BILAG

Supplerende tekniske specifikationer for EU-nødpas

Del I

Forudsætninger, instrukser og standarder for produktionen (1)

1. INDHOLDSFORTEGNELSE 50

2. INSTRUKSER TIL PRODUCENTER 50

3. FYSISK SIKKERHED 50

3.1 PRODUKTIONSBYGNINGER 50

3.2 SIKKERHEDSPERSONALE 50

3.3 SIKKERHEDSKONTROLRUM 51

3.4 BESØGENDES ELLER TREDJEPARTERS ADGANG 51

3.5 PERSONALETS ADGANG 51

3.6 PRODUKTIONSOMRÅDEKONTROL 51

3.7 HÅNDTERING AF INDGÅENDE OG UDGÅENDE MATERIALER 51

3.8 FORHOLD VEDRØRENDE LEVERANCER 51

4. SIKKERHED VEDRØRENDE PRODUKTIONSMETODER OG -MATERIALER 52

4.1 PLADER 52

4.2 PAPIR 52

4.3 DIFFRAKTIVT OPTISK VARIABELT BILLEDE 52

4.4 SIKKERHEDSTRYKFARVER 53

4.5 OPBEVARING 53

5. KVALITETSKONTROL 53

6. REFERENCER 53

1. INDHOLDSFORTEGNELSE

I denne del af bilaget fastsættes reglerne for udarbejdelse af EU-nødpas.

Denne del af bilaget må videregives til sikkerhedstrykkerier, der kan komme i betragtning til opgaven, f.eks. som led i en udbudsprocedure.

2. INSTRUKSER TIL PRODUCENTER

Udarbejdelsen af EU-nødpas må kun udføres af offentlige eller private sikkerhedstrykkerier eller institutioner, som overlades opgaven af medlemsstaterne og er i stand til at producere dokumenter med høj sikkerhed.

Disse virksomheder eller institutioner skal kunne bevise, at de har kompetence til at påtage sig en sådan produktion. Producenten skal have sit hovedsæde i Unionen, og produktionen af EU-nødpasset skal ligeledes finde sted i Unionen.

Produktionen af EU-nødpasset må ikke outsources til en tredjepart (dette gælder ikke for råvarer og komponenter såsom fibre og sikkerhedspapir), medmindre den medlemsstat, der udsteder kontrakten om EU-nødpasproduktionen, har givet tilladelse hertil og underrettet Kommissionen herom. Tredjepartsvirksomheder, som medvirker til produktionen af EU-nødpas, skal også efterleve de sikkerhedsstandarder og den sikkerhedspraksis, som angives i dette dokument.

Producenten skal være certificeret efter standarden »Kvalitetsledelsessystemet ISO 9001« og ISO/IEC 27001 »Ledelsessystemer for informationssikkerhed«.

Desuden skal producenten være indehaver af et gældende ISO 14298 Management of Security Printing Processes Certificate (tidligere CWA 14641), der som minimum er certificeret på niveauet »Governmental« eller i henhold til ækvivalente national forskrifter.

Producenter skal afgive oplysninger om sikkerhedsauditcertifikater efter medlemsstatens anmodning.

Medlemsstaterne tilser, at producenterne efterlever disse bestemmelser, og underretter Kommissionen om, hvilken virksomhed der er udvalgt til at varetage produktionen.

Producenten skal indberette ethvert brud på sikkerheden, der berører EU-nødpas, grundmaterialer eller anlæggenes fysiske sikkerhed på produktionstidspunktet, til medlemsstaten, som underretter Europa-Kommissionen herom uden unødigt ophold.

3. FYSISK SIKKERHED

Kravene i dette afsnit supplerer ISO 14298 og er obligatoriske, når produktionen af EU-nødpas finder sted. De finder også anvendelse på materialer, halvfabrikata og opbevaring af EU-nødpas.

Produktionslokalers og -bygningers fysiske sikkerhed skal opretholdes i henhold til ISO 14298 og Intergraf-certificeringskrav (særlig risikokategori E »Fysisk indtrængen og adgangsrelaterede risici«) eller ækvivalente nationale forskrifter.

Alle personer (ansatte, sikkerhedspersonale, besøgende, tredjeparter m.fl.), der befinder sig i producentens lokaler eller produktionsbygninger, skal kontrolleres i henhold til ISO 14298 Intergraf-certificeringskrav eller ækvivalente nationale forskrifter.

3.1 PRODUKTIONSBYGNINGER

Alle bygninger, hvori råvarer, halvfabrikata og færdigvarer opbevares og forarbejdes, skal som minimum være certificeret til niveauet »Governmental« i henhold til ISO 14298 eller ækvivalente nationale forskrifter.

3.2 SIKKERHEDSPERSONALE

Producenten skal benytte en specialiseret og særskilt afdeling eller et velrenommeret og certificeret vagtselskab og veluddannet sikkerhedspersonale, som varetager ansvaret for at sikre lokalerne og produktionsområderne. Det anbefales, at et eksternt vagtselskab certificeres for så vidt angår kvalitetsaspekter (f.eks. ISO 9001 og DIN 77200).

3.3 SIKKERHEDSKONTROLRUM

Producenten skal benytte et sikkerhedskontrolrum i produktionslokalerne. De fysiske sikkerhedsforanstaltninger skal opfylde kravene i EN 50518 (certificering er ikke påkrævet) eller nationale forskrifter/standarder. Som en undtagelse fra det foregående punktum er det muligt at afvige fra EN 50518, forudsat at dette bygger på en risikovurdering. Adgangsdøren til sikkerhedskontrolrummet skal ved indgangen og udgangen være udstyret med en kortlæser eller et biometrisk adgangskontrolsystem, som registrerer alle, der får adgang til eller forlader rummet, og være udstyret med en anti-passback-funktion.

Det anbefales, at der hele tiden er mindst to operatører (vagter) til stede. Det anbefales, at disse operatører (vagter) er ansat hos producenten.

3.4 BESØGENDES ELLER TREDJEPARTERS ADGANG

Enhver tredjeparts eller besøgendes adgang til produktionsområderne skal kontrolleres strengt i henhold til ISO 14298. Sådanne personer skal hele tiden ledsages og skal altid bære deres identitetskort på et synligt sted.

3.5 PERSONALETS ADGANG

Adgangen til produktionsområderne skal begrænses til autoriseret personale ved hjælp af et adgangskontrolsystem, som skelner strengt mellem individuelle personer. Der skal være indført en procedure for adgangskontrol. Det anbefales, at der kun gives adgang efter »need-to-know«-princippet.

3.6 PRODUKTIONSOMRÅDEKONTROL

Produktionsområderne skal til enhver tid kontrolleres. Når produktionsområder ikke benyttes, skal de låses fysisk og overvåges.

Bliver det nødvendigt at få adgang til produktionsområderne, når der ikke finder produktion sted, skal sikkerhedstjenesten underrettes og være til stede under en sådan adgang. I sådanne tilfælde må det ikke være muligt at komme ind i produktionsområder, uden at sikkerhedstjenesten er fysisk til stede (en eller flere særskilte nøgler).

3.7 HÅNDTERING AF INDGÅENDE OG UDGÅENDE MATERIALER

Producenten skal råde over særlige modtagelses- og afsendelsesområder til at håndtere indgående og udgående materialer og varer. Alle modtagelses- og afsendelsesporte og herunder porten i det omgivende hegn, mellemliggende porte og den interne modtagelses- og afsendelsesport skal fungere efter et elektronisk og indbyrdes forbundet system, som indebærer, at når en af portene er åben, skal den anden eller de andre port(e) være sikret elektronisk.

Der skal være indført screeningprocedurer for bl.a. besøgende og chauffører af de køretøjer, som transporterer sådanne materialer. Der skal føres logbog over hver levering af materiale.

3.8 FORHOLD VEDRØRENDE LEVERANCER

Leveringen af EU-nødpas skal reguleres af den kontraktudstedende medlemsstat i samarbejde med producenten. Da færdigproducerede, men endnu ikke personliggjorte EU-nødpas betragtes som varer med høj sikkerhedsrisiko, skal transporten sikres på det højest mulige niveau.

En generisk risikovurdering af hver transporttype skal foretages og dokumenteres, og eventuelle supplerende sikkerhedsforanstaltninger, der vurderes at være nødvendige, skal gennemføres (f.eks. et pansret køretøj eller et ledsagende køretøj). Disse vurderinger skal tages op til fornyet overvejelse, når de relevante omstændigheder ændrer sig.

Alle laste- og losseaktiviteter — herunder levering til den modtagende part — skal overvåges under dobbelt kontrol, dvs. med deltagelse af to eller flere personer.

De transporterede EU-nødpas' serienumre skal være angivet på transportdokumenterne.

Det anbefales, at status og position for køretøjer, der transporterer sikkerhedstryksager, kontrolleres regelmæssigt i løbet af transporten. Der skal forefindes mindst to uafhængige systemer, hvormed en effektiv kommunikation med eksterne partnere sikres, hvis transporten afbrydes.

Uregelmæssigheder af enhver art (f.eks. en hvilken som helst medvirkende parts undladelse af at opfylde disse mindstekrav til transporten, et angreb på transporten eller bortkomst under transporten uanset årsagen) skal øjeblikkeligt indberettes til den producerende virksomhed.

Der må ikke være adgang til de sikrede produkter fra førerrummet, det lastrum, hvori varerne transporteres, skal være fremstillet af metal og helt lukket (køretøjer med presenninger må ikke benyttes), og adgangen med henblik på af- og pålæsning skal ske gennem en dør, der kan aflåses. Nøgler til låsene må ikke medbringes i køretøjet.

4. SIKKERHED VEDRØRENDE PRODUKTIONSMETODER OG -MATERIALER

Dette afsnit indeholder de nødvendige sikkerhedsoplysninger vedrørende de produkter, der anvendes til produktionen af EU-nødpasset. Producenten skal udarbejde og opbevare et fyldestgørende og komplet auditspor fra det tidspunkt, hvor de indgående sikkerhedsmaterialer ankommer, og indtil EU-nødpassene leveres, herunder over destruktion af uønskede eller ødelagte materialer og halvfabrikata.

Valget af og ansvaret for leverandører af råvarer påhviler endvidere producenten, og den relevante medlemsstat skal om fornødent også godkende leverandørerne. Det anbefales, at leverandører af sikkerhedsråvarer skal være certificeret på samme niveau som producenterne — navnlig med hensyn til ISO 14298. Anser producenten en ikkecertificeret leverandør for at være velrenommeret og pålidelig (efter at producenten har foretaget en kontrol), skal en godkendelse indhentes fra den relevante kontraktudstedende medlemsstat, og medlemsstaten skal underrette Kommissionen herom.

4.1 PLADER

Det anbefales, at alle trykplader til EU-nødpas produceres i den godkendte producents lokaler, hvor EU-nødpasset produceres. Kasserede trykplader (f.eks. på grund af slitage, fejl m.v.) skal gøres ubrugelige og destrueres sikkert og i tilstrækkeligt omfang.

Plader, der måtte være behov for til efterfølgende produktionsserier, skal opbevares i et sikret område i virksomheden.

Hvis producenten ikke er i stand til selv at producere pladerne, må de nødvendige trykplader kun bestilles hos en velrenommeret pladeproducent, som tidligere har produceret plader til f.eks. EU-visummærkaten. En sådan pladeproducent skal dog være certificeret efter ISO 14298. Sådanne plader må udelukkende leveres til godkendte producenter, efter at medlemsstaten har givet sin tilladelse. Kommissionen skal også underrettes herom.

4.2 PAPIR

Det papir, der produceres med henblik på EU-nødpasset, skal kontrolleres nøje. Dette gælder såvel for papirfabrikationen som for de yderligere nødvendige skridt (påføring af klæbelag og slipfolie). Alle ruller og ark skal underkastes en sikkerhedsaudit for at sikre ansvarliggørelse i forsyningskæden.

Alt papir, der skal leveres til EU-nødpasproducenten, skal optælles forud for leveringen. Ark, der leveres til producenten og benyttes i løbet af produktionen, skal kontrolleres, og der skal holdes regnskab med dem.

Papiret skal leveres til producenterne med anvendelse af sikret transport. En generisk risikovurdering af transporten skal foretages og dokumenteres, og eventuelle supplerende sikkerhedsforanstaltninger, der vurderes at være nødvendige, skal gennemføres (f.eks. et pansret køretøj eller et ledsagende køretøj). Disse vurderinger skal tages op til fornyet overvejelse, når de relevante omstændigheder ændrer sig.

4.3 DIFFRAKTIVT OPTISK VARIABELT BILLEDE

Produktionen og anvendelsen af et diffraktivt optisk variabelt billede (Diffractive Optically Variable Image Device — DOVID) til EU-nødpas skal være underlagt en kontrolproces, og der skal holdes regnskab hermed. Dette omfatter ikke alene de færdigproducerede DOVID-mærker, men også halvfabrikata og ødelagte produkter eller spildprodukter.

DOVID-mærkerne skal leveres med sikret transport til de godkendte producenter. Antallet af DOVID-mærker, der skal leveres, skal registreres.

Der skal ligeledes holdes kontrol med og føres regnskab over DOVID-mærker, der skal anvendes i producentens lokaler. Eventuelle spildmaterialer skal opbevares under sikrede forhold og må destrueres på sikker vis på et senere tidspunkt, hvis dette er relevant. Der skal føres regnskab over mærkerne, således at et fyldestgørende auditspor kan stilles til rådighed om nødvendigt.

Kommissionen eller en medlemsstat kan hvert år bestille DOVID-mærket i form af en samlet ordre med henblik på at nedsætte prisen for de enkelte medlemsstater. Medlemsstaterne er ansvarlige for de kontraktlige og finansielle ordninger i henhold til den samlede ordre. Kun anmeldte producenter kan deltage i den samlede ordre for DOVID-mærket.

4.4 SIKKERHEDSTRYKFARVER

Der anvendes sikkerhedstrykfarver til at producere EU-nødpasset, og anvendelsen af sådanne trykfarver er underlagt restriktioner. Trykfarverne kan bestilles hos velrenommerede leverandører eller andre EU-nødpasproducenter og/eller produceres i producentens lokaler. En producent må først levere sådanne trykfarver til en anden godkendt producent efter at have modtaget dokumentation for sidstnævntes tilladelse til at producere EU-nødpas.

Sikkerhedstrykfarverne skal opbevares i et sikret område. Der er behov for en auditproces for at holde styr på de sikkerhedstrykfarver, der anvendes i produktionsprocessen.

4.5 OPBEVARING

De materialer, der anvendes til at producere EU-nødpas, kan opdeles således:

— Grundmaterialer (f.eks. trykfarver og sikkerhedspapir)

— Grundlæggende produktionsmidler (f.eks. trykplader)

— Halvfabrikata (ufuldstændige formularer og/eller mærkater, der ikke har gennemgået alle produktionsfaser)

— Komplet EU-nødpas — formular og mærkat

Opbevaring og håndtering af produktet forudsætter en hensigtsmæssig sikring, ansvarlighed og kontrol i hver fase. Det anbefales, at opbevaringsområderne opfylder kravene til bokslokaler (jf. ISO 14298).

5. KVALITETSKONTROL

Hver EU-nødpasproducent kan i samråd med den medlemsstat, der giver tilladelse til produktionen, specificere den kvalitetskontrol, der anbefales foretaget i hver fase af produktionen. Denne kvalitetskontrol skal sikre, at de producerede EU-nødpas er i overensstemmelse med de tekniske specifikationer, der er fastsat ved Rådets direktiv (EU) 2019/997 og de gennemførelsesretsakter, der er vedtaget på grundlag heraf — således at EU-nødpassenes kvalitet varierer mindst muligt fra én produktionsserie til den næste.

Hvis EU-nødpassene er produceret og bragt i omsætning uden at være i overensstemmelse med de tekniske specifikationer, underretter den berørte medlemsstat straks de øvrige medlemsstater og Kommissionen.

6. REFERENCER

ISO 14298 Management of security printing processes (tidligere benævnt CWA 14641) EN 50518 Overvågnings- og alarmcentraler ISO 9001 Kvalitetsstyringssystemer ISO/IEC 27001 Ledelsessystemer for informationssikkerhed

(1) SECRET UE/EU SECRET non classifiée en l'absence de la partie II de l'annexe/when detached from Part II of the Annex — non-classified.