REVISIONSRETTENS AFGØRELSE nr. 41/2021

om reglerne for sikkerhedsbeskyttelse af EU's klassificerede informationer (EUCI)

DEN EUROPÆISKE REVISIONSRET HAR —

under henvisning til artikel 13 i traktaten om Den Europæiske Union,

under henvisning til artikel 287 i traktaten om Den Europæiske Unions funktionsmåde,

under henvisning til artikel 257 i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046 af 18. juli 2018 om de finansielle regler vedrørende Unionens almindelige budget,

under henvisning til artikel 1, stk. 6, i gennemførelsesbestemmelserne til Revisionsrettens forretningsorden (Revisionsrettens afgørelse nr. 21/2021),

under henvisning til de andre EU-institutioners, -agenturers og -organers regler for sikkerhedsbeskyttelse af EU's klassificerede informationer,

under henvisning til Revisionsrettens informationssikkerhedspolitik (DEC 127/15 FINAL) og politik for klassificering af oplysninger (personalemeddelelse nr. 123/2020), og

ud fra følgende betragtninger:

Revisionsretten har i medfør af artikel 287, stk. 3, i TEUF adgang til alle relevante dokumenter eller oplysninger, som den finder nødvendige for udøvelsen af sit mandat, herunder EU's klassificerede informationer (EUCI), og den skal udøve sit mandat under fuld overholdelse af princippet om loyalt samarbejde mellem institutionerne og princippet om kompetencetildeling; den adgang til EUCI, som garanteres af TEUF, kan ikke drages i tvivl af udstederen af EUCI, men Revisionsretten kan blive anmodet om at indføre og overholde visse sikkerhedsforanstaltninger som nærmere beskrevet heri,

håndtering af EUCI kræver på grund af deres følsomme art, at overholdelse af fortrolighedsforpligtelsen sikres ved hjælp af passende sikkerhedsforanstaltninger, som kan garantere et højt beskyttelsesniveau for disse informationer, og som svarer til dem, der er fastsat i de regler for beskyttelse af EUCI, der er vedtaget af de andre EU-institutioner, -agenturer og -organer, idet det underforstås, at Revisionsretten, hvis den ikke finder sådanne sikkerhedsforanstaltninger berettigede i lyset af EUCI's art og type, forbeholder sig ret til at fremsætte de bemærkninger, som den anser for passende, idet den respekterer EUCI's klassifikationsgrad,

VEDTAGET FØLGENDE AFGØRELSE:

5. Medmindre en bestemmelse vedrører specifikke personalegrupper, gælder denne afgørelse for medlemmerne af Revisionsretten, for de ansatte i Revisionsretten, der er omfattet af vedtægten for tjenestemænd og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union (2) , for udstationerede nationale eksperter i Revisionsretten, for tjenesteudbydere og deres personale, for praktikanter og for alle personer med adgang til Revisionsrettens bygninger og andre ejendomme eller til informationer, der forvaltes af Revisionsretten.

3. Revisionsretten håndterer informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, i sine egne lokaliteter og træffer alle de nødvendige beskyttelsesforanstaltninger med henblik herpå. Der træffes foranstaltninger med henblik på at sikre, at ansatte i Revisionsretten, der har behov for adgang til EUCI på højere niveauer, kan få dette i egnede lokaliteter hos andre EU-institutioner, -organer eller -agenturer.

»EUCI-arkivet«: et arkiv oprettet i et sikret område. Dette arkiv forvaltes af Revisionsrettens sikkerhedsgodkendte og autoriserede arkivansvarlige. Det er ansvarligt for ind- og udgående udveksling af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, med Revisionsretten

»registerkontoret«: et kontor, der administreres af Revisionsrettens Sekretariat og er placeret i et administrativt område, som hører under Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester. Det er ansvarligt for ind- og udgående udveksling af informationer, der er klassificeret RESTREINT UE/EU RESTRICTED eller tilsvarende, med Revisionsretten

»myndigheden med ansvar for fysisk sikkerhed«: Revisionsrettens sikkerhedschef, som er ansvarlig for gennemførelsen af de nødvendige foranstaltninger og procedurer vedrørende fysisk sikkerhed for at beskytte EUCI

»certifikat for personelsikkerhedsgodkendelse« (PSCC): et certifikat udstedt af Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester, som fastslår, at en person har en gyldig sikkerhedsgodkendelse eller sikkerhedsautorisation, og som viser den klassifikationsgrad for EUCI, som personen kan få adgang til (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere), den pågældende sikkerhedsgodkendelses eller sikkerhedsautorisations gyldighedsperiode og certifikatets udløbsdato

»personelsikkerhedsgodkendelse« (PSC): en erklæring fra en medlemsstats kompetente myndighed på baggrund af en sikkerhedsundersøgelse udført af en medlemsstats kompetente myndigheder, hvorved det attesteres, at en person, forudsat at vedkommendes need-to-know er fastslået, og at vedkommende er blevet behørigt orienteret om sit ansvar, kan få adgang til EUCI op til en bestemt klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere) indtil en bestemt dato

»udsteder«: en EU-institution eller et EU-organ eller -agentur, en medlemsstat, et tredjeland eller en international organisation, under hvis myndighed informationer er blevet udarbejdet og/eller bragt ind i EU's strukturer

»autorisation til at få adgang til EUCI«: en afgørelse truffet af Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester på grundlag af en sikkerhedskonklusion fra en kompetent myndighed i en medlemsstat om, at en tjenestemand, en anden ansat eller en udstationeret national ekspert i Revisionsretten, såfremt den pågældendes need-to-know er fastslået, og vedkommende er blevet behørigt orienteret om sit ansvar, kan autoriseres til at få adgang til EUCI op til en bestemt klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere) indtil en bestemt dato; den pågældende person betegnes som »sikkerhedsautoriseret«

9. Medmindre udstederen af et dokument, der er klassificeret SECRET UE/EU SECRET eller lavere, har fastlagt begrænsninger med hensyn til kopiering eller oversættelse, kan den, der er i besiddelse af et sådant dokument, få det kopieret eller oversat i overensstemmelse med de praktiske arbejdsinstruktioner fra Revisionsrettens informationssikkerhedsmyndighed. De sikkerhedsforanstaltninger, der gælder for det oprindelige dokument, gælder også for kopier og oversættelser af det.

7. Når Revisionsrettens udøvelse af sit mandat kræver bredere udveksling af visse elementer i et klassificeret dokument eller klassificerede informationer, skal den under behørig hensyntagen til sikkerhedsklassifikationsmærkningen høre udstederen, før den beslutter at anvende disse elementer eller informationer, hvis den finder, at der er en tungtvejende offentlig interesse i at gøre dette. Informationerne må kun anvendes i beretningen på en sådan måde, at udstederens interesser ikke kan skades. Dette kan sikres på en passende måde ved at anmode udstederen om at fremsætte bemærkninger med henblik på at nå til enighed om, hvordan informationerne kan anonymiseres, kondenseres, generaliseres osv. med respekt for de parters interesser, der primært er berørt af de offentliggjorte oplysninger.

6. Uanset stk. 5 kan Revisionsretten og udstederen aftale, at Revisionsretten i tilfælde af en specifik revision kan gengive eller anvende elementer af EUCI i et dokument. I så fald stiles dette dokument fra Revisionsretten i første omgang til udstederen af de pågældende EUCI før eller under den kontradiktoriske procedure. I denne situation aftaler Revisionsretten og ophavsmanden, om det dokument, der er udstedt af Revisionsretten, skal klassificeres. Hvis et ordførende medlem af Revisionsretten finder det nødvendigt at sende en helt eller delvis klassificeret revisionsberetning til bestemte adressater i Europa-Parlamentet eller Rådet — under hensyntagen til alle de sikkerhedsforanstaltninger, der er knyttet til denne afgørelse — kræver dette samtykke fra udstederen af de klassificerede informationer. De retlige rammer og proceduren for udveksling af sådanne dokumenter er fastlagt i artikel 7.

4. Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester kan udstede et PSCC med angivelse af den klassifikationsgrad for EUCI, som personen kan få adgang til (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere), den pågældende adgangsautorisations gyldighedsperiode og PSCC'ets udløbsdato.

3. Proceduren for fastlæggelse af, om en tjenestemand eller en anden ansat i Revisionsretten kan autoriseres til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, under hensyntagen til vedkommendes loyalitet, integritet og pålidelighed og efter indhentning af en sikkerhedskonklusion fra en kompetent myndighed i en medlemsstat som omhandlet i artikel 2, litra n), fastlægges i en delegeret afgørelse, der træffes i overensstemmelse med artikel 10, stk. 10. Afgørelser om tildeling af adgangsautorisation træffes af Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester.

12. Hvis det er nødvendigt at transportere EUCI fysisk, overholder Revisionsretten de foranstaltninger, som udstederen har foreskrevet med henblik på at beskytte dem mod uautoriseret videregivelse under transporten.

11. Myndigheden med ansvar for fysisk sikkerhed og informationssikkerhedsmyndigheden udarbejder under hensyntagen til lokale forhold en fælles plan for sikker opbevaring af EUCI i krisesituationer, herunder om nødvendigt planer for nøddestruktion eller nødflytning. De udsteder sådanne instruktioner, som de finder hensigtsmæssige, for at forhindre, at EUCI falder i hænderne på uautoriserede personer.

10. Informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, kan destrueres af den, der er i besiddelse af dem, under overholdelse af de arkiveringsregler, der gælder i Revisionsretten. Informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, må kun destrueres af den arkivansvarlige på anmodning fra den, der er i besiddelse af dem, eller fra en kompetent myndighed i overensstemmelse med de arkiveringsregler, der gælder i Revisionsretten. Dokumenter, der er klassificeret SECRET UE/EU SECRET, destrueres i overværelse af et vidne, der er sikkerhedsgodkendt til mindst samme klassifikationsgrad som de dokumenter, der skal destrueres. Den arkivansvarlige og vidnet, hvis et vidnes tilstedeværelse er påkrævet, underskriver en destruktionsattest, der opbevares i arkivet. Den arkivansvarlige opbevarer i mindst fem år optegnelser over destruktion af dokumenter, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET.

8. EUCI, der er klassificeret RESTREINT UE/EU RESTRICTED, kan opbevares i passende aflåste kontormøbler i et administrativt område eller et sikret område. EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, opbevares i henhold til en serviceleveranceaftale i en sikkerhedscontainer i et sikret område tilhørende en anden EU-institution i Luxembourg.

2. De fysiske sikkerhedsforanstaltninger udformes med henblik på at forhindre, at en indtrænger skaffer sig hemmelig adgang eller tiltvinger sig adgang, at afværge, vanskeliggøre og afsløre uautoriserede handlinger samt at muliggøre personalemæssig adskillelse for så vidt angår adgang til EUCI på en need-to-know-basis. Disse foranstaltninger fastlægges på grundlag af en risikostyringsproces i overensstemmelse med denne afgørelse.

6. Hvis Revisionsretten skal fastlægge sin egen akkrediteringsproces for sit CIS, skal en delegeret afgørelse som omhandlet i denne afgørelses artikel 10, stk. 10, fastlægge processen i overensstemmelse med standarderne for akkrediteringsprocessen for CIS, der håndterer EUCI i andre EU-institutioner, -agenturer og -organer.

5. Revisionsrettens kommunikations- og informationssystem til håndtering af EUCI akkrediteres af en kompetent myndighed. Med henblik herpå søger Revisionsretten at indgå en serviceleveranceaftale med en sikkerhedsakkrediteringsmyndighed i en EU-institution, som har beføjelser til at akkreditere CIS, der håndterer EUCI, for at få en akkrediteringsudredning med angivelse af, at informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, kan håndteres i Revisionsrettens CIS, og med fastsættelse af de betingelser og vilkår, der svarer hertil. Serviceleveranceaftalen henviser også til de standarder, der skal anvendes i forbindelse med akkrediteringsprocessen, og aftalen indgås efter proceduren i artikel 10, stk. 3.

4. Alt elektronisk udstyr og alle elektroniske anordninger, der anvendes til at håndtere EUCI, skal leve op til de gældende regler for beskyttelse af EUCI. Der gives fortrinsret til elektroniske anordninger og elektronisk udstyr, der allerede er akkrediteret af en anden EU-institution, et andet EU-agentur eller et andet EU-organ. Anordningerne skal være garanteret sikre i hele deres livscyklus.

Denne sikkerhed baseres på en risikostyringsproces. Ved »risiko« forstås muligheden for, at en given trussel vil udnytte indre og ydre sårbarheder i en organisation eller i nogen af de systemer, den benytter, og derved skade organisationen og dens materielle eller immaterielle aktiver. Den måles som en kombination af sandsynligheden for, at trusler indtræffer, og deres virkning. Risikostyringsprocessen består af følgende skridt: identifikation af trusler og sårbarhed, risikovurdering, risikobehandling, risikoaccept og risikokommunikation.

3. Revisionsretten giver sikkerhed for, at dens systemer i passende omfang beskytter de informationer, de håndterer, og at de fungerer, som de skal, når de skal, under de legitime brugeres kontrol. Med henblik herpå sikrer de et passende niveau af:

2. Ved »legitim bruger« forstås et medlem af Revisionsretten eller en tjenestemand, en anden ansat eller en udstationeret national ekspert i Revisionsretten med et fastslået og anerkendt behov for adgang til et specifikt informationssystem.

1. I denne artikel forstås ved »kommunikations- og informationssystem« et system, der muliggør håndtering af EUCI i elektronisk form. Et kommunikations- og informationssystem omfatter alle aktiver, der er nødvendige for dets drift, herunder infrastruktur, organisation, personale og informationsressourcer.

6. Hvis der med en given EU-institution, et givet EU-organ eller -agentur, et givet tredjeland eller en given international organisation ikke er indgået en administrativ ordning om videregivelse af klassificerede informationer til Revisionsretten, undertegner Revisionsretten en erklæring om, at den forpligter sig til at beskytte de klassificerede informationer, den modtager.

5. Enhver tjenestemand eller anden ansat ved Revisionsretten, der er ansvarlig for brud på de sikkerhedsregler, der er fastsat i denne afgørelse og dens gennemførelsesbestemmelser, kan pålægges de sanktioner, der er fastsat i vedtægten for tjenestemænd og ansættelsesvilkårene for de øvrige ansatte i Den Europæiske Union.

4. Hvis det konstateres, eller hvis der er rimelig grund til at formode, at EUCI er kompromitteret eller bortkommet, underretter informationssikkerhedsmyndigheden Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester og Revisionsrettens generalsekretær. Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester underretter straks udstederens sikkerhedsmyndighed. Ovennævnte direktør i Revisionsretten foretager en undersøgelse og underretter Revisionsrettens generalsekretær og udstederens sikkerhedsmyndighed om resultaterne og om de foranstaltninger, der er truffet for at forhindre, at situationen opstår igen. Hvis et medlem af Revisionsretten er involveret, er Revisionsrettens formand ansvarlig for at træffe foranstaltninger i samarbejde med Revisionsrettens generalsekretær.

2. EUCI anses for at være kompromitteret, hvis de som følge af et brud på sikkerheden helt eller delvist er videregivet til uautoriserede personer.

2. I tilfælde af intervention udefra træffer Revisionsretten alle nødvendige sikkerhedsforanstaltninger som omhandlet i denne artikels stk. 3 og anmoder herunder om en facilitetssikkerhedsgodkendelse for at sikre, at EUCI beskyttes af kandidater og tilbudsgivere i hele udbuds- og kontraktindgåelsesproceduren og af kontrahenter og underkontrahenter i hele kontraktens løbetid. Den kontraherende myndighed sikrer, at de minimumssikkerhedsstandarder, der er fastsat i denne afgørelse, angives i kontrakter, så kontrahenterne forpligtes til at overholde dem.

Artikel 10

Gennemførelse af afgørelsen og ansvar i forbindelse hermed

1. Revisionsrettens tjenester træffer alle fornødne foranstaltninger, der henhører under deres ansvarsområde, til at sikre, at de anvender denne afgørelse og de relevante gennemførelsesbestemmelser i forbindelse med håndtering eller opbevaring af EUCI eller andre klassificerede informationer.

2. Generalsekretæren er ansættelsesmyndighed og myndighed med beføjelse til at indgå ansættelseskontrakter vedrørende alle tjenestemænd og andre ansatte. Generalsekretæren kan overdrage direktøren for menneskelige ressourcer, finanser og generelle tjenester ansvaret for at give tjenestemænd og andre ansatte autorisation til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, for at fungere som sikkerhedsakkrediteringsmyndighed og for at føre tilsyn med Revisionsrettens Sekretariat hvad angår håndtering af EUCI.

3. Generalsekretæren har kompetence til at indgå serviceleveranceaftaler om akkreditering af Revisionsrettens kommunikations- og informationsudstyr og -systemer, om anvendelse af et sikret område i en anden EU-institution og om proceduren vedrørende anmodninger om personnelsikkerhedsgodkendelser i forbindelse med adgang til EUCI.

4. Direktøren for menneskelige ressourcer, finanser og generelle tjenester har kompetence til at indgå administrative ordninger med EU's institutioner, agenturer og andre organer om udveksling af de EUCI, som Revisionsretten skal bruge for at udøve sit mandat. Direktøren kan også indgå administrative ordninger med tredjelande eller internationale organisationer om beskyttelse af de klassificerede informationer, der modtages.

5. Direktøren for menneskelige ressourcer, finanser og generelle tjenester har kompetence til at underskrive enhver erklæring om beskyttelse af EUCI, der skal afgives i forbindelse med en ekstraordinær ad hoc-videregivelse.

6. Revisionsrettens informationssikkerhedsansvarlige fungerer som informationssikkerhedsmyndighed. Den informationssikkerhedsansvarlige og de personer, som vedkommende uddelegerer alle eller en del af sine opgaver til, skal have en relevant sikkerhedsgodkendelse. Informationssikkerhedsmyndigheden varetager sit ansvar i tæt samarbejde med Direktoratet for Menneskelige Ressourcer, Finanser og Generelle Tjenester, Direktoratet for Information, Arbejdsplads og Innovation og Direktoratet under Udvalget for Kvalitetskontrol af Revisionen (jf. navnlig artikel 4, 6 og 8). Informationssikkerhedsmyndigheden er også ansvarlig for uddannelse og oplysningsmøder om informationssikkerhed samt for at foretage periodiske inspektioner for at kontrollere overholdelsen af denne afgørelse, herunder i tilfælde af intervention udefra, og for at træffe foranstaltninger med henblik på at sikre overholdelse.

7. Sikkerhedschefen er ansvarlig for fysiske sikkerhedsforanstaltninger (jf. navnlig artikel 5).

8. Et registerkontor oprettet i Revisionsrettens Sekretariat er kanal for ind- og udgående udveksling af informationer, som er klassificeret RESTREINT UE/EU RESTRICTED, og som Revisionsretten kan udveksle med andre EU-institutioner, -agenturer og -organer samt medlemsstater. Det er også kanal for ind- og udgående udveksling af tilsvarende informationer fra tredjelande og internationale organisationer. Registerkontoret organiseres som fastsat i en delegeret afgørelse. Den ansvarlige for registerkontoret varetager følgende hovedopgaver: a) registrering af ind- og udgående udveksling af informationer, der er klassificeret RESTREINT UE/EU RESTRICTED b) forvaltning af særlige administrative områder med henblik på registrering af håndtering og opbevaring af samt søgning i EUCI, der er klassificeret RESTREINT UE/EU RESTRICTED.

9. Et arkiv oprettes under en serviceleveranceaftale om anvendelse af en anden EU-institutions sikrede område. Dette arkiv, som organiseres af Revisionsrettens Sekretariat under ansvar af Revisionsrettens direktør for menneskelige ressourcer, finanser og generelle tjenester, er kanal for ind- og udgående udveksling af informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, og som Revisionsretten kan udveksle med andre EU-institutioner, -agenturer og -organer samt medlemsstater. Det er også kanal for ind- og udgående udveksling af tilsvarende informationer fra tredjelande og internationale organisationer. Det udstyres med passende bokse og andet sikkerhedsudstyr, som er egnet til at beskytte informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere. Arkivet organiseres som fastsat i en delegeret afgørelse. Den arkivansvarlige skal have en relevant sikkerhedsgodkendelse og varetager følgende hovedopgaver: a) forvaltning af operationer i forbindelse med registrering af og søgning i samt bevarelse, reproduktion, oversættelse, transmission, afsendelse og, hvor det er relevant, destruktion af EUCI b) andre opgaver med tilknytning til beskyttelsen af EUCI som fastlagt i en delegeret afgørelse.