelige, skal afgøres under fastsættelsen af sikkerhedskravene.
Godkendelsesprocessen skal sikre, at en passende grad af sikkerhed fore-
ligger, så man kan have tillid til computersikkerheden.
SYSTEM-SPECIFIKKE SIKKERHEDSKRAV
9. For alle SYSTEMER, som behandler oplysninger, der er klassificeret
CONFIDENTIEL UE eller højere, stilles der en række systemspecifikke
sikkerhedskrav, der skal formuleres af de ansvarlige for informationstekno-
logisystemets drift med indlæsning og nødvendig assistance fra
projektpersonalet og INFOSEC-myndigheden som godkendt af godkendel-2001D0264 — DA — 28.02.2004 — 001.001 — 37
▼B
sesmyndigheden. Sådanne systemspecifikke sikkerhedskrav stilles ligeledes,
hvis godkendelsesmyndigheden anser uautoriseret indsigt i eller ændring af
oplysninger, der er klassificeret RESTREINT UE eller er uklassificerede for
at være kritisk.
10. De systemspecifikke sikkerhedskrav udarbejdes på det tidligste stadium af
et projekts startfase og udvikles og forstærkes, efterhånden som projektet
tager form, så de opfylder forskellige roller på forskellige stadier i projektet
og SYSTEMETS livscyklus.
11. De systemspecifikke sikkerhedskrav skal udgøre en bindende aftale mellem
informationsteknologisystemets driftsmyndighed og godkendelsesmyndig-
heden, og SYSTEMET godkendes først, når det opfylder disse krav.
12. De systemspecifikke sikkerhedskrav skal være en fuldstændig og eksplicit
fortegnelse over de sikkerhedsprincipper, der skal overholdes, samt over de
detaljerede sikkerhedskrav, der skal opfyldes. Grundlaget for disse krav er
Rådets sikkerhedspolitik og risikovurdering, medmindre de stilles på
grundlag af parametre, der omfatter det operationelle miljø, det laveste
sikkerhedsgodkendelsesniveau for personalet, den højeste klassifikationsgrad
af de oplysninger, der behandles, sikkerhedsdriftsformen eller brugerkrav.
De systemspecifikke sikkerhedskrav er en integrerende del af det dokumen-
tationsprojekt, der skal forelægges for vedkommende myndigheder med
henblik på teknisk, budgetmæssig og sikkerhedsmæssig godkendelse. I den
endelige form udgør samtlige systemspecifikke sikkerhedskrav en fuld-
stændig specifikation af SYSTEMETS sikkerhed.
SIKKERHEDSDRIFTSFORMER
13. Alle SYSTEMER, som behandler oplysninger, der er klassificeret CONFI-
DENTIEL UE eller højere, skal godkendes til at fungere i én, eller hvor
det er berettiget, i forskellige tidsperioder, mere end én af følgende sikker-
hedsdriftsformer, eller deres tilsvarende nationale sikkerhedsdriftsform:
a) »dedicated«
b) »system high«, og
c) »multilevel«.
Kapitel II
Definitioner
SUPPLERENDE PÅTEGNINGER
14. Supplerende påtegninger som f.eks. CRYPTO eller enhver anden EU-aner-
kendt særlig behandlingsbetegnelse skal anvendes, hvor der kræves
begrænset fordeling og særlig behandling ud over det, der er angivet ved
klassifikationsgraden.
15. Ved »DEDICATED«-SIKKERHEDSDRIFTSFORM forstås: en driftsform,
hvor ALLE personer med adgang til SYSTEMET er godkendt til den
højeste klassifikationsgrad for de oplysninger, der behandles inden for
SYSTEMET, og med en generel »need-to-know«-status for SAMTLIGE
oplysninger, der behandles inden for SYSTEMET.
Bemærkninger:
1) Ved generel »need-to-know«-status forstås, at der ikke er noget obligato-
risk krav om computersikkerhedsfeatures, der kan opdele adgangen til
oplysningerne inden for SYSTEME.
2) Andre sikkerhedsfeatures (vedrørende f.eks. fysisk sikring, personale og
procedurer) skal være i overensstemmelse med kravene til den højeste
klassifikationsgrad og alle kategorier af oplysninger, der behandles inden
for SYSTEMET.
16. Ved »SYSTEM HIGH«-SIKKERHEDSDRIFTSFORM forstås: en drifts-
form, hvor ENHVER, der har adgang til SYSTEMET, er godkendt til den
højeste klassifikationsgrad for de oplysninger, der behandles inden for
SYSTEMET; ENHVER, der har adgang til SYSTEMET, har dog dermed
ikke generel »need-to-know«-status med hensyn til de oplysninger, der
behandles inden for SYSTEMET.
Bemærkninger:1) Ved ikke-generel »need-to-know«-status forstås, at det kræves, at de
pågældende sikkerhedsfeatures skal give selektiv adgang til eller opdele
oplysningerne inden for SYSTEMET.
2) Andre sikkerhedsfeature (vedrørende f.eks. fysisk sikring, medarbejdere
og procedurer) skal være i overensstemmelse med kravene til den højeste2001D0264 — DA — 28.02.2004 — 001.001 — 38
▼B
klassifikationsgrad og alle kategorier af oplysninger, der behandles inden
for SYSTEMET
3) Alle oplysninger, der behandles i eller er tilgængelige for et SYSTEM i
henhold til denne driftsform, skal, så længe der ikke er truffet anden
afgørelse, sammen med det opnåede resultat beskyttes som værende
potentielt af den oplysningskategori og af den højeste klassifikations-
grad, der behandles, medmindre man med rimelighed kan forlade sig på
den foreliggende funktionsangivelse.
17. Ved »MULTILEVEL«-SIKKERHEDSDRIFTSFORM forstås: en driftsform,
hvor IKKE ALLE personer, der har adgang til SYSTEMET, er godkendt til
den højeste klassifikationsgrad for de oplysninger, der behandles inden for
SYSTEMET, og hvor ALLE personer, der har adgang til SYSTEMET,
ikke generelt har »need-to-know«-status med hensyn til de oplysninger, der
behandles inden for SYSTEMET.
Bemærkninger:
1) Denne driftsform gør det for tiden muligt at behandle oplysninger med
forskellig klassifikationsgrad og blandede kategorier af oplysninger.
2) Det forhold, at ikke alle er godkendt til de højeste klassifikationsgrader
og ikke generelt har »need-to-know«-status, betyder, at der må kræves
computersikkerhedsfeatures, der kan give selektiv adgang til og adskil-
lelse af forskellige oplysninger inden for SYSTEMET.
18. Ved INFOSEC forstås: anvendelse af sikkerhedsforanstaltninger, for at
oplysninger, der er behandlet, lagret eller videresendt i kommunikations-,
informations- og andre elektroniske systemer, kan beskyttes mod uautori-
seret indsigt og uautoriseret ændring ved uagtsomhed eller bevidst og
sikres, så de er til rådighed, når de skal anvendes, samt for at forebygge
uautoriserede ændringer af systemerne og sikre, at de er til rådighed, når
de skal anvendes. INFOSEC-foranstaltninger omfatter foranstaltninger med
henblik på computer-, transmissions-, emissions- og kryptografisikkerhed
samt påvisning, dokumentation og imødegåelse af trusler mod oplysnin-
gerne og SYSTEMERNE.
19. Ved COMPUTERSIKKERHED (COMPUSEC) forstås: anvendelse af hard-
ware-, firmware- og softwaresikkerhedsfeatures på et computersystem for at
beskytte mod eller forebygge uautoriseret offentliggørelse, manipulering,
ændring/sletning af oplysninger, eller at systemet ikke er til rådighed, når
det skal anvendes.
20. Ved COMPUTERSIKKERHEDSPRODUKT forstås: et generisk computer-
sikkerhedselement, som inkorporeres i et informationsteknologisystem med
henblik på en forstærket eller indbygget sikkerhed for de behandlede oplys-
ninger imod uautoriseret indsigt og uautoriseret ændring samt mod, at
systemet ikke er til rådighed, når det skal anvendes.
21. Ved KOMMUNIKATIONSSIKKERHED (COMSEC) forstås: anvendelse af
sikkerhedsforanstaltninger på telekommunikation, så uautoriserede personer
ikke har adgang til oplysninger af værdi, selv om de måtte besidde eller
have undersøgt sådan telekommunikation, eller for at sikre pålideligheden
af sådan telekommunikation.
Bemærkning:Sådanne foranstaltninger omfatter kryptografi-, transmissions- og emissions-
sikkerhed og omfatter ligeledes procedure-, materiel-, personale-, dokument-
og computersikkerhed.
22. Ved EVALUERING forstås: vedkommende myndigheds detaljerede
tekniske gennemgang af et SYSTEM eller af et kryptografisk eller et
computersikkerhedsprodukts sikkerhedsaspekter.
Bemærkninger:1) Ved evalueringen undersøges, om den nødvendige sikkerhedsfunktions-
dygtighed er til stede, og at der ikke er negative bivirkninger af en
sådan funktionsdygtighed, ligesom en sådan funktionsdygtigheds
modstandsevne over for indgreb vurderes.
2) Ved evalueringen fastslås det, i hvilket omfang et SYSTEMS sikker-
hedskrav eller sikkerhedskravene til et computersikkerhedsprodukt er
opfyldt, ligesom sikkerhedsniveauet for SYSTEMET eller det kryptogra-
fiske eller computersikkerhedsproduktets pålidelige funktion fastslås.
23. Ved CERTIFICERING forstås: udstedelse af en formel erklæring, der
støttes af en uafhængig gennemgang af gennemførelsen og resultaterne af
en evaluering, om i hvilket omfang et SYSTEM opfylder sikkerhedskravet
eller et computersikkerhedsprodukt opfylder forudfastlagte sikkerhedskrav.2001D0264 — DA — 28.02.2004 — 001.001 — 39
▼B
24. Ved GODKENDELSE forstås: tilladelse til og godkendelse af et SYSTEM
til at behandle EU-klassificerede oplysninger i dets operationelle miljø.
Bemærkning:En sådan godkendelse foretages, efter at alle relevante sikkerhedsprocedurer
er blevet gennemført, og en tilstrækkelig grad af beskyttelse af systemres-
sourcerne er blevet opnået. Godkendelse foretages normalt på grundlag af
listen over systemspecifikke sikkerhedskrav, herunder følgende:
a) en erklæring om formålet med godkendelsen af systemet, specielt klassi-
fikationsgraden for de oplysninger, der behandles, og hvilket system
eller hvilken operationel netsikkerhed der foreslås
b) fremlæggelse af en risikostyringsundersøgelse til identificering af trusler
og sårbarhed og foranstaltninger til at imødegå tvister og sårbarhed
c) sikkerhedsdriftsprocedurer med en detaljeret beskrivelse af de foreslåede
operationer (f.eks. måder, tjenester, der skal ydes) og med en beskrivelse
af SYSTEMETS sikkerhedsfeatures, som skal udgøre grundlaget for
godkendelsen
d) planen for gennemførelse og vedligeholdelse af sikkerhedsfeatures
e) planen for den indledende og efterfølgende systemsikkerheds- og netsik-
kerhedstest, evaluering og certificering, og
f) eventuelt certificering sammen med andre elementer af godkendelse.
25. Ved INFORMATIONSTEKNOLOGISYSTEM forstås: en samling af
udstyr, metoder og procedurer samt eventuelt nødvendigt personale med
henblik på at udføre databehandlingsfunktioner.
Bemærkninger:1) Dette kan betyde en samling af faciliteter, der er opbygget til databe-
handling inden for systemet.
2) Sådanne systemer kan være til støtte for søgning, styring, kontrol,
kommunikation, videnskabelige eller administrative anvendelser, her-
under tekstbehandling.
3) Grænserne for et system vil generelt bestemmes som værende de
elementer, der kontrolleres af en enkelt informationsteknologisystem-
driftsmyndighed.
4) Et informationsteknologisystem kan indeholde undersystemer, hvoraf
nogle selv er informationsteknologisystemer.
26. Ved INFORMATIONSTEKNOLOGISYSTEMSIKKERHEDSFEATURES
forstås: alle hardware-, firmware- og softwarefunktioner, karakteristika og
features; drifts- og ansvarsprocedurer samt adgangskontrol, informationstek-
nologi-området, området for fjernterminal/arbejdsstation, og
styringsbegrænsninger, fysisk struktur og komponenter, medarbejder- og
kommunikationskontrol, der er nødvendig for at sikre et acceptabelt beskyt-
telsesniveau for klassificerede oplysninger, der skal behandles i et
informationsteknologisystem.
27. Ved INFORMATIONSTEKNOLOGINET forstås: en geografisk spredt
struktur af indbyrdes forbundne informationsteknologisystemer til udveks-
ling af oplysninger, herunder komponenterne i de indbyrdes forbundne
informationsteknologisystemer og deres grænseflade med baggrundsdata-
og kommunikationsnet.
Bemærkninger:1) Et informationsteknologinet kan udnytte tjenesterne i et eller flere
indbyrdes forbundne kommunikationsnet til udveksling af oplysninger;
flere informationsteknologinet kan udnytte tjenesterne i et fælles
kommunikationsnet.
2) Et informationsteknologinet kaldes »lokalt«, hvis det forbinder flere
computere sammen på samme lokalitet.
28. Ved INFORMATIONSTEKNOLOGINETSIKKERHEDSFEATURES
forstås: informationsteknologisystemets sikkerhedsfeatures i de enkelte
informationsteknologisystemer, herunder nettet sammen med de yderligere
komponenter og features, der er forbundet med nettet som sådan (f.eks.
netkommunikation, sikkerhedsidentificering og mærkningsmekanismer samt
procedurer, adgangskontrol, programmer og elektronisk identifikation af
brugerne), og som er nødvendige for at sikre en acceptabel beskyttelsesgrad
for klassificerede oplysninger.
29. Ved INFORMATIONSTEKNOLOGIOMRÅDE forstås: et område, som
indeholder en eller flere computere, deres lokale ydre enheder og lagrings-
enheder, kontrolenheder og »dedicated« net og kommunikationsudstyr.2001D0264 — DA — 28.02.2004 — 001.001 — 40
▼B
Bemærkning:
Omfatter ikke et særligt område, hvor ydre fjernkomponenter eller termi-
naler/arbejdsstationer er placeret, uanset om disse komponenter er
forbundet til udstyr i informationsteknologi-området.
30. Ved FJERNTERMINAL/ARBEJDSSTATIONSOMRÅDET forstås: et
område med computerudstyr, tilhørende lokale ydre komponenter eller
terminaler/arbejdsstationer og alt forbundet kommunikationsudstyr, adskilt
fra et informationsteknologi-område.
31. Ved TEMPEST-modforanstaltninger forstås: sikkerhedsforanstaltninger, der
skal beskytte udstyr og kommunikationsinfrastrukturer mod lækage af klas-
sificerede oplysninger som følge af utilsigtede elektromagnetiske
emissioner.
Kapitel III
Sikkerhedsansvar
GENERELT
32. Sikkerhedsudvalgets mandat som defineret i afsnit 1, punkt 4, omfatter bl.a.
INFOSEC-spørgsmål. Sikkerhedsudvalget tilrettelægger sine aktiviteter på
en sådan måde, at det kan stille ekspertrådgivning til rådighed om oven-
nævnte spørgsmål.
33. Opstår der problemer vedrørende sikkerhedsbeskyttelsen (uheld, brud på
sikkerhedsbestemmelserne, m.v.) skal vedkommende nationale sikkerheds-
myndighed og/eller GSR's Sikkerhedskontor øjeblikkeligt gribe ind. Alle
problemer henvises til GSR's Sikkerhedskontor.
34. Generalsekretæren/den højtstående repræsentant eller eventuelt lederen af
vedkommende decentrale EU-organ opretter et INFOSEC-kontor, der skal
vejlede sikkerhedsmyndigheden om gennemførelsen og kontrollen af særlige
sikkerhedsfeatures, der skal være en del af SYSTEMERNE.
SIKKERHEDSGODKENDELSESMYNDIGHED
35. Sikkerhedsgodkendelsesmyndigheden er enten:
— de nationale sikkerhedsmyndigheder
— den myndighed, der er udpeget af generalsekretæren/den højtstående
repræsentant
— sikkerhedsmyndigheden i et decentralt EU-organ, eller— disse myndigheders delegerede/udnævnte repræsentanter, afhængig af
hvilket SYSTEM der skal godkendes.
36. Sikkerhedsgodkendelsesmyndigheden er ansvarlig for at sikre SYSTE-
MERNES overensstemmelse med Rådets sikkerhedspolitik. En af dens
opgaver er at godkende SYSTEMER, der skal behandle EU-klassificerede
oplysninger med en bestemt klassifikationsgrad i operationelle miljøer. For
så vidt angår GSR og eventuelt decentrale EU-organer, er sikkerhedsgod-
kendelsesmyndigheden ansvarlig for sikkerhed på vegne af
generalsekretæren/den højtstående repræsentant eller lederne af vedkom-
mende decentrale organer.
Jurisdiktionen for GSR's sikkerhedsgodkendelsesmyndighed omfatter alle de
systemer, der er i drift inden for GSR's bygninger. SYSTEMER og kompo-
nenter til SYSTEMER i drift i en medlemsstat forbliver under
medlemsstatens egen jurisdiktion. Kommer forskellige komponenter i et
SYSTEM ind under både GSR's sikkerhedsgodkendelsesmyndigheds og
andre sikkerhedsgodkendelsesmyndigheders jurisdiktion, udpeger parterne
en fælles godkendelsesbestyrelse, idet GSR's sikkerhedsgodkendelsesmyn-
dighed står for samordningen.
INFOSEC-MYNDIGHEDEN
37. INFOSEC-myndigheden er ansvarlig for INFOSEC-kontorets aktiviteter.
For så vidt angår GSR og eventuelle decentrale EU-organer, er INFOSEC-
myndigheden ansvarlig for:
— at stille teknisk rådgivning og bistand til rådighed for sikkerhedsgodken-
delsesmyndigheden
— at medvirke til udviklingen af de systemspecifikke sikkerhedskrav— at revidere de systemspecifikke sikkerhedskrav, så de er i overensstem-
melse med disse sikkerhedsforskrifter og dokumenter om INFOSEC-
politikker og -arkitektur2001D0264 — DA — 28.02.2004 — 001.001 — 41
▼B
— at deltage i godkendelsespaneler/bestyrelser, hvis det ønskes, og at sørge
for INFOSEC-anbefaling om godkendelse til sikkerhedsgodkendelses-
myndigheden
— at sikre støtte til INFOSEC-uddannelsesaktiviteter
— at sikre teknisk rådgivning ved undersøgelsen af uheld, m.v., der
vedrører INFOSEC
— at opstille en teknisk politikvejledning for at sikre, at kun godkendt soft-
ware anvendes.
IT-SYSTEMETS OPERATIVE MYNDIGHED
38. INFOSEC-myndigheden skal tidligst muligt delegere ansvaret for gennem-
førelsen og driften af kontrol og særlige sikkerhedsfeatures af SYSTEMET
til informationsteknologisystemets operative myndighed. Dette ansvar skal i
hele SYSTEMETS livscyklus strække sig fra projektudformningsstadiet til
det endelige arrangement.
39. Den operative myndighed er ansvarlig for alle de sikkerhedsforanstaltninger,
der er bestemt som en del af det generelle SYSTEM. Dette ansvar omfatter
forberedelsen af de operative sikkerhedsprocedurer. Myndigheden specifi-
cerer sikkerhedsstandarder og sikkerhedspraksis, der skal opfyldes af
leverandøren af SYSTEMET.
40. Myndigheden kan eventuelt delegere en del af sit ansvar til f.eks.
INFOSEC-sikkerhedsofficeren og INFOSEC-site-sikkerhedsofficeren. De
forskellige INFOSEC-funktioner kan udføres af en enkelt person.
BRUGERE
41. Alle brugere er ansvarlige for at sikre, at deres handlinger ikke utilsigtet
påvirker sikkerheden af det SYSTEM, de anvender.
INFOSEC-KURSER
42. INFOSEC-kurser skal kunne afholdes på alle niveauer og eventuelt for
forskelligt personale inden for GSR, decentrale EU-organer eller medlems-
staternes myndigheder.
Kapitel IV
Ikke-tekniske sikkerhedsforanstaltninger
SIKKERHEDEN OG MEDARBEJDERNE
43. SYSTEMETS brugere skal være sikkerhedsgodkendt og have »need-to-
know«-status med hensyn til den klassifikationsgrad og indholdet af de
oplysninger, der behandles inden for SYSTEMET. Adgang til visse former
for udstyr eller oplysninger, der er specifikke for SYSTEMERNE, kræver
særlig godkendelse udstedt i henhold til Rådets procedurer.
44. Sikkerhedsgodkendelsesmyndigheden definerer alle følsomme arbejdsop-
gaver og specificerer det niveau for godkendelse og kontrol, der kræves
foralle medarbejdere, der beskæftiger sig med disse opgaver.
45. SYSTEMERNE specificeres og udformes på en måde, der letter tildelingen
af pligter og ansvar tilmedarbejderne, således at en enkelt medarbejder ikke
får fuldstændigt kendskab til eller kontrol med sikkerhedssystemets nøgle-
punkter. Det skal tilstræbes, at en enkelt medarbejder ikke kan foretage
ændring eller bevidst nedbrydning af SYSTEMET eller nettet, men at to
eller flere medarbejdere er nødt til at samarbejde, hvis et sådant foreha-
vende skal lykkes.
FYSISK SIKKERHED
46. Informationsteknologi eller områder med fjernterminal/arbejdsstation (som
defineret i nr. 29 og 30 ovenfor), hvor oplysninger, der er klassificeret
CONFIDENTIEL UE eller højere, behandles af informationsteknologi, eller
hvor potentiel adgang til sådanne oplysninger ikke kan udelukkes, skal
erklæres EU Klasse I- eller Klasse II-sikkerhedsområder eller eventuelt
tilsvarende nationale klasser.
47. Informationsteknologi- eller fjernterminal/arbejdsstationsområder, hvor
SYSTEMETS sikkerhed kan ændres, må ikke være bemandet af kun én
autoriseret medarbejder.2001D0264 — DA — 28.02.2004 — 001.001 — 42
▼B
KONTROL AF ADGANG TIL ET SYSTEM
48. Alle data og alt materiel til adgangskontrol for et SYSTEM skal beskyttes i
henhold til ordninger, der svarer til den højeste klassifikationsgrad og kate-
goribetegnelse for de oplysninger, der åbnes adgang til.
49. Adgangskontroldata og -materiel destrueres som omhandlet i nr. 61-63 i det
følgende, hvis sådanne data eller sådant materiel ikke mere anvendes til
dette formål.
Kapitel V
Tekniske sikkerhedsforanstaltninger
INFORMATIONSSIKKERHED
50. Det påhviler udstederen af oplysninger at identificere og klassificere alle
informationsbærende dokumenter, hvadenten de har form af udskrivning i
klarskrift eller databærer. Hver side af klartsprogsudskrivningen forsynes
foroven og forneden med angivelse af klassifikationsgrad. Udskrivning,
hvadenten den har form af klarskrift eller databærer, skal have samme klas-
sifikationsgrad som den højeste klassifikationsgrad for de oplysninger, der
er anvendt til fremstillingen. Den måde, et SYSTEM betjenes på, kan også
have indvirkning på klassifikationsgraden for udskrifter fra det.
51. Det påhviler en organisation og de personer, der modtager oplysninger fra
den, at overveje problemerne med samling af forskellige dele af oplysninger
og de slutninger, man kan nå til ved at sammenholde de forskellige dele, og
at afgøre, hvorvidt en højere klassifikationsgrad er relevant for alle oplys-
ningerne.
52. Det forhold, at oplysningerne kan være indeholdt i en signalkode, transmis-
sionskode eller enhver form for binær fremstilling, udgør ikke nogen
sikkerhedsbeskyttelse og bør derfor ikke influere på valget af klassifikati-
onsgrad.
53. Hvis oplysninger videregives fra et SYSTEM til et andet, skal de være
beskyttet både under videregivelsen og i det modtagende SYSTEM på en
måde, der svarer til deres oprindelige klassifikationsgrad og kategori.
54. Alle databærere skal behandles på en måde, der svarer til den højeste klas-
sifikationsgrad for de lagrede oplysninger eller mediemærket og skal hele
tiden være beskyttet på passende måde.
55. Genbrugsdatabærere, der anvendes til lagring af EU-klassificerede oplys-
ninger, skal hele tiden have den højeste klassifikationsgrad, de nogensinde
er blevet anvendt til, indtil oplysningerne er blevet korrekt nedklassificeret
eller afklassificeret og bærerne omklassificeret i overensstemmelse hermed,
eller bærerne afklassificeret eller destrueret efter en godkendt GSR-
procedure eller national procedure (jf. nr. 61-63 i det følgende).
KONTROL MED OG ANSVAR FOR ADGANG TIL OPLYSNINGER
56. Der foretages automatisk (elektronisk) eller manuel registrering af brugere,
der får adgang til oplysninger, som er klassificeret SECRET UE eller
højere. Registret opbevares i overensstemmelse med disse sikkerhedsforsk-
rifter.
57. EU-klassificerede udskrivninger, der befinder sig inden for informationstek-
nologi-området, kan behandles som et klassificeret element og behøver ikke
blive registreret, når blot materialet identificeres, forsynes med angivelse af
klassifikationsgrad og kontrolleres på en passende måde.
58. Opnås udskrivningerne fra et SYSTEM, der behandler EU-klassificerede
oplysninger, og videregiver oplysningerne til et område med fjernterminal-
arbejdsstation fra et informationsteknologi-område, fastsættes der
procedurer, der skal være godkendt af sikkerhedsgodkendelsesmyndigheden,
med henblik på kontrol af fjernudskrivningen. For klassifikationsgraden
SECRET UE eller højere skal sådanne procedurer omfatte specifikke
instrukser vedrørende ansvaret for oplysningerne.
BEHANDLING AF OG KONTROL MED TRANSPORTABLE DATABÆ-
RERE
59. Alle transportable databærere, der er klassificeret CONFIDENTIEL UE
eller højere, behandles som materiel, for hvilket gælder generelle regler.
Det er nødvendigt at tilpasse identifikations- og klassifikationsmærkning til
bærernes specifikke fysiske udseende, således at de klart kan genkendes.
60. Brugerne har ansvaret for at sikre, at EU-klassificerede oplysninger kun
lagres på bærere med passende klassifikationsmærkning og -beskyttelse.2001D0264 — DA — 28.02.2004 — 001.001 — 43
▼B
Der fastsættes procedurer til sikring af, at lagring af EU-oplysninger på alle
niveauer på sådanne databærere foretages i overensstemmelse med disse
sikkerhedsforskrifter.
AFKLASSIFICERING OG DESTRUKTION AF DATABÆRERE
61. Databærere, der anvendes til lagring af EU-klassificerede oplysninger, kan
nedklassificeres eller afklassificeres efter godkendte GSR-procedurer eller
nationale procedurer.
62. Databærere, hvorpå der har været lagret TRÈS SECRET UE/EU TOP
SECRET-oplysninger eller oplysninger af særlig kategori, må ikke afklassi-
ficeres eller genanvendes.
63. Hvis databærere ikke må afklassificeres eller genbruges, skal de destrueres
efter en godkendt GSR-procedure eller national procedure.
KOMMUNIKATIONSSIKKERHED
64. Hvis EU-klassificerede oplysninger videregives elektromagnetisk, skal der
gennemføres særlige foranstaltninger for at beskytte dem imod uautoriseret
indsigt og uautoriseret ændring og sikre, at de er til rådighed, når de skal
anvendes. Sikkerhedsgodkendelsesmyndigheden fastlægger kravene for
beskyttelse mod sporing og aflytning. Oplysninger, der fremsendes i et
kommunikationssystem, skal beskyttes på grundlag af kravene om sikring
imod uautoriseret indsigt og uautoriseret ændring og sikkerhed for, at de er
til rådighed, når de skal anvendes.
65. Kræves der kryptografiske metoder for at opnå beskyttelse imod uautori-
seret indsigt og uautoriseret ændring samt sikkerhed for, at oplysningerne
er til rådighed, når de skal anvendes, skal sådanne metoder eller produkter
i forbindelse hermed godkendes specifikt til formålet af sikkerhedsgodken-
delsesmyndigheden.
66. Under videregivelsen skal oplysninger, der er klassificeret SECRET UE
eller højere, beskyttes ved hjælp af kryptografiske metoder eller produkter,
der er godkendt af Rådet efter anbefaling fra Rådets sikkerhedsudvalg.
Under videregivelsen skal oplysninger, der er klassificeret CONFIDENTIEL
UE eller RESTREINT UE, beskyttes ved kryptografiske metoder eller
produkter, der er godkendt enten af generalsekretæren/den højtstående
repræsentant på anbefaling af Rådets sikkerhedsudvalg eller af en medlems-
stat.
67. Detaljerede regler for videregivelse af EU-klassificerede oplysninger fast-
lægges i specifikke sikkerhedsinstruktioner, der godkendes af Rådet på
anbefaling af Rådets sikkerhedsudvalg.
68. Under ekstraordinære operative forhold kan oplysninger, der er klassificeret
RESTREINT UE, CONFIDENTIEL UE eller SECRET UE, videregives i
klart sprog, såfremt der i hvert enkelt tilfælde er givet udtrykkelig bemyndi-
gelse hertil. Sådanne ekstraordinære forhold foreligger:
a) under forestående eller faktiske krise-, konflikt- eller krigssituationer, og
b) hvis hurtig levering er af største betydning, og krypteringsmidler ikke er
til rådighed, og det skønnes, at de pågældende oplysninger alligevel ikke
kan misbruges i tide til at påvirke operationer negativt.
69. Et SYSTEM skal fuldstændig kunne spærre adgang til EU-klassificerede
oplysninger på enhver af eller alle sine fjernarbejdsstationer eller -termi-
naler, hvis det er nødvendigt enten ved fysisk adskillelse eller ved særlige
softwarefeatures, der er godkendt af sikkerhedsgodkendelsesmyndigheden.
INSTALLATION OG STRÅLINGSSIKKERHED
70. Den oprindelige installation af SYSTEMER og alle større ændringer i disse
specificeres således, at installation udføres af sikkerhedsgodkendte montører
under konstant tilsyn af teknisk kvalificerede medarbejdere, som er
godkendt til at have adgang til EU-klassificerede oplysninger på det niveau,
der svarer til den højeste klassifikationsgrad, som SYSTEMET forventes at
lagre og behandle.
71. Alt udstyr installeres i overensstemmelse med Rådets gældende sikkerheds-
politik.
72. SYSTEMER, der behandler oplysninger, der er klassificeret CONFIDEN-
TIEL UE eller højere, skal beskyttes på en sådan måde, at deres sikkerhed
ikke kan trues af lækage ved udstråling; mht. undersøgelse og kontrol
henvises til »TEMPEST«.
73. TEMPEST-modforanstaltninger for installationer i GSR og EU-decentralise-
rede Organer kontrolleres og godkendes af en TEMPEST-myndighed, der er2001D0264 — DA — 28.02.2004 — 001.001 — 44
▼B
udpeget af GSR's sikkerhedsmyndighed. For nationale installationer, som
behandler EU-klassificerede oplysninger, er den godkendende myndighed
den anerkendte nationale TEMPEST-godkendende myndighed.
Kapitel VI
Sikkerhed under behandling
SIKKERHEDSDRIFTSPROCEDURER
74. Sikkerhedsdriftsprocedurerne definerer de principper, der skal følges i
sikkerhedsspørgsmål, de driftsprocedurer, der skal følges, samt medarbejder-
ansvar. Sikkerhedsdriftsprocedurerne udarbejdes under ansvar af
informationsteknologisystemets driftsmyndighed.
SOFTWAREBESKYTTELSE/KONFIGURATIONSSTYRING
75. Sikkerhedsbeskyttelse af applikationer afgøres på grundlag af en vurdering
af sikkerhedsgodkendelsen af applikationen snarere end klassifikations-
graden for de oplysninger, den skal behandle. Softwareudgaver, der er i
brug, bør kontrolleres med jævne mellemrum for at sikre, at de fungerer
korrekt, og at der ikke er foretaget uautoriserede ændringer.
76. Nye eller ændrede udgaver af software bør ikke anvendes til behandling af
EU-klassificerede oplysninger, før de er blevet kontrolleret af informations-
teknologisystemets driftsmyndighed.
KONTROL AF, OM DER FINDES SKADELIG SOFTWARE/COMPUTER-
VIRUS
77. Kontrol af, om der findes skadelig software/computervirus, foretages regel-
mæssigt i overensstemmelse med sikkerhedsgodkendelsesmyndighedens
krav.
78. Alle databærere, der kommer ind i GSR eller decentrale EU-organer eller i
medlemsstaterne, skal kontrolleres for, om de indeholder skadelig software
eller computervirus, før de indføres i noget SYSTEM.
VEDLIGEHOLDELSE
79. Kontrakter og procedurer for regelmæssig vedligeholdelse og tilkaldevedli-
geholdelse af SYSTEMER, for hvilke der er udarbejdet systemspecifikke
sikkerhedskrav, skal specificere krav og arrangementer for vedligeholdelses-
personale og det anvendte udstyr, der kommer ind på
informationsteknologiområdet.
80. Kravene skal klart fremgå af de systemspecifikke sikkerhedskrav, og proce-
durerne skal klart fremgå af sikkerhedsdriftsprocedurerne.
Kontraktvedligeholdelse, der kræver fjerntilslutningsdiagnose, må kun
tillades under ekstraordinære omstændigheder under streng kontrol og kun
med sikkerhedsgodkendelsesmyndighedens godkendelse.
Kapitel VII
Anskaffelse af materiel
81. Ethvert sikkerhedsprodukt, der skal anvendes sammen med SYSTEMET og
som skal anskaffes, bør enten forudgående have været evalueret og certifi-
ceret eller bør løbende være under evaluering og certificering af et
anerkendt evaluerings- eller certificeringsorgan i henhold til internationale
kriterier (som f.eks. de fælles kriterier for sikkerhedsevaluering af informa-
tionsteknologi, ref. ISO 15408).
82. Ved beslutningen om, hvorvidt udstyr, specielt databærere, bør leases i
stedet for at købes, skal det tages i betragtning dels, at udstyr, der en gang
har været anvendt til behandling af EU-klassificerede oplysninger, ikke må
frigives uden for et passende sikkert miljø uden først at være blevet afklas-
sificeret og godkendt af sikkerhedsgodkendelsesmyndigheden, og dels, at en
sådan godkendelse ikke altid er mulig.
GODKENDELSE
83. Alle SYSTEMER, for hvilke der skal opstilles systemspecifikke sikkerheds-
krav forud for behandling af EU-klassificerede oplysninger, godkendes af
sikkerhedsgodkendelsesmyndigheden på grundlag af de systemspecifikke
sikkerhedskrav, sikkerhedsdriftsprocedurer samt enhver anden relevant
dokumentation. Undersystemer og fjernterminaler/arbejdsstationer
godkendes som en del af alle de SYSTEMER, de er forbundet med. I de
tilfælde, hvor et SYSTEM støtter både Rådet og andre organisationer, skal2001D0264 — DA — 28.02.2004 — 001.001 — 45
▼B
GSR og relevante sikkerhedsmyndigheder gensidigt være enige om godken-
delsen.
84. Godkendelsesprocessen kan udføres i overensstemmelse med en godkendel-
sesstrategi, der er relevant for det specielle SYSTEM, og som er defineret af
sikkerhedsgodkendelsesmyndigheden.
EVALUERING OG CERTIFICERING
85. Inden godkendelse skal hardware-, firmware- og softwaresikkerhedsfeatures
i et SYSTEM evalueres og certificeres som værende i stand til at beskytte
oplysninger af den relevante klassifikationsgrad.
86. Kravene til evaluering og certificering skal indgå i systemplanlægningen og
klart fremgå af de systemspecifikke sikkerhedskrav.
87. Evaluerings- og certificeringsprocesserne udføres i overensstemmelse med
godkendte retningslinjer og af teknisk kvalificerede og sikkerhedsgodkendte
medarbejdere, som handler på vegne af informationsteknologisystemets
driftsmyndighed.
88. Holdene kan stilles til rådighed af en udpeget evaluerings- eller certificerin-
gsmyndighed i en medlemsstat eller af dets udpegede repræsentanter, f.eks.
en kompetent og sikkerhedsgodkendt leverandør.
89. Graden af de involverede evaluerings- og certificeringsprocesser kan lempes
(f.eks. så kun integrationsaspekter involveres), hvis SYSTEMER er baseret
på eksisterende nationalt evaluerede og certificerede computersikkerheds-
produkter.
RUTINEKONTROL AF SIKKERHEDSFEATURES MED HENBLIK PÅ
FORTSAT GODKENDELSE
90. Informationsteknologisystemets driftsmyndighed kan fastlægge rutinekon-
trolprocedurer, som skal sikre, at alle sikkerhedsfeatures i SYSTEMET
fortsat er gyldige.
91. De typer ændringer, som kræver fornyet godkendelse, eller som kræver
forudgående godkendelse af sikkerhedsgodkendelsesmyndigheden, skal klart
identificeres i og fremgå af de systemspecifikke sikkerhedskrav. Efter
enhver ændring, reparation eller ethvert svigt, som kan have påvirket
SYSTEMETS sikkerhedsfeatures, skal informationsteknologisystemets
driftsmyndighed sikre, at der foretages kontrol for at sikre, at de pågæl-
dende sikkerhedsfeatures virker korrekt. Fortsat godkendelse af
SYSTEMET afhænger normalt af, at kontrollen er blevet gennemført med
tilfredsstillende resultat.
92. Alle SYSTEMER, hvor der er indført sikkerhedsfeatures, efterses eller
undersøges med jævne mellemrum af sikkerhedsgodkendelsesmyndigheden.
For så vidt angår SYSTEMER, som behandler TRÈS SECRET UE/EU TOP
SECRET-oplysninger eller oplysninger med supplerende angivelser, skal
disse eftersyn foretages mindst en gang om året.
Kapitel VIII
Midlertidig eller lejlighedsvis anvendelse
SIKKERHED FOR MIKROCOMPUTERE/PERSONLIGE COMPUTERE
93. Microcomputere/personlige computere (PC'ere) med faste diske (eller andre
former for ikke-flygtig hukommelse), der betjenes enten enkeltstående eller
i netetablerede konfigurationer og bærbare computeranordninger (f.eks.
bærbare PC'ere og elektroniske »notebooks«) med fast harddisk, betragtes
som databærere på samme måde som disketter eller andre transportable
databærere.
94. Sådant udstyr skal med hensyn til adgang, behandling, lagring og transport
have et sikkerhedsbeskyttelsesniveau, der svarer til den højeste klassifikati-
onsgrad for de oplysninger, der nogensinde lagres eller behandles (indtil
udstyret er blevet nedklassificeret eller afklassificeret i overensstemmelse
med godkendte procedurer).
BRUG AF PRIVATEJET INFORMATIONSTEKNOLOGI-UDSTYR TIL
OFFICIELT RÅDSARBEJDE
95. Det er forbudt at anvende privatejede transportable databærere, software og
informationsteknologihardware (f.eks. PC'ere og bærbare computeranord-
ninger) med lagringskapacitet til behandling af EU-klassificerede
oplysninger.2001D0264 — DA — 28.02.2004 — 001.001 — 46
▼B
96. Privatejet hardware, software og lagringsenheder må ikke bringes ind på
noget Klasse I- eller Klasse II-område, hvor EU-klassificerede oplysninger
behandles, uden bemyndigelse fra chefen for GSR's sikkerhedskontor eller
en medlemsstats ministerium eller styrelse eller fra det respektive decentrale
EU-organ.
ANVENDELSE AF LEVERANDØREJET ELLER NATIONALT LEVERET
INFORMATIONSTEKNOLOGI-UDSTYR TIL OFFICIELT RÅDSARBEJDE
97. Anvendelse af leverandørejet informationsteknologi-udstyr og software i
organisationer til støtte for officielt rådsarbejde må kun ske efter bemyndi-
gelse fra chefen for GSR's sikkerhedskontor eller en medlemsstats
ministerium eller fra det respektive EU-decentrale organ. Det kan ligeledes
tillades, at medarbejdere i GSR eller i et decentralt EU-organ anvender nati-
onalt leveret informationsteknologi-udstyr og software; i så fald skal
informationsteknologi-udstyret kontrolleres på lige fod med GSR-udstyr.
Hvis informationsteknologi-udstyret skal anvendes til behandling af EU-
klassificerede oplysninger, skal den relevante sikkerhedsgodkendelsesmyn-
dighed i begge tilfælde høres, således at de elementer af INFOSEC, der
gælder for brugen af det pågældende udstyr, tages korrekt i betragtning og
gennemføres korrekt.2001D0264 — DA — 28.02.2004 — 001.001 — 47
▼B
AFSNIT XII
VIDEREGIVELSE AF EU-KLASSIFICEREDE OPLYSNINGER TIL
TREDJELANDE ELLER INTERNATIONALE ORGANISATIONER
PRINCIPPER FOR VIDEREGIVELSE AF EU-KLASSIFICEREDE OPLYS-
NINGER
1. Rådet træffer afgørelse om videregivelse af EU-klassificerede oplysninger
til tredjelande eller internationale organisationer på grundlag af:
— arten og indholdet af sådanne oplysninger
— modtagernes behov for oplysningerne
— EU's interesse i videregivelsen.
Udstedermedlemsstaten høres om videregivelsen.
2. Der træffes afgørelse fra sag til sag afhængig af:
— hvor tæt et samarbejde EU ønsker med de pågældende tredjelande eller
internationale organisationer
— den lid, der kan fæstes til modtagerne, hvilket afhænger af den sikker-
hedsbeskyttelse, de pågældende tredjelande eller organisationer vil
anvende i forbindelse med de videregivne EU-klassificerede oplysninger
samt graden af overensstemmelse mellem modtagernes sikkerhedsregler
og de tilsvarende regler i EU; Rådets sikkerhedsudvalg afgiver teknisk
udtalelse til Rådet om sådanne spørgsmål.
3. Modtager tredjelande eller internationale organisationer EU-klassificerede
oplysninger, skal de samtidig garantere, at oplysningerne ikke vil blive
anvendt til andre formål end dem, der ligger til grund for videregivelsen
eller udvekslingen af oplysningerne, og at de vil beskytte oplysningerne i
overensstemmelse med Rådets anvisninger.
NIVEAUER
4. Træffer Rådet beslutning om, at klassificerede oplysninger kan videregives
til eller udveksles med et tredjeland eller en international organisation, afgør
det samtidig, hvor tæt et samarbejde, der er muligt. Dette afhænger navnlig
af det pågældende tredjelands eller organisationens politik og regler på
sikkerhedsområdet.
5. Der opereres med tre samarbejdsniveauer:
Niveau 1Samarbejde med tredjelande eller internationale organisationer, der ligger
meget tæt på EU med hensyn til politik og regler på sikkerhedsområdet.
Niveau 2
Samarbejde med tredjelande eller internationale organisationer, der afviger
markant fra EU med hensyn til politik og regler på sikkerhedsområdet.
Niveau 3
Lejlighedsvist samarbejde med tredjelande eller internationale organisati-
oner, hvis politik og regler på sikkerhedsområdet ikke kan vurderes.
6. Det enkelte samarbejdsniveau er bestemmende for, hvilke sikkerhedsregler
modtagerne anmodes om at anvende for at beskytte de klassificerede oplys-
ninger, de modtager; i enkelte tilfælde omformuleres reglerne i lyset af den
tekniske udtalelse fra Rådets sikkerhedsudvalg. Tillæg 4, 5 og 6 indeholder
en detaljeret beskrivelse af disse procedurer og sikkerhedsregler.
AFTALERNE
7. Fastslår Rådet, at der er et permanent eller langsigtet behov for udveksling
af klassificerede oplysninger mellem EU og tredjelande eller internationale
organisationer, udarbejder det i samarbejde med de pågældende udveks-
lingspartnere »aftaler om sikkerhedsprocedurer for udveksling af
klassificerede oplysninger«, hvori samarbejdets formål og de gensidige
regler for beskyttelse af de udvekslede oplysninger fastsættes.
8. I forbindelse med lejlighedsvist niveau 3-samarbejde, som pr. definition er
begrænset med hensyn til tid og formål, kan et aftalememorandum med enbeskrivelse af arten af de klassificerede oplysninger, der skal udveksles, og
de gensidige forpligtelser i forbindelse med oplysningerne, træde i stedet for
»aftalen om sikkerhedsprocedurer for udveksling af klassificerede oplys-
ninger«, hvis oplysningerne ikke er klassificeret højere end RESTREINT
UE.2001D0264 — DA — 28.02.2004 — 001.001 — 48
▼B
9. Udkast til aftaler om sikkerhedsprocedurer eller aftalememoranda
godkendes af Sikkerhedsudvalget, før de forelægges Rådet til afgørelse.
10. De nationale sikkerhedsmyndigheder bistår generalsekretæren/den
højtstående repræsentant med at sikre, at de oplysninger, der videregives,
anvendes og beskyttes i overensstemmelse med bestemmelserne i aftalerne
om sikkerhedsprocedurer eller aftalememorandaene.2001D0264 — DA — 28.02.2004 — 001.001 — 49
▼B
Tillæg 1
Fortegnelse over de nationale sikkerhedsmyndigheder
BELGIEN
Service public fédéral des affaires étrangères, du commerce extérieur et de la
coopération au développement
Autorité nationale de sécurité (ANS)Direction du protocole et de la sécuritéService de la sécurité P & S 6Rue des Petits Carmes 15B-1000 Bruxelles
Federale Overheidsdienst Buitenlandse Zaken, Buitenlandse Handel en Ontwik-
kelingssamenwerking
Nationale Veiligheidsoverheid (NVO)
Directie Protocol en Veiligheid P&S 6
Karmelietenstraat 15B-1000 BrusselTéléphone du secrétariat: (32-2) 519 05 74Téléphone de la présidence: (32-2) 501 82 20; (32-2) 501 87 10Télécopieur: (32-2) 519 05 96
TJEKKIET
National Security Authority
Na Popelce 2/16
CZ-150 06 Praha 56
Telefon: (420) 257 28 33 35Fax: (420) 257 28 31 10
DANMARK
Politiets Efterretningstjeneste
Klausdalsbrovej 1DK-2860 SøborgTelefon (45) 33 14 88 88Fax (45) 33 43 01 90
TYSKLAND
Bundesministerium des Innern
Referat IS 2Alt-Moabit 101 D
D-11014 Berlin
Telefon: 49-18 88–681-15 26Fax: 49-18 88-681-558 06
ESTLAND
Ministry of Defence, Republic of Estonia, Department of Security
Sakala 1EE-15094 TallinnTelefon: (372) 717 00 30Fax: (372) 717 00 01
GRÆKENLAND
Γενικό Επιτελείο Εθνικής Άµυνας (ΓΕΕΘΑ)
Υπηρεσία Στρατιωτικών Πληροφοριών (ΥΣΠ —Β Κλάδος)
Τµήµα Ασφαλείας και Αντιπληροφοριών
ΣΤΓ 1020-Χολαργός (Αθήνα)
ΕλλάδαΤηλέφωνα: (30) 210 657 20 09 (ώρες γραφείου), (30) 210 657 20 10 (ώρες
γραφείου)
Φαξ: (30) 210 642 64 32, (30) 210 657 21 81
Hellenic National Defence General Staff (HNDGS)
Military Intelligence Service (MIS-Bi Branch)Security Counterintelligence SectionGR-STG 1020 Holargos — Athens
Telephone: (30) 210 657 20 09, (30) 210 657 20 10
Fax: (30) 210 642 64 32, (30) 210 657 21 812001D0264 — DA — 28.02.2004 — 001.001 — 50
▼M1
▼M1
SPANIEN
Autoridad Nacional de Seguridad
Oficina Nacional de Seguridad
Avenida Padre Huidobro s/nCarretera Nacional Radial VI, km 8,5
E-28023 Madrid
Teléfono: (34-91) 372 57 07, (34-91) 372 50 27Fax: (34-91) 372 58 08
FRANKRIG
Secrétariat général de la défense nationale
Service de sécurité et de défense (SGDN/SSD)
51 boulevard de la Tour-Maubourg
F-75700 Paris 07 SP
Téléphone: (33-1) 71 75 81 77Télécopieur: (33-1) 71 75 82 00
IRLAND
National Security Authority
Department of Foreign Affairs
80 St. Stephens GreenDublin 2
Ireland
Telephone: (353-1) 478 08 22
Fax: (353-1) 478 14 84
ITALIEN
Presidenza del Consiglio dei Ministri
Autorità Nazionale per la SicurezzaUfficio Centrale per la Sicurezza
Via della Pineta Sacchetti, 216
I-00168 RomaTel.: (39) 066 27 47 75
Fax: (39) 066 14 33 97
CYPERN
Υπουργείο Άµυνας
Στρατιωτικό επιτελείο του υπουργού
Εθνική Αρχή Ασφάλειας (ΕΑΑ)
Υπουργείο ΆµυναςΛεωφόρος Εµµανουήλ Ροΐδη 4
1432Λευκωσία ,Κύπρος
Τηλέφωνα: (357) 22 80 75 69, (357) 22 80 75 19, (357) 22 80 77 64Φαξ: (357) 22 30 23 51
Ministry of Defence
Minister's Military Staff
National Security Authority (NSA)
4 Emanuel Roidi streetCY-1432 Nicosia
Telephone: (357) 22 80 75 69; (357) 22 80 75 19; (357) 22 80 77 64
Fax: (357) 22 30 23 51
LETLAND
Constitution Protection Bureau of the Republic of Latvia
Miera Iela 85/A
LV-1001 RigaTelefon: (371) 702 54 18
Fax: (371) 702 54 06
LITAUEN
National Security Authority of the Republic of Lithuania
Gedimino 40/2
LT-2600 Vilnius
Telefon: (370-5) 266 32 05Fax: (370-5) 266 32 00
LUXEMBOURG
Autorité nationale de sécurité
Ministère d'État2001D0264 — DA — 28.02.2004 — 001.001 — 51
▼M1
Boîte Postale 23 79
L-1023 Luxembourg
Téléphone: (352) 478 22 10 (central), (352) 478 22 35 (ligne directe)
Télécopieur: (352) 478 22 43; (352) 478 22 71
UNGARN
National Security Authority Republic of Hungary
Pf. 2
HU-1352 Budapest
Telefon: (361) 346 96 52
Fax: (361) 346 96 58
MALTA
Ministry of Justice and Home Affairs
P.O. Box 146
MT-VallettaTelefon: (356) 21 24 98 44
Fax: (356) 21 23 53 00
NEDERLANDENE
Ministerie van Binnenlandse Zaken
Postbus 200102500 EA Den Haag
NederlandTel.: (31-70) 320 44 00
Fax: (31-70) 320 07 33
Ministerie van Defensie
Militaire Inlichtingendienst (MID)
Postbus 207012500 ES Den HaagNederland
Tel.: (31-70) 318 70 60
Fax: (31-70) 318 79 51
ØSTRIG
Informationssicherheitskommission
Bundeskanzleramt
Ballhausplatz 2
A-1014 WienTelefon: 431-531 15 23 96
Fax: 431-531 15 25 08
POLEN
Military Information Services
National Security Authority — Military Sphere
PL-00-909 Warszawa 60Telefon: (48-22) 684 61 19
Fax: (48-22) 684 61 72
Internal Security Agency
Department for the Protection of Classified Information
2A Rakowiecka St.PL-00-993 Warszawa
Telefon: (48-22) 585 73 60
Fax: (48-22) 585 85 09
PORTUGAL
Presidência do Conselho de Ministros
Autoridade Nacional de Segurança
Avenida Ilha da Madeira
P-1400-204 LisboaTel.: (351-21) 301 17 10
Fax: (351-21) 303 17 11
SLOVENIEN
Office of the Government of the Republic of Slovenia
For the Protection of Classified Information — NSA
Slovenska cesta 5SVN-1000 Ljubljana
Telefon: (386-1) 426 91 20
Fax: (386-1) 426 91 912001D0264 — DA — 28.02.2004 — 001.001 — 52
▼M1
SLOVAKIET
National Security Authority
Budatínska 30
SK-851 05 Bratislava
Telefon: (421-2) 68 69 95 09
Fax: (421-2) 63 82 40 05
FINLAND
Ulkoasiainministeriö/Utrikesministeriet
Alivaltiosihteeri (Hallinto)/Understatssekreteraren (Administration)
Laivastokatu/Maringatan 22
PL/PB 176
FI-00161 Helsinki/Helsingfors
P. (358-9) 16 05 53 38
F. (358-9) 16 05 53 03
SVERIGE
Utrikesdepartementet
SSSB
S-103 39 Stockholm
Telefon (46-8) 405 54 44
Fax (46-8) 723 11 76
DET FORENEDE KONGERIGE
National Security Authority
The Secretary for T3P/1
PO Box 56 56
London EC1A 1AH
United Kingdom
Telephone: (44) 20 72 70 87 51
Fax: (44) 20 76 30 14 282001D0264 — DA — 28.02.2004 — 001.001 — 53
Tillæg 2
Sammenlignende oversigt over klassifikationsgrader
Klassifikationsgrad i EU Très Secret UE/EU Top Secret Secret UE Confidentiel UE Restreint UE
Belgien Très Secret
Zeer GeheimSecret
GeheimConfidentiel
VertrouwelijkDiffusion restreinte
Beperkte verspreiding
Den Tjekkiske Republik P řísnětajné Tajné D ůvěrné Vyhrazené
Danmark Yderst hemmeligt Hemmeligt Fortroligt Til tjenestebrug
Tyskland Streng geheim Geheim VS (2) — Vertraulich VS — Nur für den Dienstgebrauch
Estland Täiesti salajane Salajane Konfidentsiaalne PiiratudGrækenland Άκρως απόρρητο
Abk:ΑΑΠΑπόρρητο
Abk: (ΑΠ)Εµπιστευτικό ΕΕ
Αbk: (ΕΜ)Περιορισµένης χρήσης
Abk: (ΠΧ)
Spanien Secreto Reservado Confidencial Difusión limitadaFrankrig Très Secret Défense (
1) Secret Défense Confidentiel Défense Diffusion restreinte
Irland Top Secret Secret Confidential RestrictedItalien Segretissimo Segreto Riservatissimo Riservato
Cypern Άκρως απόρρητο Απόρρητο Εµπιστευτικό ΕΕ Περιορισµένης χρήσης
Letland Seviš ķi slepeni Slepeni Konfidenci āli Dienesta vajadz ībām
Litauen Visiškai slaptai Slaptai Konfidencialiai Riboto naudojimoLuxembourg Très Secret Secret Confidentiel Diffusion restreinte
Ungarn Szigorúan titkos! Titkos! Bizalmas! Korlátozott terjesztés ű!
Malta L-Og ħla Segretezza Sigriet Kunfidenzjali Ristrett▼B2001D0264 — DA — 28.02.2004 — 001.001 — 54▼M1
Klassifikationsgrad i EU Très Secret UE/EU Top Secret Secret UE Confidentiel UE Restreint UE
Nederlandene STG Zeer Geheim STG Geheim STG Confidentieel —
Østrig Streng geheim Geheim Vertraulich EingeschränktPolen Ściśle tajne Tajne Poufne Zastrze żone
Portugal Muito Secreto Secreto Confidencial Reservado
Slovenien Strogo tajno Tajno Zaupno SVN InternoSlovakiet Prísne tajné Tajné Dôverné VyhradenéFinland Erittäin salainen Erittäin salainen Salainen Luottamuksellinen
Sverige Kvalificerat hemlig Hemlig Hemlig Hemlig
Det Forenede Kongerige Top Secret Secret Confidential RestrictedKlassifikationsgrad i NATO Cosmic Top Secret NATO Secret NATO Confidential NATO RestrictedKlassifikationsgrad i WEU Focal Top Secret WEU Secret WEU Confidential WEU Restricted
(1) Frankrig: Klassifikationsgraden Très Secret Défense anvendes i forbindelse med statshemmeligheder; ændring kræver bemyndigelse fra premiermi nisteren.
(2) Tyskland: VS = Versclusssache.▼M12001D0264 — DA — 28.02.2004 — 001.001 — 55
Tillæg 3
Praktisk klassifikationsvejledning
Denne vejledning må ikke opfattes om en ændring af de grundlæggende bestemmelser i afsnit II og III.
Klassifikationsgrad Hvornår Hvem Påskrifter m.v.Nedklassificering/afklassificering/destruktion
hvem hvornår
TRÈS SECRET UE/EU TOP
SECRET
Denne klassifikationsgrad
anvendes kun til oplysninger
og materiale, hvis videregivelse
uden bemyndigelse ville kunne
forvolde Den Europæiske
Unions eller én eller flere
medlemsstaters vitale interesser
overordentlig alvorlig skade [II,
nr. 1].Ved lækage af oplysninger,
der er klassificeret TRÈS
SECRET UE/EU TOP
SECRET, er der sandsyn-
lighed for, at:
— stabiliteten i EU, i én af
medlemsstaterne eller i
venligtsindede lande
direkte bringes i fare
— forbindelserne med
venligtsindede regeringer
direkte skades i overord-
entlig alvorlig grad
— et stort antal menneskeliv
går tabt
— medlemsstaternes eller
andre bidragyderes opera-
tive effektivitet eller over-
ordentlig vigtige
sikkerheds- eller efterret-
ningsoperationers fortsatte
effektivitet skades i over-
ordentlig alvorlig grad
— EU's eller medlemssta-
ternes økonomi påføres
alvorlig langvarig skade.Medlemsstaterne:
personer med særlig bemyn-
digelse (udstederne) [III, nr.
4];
GSR:
personer med særlig bemyn-
digelse (udstederne) [III, nr.
4], generalsekretæren/den
højtstående repræsentant.
Udstederen skal angive en
dato eller frist, på/inden for
hvilken indholdet kan
nedklassificeres eller afklassi-
ficeres. Hvis der ikke angives
en sådan, skal oplysningernes
klassifikationsgrad tages op
til revision mindst hvert
femte år med henblik på at
undersøge, om den oprinde-
lige klassifikationsgrad stadig
er nødvendig [III, nr. 10].Klassifikationsgraden TRÈS
SECRET UE/EU TOP
SECRET anvendes i forbin-
delse med dokumenter, der er
klassificeret TRÈS SECRET
UE/EU TOP SECRET, og
påføres mekanisk eller i
hånden, hvor dette er rele-
vant, umiddelbart før
forsvarsmærkningen -ESDP
[II, nr. 8].
EU-klassifikationsgraden
påføres foroven og forneden
midt på hver side, og alle
sider nummereres. Hvert
dokument påføres et referen-
cenummer og en dato; refe-
rencenummeret angives på
alle sider. Hvis dokumentet
skal fordeles i flere eksem-
plarer, skal hvert eksemplar
påføres eksemplarnummer,
som anbringespå første side
sammen med en angivelse af
det samlede sideantal. Evt.
bilag angives på første side
[VII, nr. 1].Afklassificering og nedklassi-
ficering må kun foretages af
udstederen, generalsekre-
tæren/den højtstående repræ-
sentant, som meddeler
ændringen til de instanser,
som efterfølgende har
modtaget originaldokumentet
eller et eksemplar heraf
[VIII, nr. 9].
Dokumenter, der er klassifi-
ceret TRÈS SECRET UE/EU
TOP SECRET, destrueres af
det centrale sekretariat eller
et undersekretariat med
ansvar herfor. Alle destrue-
rede dokumenter opføres på
en destruktionsattest, der
undertegnes af den medar-
bejder, der har til opgave at
kontrollere dokumenter, der
er klassificeret TRÈS
SECRET UE/EU TOP
SECRET og den medarbejder
der overværer destruktionen;
sidstnævnte medarbejder skal
være sikkerhedsgodkendt på
dette niveau. Sådanne
destruktioner journaliseres.
Sekretariatet opbevarer
destruktionsattesterne og
fordelingslisten i 10 år [VII,
nr. 31].Overskydende eksemplarer og
dokumenter, der ikke længere
er brug for, destrueres [VII, nr.
31].
Dokumenter, der er klassificeret
TRÈS SECRET UE/EU TOP
SECRET, herunder alt klassifi-
ceret affald, der stammer fra
forberedelsen af dokumenter,
der er klassificeret TRÈS
SECRET UE/EU TOP
SECRET, som f.eks. beskadi-
gede eksemplarer, arbejdstek-
ster, noter og gennemslagspapir
destrueres under opsyn af en
medarbejder, der er sikkerheds-
godkendt på dette niveau, ved
afbrænding, opløsning, makule-
ring eller ved på anden vis, at
sikre, at det pågældende mate-
riale reduceres til en uigenken-
delig og ikke-restituerbar form
[VII, nr. 31, c].▼B2001D0264 — DA — 28.02.2004 — 001.001 — 56
Klassifikationsgrad Hvornår Hvem Påskrifter m.v.Nedklassificering/afklassificering/destruktion
hvem hvornår
SECRET UE:
Denne klassifikationsgrad
anvendes kun til oplysninger
og materiale, hvis videregivelse
uden bemyndigelse ville kunne
forvolde Den Europæiske
Unions eller én eller flere af
dens medlemsstaters vitale inte-
resser alvorlig skade [II, nr. 2].Ved lækage af oplysninger,
der er klassificeret SECRET
UE, er der sandsynlighed for:
— at der vil opstå internatio-
nale spændinger
— at forbindelserne med
venligtsindede regeringer
vil lide alvorlig skade
— at det vil true menne-
skeliv direkte eller i
alvorlig grad anfægte den
offentlige orden eller den
enkeltes sikkerhed eller
frihed
— at det vil være til alvorlig
skade for medlemssta-
ternes eller andre bidrag-
yderes styrkers operative
effektivitet eller sikkerhed
eller for meget værdifuldesikkerheds- eller efterret-
ningsoperationers fortsatte
effektivitet
— at det vil forvolde
væsentlig materiel skade
for EU's eller en af dets
medlemsstaters finan-
sielle, monetære, økono-
miske og handelsmæssige
interesser.Medlemsstaterne:
autoriserede personer
(udstederen) [III, nr. 2];
GSR og EU's decentrale
organer:
autoriserede personer
(udstederen) [III, nr. 2], gene-
raldirektører, generalsekre-
tæren/den højtståenderepræsentant.
Udstederen skal anføre en
dato eller frist, efter hvilken
indholdet kan nedklassificeres
eller afklassificeres. I modsat
fald skal vedkommende tage
klassifikationsgraden op til
revision mindst hvert femte
år for at undersøge, om den
oprindelige klassifikations-
grad stadig er nødvendig [III,
nr. 10].SECRET UE påføres doku-
menter med denne klassifika-
tionsgrad, og, hvor dette er
relevant, tilføjes forsvars-
påtegningen ESDP mekanisk
eller i hånden [II, nr. 8].
EU-klassifikationsgraden
anføres midt på hver side
foroven og forneden, og hver
side nummereres. Hvert
dokument skal være forsynet
med referencenummer og
dato; referencenummeret
anføres på hver side. Hvis
dokumentet skal fordeles i
flere eksemplarer, skal hvert
eksemplar have et nummer,
som anføres på første side
sammen med det samlede
sideantal. Evt. bilag anføres
på første side [VII, nr. 1].Afklassificering og nedklassi-
ficering må kun foretages af
udstederen, generalsekre-
tæren/den højtstående repræ-
sentant, som meddeler
ændringen til alle senere
modtagere, som har fået
tilsendt dokumentet eller eteksemplar heraf [III, nr. 9].
Dokumenter, der er klassifi-
ceret SECRET UE, destrueres
af det sekretariat, der er
ansvarligt for disse doku-
menter, under tilsyn af en
sikkerhedsgodkendt person.
Dokumenter, der er klassifi-
ceret SECRET UE, og som
destrueres, opføres på
underskrevne distributionsat-
tester, der opbevares af sekre-
tariatet i mindst tre år tillige
med fordelingslisten [VII, nr.
32].Overskydende eksemplarer og
dokumenter, der ikke længere
er brug for, destrueres [VII, nr.
31].
Dokumenter, der er klassificeret
SECRET UE, herunder alt klas-
sificeret affald fra udarbej-
delsen af sådanne dokumenter,
såsom uanvendelige eksem-
plarer, arbejdsudkast,
maskinskrevne notater og
karbonpapir, destrueres ved
afbrænding, opløsning, makule-
ring eller på anden måde redu-
cering til et produkt, der
hverken kan genkendes eller
rekonstrueres [VII, nr. 31c og
32].
CONFIDENTIEL UE:
Denne klassifikationsgrad
anvendes til oplysninger og
materiale, hvis videregivelse
uden bemyndigelse ville kunne
forvolde Den Europæiske
Unions eller en eller flere af
dens medlemsstaters vitale inte-
resser skade [II, nr. 3].Ved lækage af oplysninger,
der er klassificeret CONFI-
DENTIEL UE, er der sand-
synlighed for:
— at de diplomatiske forbin-
delser vil lide materiel
skade, dvs. at det vil
medføre formelle prote-
ster eller andre sanktioner
— at det vil anfægte denMedlemsstaterne:
autoriserede personer
(udstederen) [III, nr. 2];
GSR og EU's decentrale
organer:
autoriserede personer
(udstederen) [III, nr. 2], gene-
raldirektører, generalsekre-CONFIDENTIEL UE påføres
dokumenter med denne klas-
sifikationsgrad, og, hvor dette
er relevant, tilføjes forsvars-
påtegningen ESDP mekanisk
eller i hånden eller ved
fortryk på registreret papir
[II, nr. 8].
EU-klassifikationen anføres
midt på hver side foroven ogAfklassificering og nedklassi-
ficering må kun foretages af
udstederen, generalsekre-
tæren/den højtstående repræ-
sentant, som meddeler
ændringen til alle senere
modtagere, som har fået
tilsendt dokumentet eller et
eksemplar heraf [III, nr. 9].
Dokumenter, der er klassifi-Overskydende eksemplarer og
dokumenter, der ikke længere
er behov for, destrueres [VII,
nr. 31].
Dokumenter, der er klassificeret
CONFIDENTIEL UE, herunder
alt klassificeret affald fra udar-
bejdelsen af sådanne doku-
menter, såsom uanvendelige
eksemplarer, arbejdsudkast,▼B2001D0264 — DA — 28.02.2004 — 001.001 — 57
Klassifikationsgrad Hvornår Hvem Påskrifter m.v.Nedklassificering/afklassificering/destruktion
hvem hvornår
enkeltes sikkerhed eller
frihed
— at det vil være til skade
for medlemsstaternes eller
andre bidragyderes styr-
kers operative effektivitet
eller sikkerhed eller for
værdifulde sikkerheds-
eller efterretningsoperatio-
ners effektivitet
— at det vil undergrave
større organisationers
finansielle levedygtighed
i væsentlig grad
— at det vil vanskeliggøre
efterforskningen af eller
gøre det lettere at begå
alvorlig kriminalitet
— at det i væsentlig grad vil
modvirke EU's eller
medlemsstaternes finan-
sielle, monetære, økono-
miske og handelsmæssige
interesser.tæren/den højtstående repræ-
sentant.
Udstederen skal anføre en
dato eller frist, efter hvilken
indholdet kan nedklassificeres
eller afklassificeres. I modsat
fald skal vedkommende tage
klassifikationsgraden op til
revision mindst hvert femte
år for at undersøge, om den
oprindelige klassifikations-
grad stadig er nødvendig [III,
nr. 10].forneden, og hver side
nummereres. Hvert dokument
skal være forsynet med refe-
rencenummer og dato. Evt.
bilag anføres på første side
[VII, nr. 2].ceret CONFIDENTIEL UE,
destrueres af det sekretariat,
der er ansvarligt for disse
dokumenter, under tilsyn af
en sikkerhedsgodkendt
person. Destruktionen regi-
streres efter de nationale
bestemmelser og, for så vidtangår GSR eller EU's decen-
trale organer, efter anvis-
ninger fra generalsekretæren/
den højtstående repræsentant
[VII, nr. 33].maskinskrevne notater og
karbonpapir, destrueres ved
afbrænding, opløsning, makule-
ring eller på anden måde redu-
cering til et produkt, der
hverken kan genkendes eller
rekonstrueres [VII, nr. 31c og
33].
RESTREINT UE:
Denne klassifikationsgrad
anvendes til oplysninger og
materiale, hvis videregivelse
uden bemyndigelse kunne være
uheldig for Den Europæiske
Unions eller en eller flere af
dens medlemsstaters interesser
[II, nr. 4].Ved lækage af oplysninger,
der er klassificeret
RESTREINT UE, er der
sandsynlighed for:
— at det vil påvirke de
diplomatiske forbindelser
negativt
— at det vil volde enkeltper-
soner alvorlige problemer
— at det vil gøre det vanske-
ligere at opretholde
medlemsstaternes eller
andre bidragyderes styr-
kers operative effektivitet
eller sikkerhed
— at det vil medføre økono-Medlemsstaterne:
autoriserede personer
(udstederen) [III, nr. 2];
GSR og EU's decentrale
organer:
autoriserede personer
(udstederen) [III, nr. 2], gene-
raldirektører, generalsekre-
tæren/den højtstående
repræsentant.
Ophavsmanden skal anføre en
dato eller frist, efter hvilken
indholdet kan nedklassificeres
eller afklassificeres. I modsatRESTREINT UE påføres
dokumenter med denne klas-
sifikationsgrad, og, hvor det
er relevant, indføres forsvars-
mærkningen ESDP, der
påføres mekanisk eller elek-
tronisk [II, nr. 8].
EU-klassifikationsgraden
anføres midt på hver side
foroven og forneden, og hver
side nummereres. Hvert
dokument skal være forsynet
med referencenummer og
dato [VII, nr. 2].Afklassificering og nedklassi-
ficering må kun foretages af
udstederen, generalsekre-
tæren/den højtstående repræ-
sentant, som meddeler
ændringen til alle senere
modtagere, som har fået
tilsendt dokumentet eller et
eksemplar heraf [III, nr. 9].
Dokumenter, der er klassifi-
ceret RESTREINT UE,
destrueres af det sekretariat,
der er ansvarligt for disse
dokumenter, efter de natio-
nale bestemmelser og, for så
vidt angår GSR eller EU'sOverskydende eksemplarer og
dokumenter, der ikke længere
er brug for, destrueres [VII, nr.
31].▼B2001D0264 — DA — 28.02.2004 — 001.001 — 58
Klassifikationsgrad Hvornår Hvem Påskrifter m.v.Nedklassificering/afklassificering/destruktion
hvem hvornår
miske tab for enkeltper-
soner eller virksomheder
eller gøre det lettere for
dem at opnå urimelig
vinding eller fordel
— at det vil være et brud på
garanteret tavshedspligt
med hensyn til oplys-
ninger fra tredjepart
— at det vil være en overtræ-
delse af lovgivningen om
videregivelse af oplys-
ninger
— at det vil vanskeliggøre
efterforskningen af eller
gøre det lettere at begå
kriminalitet
— at det vil stille EU eller
medlemsstaterne ringere i
handelsmæssige eller poli-
tiske forhandlinger med
andre parter
— at det vil vanskeliggøre en
effektiv udvikling eller
gennemførelse af EU-
politikker
— at det vil undergrave den
rette ledelse af EU og
dets virksomhed.fald skal vedkommende tage
klassificeringen op til revi-
sion mindst hvert femte år
for at undersøge, om den
oprindelige klassifikations-
grad stadig er nødvendig [III,
nr. 10].decentrale organer, efter
anvisninger fra generalsekre-
tæren/den højtstående repræ-
sentant [VII, nr. 34].▼B2001D0264 — DA — 28.02.2004 — 001.001 — 59
▼B
Tillæg 4
Retningslinjer for videregivelse af EU-klassificerede oplysninger til tredje-
lande eller internationale organisationer
Niveau 1-samarbejde
PROCEDURER
1. Kompetencen til at videregive EU-klassificerede oplysninger til lande, der
ikke har undertegnet traktaten om Den Europæiske Union, eller til interna-
tionale organisationer, hvis sikkerhedspolitik og -bestemmelser svarer til
EU's, tilkommer Rådet.
2. Rådet kan delegere kompetencen til at træffe afgørelse om videregivelse af
klassificerede oplysninger. I så fald angives, hvilken type oplysninger der
må videregives, og deres klassifikationsgrad, der normalt ikke må være
højere end CONFIDENTIEL UE.
3. Medmindre der er indgået en sikkerhedsaftale, fremsættes anmodninger om
videregivelse af EU-klassificerede oplysninger til generalsekretæren/den
højtstående repræsentant af de pågældende staters eller internationale orga-
nisationers sikkerhedsmyndigheder; formålet med videregivelsen skal
fremgå af anmodningen tillige med arten af de pågældende oplysninger og
deres klassifikationsgrad.
Anmodning kan ligeledes fremsættes af en medlemsstat eller et af EU's
decentrale organer, som måtte ønske EU-klassificerede oplysninger videre-
givet; formålet med videregivelsen og fordelene herved for EU skal fremgå
af anmodningen, med angivelse af arten af de pågældende oplysninger og
deres klassifikationsgrad.
4. Anmodningen behandles af GSR, som
— hører den medlemsstat eller, hvis dette er relevant, det decentrale EU-
organ, der er ophavsmand til de oplysninger, der ønskes videregivet
— tager de nødvendige kontakter til de anmodende staters eller internatio-
nale organisationers sikkerhedsmyndigheder for at undersøge, om deres
sikkerhedspolitik og -bestemmelser sikrer, at de videregivne klassifice-
rede oplysninger vil blive beskyttet i overensstemmelse med disse
sikkerhedsforskrifter
— indhenter tekniske udtalelser fra medlemsstaternes nationale sikkerheds-
myndigheder om, hvorvidt der kan fæstes lid til de anmodende stater
eller internationale organisationer.
5. GSR forelægger anmodningen og Sikkerhedskontorets indstilling for Rådet
med henblik på afgørelse.
DE SIKKERHEDSFORANSTALTNINGER, MODTAGERNE SKAL TRÆFFE
6. Generalsekretæren/den højtstående repræsentant underretter de anmodende
stater eller internationale organisationer om, at Rådet har givet bemyndi-
gelse til at videregive EU-klassificerede oplysninger, og fremsender så
mange eksemplarer af disse sikkerhedsforskrifter, som det skønnes nødven-
digt. Hvis anmodningen er fremsat af en medlemsstat, underretter denne stat
modtageren om, at der er givet bemyndigelse til videregivelsen.
Afgørelsen om videregivelse træder først i kraft, når modtageren skriftligt
har erklæret, at vedkommende:
— ikke vil anvende oplysningerne til andre formål end dem, der er aftalt
— vil beskytte oplysningerne i overensstemmelse med disse sikkerheds-
forskrifter og navnlig nedenstående særlige bestemmelser.
7. Medarbejdere
a) Adgangen til EU-klassificerede oplysninger skal være strengt begrænset
til de medarbejdere, for hvem indsigt er tjenstlig nødvendig (»need-to-
know«-status).
b) Alle, der er bemyndiget til at have adgang til oplysninger, der er klassi-
ficeret CONFIDENTIEL UE eller højere, skal enten være i besiddelse af
en sikkerhedsattest på det relevante niveau eller den tilsvarende sikker-
hedsgodkendelse, i begge tilfælde udstedt af deres egen stats
myndigheder.2001D0264 — DA — 28.02.2004 — 001.001 — 60
▼B
8. Fremsendelse af dokumenter
a) De praktiske procedurer for fremsendelse af dokumenter fastsættes ved
aftale på grundlag af bestemmelserne i afsnit VII i disse sikkerhedsforsk-
rifter. De skal navnlig angive, hvilket sekretariat EU-klassificerede
oplysninger skal fremsendes til.
b) Hvis de klassificerede oplysninger, som Rådet har givet bemyndigelse til
at videregive, omfatter oplysninger, der er klassificeret TRÈS SECRET
UE/EU TOP SECRET, skal den modtagende stat eller internationale
organisation oprette et centralt EU-sekretariat og om nødvendigt EU-
undersekretariater. Disse sekretariater er underlagt bestemmelserne i
afsnit VIII i disse sikkerhedsforskrifter.
9. Registrering
Så snart et sekretariat modtager et EU-dokument, der er klassificeret
CONFIDENTIEL UE eller højere, skal det opføre dokumentet i et særligt
register i organisationen med kolonner for modtagelsesdato, nærmere angi-
velser om dokumentet (dato, referencenummer og eksemplarnummer), dets
klassifikationsgrad, dokumenttitel, modtagerens navn eller stilling, datoen
for returnering af modtagelsesbeviset og datoen for dokumentets returnering
til EU eller destruktion.
10. Destruktion
a) EU-klassificerede dokumenter destrueres efter anvisningerne i afsnit VI.
Kopi af destruktionsattesten for dokumenter, der er klassificeret
SECRET UE eller TRÈS SECRET UE/EU TOP SECRET, sendes til
det EU-sekretariat, der har fremsendt dokumenterne.
b) EU-klassificerede dokumenter skal indgå i den modtagende organisations
planer for destruktion af egne klassificerede dokumenter i nød- eller
krisesituationer.
11. Beskyttelse af dokumenter
Alle forholdsregler skal træffes for at hindre personer uden bemyndigelse i
at få adgang til EU-klassificerede oplysninger.
12. Kopiering, oversættelse og uddrag
Der må kun tages fotokopier eller udfærdiges oversættelser af dokumenter,
der er klassificeret CONFIDENTIEL UE eller SECRET UE efter bemyndi-
gelse fra chefen for vedkommende sikkerhedsorganisation, som skal
registrere og kontrollere de pågældende kopier, oversættelser eller uddrag
og forsyne dem med de nødvendige påskrifter.
Der må kun gives bemyndigelse til kopiering eller oversættelse af et doku-
ment, der er klassificeret TRÈS SECRET UE/EU TOP SECRET, af den
myndighed, der har udstedt dokumentet, og denne skal angive det tilladte
antal kopier; hvis det ikke kan fastslås, hvem der er ophavsmand til doku-
mentet, henvises anmodningen til GSR's Sikkerhedskontor.
13. Brud på sikkerhedsbestemmelserne
Hvis der sker brud på sikkerhedsbestemmelserne i forbindelse med et EU-
klassificeret dokument, eller der er mistanke om, at der er sket et sådant
brud, skal der straks træffes følgende foranstaltninger, medmindre der er
indgået en sikkerhedsaftale:
a) der gennemføres en undersøgelse for at fastslå omstændighederne
omkring bruddet på sikkerhedsbestemmelserne
b) GSR's Sikkerhedskontor, den nationale sikkerhedsmyndighed og den
myndighed, der har udstedt dokumentet, underrettes, eller det angives
klart, at sidstnævnte ikke er blevet underrettet, hvis dette ikke er sket
c) der træffes foranstaltning til at begrænse følgerne af bruddet på sikker-
hedsbestemmelserne til et minimum
d) der udarbejdes og gennemføres foranstaltninger med henblik på at fore-
bygge gentagelser
e) eventuelle foranstaltninger, der anbefales af GSR's Sikkerhedskontor
med henblik på at forebygge gentagelser, gennemføres.
14. Inspektioner
GSR's Sikkerhedskontor skal efter aftale med de pågældende stater eller
internationale organisationer have tilladelse til at foretage en vurdering af,
hvor effektive foranstaltningerne til beskyttelse af videregivne EU-klassifi-
cerede oplysninger er.2001D0264 — DA — 28.02.2004 — 001.001 — 61
▼B
15. Aflæggelse af rapport
Medmindre der er indgået en sikkerhedsaftale, skal en stat eller international
organisation, så længde den er i besiddelse af EU-klassificerede oplys-
ninger, forelægge en årlig rapport på den dato, der blev fastsat, da
bemyndigelsen til videregivelse af oplysningerne blev givet, hvori det
bekræftes, at disse sikkerhedsforskrifter er blevet overholdt.2001D0264 — DA — 28.02.2004 — 001.001 — 62
▼B
Tillæg 5
Retningslinjer for videregivelse af EU-klassificerede oplysninger til tredje-
lande eller internationale organisationer
Niveau 2-samarbejde
PROCEDURER
1. Kompetencen til at videregive EU-klassificerede oplysninger til tredjelande
eller til internationale organisationer, hvis sikkerhedspolitik og -bestem-
melser afviger markant fra EU's, tilkommer Rådet. I princippet er den
begrænset til oplysninger, der højst er klassificeret SECRET UE eller
lavere; den omfatter hverken nationale oplysninger, der er specifikt forbe-
holdt medlemsstaterne, eller kategorier af EU-klassificerede oplysninger,
der er beskyttet med særlig påtegning.
2. Rådet kan delegere kompetencen til at træffe afgørelse om videregivelse af
klassificerede oplysninger. I så fald angives, inden for begrænsningerne i
punkt 1, hvilken type oplysninger der må videregives, herunder klassifika-
tionsgraden, der normalt ikke må være højere end RESTREINT UE.
3. Medmindre der er indgået en sikkerhedsaftale, fremsættes anmodninger om
videregivelse af EU-klassificerede oplysninger til generalsekretæren/den
højtstående repræsentant af de pågældende staters eller internationale orga-
nisationers sikkerhedsmyndigheder; formålet med videregivelsen skal
fremgå af anmodningen tillige med arten af de pågældende oplysninger og
deres klassifikationsgrad.
Anmodning kan ligeledes fremsættes af en medlemsstat eller et af EU's
decentrale organer, som måtte ønske EU-klassificerede oplysninger videre-
givet; formålet med videregivelsen og fordelene herved for EU skal fremgå
af anmodningen, med angivelse af arten af de pågældende oplysninger og
deres klassifikationsgrad.
4. Anmodningen behandles af GSR, som
— hører den medlemsstat eller, hvis dette er relevant, det decentrale EU-
organ, der er ophavsmand til de oplysninger, der ønskes videregivet
— tager foreløbig kontakt til de anmodende staters eller internationale
organisationers sikkerhedsmyndigheder for at indhente oplysninger om
deres sikkerhedspolitik og bestemmelser og navnlig for at udarbejde en
sammenlignende oversigt over de klassifikationsgrader, der gælder
henholdsvis i EU og i den pågældende stat eller organisation
— indkalder til møde i Rådets Sikkerhedsudvalg eller, om nødvendigt efter
en stiltiende samtykkeprocedure, retter henvendelse til medlemsstaternes
nationale sikkerhedsmyndigheder med henblik på at indhente teknisk
udtalelse fra Sikkerhedsudvalget.
5. Rådets Sikkerhedsudvalg afgiver teknisk udtalelse om følgende:
— den lid, der kan fæstes til de anmodende stater eller internationale orga-
nisationer med henblik på at vurdere sikkerhedsrisikoen for EU eller
dets medlemsstater
— en vurdering af, om modtageren er i stand til at beskytte klassificerede
oplysninger, der videregives af EU
— forslag til praktiske procedurer for behandling af de EU-klassificerede
oplysninger (f.eks. at udarbejde rensede udgaver af en tekst) og doku-
menter, der fremsendes (f.eks. at bibeholde eller fjerne EU-
klassifikationsangivelsen, en særlig påtegning eller lign.)
— hvorvidt udstederen bør nedklassificere eller afklassificere oplysnin-
gerne, inden de videregives til de pågældende lande eller internationale
organisationer (1).
6. Generalsekretæren/den højtstående repræsentant forelægger anmodningen
for Rådet med henblik på afgørelse tillige med den tekniske udtalelse fra
Rådets Sikkerhedsudvalg, som GSR's Sikkerhedskontor har indhentet.
DE SIKKERHEDSFORANSTALTNINGER, MODTAGERNE SKAL TRÆFFE
7. Generalsekretæren/den højtstående repræsentant underretter de anmodende
stater eller internationale organisationer om, at Rådet har givet bemyndi-
gelse til at videregive EU-klassificerede oplysninger, og fremsender en2001D0264 — DA — 28.02.2004 — 001.001 — 63
(1) Dette indebærer, at udstederen anvender proceduren i afsnit III, nr. 9, såfremt samtlige
eksemplarer fordeles inden for EU.
▼B
sammenlignende oversigt over de klassifikationsgrader, der gælder
henholdsvis i EU og i de pågældende stater eller organisationer. Hvis
anmodningen er fremsat af en medlemsstat, underretter denne stat modta-
geren om, at der er givet bemyndigelse til videregivelsen.
Afgørelsen om videregivelse træder først i kraft, når modtageren skriftligt
har erklæret, at vedkommende:
— kun vil anvende oplysningerne til de formål, der er aftalt
— vil beskytte oplysningerne i overensstemmelse med disse sikkerheds-
forskrifter.
8. Nedenstående beskyttelsesregler anvendes, medmindre Rådet efter at have
indhentet teknisk udtalelse fra Rådets Sikkerhedsudvalg, beslutter at
anvende en særlig procedure for behandling af EU-klassificerede doku-
menter (fjerne EU-klassifikationsangivelsen, særlig påtegning eller lign.).
I så fald tilpasses reglerne.
9. Medarbejdere
a) Adgangen til EU-klassificerede oplysninger skal være strengt begrænset
til medarbejdere, for hvem indsigt er tjenstlig nødvendig (»need-to-
know«-status).
b) Alle, der er bemyndiget til at have adgang til klassificerede oplysninger,
der er videregivet af EU, skal være i besiddelse af en national sikker-
hedsgodkendelse eller adgangsbemyndigelse til nationalt klassificerede
oplysninger på det relevante niveau svarende til niveauet i EU, jf. den
sammenlignende oversigt.
c) De nationale sikkerhedsgodkendelser eller adgangsbemyndigelser frem-
sendes, til orientering, til generalsekretæren/den højtstående
repræsentant.
10. Fremsendelse af dokumenter
a) De praktiske procedurer for fremsendelse af dokumenter fastsættes ved
aftale mellem GSR's Sikkerhedskontor og de modtagende staters eller
internationale organisationers sikkerhedsmyndigheder på grundlag af
bestemmelserne i afsnit VII i disse sikkerhedsforskrifter. De skal navnlig
angive den nøjagtige adresse, som dokumenterne skal fremsendes til,
samt de kurer- eller posttjenester, der skal anvendes til fremsendelse af
de EU-klassificerede oplysninger.
b) Dokumenter, der er klassificeret CONFIDENTIEL UE eller højere, skal
sendes i dobbelt kuvert. Den inderste kuvert skal mærkes med »EU« og
den pågældende klassifikationsgrad. Modtagelsesbevis vedlægges for
hvert klassificeret dokument. Modtagelsesbeviset, der ikke i sig selv er
klassificeret, må kun indeholde nærmere angivelser om dokumentet
(dato, referencenummer og eksemplarnummer) samt sprog, ikke doku-
menttitlen.
c) Den inderste kuvert anbringes derefter i den ydre kuvert, der forsynes
med et forsendelsesnummer med henblik på kvittering. Den ydre kuvert
må ikke mærkes med klassifikationsgrad.
d) Et modtagelsesbevis med angivelse af forsendelsesnummeret skal altid
gives til kurer- eller posttjenesten.
11. Registrering ved modtagelse
Den modtagende stats nationale sikkerhedsmyndighed eller tilsvarende
organ i den stat, der på sine myndigheders vegne modtager de klassificerede
oplysninger fra EU, eller den modtagende internationale organisations
sikkerhedskontor skal oprette et særligt kontor til registrering af EU-klassi-
ficerede oplysninger ved modtagelsen. Registreringen skal omfatte
modtagelsesdato, nærmere angivelser om dokumentet (dato, reference-
nummer og eksemplarnummer), klassifikationsgrad, dokumenttitel,
modtagerens navn eller stilling, datoen for returnering af modtagelsesbeviset
og datoen for dokumentets returnering til EU eller destruktion.
12. Returnering af dokumenter
Når modtageren returnerer et klassificeret dokument til Rådet eller den
medlemsstat, der videregav det, skal vedkommende følge den i nr. 10
ovenfor beskrevne forsendelsesmåde.
13. Beskyttelse
a) Når dokumenterne ikke er i brug, skal de opbevares i penge- eller
stålskab m.v., der er godkendt til opbevaring af nationalt klassificeret
materiale med samme klassifikationsgrad. Skabet må ikke have nogen
ydre angivelse af indholdet, hvortil der kun skal være adgang for
personer, der er bemyndiget til at behandle EU-klassificerede oplys-2001D0264 — DA — 28.02.2004 — 001.001 — 64
▼B
ninger. Hvis der benyttes kombinationslås, må kombinationen kun
kendes af de medarbejdere i den pågældende stat eller organisation, der
er bemyndiget til at have adgang til de EU-klassificerede oplysninger,
der opbevares i boksen; kombinationen skal ændres hver sjette måned
eller hyppigere ved til- eller afgang af medarbejdere, inddragelse af
sikkerhedsgodkendelsen for en af de medarbejdere, der kender kombina-
tionen, eller hvis der er risiko for lækage af oplysningerne.
b) EU-klassificerede dokumenter må kun fjernes fra penge- eller stålskabet
af de medarbejdere, der er godkendt til at have adgang til de EU-klassi-
ficerede dokumenter, og for hvem indsigt er tjenstlig nødvendig (»need-
to-know«-status). De er ansvarlige for sikker opbevaring af dokumen-
terne, så længe de er i deres besiddelse, og navnlig for at sikre, at
ingen uden bemyndigelse får adgang til dokumenterne. De skal ligeledes
sikre, at dokumenterne opbevares i penge- eller stålskab, når de er
færdige med at bruge dem, samt efter arbejdstids ophør.
c) Der må hverken tages fotokopier af et dokument, der er klassificeret som
CONFIDENTIEL UE eller højere, eller tages uddrag af det uden bemyn-
digelse fra GSR's Sikkerhedskontor.
d) Proceduren for hurtig og fuldstændig destruktion af dokumenterne i en
nød- eller krisesituation bør fastlægges og bekræftes i samarbejde med
GSR's Sikkerhedskontor.
14. Fysisk sikkerhed
a) Penge- eller stålskabe m.v. til opbevaring af EU-klassificerede oplys-
ninger skal holdes aflåst, når de ikke er i brug.
b) Når vedligeholdelses- og rengøringspersonale skal have adgang til eller
arbejde i et rum, hvor sådanne penge- eller stålskabe befinder sig, skal
de hele tiden ledsages af et medlem af den pågældende stats eller orga-
nisations sikkerhedsmyndighed eller af den medarbejder, der mere
specifikt er ansvarlig for at føre tilsyn med rummets sikkerhed.
c) Uden for normalt arbejdstid (om natten, i weekender og på officielle
fridage) skal sikrede bokse, der indeholder EU-klassificerede doku-menter, være beskyttet enten af en vagt eller af et automatisk
alarmsystem.
15. Brud på sikkerhedsbestemmelserne
Hvis der sker brud på sikkerhedsbestemmelserne i forbindelse med et EU-
klassificeret dokument, eller der er mistanke om, at der er sket et sådant
brud, skal der straks træffes følgende foranstaltninger:
a) der sendes straks en rapport til GSR's Sikkerhedskontor eller den natio-
nale sikkerhedsmyndighed i den medlemsstat, som har taget initiativ til
at fremsende dokumenterne (med kopi til GSR's Sikkerhedskontor),
b) der gennemføres en undersøgelse, hvorefter en fuldstændig rapport
sendes til ovennævnte sikkerhedsorgan (jf. litra a)). De fornødne foran-
staltninger til afhjælpning af situationen træffes.
16. Inspektioner
GSR's Sikkerhedskontor skal efter aftale med de pågældende stater eller
internationale organisationer have tilladelse til at foretage en vurdering af,
hvor effektive foranstaltningerne til beskyttelse af de videregivne EU-klassi-
ficerede oplysninger er.
17. Aflæggelse af rapport
Så længe den pågældende stat eller internationale organisation er i besid-
delse af EU-klassificerede oplysninger, skal den forelægge en årlig rapport
på den dato, der blev fastsat, da bemyndigelsen til videregivelse af oplys-
ningerne blev givet, hvori det bekræftes, at disse sikkerhedsforskrifter er
blevet overholdt.2001D0264 — DA — 28.02.2004 — 001.001 — 65
▼B
Tillæg 6
Retningslinjer for videregivelse af EU-klassificerede oplysninger til tredje-
lande eller internationale organisationer
Niveau 3-samarbejde
PROCEDURER
1. Under visse særlige omstændigheder vil Rådet undertiden kunne ønske at
samarbejde med stater eller organisationer, der ikke kan frembyde den
sikkerhed, der kræves ifølge disse sikkerhedsforskrifter, og som led i dette
samarbejde kan det eventuelt være nødvendigt at videregive EU-klassifice-
rede oplysninger. Sådan videregivelse må ikke omfatte nationale
oplysninger, der er specifikt forbeholdt medlemsstaterne.
2. Under de omhandlede særlige omstændigheder vil anmodninger om samar-
bejde med EU, uanset om de fremsættes af tredjelande eller internationale
organisationer eller foreslås af medlemsstaterne eller, hvis dette er relevant,
EU's decentrale organer, først blive realitetsbehandlet af Rådet, der i det
omfang, det er nødvendigt, indhenter udtalelse fra den medlemsstat eller
det decentrale organ, der har udstedt oplysningerne. Rådet skal tage stilling
til, om det er hensigtsmæssigt at videregive klassificerede oplysninger,
vurdere hvorvidt modtageren er tjenstligt berettiget til indsigt (»need-to-
know«-status) og afgøre, hvilken type klassificerede oplysninger der må
fremsendes.
3. Hvis Rådet tiltræder, at oplysningerne videregives, indkalder generalsekre-
tæren/den højtstående repræsentant til møde i Rådets Sikkerhedsudvalg
eller retter om nødvendigt efter en stiltiende samtykkeprocedure henven-
delse til medlemsstaternes nationale sikkerhedsmyndigheder med henblik
på at indhente teknisk udtalelse fra Sikkerhedsudvalget.
4. Rådets Sikkerhedsudvalg afgiver teknisk udtalelse om følgende:
a) en vurdering af sikkerhedsrisikoen for EU eller dets medlemsstater
b) de pågældende oplysningers klassifikationsgrad, på baggrund af deres art
c) hvorvidt udstederen bør nedklassificere eller afklassificere oplysnin-
gerne, inden de videregives til de pågældende lande eller internationale
organisationer (1)
d) procedurerne for behandling af de pågældende dokumenter (jf. nr. 5
nedenfor)
e) mulige fremsendelsesmetoder (brug af de offentlige posttjenester, offent-
lige eller sikrede telekommunikationssystemer, diplomatpost,
sikkerhedsgodkendte kurertjenester osv.).
5. De dokumenter, der videregives til de i dette tillæg omhandlede stater eller
organisationer, skal i princippet udfærdiges uden henvisning til kilden eller
angivelse af EU-klassifikationsgrad. Rådets Sikkerhedsudvalg kan eventuelt
anbefale:
— at der benyttes en særlig påtegning eller kodebetegnelse
— at der benyttes et særligt klassifikationssystem, der kæder oplysnin-
gernes følsomhed sammen med de kontrolforanstaltninger, der kræves
af modtageren i forbindelse med fremsendelse af dokumenterne
(eksempler i nr. 14).
6. GSR's Sikkerhedskontor forelægger Sikkerhedsudvalgets tekniske udtalelse
for Rådet, og i det omfang, det er nødvendigt, vedlægges forslag til den
fornødne overdragelse af kompetence med henblik på udførelse af opgaven,
navnlig i hastetilfælde.
7. Når Rådet har godkendt videregivelsen af EU-klassificerede oplysninger og
de praktiske gennemførelsesprocedurer, tager GSR's Sikkerhedskontor de
nødvendige kontakter til den pågældende stats eller organisations sikker-
hedsorgan for at lette anvendelsen af de påtænkte
sikkerhedsforanstaltninger.
8. GSR's Sikkerhedskontor sender samtlige medlemsstater og, hvis dette er
relevant, EU's decentrale organer en oversigt over oplysningernes art og
klassifikationsgrad med henblik på sammenligning med angivelse af de
stater og organisationer, som oplysningerne må videregives til i henhold til
Rådets afgørelse.2001D0264 — DA — 28.02.2004 — 001.001 — 66
(1) Dette indebærer, at udstederen anvender proceduren i afsnit III, nr. 9, såfremt samtlige
eksemplarer fordeles inden for EU.
▼B
9. Den nationale sikkerhedsmyndighed i den medlemsstat, der videregiver
oplysningerne, eller GSR's Sikkerhedskontor træffe alle nødvendige foran-
staltninger til at lette en eventuel senere skadesvurdering og gennemgang
af procedurerne.
10. Sagen forelægges på ny for Rådet, hvis betingelserne for samarbejdet
ændrer sig.
DE SIKKERHEDSFORANSTALTNINGER, MODTAGERNE SKAL TRÆFFE
11. Generalsekretæren/den højtstående repræsentant underretter de anmodende
stater eller internationale organisationer om, at Rådet har givet bemyndi-
gelse til at videregive EU-klassificerede oplysninger, og fremsender de
detaljerede sikkerhedsregler, der er foreslået af Rådets Sikkerhedsudvalg
og godkendt af Rådet. Hvis anmodningen er fremsat af en medlemsstat,
underretter denne stat modtageren om, at der er givet bemyndigelse til vide-
regivelsen.
Afgørelsen om videregivelse træder først i kraft, når modtageren skriftligt
har erklæret, at vedkommende:
— ikke vil anvende oplysningerne til andre formål end det samarbejde,
Rådet har vedtaget
— vil beskytte oplysningerne i overensstemmelse med de af Rådet stillede
krav.
12. Fremsendelse af dokumenter
a) De praktiske procedurer for fremsendelse af dokumenter fastsættes ved
aftale mellem GSR's Sikkerhedskontor og de modtagende staters eller
internationale organisationers sikkerhedsmyndigheder. De skal navnlig
angive den nøjagtige adresse, som dokumenterne skal fremsendes til.
b) Dokumenter, der er klassificeret CONFIDENTIEL UE eller højere, skal
sendes i dobbelt kuvert. Den inderste kuvert skal mærkes med det
særlige stempel eller den særlige kodebetegnelse og med den klassifika-
tionsgrad, der er blevet vedtaget for det pågældende dokument.
Modtagelsesbevis vedlægges for hvert klassificeret dokument. Modtagel-
sesbeviset, der ikke i sig selv er klassificeret, må kun indeholde nærmere
angivelser om dokumentet (dato, referencenummer og eksemplar-
nummer) samt sprog, ikke dokumenttitlen.
c) Den inderste kuvert anbringes derefter i den ydre kuvert, der forsynes
med et forsendelsesnummer med henblik på kvittering. Den ydre kuvert
må ikke mærkes med klassifikationsgrad.
d) Et modtagelsesbevis med angivelse af forsendelsesnummeret skal altid
gives til kurer- eller posttjenesten.
13. Registrering ved modtagelse
Den modtagende stats nationale sikkerhedsmyndighed eller tilsvarende
organ i den stat, der på sine myndigheders vegne modtager de klassificerede
oplysninger fra EU, eller den modtagende internationale organisations
sikkerhedskontor skal oprette et særligt kontor til registrering af EU-klassi-
ficerede oplysninger ved modtagelsen. Registreringen skal omfatte
modtagelsesdato, nærmere angivelser om dokumentet (dato, reference-
nummer og eksemplarnummer), dets klassifikationsgrad, dokumenttitel,
modtagerens navn eller stilling, datoen for returnering af modtagelsesbeviset
og datoen for dokumentets returnering til EU eller destruktion.
14. Benyttelse og beskyttelse af de udvekslede klassificerede oplysninger
a) Oplysninger, der er klassificeret SECRET UE, skal behandles af særligt
udpegede medarbejdere, der er bemyndiget til at få adgang til oplys-
ninger med denne klassifikationsgrad. Oplysningerne skal opbevares i
penge- eller stålskabe m.v. af god kvalitet, som kun kan åbnes af de
personer, der er bemyndiget til at få adgang til de oplysninger, de inde-
holder. De områder, hvor sådanne sikrede skabe befinder sig, skal være
bevogtet permanent, og der skal indføres et kontrolsystem for at sikre, at
kun behørigt bemyndigede personer får adgang til dem. Dokumenter, der
er klassificeret SECRET UE, fremsendes med diplomatpost, sikret post-
forsendelse eller sikrede telekommunikationssystemer. De må kun
kopieres med ophavsmandens skriftlige samtykke. Alle eksemplarer
skal registreres og overvåges. Der skal udstedes modtagelsesbevis for
alle transaktioner i forbindelse med sådanne dokumenter.
b) Oplysninger, der er klassificeret CONFIDENTIEL UE, skal behandles af
særligt udpegede tjenestemænd, der er bemyndiget til at blive informeret
om emnet. Dokumenter skal opbevares i aflåste penge- eller stålskabe
m.v. i kontrollerede områder.2001D0264 — DA — 28.02.2004 — 001.001 — 67
▼B
Oplysninger, der er klassificeret CONFIDENTIEL UE, fremsendes med
diplomatpost, militær postforsendelse eller sikrede telekommunikations-
systemer. Det modtagende organ må tage kopier, men skal notere antal
og distribution i særlige registre.
c) Oplysninger, der er klassificeret som RESTREINT UE, skal behandles i
lokaler, hvortil der ikke er adgang for personer uden bemyndigelse, og
skal opbevares i aflåste penge- eller stålskabe. Dokumenter kan frem-
sendes med den offentlige posttjeneste som rekommanderet forsendelse
i dobbelt kuvert samt, i nød- eller krisesituationer under igangværende
operationer, via de ubeskyttede offentlige telekommunikationssystemer.
Modtageren må tage kopier.
d) Oplysninger, der ikke er klassificeret, kræver ingen særlige beskyttelses-
foranstaltninger og kan fremsendes med almindelig post og offentlige
telekommunikationssystemer. Modtageren må tage kopier.
15. Destruktion
Dokumenter, der ikke længere er brug for, destrueres. For så vidt angår
dokumenter, der er klassificeret RESTREINT UE eller CONFIDENTIEL
UE, skal der gøres notat herom i de særlige registre. For så vidt angår doku-
menter, der er klassificeret SECRET UE, skal der udstedes
destruktionsattester, som underskrives af to personer, der overværer, at
dokumenterne destrueres.
16. Brud på sikkerhedsbestemmelserne
Ved lækage af oplysninger, der er klassificeret CONFIDENTIEL UE eller
SECRET UE, eller der er mistanke om en sådan lækage, skal den pågæl-
dende stats nationale sikkerhedsmyndighed eller den pågældende
organisations sikkerhedschef gennemføre en undersøgelse af omstændighe-
derne. Hvis undersøgelsen bekræfter lækagen, skal den myndighed, der er
udsteder, underrettes. Der skal træffes de nødvendige foranstaltninger til at
afhjælpe mangelfulde procedurer eller opbevaringsmetoder, hvis de erårsagen til lækagen af oplysningerne. Generalsekretæren/den højtstående
repræsentant eller den nationale sikkerhedsmyndighed i den medlemsstat,
som har videregivet de oplysninger, der er ramt af lækagen, kan anmode
modtageren om at redegøre nærmere for undersøgelsen.2001D0264 — DA — 28.02.2004 — 001.001 — 68