EUROPA-KOMMISSIONEN Bruxelles, den 22.3.2022 COM(2022) 119 final 2022/0084(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer {SWD(2022) 65 final} - {SWD(2022) 66 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET •Forslagets begrundelse og formål Dette forslag er en del af strategien for EU's sikkerhedsunion, der blev vedtaget af Kommissionen den 24. juli 2020, og som fastlægger forpligtelsen til at skabe EU-merværdi for den nationale indsats på området for sikkerhed. En del af denne forpligtelse er initiativet til at strømline den interne retlige ramme for informationssikkerhed i alle EU's institutioner og organer. Et af hovedpunkterne på den strategiske dagsorden for 2019-2024 vedtaget af Det Europæiske Råd i juni 2019 er at beskytte vores samfund mod den konstante udvikling af trusler rettet mod de informationer, som EU's institutioner og organer håndterer. I sine konklusioner opfordrer Det Europæiske Råd navnlig "EU-institutionerne til sammen med medlemsstaterne at arbejde på foranstaltninger til at styrke EU's modstandsdygtighed og forbedre dets sikkerhedskultur over for cybertrusler og hybride trusler fra lande uden for EU og til bedre at beskytte EU's informations- og kommunikationsnetværk og dets beslutningsprocesser mod alle former for ondsindede aktiviteter". I samme ånd erklærede Rådet for Almindelige Anliggender i sine konklusioner af december 2019, at EU's institutioner, organer og agenturer med støtte fra medlemsstaterne bør "udvikle og gennemføre et omfattende sæt foranstaltninger for at sikre deres sikkerhed". Dette afspejler det ønske, som Rådets Sikkerhedsudvalg længe har givet udtryk for, nemlig ønsket om at undersøge muligheden for at fastsætte en kerne af sikkerhedsregler, der er fælles for Rådet, Kommissionen og Tjenesten for EU's Optræden Udadtil. EU's institutioner og organer har i dag enten hver deres egne informationssikkerhedsregler baseret på deres egen forretningsorden eller oprettelsesretsakt, eller slet ingen informationssikkerhedsregler. Det er for det meste tilfældet i visse mindre enheder, som ikke har en formel informationssikkerhedspolitik. Som følge af de stadig stigende mængder af følsomme ikkeklassificerede informationer og EU-klassificerede informationer ("EUCI"), som EU's institutioner og organer har brug for at dele med hinanden, og i lyset af den dramatiske udvikling af trusselsbilledet, er den europæiske forvaltning eksponeret for angreb på alle sine aktivitetsområder. De informationer, som EU's institutioner og organer håndterer, er meget interessante for forskellige trusselsaktører og skal derfor beskyttes behørigt. Der er derfor brug for hurtig handling for at øge denne beskyttelse. Derfor og med henblik på at øge beskyttelsen af de informationer, som den europæiske forvaltning håndterer, har dette initiativ til formål at strømline de forskellige retlige rammer, der findes på området i EU's institutioner og organer, ved at: •oprette harmoniserede og dækkende informationskategorier samt fælles håndteringsinstrukser for alle EU's institutioner og organer •oprette en lean-samarbejdsordning om informationssikkerhed mellem EU's institutioner og organer, der kan fremme en sammenhængende informationssikkerhedskultur på tværs af den europæiske forvaltning •modernisere informationssikkerhedspolitikkerne for alle klassifikationsgrader/kategorier i alle EU's institutioner og organer under hensyntagen til den digitale omstilling og den udvikling, der er ved at føre til, at telearbejde bliver strukturel praksis. •Sammenhæng med de gældende regler på samme område Dette initiativ er i overensstemmelse med en lang række EU-politikker på området for sikkerhed og informationssikkerhed. Tilbage i 2016 vedtog Europa-Parlamentet og Rådet et direktiv om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen. Dette direktiv var den første EU-dækkende lovgivningsforanstaltning, der har til formål at øge samarbejdet om cybersikkerhed mellem medlemsstaterne. Kommissionen vedtog i december 2020 et forslag om revision af dette instrument, hvorved der indføres tilsynsforanstaltninger rettet mod de nationale myndigheder. EU's forvaltning er dog fortsat ikke omfattet heraf. På samme måde og med henblik på at supplere medlemsstaternes indsats på området for sikkerhed er det altafgørende, at EU's institutioner og organer opnår et højt beskyttelsesniveau for deres informationer og deres tilhørende informations- og kommunikationssystemer med henblik på at værne om informationssikkerheden. I juli 2020 vedtog Kommissionen strategien for EU's sikkerhedsunion, som omhandler en omfattende EU-forpligtelse til at supplere medlemsstaternes indsats på alle områder for sikkerhed. Denne strategi dækker perioden 2020-2025 og omfatter fire primære indsatsområder: et fremtidssikret sikkerhedsmiljø, håndtering af foranderlige trusler, beskyttelse af europæerne mod terrorisme og organiseret kriminalitet og et stærkt europæisk sikkerhedsøkosystem. Mange af de emner, der er omfattet af disse indsatsområder, omhandler informationssikkerhed, cybersikkerhed, samarbejde og udveksling af informationer samt kritisk infrastruktur. I overensstemmelse med strategien for EU's sikkerhedsunion foreslår Kommissionen at fastsætte et sæt minimumsregler for informationssikkerhed på tværs af alle EU's institutioner og organer, som vil medføre obligatoriske og høje fælles standarder for sikker udveksling af informationer. Dette initiativ afspejler EU-institutionernes og -organernes forsæt om at indføre samme ambitionsniveau for sikkerhed i den europæiske forvaltning, som det kræves af medlemsstaterne. Den 16. december 2020 præsenterede Kommissionen og den højtstående repræsentant for udenrigsanliggender og sikkerhedspolitik den nye strategi for cybersikkerhed. I strategien fastlægges prioriteter og nøgleaktioner til opbygning af Europas modstandsdygtighed, autonomi, lederskab og operationel kapacitet i lyset af voksende og komplekse trusler mod dens netværks- og informationssystemer, og med henblik på at fremskynde et globalt og åbent cyberspace samt internationale partnerskaber deri. Det er ligeså vigtigt, at EU's institutioner og organer bidrager til opfyldelsen af disse prioriteter ved at fastsætte ækvivalente krav på området for såvel informationssikkerhed som cybersikkerhed.

Sammen med forslaget om en forordning om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer har nærværende forslag til formål at supplere strategien for EU's sikkerhedsunion med målrettede krav, der gælder særligt for den europæiske forvaltning. I betragtning af de indbyrdes forbindelser mellem informationssikkerhed og cybersikkerhed bør der sikres en sammenhængende tilgang til beskyttelsen af ikkeklassificerede informationer i disse to forslag. •Sammenhæng med Unionens politik på andre områder Dette initiativ tager også højde for andre EU-politikker, der er relevante for informationssikkerhed. Ved forordning (EU) 2018/1725 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger, der gælder for Den Europæiske Unions og Det Europæiske Atomenergifællesskabs ("Euratom") forvaltninger, fastsættes der regler for databeskyttelse. Det bør i den forbindelse også nævnes, at EU's lovgivere har vedtaget specifikke regler for beskyttelse af personoplysninger, der gælder for visse EU-institutioner og -organer. For så vidt angår åbenhed bygger dette forslag på principperne i forordning (EF) nr. 1049/2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter, under hensyntagen til andre relevante regler. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET •Retsgrundlag I lyset af formålet med og indholdet af dette forslag er det mest hensigtsmæssige retsgrundlag artikel 298 i traktaten om Den Europæiske Unions funktionsmåde ("TEUF") og artikel 106A i traktaten om oprettelse af Det Europæiske Atomenergifællesskab. Artikel 298 i TEUF blev tilføjet ved Lissabontraktaten og gør det muligt for lovgiverne at fastsætte bestemmelser med henblik på oprettelsen af en effektiv og uafhængig forvaltning, der støtter Unionens institutioner, organer, kontorer og agenturer under udførelsen af deres opgaver. En effektiv og uafhængig forvaltning er afhængig af, at dens informationer er sikre. Med henblik på udførelsen af deres opgaver har EU's institutioner og organer brug for et sikkert miljø til de informationer, de håndterer og opbevarer på daglig basis. Derudover vil etableringen af et fælles referencescenarie for standarder, der er obligatorisk for alle, garantere et højt sikkerhedsniveau, reducere risikoen for svage led ved at støtte interoperabiliteten mellem EU's institutioner og organer og udnytte synergier og dermed øge forvaltningens modstandsdygtighed over for foranderlige trusler. Med det overordnede formål at opnå et højt fælles sikkerhedsniveau for de EUCI og ikkeklassificerede informationer, som EU's institutioner og organer håndterer og opbevarer, gør dette forslag de europæiske forvaltning i stand til bedre at beskytte mod ekstern indblanding og spionagevirksomhed. Artikel 298 i TEUF gør det muligt for EU at fastsætte fælles regler for hele den europæiske forvaltning for at sikre, at alle EU's institutioner og organer behandler EUCI og ikkeklassificerede informationer ens. Således fastsættes der ved denne forordning regler, der gælder for forvaltningen, men som indirekte kan medføre forpligtelser, der udelukkende gælder for enkeltpersoner (ikke inklusive kommissærer, repræsentanter for medlemsstaterne, der handler i Rådet, medlemmer af Europa-Parlamentet, dommere ved EU's domstole eller medlemmer af Den Europæiske Revisionsret), som udfører opgaver på vegne af denne forvaltning eller på kontraktbasis. I overensstemmelse med artikel 298 i TEUF fastsætter Europa-Parlamentet og Rådet ved forordning efter den almindelige lovgivningsprocedure bestemmelser med henblik herpå. Der er brug for et yderligere retsgrundlag til dette forslag, eftersom det også omfatter de informationer, der er relateret til visse af Det Europæiske Atomenergifællesskabs aktiviteter. Sådanne informationer er ikke hemmelig Euratomviden, men de behandles af EU's institutioner og organer i henhold til de almindelige bestemmelser om EUCI. Dette yderligere retsgrundlag er artikel 106A i traktaten om oprettelse af Det Europæiske Atomenergifællesskab, hvori det fastsættes at artikel 298 i TEUF også finder anvendelse på førnævnte Euratomaktiviteter. •Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence) I overensstemmelse med nærhedsprincippet, jf. artikel 5, stk. 3, i traktaten om Den Europæiske Union, skal der kun handles på EU-niveau, hvis de forventede mål ikke i tilstrækkelig grad kan opfyldes af medlemsstaterne alene og derfor bedre kan gennemføres på EU-plan på grund af omfanget eller virkningerne af den foreslåede handling. Eftersom det kun er EU, der kan vedtage regler om EUCI og ikkeklassificerede informationer, der håndteres og opbevares af EU's institutioner og organer, finder nærhedsprincippet ikke anvendelse. •Proportionalitetsprincippet Etableringen af et fælles referencescenarie for informationssikkerhed for alle EU's institutioner og organer er nødvendig for at kunne bidrage til en uafhængig og effektiv forvaltning.

I overensstemmelse med proportionalitetsprincippet, jf. artikel 5, stk. 4, i traktaten om Den Europæiske Union, er bestemmelserne i forordningen ikke for præskriptive og giver mulighed for en specifik indsats i overensstemmelse med sikkerhedsmodenhedsniveauet i hver EU-institution og -organ. Endelig har løsningen begrænset virkning for det enkelte menneskes grundlæggende rettigheder. Forslaget går derfor ikke videre end nødvendigt for at løse problemet, dvs. at EU's institutioner og organer ikke har et fælles set informationssikkerhedsregler. •Valg af retsakt Det vurderes, at en forordning på grundlag af artikel 298 i TEUF er det mest hensigtsmæssige retlige instrument. Dette begrundes i overvægten af elementer, der kræver en ensartet anvendelse, som ikke efterlader et gennemførelsesmæssigt spillerum for EU's institutioner og organer, og som skaber en fuldstændig horisontal ramme. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER •Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning Ikke relevant. •Høringer af interesserede parter Kommissionen har gennemført en bred høring af nøgleinteressenter om flere forskellige aspekter relateret til informationssikkerhedsregler i EU's institutioner og organer. Det overordnede formål med høringsaktiviteterne var at indsamle relevant input til udarbejdelsen af et lovgivningsinitiativ om fælles informationssikkerhedsregler for alle EU's institutioner og organer. Der blev indsamlet input om: •problemer i forbindelse med de gældende rammer for informationssikkerhed i EU's institutioner og organer, som interessenterne mener bør løses med dette initiativ •initiativets relevans, effektivitet og merværdi •de forventede virkninger af initiativet og mulige andre konsekvenser for interessenterne. I forbindelse med udarbejdelsen af forslaget har Kommissionen hørt følgende interessentgrupper: 1.EU's institutioner, organer, kontorer og agenturer 2.de nationale sikkerhedsmyndigheder i medlemsstaterne 3.forskningseksperter fra det Fælles forskningscenter. I lyset af initiativets særlige natur, dvs. at det udelukkende finder anvendelse på EU's institutioner og organer og kun har lille virkning for europæiske borgere og virksomheder, har Kommissionens tjenestegrene valgt at prioritere indsamlingen af synspunkter fra relevante interessentgrupper. Derfor er der ikke gennemført en offentlig høring specifikt med henblik på dette lovgivningsinitiativ. I løbet af høringsprocessen har Kommissionens tjenestegrene anvendt følgende metoder og former for høring: 1.En mulighed for alle interesserede parter til at give feedback på den indledende konsekvensanalyse via Kommissionens platform "Deltag i debatten".

2.Et målrettet spørgeskema adresseret til informationssikkerhedseksperter i EU's institutioner og organer via onlineportalen EUSurvey. 3.Et målrettet spørgeskema adresseret til medlemsstaternes nationale sikkerhedsmyndigheder via onlineportalen EUSurvey. 4.En anmodning om en skræddersyet risikovurdering af de primære informationssikkerhedsaktiver. 5.Utallige møder og udvekslinger med modparter i EU's institutioner, organer, kontorer og agenturer samt medlemsstaternes nationale sikkerhedsmyndigheder. Kommissionen fremhæver følgende hovedinput fra høringsaktiviteterne: •Fragmenteringen af de relevante retlige rammer de forskellige EU-institutioner og -organer imellem skaber betydeligt dobbeltarbejde i forbindelse med udarbejdelsen og vedligeholdelsen af interne regler samt ikkeinteroperable praksisser for håndtering af informationer. Over for medlemsstaterne øger denne mangfoldighed af regler risikoen for misforståelser, fejlfortolkning og manglende overholdelse. •Etableringen af et referencescenarie for informationssikkerhed for alle EU's institutioner og organer vil skabe et økosystem med standardiserede sikkerhedsregler og gennemførte bedste praksisser, men der bør tages højde for mangfoldigheden og de forskellige forretningsmiljøer i hver EU-institution og -organ, og lokale løsninger bør være tilladt. •Initiativet skal respektere hver EU-institutions og -organs autonomi og forskellige sikkerhedsmodenhedsniveauer, og hver EU-institution og -organ skal fortsat være fuldt ansvarlig for organiseringen af enhedens informationssikkerhed. •Indhentning og brug af ekspertbistand Kommissionen har anvendt sine egne ressourcer til at gennemføre høringerne af interessenter. Sikkerhedsdirektoratet i GD HR har udført det relaterede arbejde med undersøgelser, videokonferencer og andre workshopper. Denne opgave omfattede både udvælgelsen af deltagere og organiseringen af arrangementer samt behandlingen af de modtagne input. Det Fælles Forskningscenter har udarbejdet risikovurderingen af de primære informationssikkerhedsaktiver, der er anvendt til udarbejdelsen af konsekvensanalysen. •Konsekvensanalyse Dette initiativ er udelukkende rettet mod EU's institutioner og organer og har begrænset virkning for medlemsstaterne og enkeltpersoner. Det har derfor ikke været nødvendigt at udarbejde en grundig konsekvensanalyse, eftersom der ikke var klart identificerbare eller væsentlige virkninger for borgere og virksomheder. Der blev offentliggjort en omfattende køreplan på webstedet Europa og indsamlet feedback fra de relevante interessenter. •Målrettet regulering og forenkling Ikke relevant. •Grundlæggende rettigheder EU har forpligtet sig til at sikre til et højt niveau af beskyttelse af de grundlæggende rettigheder. Dette initiativ sikrer fuld overholdelse af de grundlæggende rettigheder, jf. Den Europæiske Unions charter om grundlæggende rettigheder: •Ret til god forvaltning Ved at øge sikkerheden for de informationer, de håndterer i forbindelse med de europæiske borgeres anliggender, bidrager EU-institutionerne og -organerne til overholdelsen af princippet om god forvaltning. •Beskyttelse af personoplysninger

Al behandling af personoplysninger inden for rammerne af denne forordning vil blive udført i betroede miljøer og under fuld respekt for Europa-Parlamentets og Rådets forordning (EU) 2018/1725. •Ret til aktindsigt Offentlig adgang til EUCI og ikkeklassificerede informationer vil stadig være fuldt omfattet af Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001. •Intellektuel ejendomsret I forbindelse med håndtering og opbevaring af ikkeklassificerede informationer og EUCI beskytter EU's institutioner og organer den intellektuelle ejendomsret i overensstemmelse med Europa-Parlamentets og Rådets direktiv 2001/29/EF. •Ytrings- og informationsfrihed Alle har frihed til at modtage og dele informationer og idéer uden indblanding fra de offentlige myndigheder, men dette må ikke forhindre EU i at fastsætte betingelser for adgang, håndtering og opbevaring af visse typer information på grundlag af deres fortrolighedsgrad. Udøvelsen af disse friheder kan være omfattet af betingelser og begrænsninger, der er fastsat i lovgivningen og nødvendige i et demokratisk samfund for at forhindre videregivelse af informationer, der er modtaget i fortrolighed, og som er af betydning for EU's sikkerhed. 4.VIRKNINGER FOR BUDGETTET Forslaget kræver tildeling af en AD-stilling og en AST-stilling til koordinationsgruppens permanente sekretariat, der stilles til rådighed af Kommissionen i Sikkerhedsdirektoratet i Generaldirektoratet for Menneskelige Ressourcer og Sikkerhed. Hvad angår EU's institutioner og organer forventes der omkostningsbesparelser i forbindelse med delte og samarbejdsopgaver og i forbindelse med afbødningen af potentielle økonomiske tab som følge af sikkerhedshændelser som et resultat af forbedringen af informationssikkerheden. På den anden side kan den finansielle indsats, der er nødvendig for gennemførelsen af den nye lovgivning, dækkes som en del af de eksisterende programmer til forbedring af informationssikkerheden i hver EU-institution og -organ. 5.ANDRE FORHOLD •Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Forslaget indebærer at Kommissionen tre gange om året rapporterer til Europa-Parlamentet og Rådet om gennemførelsen af denne forordning, herunder om hvordan forvaltningen, som oprettet ved denne forordning, fungerer. Desuden udarbejder Kommissionen hvert femte år en evaluering af denne forordning med henblik på at vurdere det faktisk udbytte og på grundlag deraf vurdere, om det er nødvendigt at foretage ændringer af lovgivningen. •Nærmere redegørelse for de enkelte bestemmelser i forslaget Dette forslag er bygget op om en række krav til håndtering og opbevaring af ikkeklassificerede informationer og EUCI, som er den primære genstand for initiativet, og idet den øgede beskyttelse heraf danner grundlag for formålet med initiativet. Genstand og anvendelsesområde (artikel 1 og artikel 2) Denne forordning har til formål at fastsætte et sæt minimumsregler for informationssikkerhed, der gælder for alle EU's institutioner og organer. Den finder anvendelse på alle informationer, der håndteres og opbevares af EU's institutioner og organer, inklusive informationer om Det Europæiske Atomenergifællesskabs aktiviteter, men ikke på hemmelig Euratomviden. Såvel ikkeklassificerede informationer som EUCI er omfattet af denne forordning.

Definitioner og generelle principper (artikel 3 til 5) Definitionerne i artikel 3 er baseret på de gældende regler om informationssikkerhed som vedtaget i de enkelte EU-institutioner og -organer. Ud over de almindelige principper for EU's lovgivning (gennemsigtighed, forholdsmæssighed, effektivitet og ansvarlighed) fastlægges ved denne forordning de vigtigste retningslinjer, såsom en separat risikostyringsproces for informationssikkerhed, der skal gennemføres af hver EU-institution og -organ, samt en vurdering af deres informationer med henblik på korrekt kategorisering. Forvaltning og tilrettelæggelse af sikkerheden (artikel 6 til 8) Alle EU's institutioner og organer skal samarbejde i en interinstitutionel koordinationsgruppe om informationssikkerhed, der træffer afgørelse ved konsensus og i alle EU-institutioners og ‑organers fælles interesse. Koordinationsgruppen samler sikkerhedsmyndighederne i alle EU's institutioner og organer og udarbejder vejledende dokumenter om gennemførelsen af denne forordning. Den samarbejder med de nationale sikkerhedsmyndigheder i medlemsstaterne som samlet i et informationssikkerhedsudvalg. Der oprettes fem undergrupper bestående af eksperter, der repræsenterer forskellige EU-institutioner og -organer, med henblik på strømlining af procedurer og andre praktiske aspekter vedrørende informationssikkerhed. Hver EU-institution og -organ er forpligtet til at udpege en sikkerhedsmyndighed, der er ansvarlig for at fastlægge de interne politikker om informationssikkerhed og for at gennemføre dem. Sikkerhedsmyndigheden opretter specifikke funktioner såsom en informationssikringsmyndighed, en operativ informationssikringsmyndighed, en sikkerhedsakkrediteringsmyndighed, en TEMPEST-myndighed, en kryptogodkendelsesmyndighed og en kryptodistributionsmyndighed, som af effektivitets- eller ressourcehensyn kan uddelegeres til en anden EU-institution eller -organ. Informationssikring og kommunikations- og informationssystemer (artikel 9 til 11) Ved forordningen oprettes en undergruppe om informationssikkerhed, der har til formål at øge sammenhængen på tværs af EU's institutioner og organer for så vidt angår informationssikkerhedsregler og referencescenariet for cybersikkerhed som fastsat i forordningen om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer. EU's institutioner og organer skal overholde principperne i disse artikler og vedtage egne regler om specifikke sikkerhedsforanstaltninger, der er tilpasset deres eget sikkerhedsmiljø. Ikkeklassificerede informationer (artikel 12 til 17 og bilag I) Forordningen fastsætter tre kategorier af ikkeklassificerede informationer: informationer til offentlig brug, normale informationer og følsomme ikkeklassificerede informationer. Alle kategorier fastsættes, og der formuleres mærkninger og håndteringsinstrukser for beskyttelsen af sådanne informationer. Med henblik på at koordinere arbejdet om ækvivalens mellem bestemte kategorier fastsat af visse EU-institutioner og -organer og de fælles kategorier i denne forordning oprettes der ved forslaget en undergruppe om ikkeklassificerede informationer. EUCI (artikel 18 til 58 og bilag II til VI) Dette kapitel er den mest omfattende del af forslaget fordelt på syv afsnit som følger: generelle bestemmelser, personelsikkerhed, fysisk sikkerhed, forvaltning af EUCI, beskyttelse i kommunikations- og informationssystemer, industrisikkerhed samt deling af EUCI og udveksling af klassificerede informationer. I afsnittet om generelle bestemmelser fastsættes der fire grader af EUCI, dvs. TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL og RESTREINT UE/EU RESTRICTED, og EU's institutioner og organer forpligtes til at træffe de nødvendige sikkerhedsforanstaltninger i overensstemmelse med resultaterne af en risikostyringsproces for informationssikkerhed. Hver af de resterende afsnit omhandler standarder for beskyttelse af EUCI på hver deres område. De nærmere detaljer vedrørende denne beskyttelse af EUCI er fastsat i bilag II til V. Bilag VI indeholder ækvivalenstabellen mellem EUCI og sikkerhedsklassificeringen i medlemsstaterne og Det Europæiske Atomenergifællesskab. Med det formål at strømline de relevante processer på området og undgå dobbeltarbejde oprettes der ved denne forordning undergrupper om: informationssikkerhed, ikkeklassificerede informationer, fysisk sikkerhed, akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI, og deling af EUCI og udveksling af klassificerede informationer. Afsluttende bestemmelser (artikel 59 til 62)

De afsluttende bestemmelser sikrer overgangen fra de gældende regler og procedurer til den nye retlige ramme i denne forordning. De vedrører de interne regler om informationssikkerhed, der i dag gælder i EU's institutioner og organer, anerkendelsen af vurderingsbesøg gennemført inden denne forordnings anvendelse, behandlingen af tidligere indgåede administrative ordninger og fortsættelsen af bestemte sikkerhedsrammer gældende for tilskudsaftaler. Denne forordning finder anvendelse to år efter datoen for dens ikrafttrædelse. 2022/0084 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS FORORDNING om informationssikkerhed i EU's institutioner, organer, kontorer og agenturer EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 298, under henvisning til traktaten om oprettelse af Det Europæiske Atomenergifællesskab, særlig artikel 106A, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)EU's institutioner og organer har i dag hver deres egne informationssikkerhedsregler baseret på deres egen forretningsorden eller oprettelsesretsakt, idet nogle enheder dog ikke har fastsat regler. Det betyder, at hver EU-institution og -organ hver især lægger betydelige kræfter i at vedtage forskellige tilgange, hvilket fører til en situation, hvor udvekslingen af informationer ikke altid er pålidelig. Uden en fælles tilgang kan der ikke udrulles fælles redskaber baseret på et aftalt sæt regler, der afspejler de forskellige sikkerhedsbehov vedrørende de informationer, der skal beskyttes. (2)Selv om der er gjort fremskridt hen imod mere konsekvente regler om beskyttelse af EU-klassificerede informationer ("EUCI") og ikkeklassificerede informationer, er de relevante systemers interoperabilitet fortsat begrænset, og det forhindrer gnidningsløs overførsel af informationer mellem de forskellige EU-institutioner og -organer. Der bør derfor arbejdes yderligere på at muliggøre en interinstitutionel tilgang til deling af EUCI og følsomme ikkeklassificerede oplysninger, som indebærer fælles kategorier af informationer og fælles hovedprincipper for håndtering. Der bør også udarbejdes et referencescenarie med henblik på at forenkle procedurerne for deling af EUCI og følsomme ikkeklassificerede informationer mellem EU's institutioner og organer og med medlemsstaterne. (3)Der bør derfor fastsættes relevante regler, der sikrer et fælles informationssikkerhedsniveau i alle EU's institutioner og organer. Tilsammen bør disse udgøre en omfattende og sammenhængende generel ramme for beskyttelse af EUCI og ikkeklassificerede informationer og sikre, at der anvendes ækvivalente grundlæggende principper og minimumstandarder. (4)Den nylige pandemi har medført en væsentlig ændring i arbejdsmetoderne, idet fjernværktøjer til kommunikation er ved at blive hovedreglen. Mange procedurer, der stadig var delvist papirbaserede, blev hurtigt tilpasset med henblik på at muliggøre elektronisk behandling og udveksling af informationer. Denne udvikling kræver ændringer i forbindelse med håndteringen og beskyttelsen af informationer. Denne forordning tager højde for disse nye arbejdsmetoder. (5)Denne forordning bidrager til at sikre, at EU's institutioner og organer under udførelsen af deres opgaver støtter sig til en effektiv og uafhængig forvaltning, idet der fastsættes et fælles minimumsniveau for beskyttelse af EUCI og ikkeklassificerede informationer. Samtidig bevarer EU's institutioner og organer deres autonomi, idet de selv fastsætter, hvordan de gennemfører bestemmelserne i denne forordning under hensyntagen til deres egne sikkerhedsbehov. Denne forordning forhindrer under ingen omstændigheder EU's institutioner og organer i at udføre deres opgaver, som tildelt ved EU's lovgivning, og griber ikke ind i deres institutionelle autonomi. (6)Denne forordning berører ikke forordning nr. 3/1958, forordning nr. 31 (EØF), nr. 11 (EURATOM), om vedtægten for tjenestemænd og om ansættelsesvilkårene for de øvrige ansatte i Det Europæiske Økonomiske Fællesskab og Det Europæiske Atomenergifællesskab, Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001, Europa-Parlamentets og Rådets forordning (EU) 2018/1725, Rådets forordning (EØF, Euratom) nr. 354/83, Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046, Europa-Parlamentets og Rådets forordning (EU) 2021/697 eller Europa-Parlamentets og Rådets forordning (EU) [...] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer. (7)For at bevare den særlige status, som Det Europæiske Atomenergifællesskabs aktiviteter har, jf. Rådet for Det Europæiske Atomenergifællesskabs forordning nr. 3, bør denne forordning ikke finde anvendelse på hemmelig Euratomviden. Alle informationer, der vedrører Euratomaktiviteter, som ikke er omfattet af forordning nr. 3, bør dog være omfattet af nærværende forordning.

(8)Med henblik på at oprette en formel struktur for samarbejde mellem EU's institutioner og organer på området for informationssikkerhed er det nødvendigt at oprette en interinstitutionel koordinationsgruppe om informationssikkerhed ("koordinationsgruppen"), hvor alle EU-institutionernes og -organernes sikkerhedsmyndigheder er repræsenteret. Koordinationsgruppen bør have til opgave at øge sammenhængen mellem politikkerne på området for informationssikkerhed og bidrage til harmoniseringen af informationssikkerhedsprocedurer og værktøjer på tværs af EU's institutioner og organer, men vil ikke have beslutningskompetence. (9)Det er nødvendigt, at koordinationsgruppens arbejde understøttes af eksperter på forskellige områder for informationssikkerhed: kategorisering og mærkning, kommunikations- og informationssystemer, akkreditering, fysisk sikkerhed og deling af EUCI og udveksling af klassificerede informationer. Med henblik på at undgå dobbeltarbejde på tværs af EU's institutioner og organer bør der derfor oprettes tematiske undergrupper. Koordinationsgruppen bør desuden, hvis det er nødvendigt, kunne oprette andre undergrupper med henblik på bestemte opgaver. (10)Koordinationsgruppen bør arbejde tæt sammen med de nationale sikkerhedsmyndigheder i medlemsstaterne med henblik på at forbedre informationssikkerheden i EU. Der bør derfor oprettes et informationssikkerhedsudvalg for medlemsstaterne, der skal rådgive koordinationsgruppen. (11)Mens de fælles enheder, der repræsenterer alle EU's institutioner og organer, oprettes på grundlag af samarbejdsprincippet, bør den enkelte EU-institution og -organ fortsat være have det fulde ansvar for informationssikkerheden i deres enhed. Hver EU-institution og -organ bør have en sikkerhedsmyndighed og om nødvendigt andre myndigheder, som har bestemte ansvarsområder for så vidt angår informationssikkerhed. (12)Princippet om risikostyring i forbindelse med informationssikkerhed bør være omdrejningspunktet for den politik, som hver EU-institution og -organ udarbejder på området. Samtidig med at minimumskravene i denne forordning skal opfyldes, bør hver EU-institution og -organ vedtage specifikke sikkerhedsforanstaltninger til beskyttelse af informationer i overensstemmelse med resultaterne af en intern risikovurdering. Ligeledes bør de tekniske midler til beskyttelse af informationer tilpasses til den specifikke situation i hver EU-institution og -organ. (13)I lyset af de mange forskellige kategorier af ikkeklassificerede informationer, som EU's institutioner og -organer har fastlagt på grundlag af deres egne informationssikkerhedsregler, og for at undgå forsinkelser i forbindelse med gennemførelsen af denne forordning bør EU's institutioner og organer kunne beholde deres eget klassifikationssystem til intern brug eller til udveksling af informationer med deres specifikke modparter i andre EU-institutioner og -organer eller i medlemsstaterne. (14)Med henblik på tilpasning til de nye telearbejdsmetoder bør de netværk, der anvendes til forbindelse til EU-institutionens eller -organets fjernadgangstjenester, være beskyttet af passende sikkerhedsforanstaltninger. (15)Eftersom EU's institutioner og organer ofte bruger kontrahenter og udlicitering, er det vigtigt at fastsætte fælles bestemmelser om kontrahenters ansatte, der udfører opgaver vedrørende informationssikkerhed. (16)I dag er de materielle regler vedrørende adgang til EUCI i de interne regler i forskellige EU-institutioner og -organer allerede strømlinet, men der er stadig store forskelle for så vidt angår betegnelser og obligatoriske procedurer. Dette er en byrde for medlemsstaternes nationale sikkerhedsmyndigheder, der er nødt til at tilpasse sig forskellige krav. Det er derfor nødvendigt at oprette en fælles sprogbrug og fælles procedurer på området for personelsikkerhed og derved forenkle samarbejdet med medlemsstaternes nationale sikkerhedsmyndigheder og begrænse risikoen for kompromittering af EUCI. (17)Som følge af forskellene med hensyn til ressourcer blandt EU's institutioner og organer og med henblik på at strømline deres relevante procedurer og praksisser kan sikkerhedsgodkendelsesopgaverne overdrages til Kommissionen med henblik på at muliggøre fortsættelsen af en mangeårig praksis på sikkerhedsgodkendelsesområdet og bidrage til centraliseringen af de opgaver, der tildeles hver sikkerhedsmyndighed. (18)Beskyttelsen af EUCI sikres også med tekniske og organisatoriske foranstaltninger, der anvendes på de af EU-institutionernes eller -organernes lokaliteter, bygninger, lokaler, kontorer eller faciliteter, hvor der drøftes, håndteres og opbevares EUCI. Ved denne forordning indføres bestemmelser om gennemførelse af en risikostyringsproces for informationssikkerhed for så vidt angår fysisk sikkerhed, som vil gøre det muligt for EU's institutioner og organer at vælge de rette sikkerhedsforanstaltninger til deres sites. (19)Alle EU- institutioner og -organer, som håndterer og opbevarer EUCI, bør oprette fysisk beskyttede områder på deres sites med henblik på at sikre samme beskyttelsesniveau for de relevante klassifikationsgrader for EUCI, der håndteres og opbevares der. Disse områder bør udpeges som administrative områder og sikrede områder og respektere fælles minimumsstandarder for beskyttelse af EUCI. (20)Udstederkontrol er et vigtigt princip i forbindelse med forvaltning af EUCI og bør derfor klart fastsættes og formuleres og udbygges. I den forbindelse indebærer udarbejdelsen af EUCI et ansvar for udstederen, som dækker hele livscyklussen for det relevante EUCI-dokument. (21)EU's institutioner og organer har traditionelt udviklet deres egne kommunikations- og informationssystemer selvstændigt, men uden tilstrækkelig hensyntagen til interoperabiliteten på tværs af alle EU's institutioner og organer. Det er derfor nødvendigt at fastsætte minimumssikkerhedskrav for kommunikations- og informationssystemer ("CIS'er"), der håndterer og opbevarer såvel EUCI som ikkeklassificerede informationer, med henblik på at garantere en gnidningsløs udveksling af informationer med de relevante interessenter. (22)Med det formål at opnå en fælles standard for akkreditering af CIS'er, der håndterer og opbevarer EUCI, bør EU's institutioner og organer samarbejde herom i en gruppe, der oprettes til dette formål. Det anbefales, at de alle anvender den nye standard med henblik på at bidrage til et generelt beskyttelsesniveau for EUCI. For så vidt angår organisatorisk autonomi vil beslutningen dog stadig ligge hos den kompetente myndighed i hver enkelt EU-institution eller -organ. (23)Alle EU's institutioner og organer bør følge samme procedure og anvende de samme foranstaltninger i forbindelse med tildeling og gennemførelse af klassificerede kontrakter og tilskudsaftaler. Det er derfor nødvendigt klart at formulere såvel de obligatoriske som de valgfrie elementer i en klassificeret kontrakt eller tilskudsaftale. Foranstaltningerne til beskyttelse af EUCI i forbindelse med klassificerede kontrakter og tilskudsaftaler bør imidlertid tage højde for de regler, som EU-institutionerne og ‑organerne allerede separat har udarbejdet på området i samarbejde med medlemsstaterne. (24)Det tætte samarbejde mellem EU's institutioner og organer og den mangfoldighed af synergier, der opstår mellem dem, medfører deling af en stor mængde informationer. Af hensyn til klassificerede informationers sikkerhed bør en EU-institutions eller ‑organs troværdighed vurderes, inden de håndterer eller opbevarer en bestemt grad af EUCI. (25)Derudover bør delingen af EUCI mellem EU's institutioner og organer og udvekslingen af klassificerede informationer med internationale organisationer og tredjelande også reguleres ved hjælp af egnede sikkerhedsforanstaltninger til beskyttelse af de pågældende informationer. Hvis der indgås aftaler om informationssikkerhed, bør bestemmelserne i traktatens artikel 218 anvendes. (26)Aftaler om informationssikkerhed har til formål at sikre den overordnede retlige ramme for udvekslingen af EUCI med tredjelande og internationale organisationer, men det er også nødvendigt at give EU's institutioner og organer mulighed for at indgå en administrativ ordning med en bestemt modpart i et tredjeland eller en international organisation med henblik på udveksling af EUCI. (27)Ved denne forordning fastlægges en ramme, der er fælles for alle EU's institutioner og organer. Med henblik på at undgå, at EU's institutioner og organer pålægges en uforholdsmæssig stor økonomisk og administrativ byrde i forbindelse med tilpasningen af deres egne interne sikkerhedsregler til bestemmelserne i denne forordning, bør denne forordning træde i kraft to år efter dens ikrafttrædelse.

(28)I overensstemmelse med punkt 22 og 23 i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning bør Kommissionen foretage en evaluering af denne forordning med henblik på at vurdere den faktiske virkning af forordningen og behovet for yderligere tiltag. Kommissionen bør senest tre år efter datoen for anvendelsen af forordningen forelægge Europa-Parlamentet og Rådet en rapport om gennemførelsen af den. (29)Den Europæiske Tilsynsførende for Databeskyttelse blev hørt i overensstemmelse med artikel 42 i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 og afgav udtalelse den ... — VEDTAGET DENNE FORORDNING: Kapitel 1

Generelle bestemmelser Artikel 1 Genstand 1.Ved denne forordning fastsættes regler om informationssikkerhed i alle EU's institutioner og organer. Artikel 2 Anvendelsesområde 1.Denne forordning finder anvendelse på alle informationer, der håndteres og opbevares af EU's institutioner og organer, inklusive informationer om Det Europæiske Atomenergifællesskabs aktiviteter, dog ikke på hemmelig Euratomviden. 2.Denne forordning finder anvendelse på følgende fortrolighedsgrader for informationer: a)tre grader af ikkeklassificerede informationer: til offentlig brug, normale og følsomme ikkeklassificerede informationer b)fire grader af EU-klassificerede informationer: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET og TRES SECRET UE/EU TOP SECRET. 3.Disse grader er baseret på den skade, som uautoriseret videregivelse kan forvolde på berettigede offentlige og private interesser, inklusive Den Europæiske Unions, EU-institutionernes eller -organernes, medlemsstaternes eller andre interessenters interesser, med henblik på anvendelsen af passende beskyttelsesforanstaltninger. Artikel 3 Definitioner I denne forordning forstås ved: a)"informationer": data i mundtlig, visuel, elektronisk, magnetisk eller fysisk form, eller i form af materiale, udstyr eller teknologi, inklusive reproduktioner, oversættelser og materiale, der er under udarbejdelse b)"informationssikkerhed": sikring af informationers autenticitet, tilgængelighed, fortrolighed, integritet og uafviselighed c)"håndtering" af informationer: alle handlinger, som informationer kan underkastes i hele deres livscyklus; dette omfatter udarbejdelse, indsamling, registrering, tildeling af fortrolighedsgrad, behandling, visning, konsultation, transport, overførsel, nedklassificering, afklassificering, arkivering og destruktion

d)"opbevaring": den handling at lagre informationer på et hvilket som helst medium for at sikre tilgængelighed med henblik på fremtidig brug e)"EU's institutioner og organer": EU-institutioner, -organer, -kontorer og ‑agenturer, der er oprettet ved eller på grundlag af traktaten om Den Europæiske Union, traktaten om Den Europæiske Unions funktionsmåde, traktaten om oprettelse af Det Europæiske Atomenergifællesskab eller en lovgivningsmæssig retsakt f)"hemmelig Euratomviden": oplysninger som omhandlet i Rådet for Det Europæiske Atomenergifællesskabs forordning nr. 3/1958 g)"sikkerhedsmyndighed": den sikkerhedsfunktion i hver EU-institution og -organ, der er udpeget i overensstemmelse med enhedens forretningsorden eller oprettelsesretsakt h)"risikostyringsproces for informationssikkerhed": hele processen med at identificere, kontrollere og minimere usikre begivenheder, der kan påvirke sikkerheden i en enhed eller i de systemer, enheden anvender. Dette omfatter samtlige risikorelaterede aktiviteter, herunder vurdering, behandling, accept og kommunikation i)"aktiv": alt hvad der er af værdi for en EU-institution eller -organ, dennes drift og kontinuiteten af disse, herunder informationskilder, der understøtter enhedens opgaver j)"operationelle sikkerhedsprocedurer": et sæt dokumenterede procedurer, jf. bilag III, for driften af et sikret område, et CIS eller andre sikkerhedsrelaterede aktiver eller tjenester til sikring af deres effektivitet k)"kommunikations- og informationssystem" eller "CIS": et system, der muliggør håndtering og opbevaring af informationer i elektronisk form, herunder alle aktiver, der kræves til dets drift l)"informationssikring": sikkerhed for, at CIS'er beskytter de informationer, de håndterer og opbevarer, at de fungerer, som de skal, når de skal, under de legitime brugeres kontrol, og at de sikrer et passende niveau af autenticitet, tilgængelighed, fortrolighed, integritet og uafviselighed. m)"akkreditering": en formel autorisation udstedt af sikkerhedsakkrediteringsmyndigheden til et CIS til at behandle en på forhånd fastsat EUCI-klassifikationsgrad eller til et sikret område til at opbevare en på forhånd fastsat EUCI-klassifikationsgrad n)"akkrediteringsproces": de skridt og opgaver, der er en forudsætning for akkreditering o)"TEMPEST-sikkerhedsforanstaltninger": foranstaltninger for at beskytte ethvert CIS, der håndterer eller opbevarer informationer, som er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, mod kompromittering af sådanne informationer gennem utilsigtede elektromagnetiske emissioner p)"CERT-EU": EU-institutionernes og -organernes Cybersikkerhedscenter som omhandlet i Europa-Parlamentets og Rådets forordning (EU) [...] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer q)"informationssikkerhedshændelse": enhver begivenhed, der potentielt kompromitterer autenticiteten, tilgængeligheden, fortroligheden, integriteten og uafviseligheden af opbevarede, overførte eller behandlede informationer r)"need to know": en persons behov for adgang til bestemte informationer, der håndteres eller opbevares af en EU-institution eller -organ, med henblik på udførelsen af sine opgaver på vegne af den pågældende EU-institution eller ‑organ s)"nultillid": en sikkerhedsmodel, et sæt systemkonstruktionsprincipper og en koordineret cybersikkerheds- og systemforvaltningsstrategi baseret på en anerkendelse af, at trusler findes både inden for og uden for traditionelle netværksgrænser t)"mærkning": en klassificering, der anvendes på informationer for at sikre, at de korrekte sikkerhedsforanstaltninger træffes u)"sikkerhedsmærkning": en mærkning, der angiver informationernes fortrolighedsgrad v)"distributionsmærkning": en mærkning, der angiver de tiltænkte adressater inden for den udstedende EU-institution eller -organ w)"videregivelsesmærkning": en mærkning, der angiver de tilladte adressater uden for den udstedende EU-institution eller -organ

x)"systemejer": den person, der har det overordnede ansvar for indkøb, udvikling, integration, ændring, drift, vedligeholdelse og tilbagetrækning af et CIS y)"sikkerhedstrussel": en begivenhed eller udløsende faktor, som med rimelighed kan forventes at have en negativ indvirkning på informationssikkerheden, hvis der ikke reageres på den, eller den ikke begrænses z)"sårbarhed": en svaghed, følsomhed eller fejl i forbindelse med et aktiv, et system, en proces eller en kontrolfunktion, som kan udnyttes af en eller flere cybertrusler aa)"risiko": en given trussels potentielle negative virkning i forbindelse med mulig udnyttelse af indre og ydre sårbarheder i en EU-institution eller -organ eller i de systemer, de benytter, der forvolder skade på berettigede offentlige og private interesser, målt som en kombination af sandsynligheden for at trusler indtræffer og deres virkning ab)"residualrisiko": den risiko, der fortsat eksisterer, efter at der er gennemført sikkerhedsforanstaltninger ac)"risikovurdering": identifikation af trusler og sårbarheder og udførelse af den dertil knyttede risikoanalyse, dvs. analyse af sandsynlighed og virkning ad)"risikobehandling": afbødning, fjernelse, reduktion (gennem en passende kombination af tekniske, fysiske, organisatoriske eller proceduremæssige foranstaltninger), flytning eller overvågning af risikoen ae)"europæisk cybersikkerhedsattest": en attest som omhandlet i artikel 2, nr. 11), i forordning (EU) 2019/881 af)"den, der er i besiddelse af": en behørigt autoriseret person med en fastslået need to know, der er i besiddelse af informationer, som kræver beskyttelse, og derfor er ansvarlig for at beskytte dem ag)"materiale": ethvert dokument, enhver databærer, enhver maskine eller ethvert udstyr, der enten er fremstillet eller er ved at blive fremstillet ah)"EU-klassificerede informationer" eller "EUCI": informationer eller materiale mærket med en EU-sikkerhedsklassifikation, hvis uautoriserede videregivelse potentielt kan forvolde skade på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser i forskellig grad ai)"autorisation til at få adgang til EUCI": en afgørelse truffet af en sikkerhedsmyndighed om, at en tjenestemand, en anden ansat eller en udstationeret national ekspert i en EU-institution eller -organ kan få adgang til EUCI op til en bestemt klassifikationsgrad i en bestemt periode aj)"national sikkerhedsmyndighed" eller "NSA": en offentlig myndighed i en medlemsstat, der har det endelige ansvar for klassificerede informationers sikkerhed i den pågældende medlemsstat ak)"udpeget sikkerhedsmyndighed" eller "DSA": en myndighed i en medlemsstat (en national sikkerhedsmyndighed eller anden kompetent myndighed), der er ansvarlig for opstilling af retningslinjer og for at yde bistand i forbindelse med gennemførelsen af industrisikkerhed og godkendelsesprocedurer al)"sikkerhedsundersøgelse": de undersøgelser, som den kompetente myndighed i en medlemsstat foretager i overensstemmelse med denne stats nationale ret og bestemmelser med henblik på at kunne nå til den konklusion, at der ikke er konstateret negative forhold, som kunne forhindre en person i at få en sikkerhedsgodkendelse op til en bestemt klassifikationsgrad (CONFIDENTIEL UE/EU CONFIDENTIAL eller højere) am)"fysisk sikkerhed": anvendelse af fysiske, tekniske og organisatoriske foranstaltninger på en EU-institutions eller -organs lokaliteter, bygninger, lokaler, kontorer eller faciliteter, som skal beskyttes mod uautoriseret adgang til informationer, der håndteres, opbevares eller drøftes der an)"site": en EU-institutions eller -organs lokaliteter, bygninger, lokaler, kontorer eller faciliteter ao)"dybdeforsvar": en type sikkerhed, der anvender flere uafhængige lag sikkerhedskontroller til at sikre, at et lag stadig er operativt, hvis et andet fejler ap)"kryptografisk (krypto)materiale": algoritmer, kryptografiske hardware- og softwaremoduler samt produkter, der omfatter implementeringsdetaljer og tilhørende dokumentation og nøglingsmateriale aq)"kryptoprodukt": et produkt, hvis primære hovedfunktion er at yde sikkerhedstjenester (autenticitet, tilgængelighed, fortrolighed, integritet og uafviselighed) ved hjælp af en eller flere kryptografiske mekanismer

ar)"udsteder": en EU-institution eller -organ, en medlemsstat, et tredjeland eller en international organisation, under hvis myndighed klassificerede informationer er blevet udarbejdet eller bragt ind i EU's strukturer as)"dokument": indhold, uanset medium (papir, elektronisk, magnetisk eller andet), i skriftlig form eller som billedoptagelser eller audiovisuelle optagelser at)"sikkerhedsregistrering": anvendelse af procedurer, som registrerer materialets livscyklus, herunder distribution og destruktion au)"afklassificering": fjernelse af enhver sikkerhedsklassifikation av)"nedklassificering": nedsættelse til en lavere sikkerhedsklassifikationsgrad aw)"klassificeret kontrakt": en rammekontrakt eller en kontrakt som omhandlet i Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046, som en EU-institution eller -organ indgår med en kontrahent om levering af løsøre eller fast ejendom, udførelse af arbejder eller levering af tjenesteydelser, såfremt dens opfyldelse forudsætter eller indebærer håndtering, herunder udarbejdelse, eller opbevaring af EUCI ax)"klassificeret tilskudsaftale": en aftale, hvorved en EU-institution eller -organ yder et tilskud, jf. afsnit VIII i forordning (EU, Euratom) 2018/1046, såfremt dens opfyldelse forudsætter eller indebærer håndtering, herunder udarbejdelse, eller opbevaring af EUCI ay)"klassificeret underleverandørkontrakt": en kontrakt, som en EU-institutions eller -organs kontrahent eller tilskudsmodtager indgår med en underleverandør om levering af løsøre eller fast ejendom, udførelse af arbejder eller levering af tjenesteydelser, såfremt dens opfyldelse forudsætter eller indebærer håndtering, herunder udarbejdelse, eller opbevaring af EUCI az)"program- eller projektsikkerhedsinstruktion" eller "PSI": en liste over sikkerhedsprocedurer, der anvendes i forbindelse med et bestemt program eller projekt for at standardisere sikkerhedsprocedurerne ba)"særlige sikkerhedsbetingelser" eller "SAL": et sæt særlige kontraktbetingelser udstedt af den kontraherende eller tilskudsgivende myndighed, som er en integrerende del af en klassificeret kontrakt eller tilskudsaftale, der indebærer adgang til eller udarbejdelse af EUCI, og som fastlægger sikkerhedskravene eller de elementer i kontrakten eller tilskudsaftalen, der kræver sikkerhedsbeskyttelse bb)"sikkerhedsklassifikationsvejledning" eller "SCG": et dokument, der beskriver de elementer af et program, et projekt, en kontrakt eller en tilskudsaftale, der er klassificerede, med angivelse af de gældende klassifikationsgrader. Artikel 4 Generelle principper 1.Hver enkelt EU-institution og -organ har ansvaret for gennemførelsen af denne forordnings bestemmelser i deres enhed under hensyntagen til enhedens egen risikostyringsproces for informationssikkerhed. 2. Manglende overholdelse af denne forordning, navnlig uautoriseret videregivelse af informationer klassificeret i de fortrolighedsgrader, der er nævnt i artikel 2, stk. 2, med undtagelse af informationer til offentlig brug, er genstand for en undersøgelse og kan udløse en disciplinærsag i overensstemmelse med traktaterne eller institutionens eller -organets personalevedtægter. 3.EU's institutioner og organer vurderer alle de informationer, som de håndterer og opbevarer, med henblik på at klassificere dem i henhold til de fortrolighedsgrader, der er nævnt i artikel 2, stk. 2. 4.EU's institutioner og organer fastslår sikkerhedsbehovet for alle informationer, som de håndterer og opbevarer, under hensyntagen til følgende aspekter: a)autenticitet: det forhold, at der er sikkerhed for, at informationer er ægte og fra bona fide-kilder b)tilgængelighed: det forhold, at der er adgang til informationer, og at de kan anvendes på anmodning af en autoriseret enhed c)fortrolighed: det forhold, at informationer ikke videregives til uautoriserede personer, enheder eller processer

d)integritet: det forhold, at informationerne er fuldstændige, og at fuldstændigheden er uændret e)uafviselighed: det forhold, at det kan bevises, at en handling eller begivenhed har fundet sted, så denne handling eller begivenhed ikke senere kan benægtes. 5.EU-institutionen eller -organet fastsætter for hvert CIS, som de har ansvaret for, den højeste fortrolighedsgrad, som et sådant CIS kan håndtere og opbevare, gennemfører en risikovurdering for informationssikkerhed og overvåger regelmæssigt sikkerhedsbehovene og den korrekte gennemførelse af de udpegede beskyttelsesforanstaltninger. 6.Alle EU's institutioner og organer gennemfører kursus- og bevidstgørelsesaktiviteter for at oplyse om, hvordan ikkeklassificerede informationer og EUCI skal håndteres og opbevares. EU-institutioner og -organer, der håndterer og opbevarer EUCI, arrangerer obligatoriske kurser mindst hvert femte år for alle personer, der er autoriseret til at få adgang til EUCI. De pågældende EU-institutioner og -organer arrangerer specifikke kurser for de specifikke funktioner, der varetager informationssikkerhedsopgaver. En EU-institution eller -organ kan koordinere sådanne kursus- og bevidstgørelsesaktiviteter med andre EU-institutioner og -organer. Artikel 5 Risikostyringsproces for informationssikkerhed 1.Hver EU-institution og -organ fastlægger en risikostyringsproces for informationssikkerhed med henblik på beskyttelse af de informationer, de håndterer og opbevarer. 2.Risikostyringsprocessen for informationssikkerhed omfatter følgende trin: a)identifikation af trusler og sårbarhed b)risikovurdering c)risikobehandling d)risikoaccept e)risikokommunikation. 3.Risikostyringsprocessen for informationssikkerhed tager hensyn til alle faktorer, der er relevante for EU-institutionen eller -organet, navnlig: a)informationernes fortrolighedsgrad og de dertil knyttede retlige forpligtelser b)informationernes form og mængden af dem samt de faciliteter eller CIS'er, der håndterer og opbevarer informationerne c)de personer, der har adgang til informationerne på sitet eller ved hjælp af en fjernforbindelse d)omgivelserne og strukturen af de bygninger eller områder, hvor informationerne opbevares

e)de trusler, der er rettet mod EU, EU's institutioner og organer eller medlemsstaterne, som stammer fra cyberangreb, angreb på forsyningskæder, spionage, sabotage, terrorisme og undergravende eller anden kriminel virksomhed f)driftskontinuitet og katastrofeberedskab g)resultatet af eventuelle inspektioner, revisioner eller vurderingsbesøg. Kapitel 2

Forvaltning og tilrettelæggelse af sikkerheden Artikel 6 Den interinstitutionelle koordinationsgruppe om informationssikkerhed 1.Der oprettes en interinstitutionel koordinationsgruppe om informationssikkerhed ("koordinationsgruppen"). Denne består af alle EU-institutionernes og -organernes sikkerhedsmyndigheder og har mandat til at fastlægge deres fælles informationssikkerhedspolitik. 2.Idet den træffer afgørelse ved samtykke og i alle EU-institutioners og -organers fælles interesse, har koordinationsgruppen til opgave at: a)vedtage sin egen forretningsorden samt fælles mål og prioriteter på årsbasis b)vedtage afgørelser om oprettelsen af tematiske undergrupper og disses mandater c)udarbejde vejledende dokumenter om gennemførelsen af denne forordning, hvor det er relevant i samarbejde med Det Interinstitutionelle Råd for Cybersikkerhed, jf. artikel 9 i forordning (EU) [...] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer d)oprette særlige platforme til deling af bedste praksis og viden om fælles emner, der er relevante for informationssikkerheden og for at kunne yde bistand i forbindelse med informationssikkerhedshændelser e)sikre, at sikkerhedsforanstaltninger koordineres behørigt med de kompetente nationale sikkerhedsmyndigheder med henblik på beskyttelse af EUCI. 3.Koordinationsgruppen udpeger blandt sine medlemmer en formand og to næstformænd, der sidder i tre år. 4.Koordinationsgruppen mødes mindst en gang om året på formandens initiativ eller på anmodning fra en EU-institution eller -organ. 5.Koordinationsgruppen bistås administrativt af et permanent sekretariat, der stilles til rådighed af Kommissionen. 6.Hver EU-institution og -organ repræsenteres behørigt i koordinationsgruppen og, i givet fald, i de tematiske undergrupper. 7.EU's institutioner og organer gør koordinationsgruppen opmærksom på al væsentlig politikudvikling vedrørende informationssikkerhed i deres enhed. 8.I forbindelse med udførelsen af de i stk. 2, litra e), omhandlede opgaver bistås koordinationsgruppen af et informationssikkerhedsudvalg. Udvalget består af en repræsentant fra hver national sikkerhedsmyndighed, og formandskabet varetages af koordinationsgruppens sekretariat, jf. stk. 5. Informationssikkerhedsudvalget har en rådgivende funktion.

Artikel 7 Tematiske undergrupper 1.Koordinationsgruppen opretter følgende permanente tematiske undergrupper for at fremme gennemførelsen af denne forordning: a)en undergruppe om informationssikring b)en undergruppe om ikkeklassificerede informationer c)en undergruppe om fysisk sikkerhed d)en undergruppe om akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI e)en undergruppe om deling af EUCI og udveksling af klassificerede informationer. 2.Om nødvendigt kan koordinationsgruppen oprette ad hoc-undergrupper med henblik på en bestemt opgave og i en begrænset periode. 3.Medmindre andet er fastsat i deres mandater, baseres undergrupperne på et åbent medlemskab, der repræsenterer EU's institutioner og organer. Medlemmerne af undergrupperne er eksperter på det pågældende kompetenceområde. 4.Koordinationsgruppens sekretariat, jf. artikel 5, stk. 5, støtter undergruppernes arbejde og sikrer kommunikationen mellem medlemmerne. Artikel 8 Tilrettelæggelse af sikkerheden 1.Hver EU-institution eller -organ udpeger en sikkerhedsmyndighed, som varetager det ansvar, der følger af denne forordning, og i givet fald af EU-institutionens eller ‑organets interne sikkerhedsregler. I forbindelse med udførelsen af sine opgaver får sikkerhedsmyndigheden støtte fra den tjenestegren eller den ansvarlige, der varetager informationssikkerhedsopgaver. 2.Om nødvendigt vedtager hver EU-institutions og -organs sikkerhedsmyndighed interne gennemførelsesregler med henblik på beskyttelse af informationer i overensstemmelse med deres specifikke opgaver, som tildelt ved EU's lovgivning, og baseret på deres institutionelle autonomi. 3.Hvis det er relevant, varetager sikkerhedsmyndigheden desuden følgende funktioner: a)informationssikringsmyndighed, der har ansvaret for udvikling af informationssikkerhedspolitikker og sikkerhedsretningslinjer samt overvågning af deres effektivitet og relevans b)operativ informationssikringsmyndighed, der har ansvaret for udvikling af sikkerhedsdokumentation, navnlig de operationelle sikkerhedsprocedurer og kryptoplanen inden for akkrediteringsprocessen for CIS'er c)sikkerhedsakkrediteringsmyndighed, der har ansvaret for akkreditering af sikrede områder og CIS'ers håndtering og opbevaring af EUCI d)TEMPEST-myndighed, der har ansvaret for at godkende de foranstaltninger, der træffes med henblik på at beskytte EUCI mod kompromittering i forbindelse med utilsigtede elektromagnetiske emissioner

e)kryptogodkendelsesmyndighed, der har ansvaret for anvendelsen af krypteringsteknologier på grundlag af en anmodning fra systemejeren f)kryptodistributionsmyndighed, der har ansvaret for at distribuere kryptografisk materiale, som anvendes til at beskytte EUCI (krypteringsudstyr, kryptonøgler, certifikater og relaterede autentikatorer), til de relevante brugere. 4.De beføjelser, der er forbundet med en eller flere af de i stk. 3 omhandlede funktioner, kan delegeres til en anden EU-institution eller -organ, hvis en decentral levering af sikkerhedsbeskyttelse indebærer væsentlige besparelser hvad angår effektivitet, ressourcer eller tid. Kapitel 3

Informationssikring og kommunikations- og informationssystemer (CIS'er) Artikel 9 Principper for informationssikring 1.Der tages hensyn til vurderingen af informationssikkerhedsbehovene fra begyndelsen for så vidt angår opbygningsfasen, alternativt fra indkøbsfasen, for så vidt angår alle CIS'er, herunder interne, eksterne og hybride CIS'er. 2.Alle CIS'er, der håndterer og opbevarer EUCI, akkrediteres i overensstemmelse med kapitel 5, afsnit 5. Alle CIS'er, der håndterer og opbevarer følsomme ikkeklassificerede informationer, overholder minimumskravene for følsomme ikkeklassificerede informationer i CIS'er som fastsat i kapitel 4. Artikel 10 Undergruppen om informationssikring 1.Undergruppen om informationssikring, jf. artikel 7, stk. 1, litra a), har følgende roller og ansvarsområder: a)yde vejledning og bedste praksisser om mærkning, håndtering og opbevaring af informationer i CIS'er i tæt samarbejde med Det Interinstitutionelle Råd for Cybersikkerhed, jf. artikel 9 i forordning (EU) [XXX] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer b)fastlægge en metadatatypologi for mærkning samt al nødvendig teknisk information med henblik på at bidrage til en interoperabel og gnidningsløs udveksling af informationer på tværs af alle EU's institutioner og organer, når de sammenkobler deres respektive CIS'er c)bidrage til sammenhæng mellem reglerne om informationssikkerhed og referencescenarierne for cybersikkerhed på tværs af alle EU's institutioner og organer, jf. artikel 5 i forordning (EU) [XXX] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer. Artikel 11 Krav til CIS'er 1.EU's institutioner og organer informerer alle brugere om de fortrolighedsgrader for informationer, der kan håndteres og opbevares i et CIS. Hvis et CIS håndterer og opbevarer flere forskellige fortrolighedsgrader, anvendes der metadata og visuelle mærkninger til at sikre, at de forskellige grader kan skelnes fra hinanden. 2.EU's institutioner og organer identificerer CIS-brugere, før de gives adgang til andre fortrolighedsgrader end offentlig brug. Brugere autentificeres på et sikringsniveau, der svarer til fortrolighedsgraden. Hvor det er relevant, anvendes der en sikker fælles identifikationsordning. 3.Der lagres passende sikkerhedslogfiler for alle CIS'er med henblik på at sikre hurtige undersøgelser i tilfælde af brud på sikkerheden eller læk af informationer. Sådanne logfiler lagres i en periode, der fastsættes i den aktivitetsmæssige konsekvensanalyse eller i de relevante sikkerhedspolitikker, på en uafviselig måde. Hvis et CIS håndterer og opbevarer EUCI, lagres logfiler vedrørende need to know og adgang til informationer, indtil informationerne afklassificeres. Sikkerhedslogfiler skal være søgbare og tilgængelige for sikkerhedsmyndigheden.

4.EU's institutioner og organer vedtager interne regler om CIS'ers sikkerhed med henblik på at fastsætte passende sikkerhedsforanstaltninger i overensstemmelse med sikkerhedsbehovene for de informationer, der håndteres og opbevares, og under hensyntagen til de jurisdiktioner, i hvilke informationerne opbevares, overføres til og håndteres i. Hvis det er relevant, omfatter disse foranstaltninger følgende: a)begrænsninger vedrørende geografisk placering b)hensyntagen til potentielle interessekonflikter, boykotter eller sanktioner relateret til kontrahenter c)kontraktbestemmelser til sikring af informationssikkerhed d)kryptering af information ved hvil og transit e)begrænsninger vedrørende kontrahentens ansattes adgang til EU-institutionernes og -organernes informationer f)beskyttelse af personoplysninger i overensstemmelse med gældende databeskyttelseslovgivning. 5.EU's institutioner og organer forvalter deres CIS'er under overholdelse af følgende principper: a)hvert CIS har en systemejer eller en operativ informationssikringsmyndighed, der er ansvarlig for dets sikkerhed b)der gennemføres en risikostyringsproces for informationssikkerhed, som dækker informationssikkerhedsaspekter c)sikkerhedskrav og operationelle sikkerhedsprocedurer fastlægges, gennemføres, kontrolleres og revideres formelt d)informationssikkerhedshændelser registreres formelt, og der følges op på dem i overensstemmelse med forordning (EU) [XXX] om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i EU's institutioner, organer, kontorer og agenturer. Kapitel 4

Ikkeklassificerede informationer Artikel 12 Informationer til offentlig brug 1.Informationer bestemt til offentlig brug eller offentliggørelse, eller som allerede er videregivet, der kan deles uden begrænsninger inden for og uden for EU's institutioner og organer, kategoriseres, håndteres og opbevares som informationer til offentlig brug. 2.EU's institutioner og organer kan mærke de i stk. 1 omhandlede informationer "PUBLIC USE". 3.EU's institutioner og organer sikrer integriteten og tilgængeligheden af informationer til offentlig brug med passende foranstaltninger baseret på sikkerhedsbehovet for de pågældende informationer. Artikel 13 Normale informationer

1.Informationer bestemt til brug i en EU-institution eller -organ i forbindelse med udøvelsen af dennes funktioner, som ikke er kategoriseret som hverken følsomme ikkeklassificerede informationer eller til offentlig brug, kategoriseres, håndteres og opbevares som normale informationer. Denne kategori omfatter alle normale informationer på arbejdsniveau, som behandles af den pågældende EU-institution eller -organ. 2.Normale informationer kan mærkes visuelt eller i metadata, hvis det er nødvendigt for at sikre deres beskyttelse, navnlig hvis de deles uden for EU's institutioner og organer. I så fald anvendes mærkningen "EU NORMAL" eller "navnet eller forkortelsen på EU-institutionen eller -organet NORMAL" (tilpasses efter behov). 3.EU's institutioner og organer fastsætter standardbeskyttelsesforanstaltninger for normale informationer under hensyntagen til vejledning fra undergruppen om ikkeklassificerede informationer og eventuelle specifikke risici relateret til deres opgaver og aktiviteter. 4.Uden for EU's institutioner og organer udveksles normale informationer kun med fysiske eller juridiske personer, der har need to know. Artikel 14 Følsomme ikkeklassificerede informationer 1.EU's institutioner og organer kategoriserer, håndterer og opbevarer alle informationer, der ikke er klassificerede, men som de skal beskytte i medfør af retlige forpligtelser eller den skade, som uautoriseret videregivelse kan forvolde på berettigede offentlige og private interesser, inklusive EU-institutionernes eller ‑organernes, medlemsstaternes eller enkeltpersoners interesser, som følsomme ikkeklassificerede informationer. 2.Hver EU-institution eller -organ identificerer følsomme ikkeklassificerede informationer ved en synlig sikkerhedsmærkning og fastlægger dertil svarende håndteringsinstrukser i overensstemmelse med bilag I. 3.EU's institutioner og organer beskytter følsomme ikkeklassificerede informationer ved at gennemføre egnede foranstaltninger for håndtering og opbevaring af dem. Sådanne informationer må kun gøres tilgængelige inden for EU's institutioner og organer for personer, der har need to know, med henblik på udførelsen af de opgaver, de er tildelt. 4.Uden for EU's institutioner og organer udveksles følsomme ikkeklassificerede informationer kun med fysiske eller juridiske personer, der har need to know, og under overholdelse af de håndteringsinstrukser, der ledsager informationerne. Alle involverede parter gøres opmærksom på de relevante håndteringsinstrukser. Artikel 15 Beskyttelse af ikkeklassificerede informationer og interoperabilitet 1.EU's institutioner og organer fastlægger procedurer for rapportering og forvaltning af alle hændelser eller mistænkte hændelser, der kan føre til kompromittering af ikkeklassificerede informationers sikkerhed. 2.Hvor det er nødvendigt, anvender EU's institutioner og organer mærkningerne i artikel 12, 13 og 14. Undtagelsesvis kan der anvendes andre ækvivalente mærkninger internt eller i relation til bestemte modparter i andre EU-institutioner og -organer eller i medlemsstaterne, hvis alle parter er enige. Sådanne undtagelser meddeles undergruppen om ikkeklassificerede informationer, jf. artikel 7, stk. 1, litra b). 3.Der fastsættes kontraktlige sikkerhedsbestemmelser med henblik på at sikre beskyttelse af normale og følsomme ikkeklassificerede informationer, som behandles af udliciterede tjenester. Disse sikkerhedsbestemmelser udformes med henblik på som minimum at garantere et beskyttelsesniveau, der er ækvivalent med det niveau, der fastsættes i denne forordning, og omfatter fortrolighed og forpligtelser om ikke at videregive informationer, der underskrives af alle relevante tjenesteudbydere, som er involveret i leveringen af udliciterede systemer. Artikel 16 Undergruppen om ikkeklassificerede informationer 1.Undergruppen om ikkeklassificerede informationer, jf. artikel 7, stk. 1, litra b), har følgende roller og ansvarsområder: a)strømlining af de procedurer, der vedrører håndtering og opbevaring af ikkeklassificerede informationer og udarbejdelse af den relevante vejledning b)koordinering med undergruppen om informationssikring, jf. artikel 7, stk. 1, litra a), om spørgsmål vedrørende systemers håndtering og opbevaring af ikkeklassificerede informationer

c)udarbejdelse af håndteringsinstrukser for de forskellige fortrolighedsgrader for ikkeklassificerede informationer d)bistand til EU's institutioner og organer i forbindelse med fastsættelsen af ækvivalensen mellem deres respektive kategorier af ikkeklassificerede informationer og kategorierne i artikel 12, 13 og 14 e)fremme af delingen af ikkeklassificerede informationer mellem EU's institutioner og organer, idet den yder bistand og vejledning. Artikel 17 Håndtering og opbevaring af følsomme ikkeklassificerede informationer i CIS'er 1.EU's institutioner og organer sikrer, at CIS'er overholder følgende minimumskrav, når de håndterer og opbevarer følsomme ikkeklassificerede informationer: a)der gennemføres stærk autentificering for at få adgang til følsomme ikkeklassificerede informationer, og følsomme ikkeklassificerede informationer krypteres i forbindelse med overførsel og opbevaring b)den EU-institution eller -organ, der er ansvarlig for driften af CIS'et, er ansvarlig for de krypteringsnøgler, der anvendes i forbindelse med opbevaring c)følsomme ikkeklassificerede informationer opbevares og behandles i EU d)alle udliciteringskontrakter omfatter kontraktbestemmelser om personales, aktivers og informationers sikkerhed e)der anvendes interoperable metadata til registrering af fortrolighedsgraden for elektroniske dokumenter og til at fremme automatiseringen af sikkerhedsforanstaltninger f)EU's institutioner og organer gennemfører foranstaltninger til forhindring og afsløring af datalæk med henblik på beskyttelse af følsomme ikkeklassificerede informationer g)der anvendes, i givet fald, sikkerhedsudstyr, som har en europæisk cybersikkerhedsattest h)tjenesteudbydere og kontrahenter gennemfører sikkerhedsforanstaltninger baseret på principperne om need to know og nultillid med henblik på at begrænse adgangen til følsomme ikkeklassificerede informationer. 2.Alle afvigelser fra minimumskravene i stk. 1 godkendes af det relevante ledelseslag i den relevante EU-institution eller -organ på grundlag af en risikovurdering, der omfatter de retlige og tekniske risici for de følsomme ikkeklassificerede informationers sikkerhed. 3.Den relevante EU-institutions eller -organs informationssikringsmyndighed kan kontrollere overholdelsen af kravene i stk. 1 på et hvilket som helst tidspunkt af et CIS's livscyklus. Kapitel 5

EUCI Afsnit 1

Generelle bestemmelser Artikel 18 Sikkerhedsklassifikationer og mærkninger

1.EUCI klassificeres efter en af følgende grader og mærkes som følger: a)TRES SECRET UE/EU TOP SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser en overordentlig alvorlig skade b)SECRET UE/EU SECRET: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser alvorlig skade c)CONFIDENTIEL UE/EU CONFIDENTIAL: informationer og materiale, hvis uautoriserede videregivelse kunne forvolde Den Europæiske Unions eller en eller flere af medlemsstaternes væsentlige interesser skade d)RESTREINT UE/EU RESTRICTED: informationer og materiale, hvis uautoriserede videregivelse kunne have negativ indvirkning på Den Europæiske Unions eller en eller flere af medlemsstaternes interesser. 2.Koordinationsgruppen vedtager vejledende dokumenter om udarbejdelse og klassificering af EUCI. Artikel 19 Egnethed i forbindelse med håndtering og opbevaring af EUCI 1.Alle EU's institutioner og organer må håndtere og opbevare EUCI, hvis følgende betingelser er opfyldt: a)enheden fastsætter i overensstemmelse med denne forordning regler og procedurer, der sikrer beskyttelse af informationer med en givet klassifikationsgrad, og b)enheden har været genstand for et vurderingsbesøg i overensstemmelse med artikel 53, og det er efterfølgende certificeret, at enheden kan beskytte EUCI i overensstemmelse med denne forordning og, hvis det er relevant, andre relevante regler og procedurer. 2.Betingelserne i stk. 1 anses automatisk som opfyldt for så vidt angår medlemmerne af undergruppen om deling af EUCI og udveksling af klassificerede informationer, jf. artikel 7, stk. 1, litra e). Artikel 20 Beskyttelse af EUCI 1.Den, der er i besiddelse af EUCI, er ansvarlig for beskyttelsen heraf. 2.Hvis en medlemsstat bringer klassificerede informationer med en national sikkerhedsmærkning ind i en EU-institutions eller -organs strukturer eller netværk, beskytter den pågældende EU-institution eller -organ disse informationer i overensstemmelse med den tilsvarende klassifikationsmærkning fastsat i aftalen mellem Den Europæiske Unions medlemsstater, forsamlet i Rådet, om beskyttelse af klassificerede informationer, der udveksles i Den Europæiske Unions interesse. Den dertilhørende ækvivalenstabel findes i bilag VI til denne forordning. 3.En samlet mængde af EUCI kan berettige til en sikkerhedsbeskyttelse af en grad, der svarer til en højere klassifikation end den, der gælder for de enkelte dele. Artikel 21 Risikostyringsproces for EUCI's sikkerhed 1.Hver EU-institutions og -organs sikkerhedsmyndighed godkender sikkerhedsforanstaltningerne til beskyttelse af EUCI i hele livscyklussen i overensstemmelse med resultatet af den risikovurdering, der er udarbejdet af den pågældende EU-institution eller -organ.

2.De sikkerhedsforanstaltninger, som hver EU-institution eller -organ træffer, er i overensstemmelse med klassifikationsgraden for de informationer, der håndteres og opbevares, formen og mængden af informationer, placeringen af og de beskyttende træk ved de faciliteter, hvor EUCI håndteres og opbevares, og den lokalt vurderede trussel fra ondsindet og kriminel virksomhed. 3.Alle EU-institutioner og -organer udarbejder: a)beredskabsplaner med henblik på at sikre EUCI's sikkerhed i nødsituationer b)kontinuitetsplaner, som omfatter forebyggende og genoprettende foranstaltninger med henblik på at minimere følgerne af større nedbrud eller sikkerhedshændelser vedrørende håndtering og opbevaring af EUCI. Artikel 22 Brud på sikkerheden og kompromittering af EUCI 1.En EU-institutions eller -organs eller en persons handling eller forsømmelse, der er i strid med denne forordning, betragtes som et brud på sikkerheden. 2.EUCI anses for at være kompromitteret, hvis de som følge af et brud på sikkerheden helt eller delvist er videregivet til en eller flere personer, der ikke er autoriseret til at få adgang til de pågældende informationer. 3.Enhver kompromittering eller formodet kompromittering af EUCI indberettes straks til den relevante EU-institutions eller -organs sikkerhedsmyndighed, der gennemfører en sikkerhedsundersøgelse og som minimum træffer følgende foranstaltninger: a)informerer udstederen b)sikrer, at sagen undersøges af ansatte, der ikke er direkte involveret i bruddet på sikkerheden, med henblik på at fastslå de faktiske omstændigheder c)vurderer den potentielle skade for EU's eller medlemsstaternes interesser d)træffer passende foranstaltninger til at forebygge en gentagelse e)underretter de kompetente myndigheder om den faktiske eller potentielle kompromittering og om de foranstaltninger, der er truffet. Afsnit 2

Personelsikkerhed Artikel 23 Grundprincipper 1.En EU-institutions eller -organs sikkerhedsmyndighed kan give personer adgang til EUCI, hvis følgende betingelser er opfyldt: a)personen har need to know b)personen er blevet orienteret om reglerne og procedurerne for sikkerhedsbeskyttelse af EUCI og de relevante sikkerhedsstandarder og sikkerhedsretningslinjer og skriftligt har anerkendt sit ansvar med hensyn til beskyttelse af sådanne informationer

c)personen er for så vidt angår informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, blevet sikkerhedsgodkendt og autoriseret til den relevante klassifikationsgrad. 2.EU's institutioner og organer tager en persons loyalitet, troværdighed og pålidelig i betragtning som fastslået i forbindelse med en sikkerhedsundersøgelse gennemført af de kompetente myndigheder i den medlemsstat, hvor ansøgeren er borger eller statsborger. 3.EU's institutioner og organer kan acceptere sikkerhedsgodkendelser udstedt af tredjelande og internationale organisationer, som EU har indgået en informationssikkerhedsaftale med. 4.EU's institutioner og organer kan vælge selv at forvalte godkendelsesprocessen eller indgå en serviceleveranceaftale med Kommissionen om sikkerhedsgodkendelser. Hvis der indgås en serviceleveranceaftale, fungerer Kommissionens sikkerhedsmyndighed som kontaktpunkt mellem sikkerhedskontorerne i den pågældende EU-institution eller -organ og den nationale kompetente myndighed i medlemsstaten for så vidt går sikkerhedsgodkendelsesspørgsmål. 5.Hver EU-institutions eller -organs sikkerhedsmyndighed fører et register over deres sikkerhedsgodkendelser, orienteringer, skriftlige bekræftelser og autorisationer til at få adgang til EUCI. 6.EU-institutioner og -organer, der indgår en serviceleveranceaftale med Kommissionen, stiller de relevante registre til rådighed for Kommissionens sikkerhedsmyndighed som minimum for så vidt angår den klassifikationsgrad for EUCI, som en person gives adgang til, datoen for udstedelse af autorisationen til at få adgang til EUCI samt autorisationens gyldighedsperiode. Andre EU-institutioner og ‑organer, der har indgået en serviceleveranceaftale, skal kunne få begrundet adgang til disse registre. Artikel 24 Autorisation til at få adgang til EUCI 1.Hver EU-institution og -organ udpeger de stillinger i deres enhed, der kræver adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, for at den, der bestrider stillingen, kan udføre sit arbejde. 2.Når en person skal autoriseres til at få adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, underretter den pågældende EU-institution eller -organ den kompetente sikkerhedsmyndighed, som iværksætter de formaliteter, der er fastsat i punkt 1 i bilag II. 3.Hver EU-institutions eller -organs sikkerhedsmyndighed har ansvaret for at udstede, suspendere, inddrage eller forny autorisationer til at få adgang til EUCI for så vidt angår egne medarbejdere. 4.En EU-institutions -eller -organs sikkerhedsmyndighed kan i særlige tilfælde, hvor det er behørigt begrundet i tjenestens interesse, og inden en fuldstændig sikkerhedsundersøgelse er afsluttet, give personer midlertidig autorisation til at få adgang til EUCI med henblik på en specifik stilling, jf. dog bestemmelserne om fornyelse af autorisationer til at få adgang til EUCI og i henhold til kontrol foretaget af den relevante nationale sikkerhedsmyndighed. 5.EU's institutioner og organer følger procedurerne for forvaltning af autorisationer til at få adgang til EUCI, jf. bilag II. Artikel 25 Anerkendelse af en autorisation til at få adgang til EUCI 1.En autorisation til at få adgang til EUCI op til den fastsatte grad er gyldig i alle EU-institutioner og -organer, som personen anvises arbejde i. 2.EU's institutioner og organer accepterer autorisationer til at få adgang til EUCI udstedt af andre EU-institutioner og -organer. 3.Hvis en ansat, der er i besiddelse af en autorisation til at få adgang til EUCI, påbegynder en ansættelse i en anden EU-institution eller -organ, underretter den nye EU-institution eller -organ via den kompetente sikkerhedsmyndighed den relevante nationale myndighed om ændringen af arbejdsgiver. Artikel 26

Orienteringer om EUCI 1.En EU-institutions eller -organs sikkerhedsmyndighed orienterer alle personer, der har brug for at få adgang til EUCI, om alle sikkerhedsrisici og om deres forpligtelse til at indberette mistænkelig aktivitet. Orienteringen finder sted, inden der gives adgang til EUCI, og derefter mindst hvert femte år. 2.Efter at have modtaget den i stk. 1 omhandlede orientering bekræfter alle berørte personer skriftligt, at de har forstået deres forpligtelser med hensyn til beskyttelse af EUCI og de konsekvenser, det kan få, hvis EUCI kompromitteres. 3.Der gælder følgende krav i forbindelse med den i stk. 1 omhandlede orientering: a)enhver, der er ansvarlig for brud på sikkerhedsreglerne i denne forordning, kan pålægges disciplinære foranstaltninger i overensstemmelse med gældende regler og bestemmelser b)enhver, der er ansvarlig for kompromittering eller bortkomst af EUCI, kan pålægges disciplinære foranstaltninger eller retsforfølges i overensstemmelse med gældende ret, regler og bestemmelser. 4.Hvis personer, der har fået en autorisation til at få adgang til EUCI, ikke længere har brug for en sådan adgang, sikrer EU's institutioner og organer, at disse personer er bekendte med, og i givet fald skriftligt bekræfter, deres forpligtelse til fortsat at beskytte EUCI. 5.Opgaven med at udvikle og forvalte orienteringer om EUCI kan deles mellem EU's institutioner og organer, forudsat at der tages højde for deres individuelle krav. Afsnit 3

Fysisk sikkerhed Artikel 27 Grundprincipper 1.Hver EU-institution og -organ fastsætter passende fysiske sikkerhedsforanstaltninger for deres sites i overensstemmelse med bilag III og princippet om dybdeforsvar og på grundlag af en risikovurdering udarbejdet af deres sikkerhedsmyndighed. Foranstaltningerne sikrer følgende målsætninger: a)forhindre, at en indtrænger skaffer sig adgang til EUCI eller tiltvinger sig adgang b)afskrække, vanskeliggøre og afsløre uautoriserede handlinger og reagere på sikkerhedshændelser så hurtigt som muligt c)muliggøre personalemæssig adskillelse for så vidt angår adgang til EUCI på grundlag af personalets need to know og, når det er relevant, personalets sikkerhedsgodkendelse. 2.EU's institutioner og organer gennemfører fysiske sikkerhedsforanstaltninger på alle sites, hvor EUCI drøftes, opbevares eller håndteres, inklusive områder, der huser CIS'er, jf. afsnit 5 i dette kapitel. 3.Der må kun anvendes udstyr, der er godkendt af EU's institutioner og organer, til fysisk beskyttelse af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere. 4.EU's institutioner og organer kan deles om sikrede områder, jf. bilag III, med henblik på håndtering og opbevaring af EUCI efter indgåelse af en aftale. Artikel 28 Undergruppen om fysisk sikkerhed

1.Undergruppen om fysisk sikkerhed, jf. artikel 7, stk. 1, litra c), har følgende roller og ansvarsområder: a)udarbejdelse af vejledende dokumenter om fysisk sikkerhed b)fastsættelse af generelle sikkerhedskriterier for erhvervelsen af udstyr såsom sikkerhedscontainere, makulatorer, dørlåse, elektroniske adgangskontrolsystemer, systemer til afsløring af indtrængen og alarmsystemer til fysisk beskyttelse af EUCI c)bistand til EU's institutioner og organer i forbindelse med fastsættelsen af passende sikkerhedsforanstaltninger for deres sites d)forslag om kompensationsforanstaltninger til beskyttelse af EUCI, når EUCI håndteres uden for en EU-institutions eller -organs fysisk beskyttede område. Artikel 29 Fysisk beskyttelse af EUCI 1.For at sikre den fysiske beskyttelse af EUCI etablerer EU's institutioner og organer følgende fysisk beskyttede områder: a)administrative områder, jf. bilag III b)hvis det er relevant, sikrede områder, herunder klasse I, klasse II og teknisk sikrede områder, jf. bilag III. 2.Den pågældende EU-institutions eller -organs sikkerhedsmyndighed udfører en intern inspektion med henblik på at kontrollere, om betingelserne for et område, der etableres som et administrativt område eller et sikret område, jf. bilag III, er opfyldt. Hvis inspektionsrapporten indikerer, at betingelserne er opfyldt, kan sikkerhedsmyndigheden udstede en akkreditering af det sikrede område med henblik på at beskytte EUCI op til den angivne grad i en periode på højst fem år. Den pågældende EU-institution eller -organ har ansvaret for at gennemføre fornyet akkreditering af sine sikrede områder, inden akkrediteringen udløber, eller når der er gennemført ændringer inden for det sikrede område. 3.Hver EU-institution og -organ vedtager procedurer for forvaltning af nøgler og koder til kontorer, rum, bokslokaler og sikkerhedscontainere for klassifikationsgraden CONFIDENTIEL UE/EU-CONFIDENTIEL eller højere. 4.Sikkerhedsmyndigheden kan autorisere visitation ved ind- og udgang for at afskrække mod og afsløre uautoriseret indførelse af materiale eller uautoriseret fjernelse af EUCI fra et site. 5.EU's institutioner og organer træffer foranstaltninger til fysisk beskyttelse af EUCI i overensstemmelse med bilag III. Afsnit 4

Forvaltning af EUCI Artikel 30 Grundprincipper 1.EU's institutioner og organer registrerer, arkiverer og bevarer deres EUCI-dokumenter samt bortskaffer, gemmer i uddrag eller videregiver i sidste ende deres EUCI-dokumenter til de historiske arkiver i overensstemmelse med den opbevaringspolitik og de regler, der gælder for hver EU-institutions eller -organs filer. 2.Den EU-institution eller -organ, der er udsteder af EUCI, fastlægger klassifikationsgraden for de pågældende informationer ved udarbejdelsen af dem og i overensstemmelse med artikel 18, stk. 1.

3.EU's institutioner og organer meddeler tydeligt klassifikationsgraden til modtagerne, enten ved en klassifikationsmærkning, eller ved at den oplyses, såfremt informationerne meddeles mundtligt. 4.De sikkerhedsforanstaltninger, der gælder for det oprindelige dokument, gælder også for udkast, kopier og oversættelser af det. 5.EU's institutioner og organer træffer foranstaltninger til forvaltning af EUCI i overensstemmelse med bilag IV. Artikel 31 Udarbejdelse af EUCI 2. Den EU-institution eller -organ, under hvis myndighed EUCI udarbejdes, sikrer at følgende krav er opfyldt: a)hver side er tydeligt mærket med klassifikationsgraden b)hver side er nummereret c)dokumentet er forsynet med et referencenummer, hvis det er relevant et registreringsnummer, og et emne, der ikke i sig selv er EUCI, medmindre det er mærket som sådan d)dokumentet er forsynet med datoen for udarbejdelsen. e)alle bilag er så vidt muligt angivet på første side f)dokumenter, der er klassificeret SECRET UE/EU SECRET eller højere, har et eksemplarnummer på hver side, hvis de skal distribueres i flere eksemplarer. Elektroniske kopier, der distribueres uden for opbevaringssystemet er forsynet med en unik identifikator baseret på en elektronisk signatur. Artikel 32 Udstederkontrol 1.Den EU-institution eller -organ, under hvis myndighed EUCI udarbejdes, har udstederkontrol over det pågældende dokument. Udstederen fastsætter dokumentets klassifikationsgrad og er ansvarlig for dets første distribution. Uden at det berører forordning (EF) nr. 1049/2001 indhentes der forudgående skriftligt samtykke fra udsteder, før informationerne: a)afklassificeres eller nedklassificeres b)anvendes til andre formål end dem, der er fastsat af udstederen c)fremsendes til en enhed uden for den EU-institution eller -organ, der er i besiddelse af informationerne, herunder et tredjeland eller en international organisation, en anden EU-institution eller -organ, medlemsstater, en kontrahent eller en potentiel kontrahent, en tilskudsmodtager eller en potentiel tilskudsmodtager d)kopieres eller oversættes for så vidt angår klassifikationsgraden TRES SECRET-UE/EU-TOP SECRET. 2.Hvis det ikke er muligt at identificere udstederen af et EUCI-dokument, udøver den EU-institution eller -organ, som er i besiddelse af de klassificerede informationer, udstederkontrol.

3.Udstedere af EUCI-dokumenter fører et register over alle klassificerede kilder, der er benyttet til produktionen af klassificerede dokumenter, herunder nærmere oplysninger om kilder, der oprindeligt er fra medlemsstater, internationale organisationer eller tredjelande. Om nødvendigt mærkes aggregerede klassificerede informationer på en sådan måde, at identifikationen af udstederne af det anvendte klassificerede kildemateriale bevares. Artikel 33 Klassifikationsmærkning 1.Ud over en sikkerhedsklassifikationsmærkning, kan EUCI-dokumenter om nødvendigt forsynes med yderligere mærkninger såsom distributions- eller videregivelsesmærkninger eller mærkning, der angiver udstederen. 2.Forskellige dele af et EUCI-dokument kan kræve forskellige klassifikationsgrader og mærkes i overensstemmelse hermed. Et dokuments eller dossiers samlede klassifikationsgrad er mindst den samme som den del, der har den højeste klassifikationsgrad. 3.Dokumenter, der indeholder dele med forskellig klassifikationsgrad, struktureres, så dele med en anden klassifikationsgrad let kan identificeres og udskilles, hvis det er nødvendigt. Artikel 34 EUCI-arkivsystemet 1.Alle EU-institutioner og -organer, der håndterer og opbevarer informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere, etablerer et eller flere EUCI-arkiver for at sikre registrering med henblik på sikkerhed, når informationerne ankommer til eller forlader en EU-institution eller -organ. 2.EUCI-arkiver etableres i sikrede områder, jf. bilag III. 3.EU's institutioner og organer udpeger en arkivansvarlig, der forvalter hvert EUCI-arkiv. Den arkivansvarlige har relevant sikkerhedsgodkendelse og er autoriseret i overensstemmelse med artikel 24. EU's institutioner og organer sikrer korrekt uddannelse af deres arkivansvarlige. Artikel 35 Nedklassificering og afklassificering 1.Informationer skal kun være klassificerede, så længe beskyttelsen af dem er nødvendig. EUCI, for hvilke det ikke er nødvendigt at bevare den oprindelige klassifikationsgrad, nedklassificeres til en lavere grad. EUCI, som det ikke længere er nødvendigt at anse for at være klassificerede, afklassificeres. 2.På det tidspunkt, hvor EUCI udarbejdes, angiver udstederen så vidt muligt og navnlig for informationer, der er klassificeret som RESTREINT UE/EU RESTRICTED, om EUCI kan nedklassificeres eller afklassificeres på en bestemt dato eller efter en bestemt begivenhed. 3.Den udstedende EU-institution eller -organ har ansvaret for at afgøre, om et EUCI-dokument kan nedklassificeres eller afklassificeres. EU-institutionen eller -organet tager regelmæssigt, men mindst hvert femte år, informationerne op til revision og vurderer risiciene med henblik på at afgøre, om den oprindelige klassifikationsgrad stadig er relevant. 4.EU-institutioner og -organer, der er i besiddelse af EUCI, som de ikke selv er udsteder af, ned- eller afklassificerer ikke det pågældende dokument, og hverken ændrer eller fjerner nogen af de mærkninger, der er omhandlet i artikel 18, stk. 1, uden forudgående skriftligt samtykke fra udstederen. 5.EU's institutioner og organer må delvist ned- eller afklassificere EUCI, som de selv har udarbejdet. I sådanne tilfælde produceres der et nedklassificeret eller afklassificeret uddrag. 6.EU's institutioner og organer underretter den enhed, der har modtaget de pågældende EUCI, om ned- eller afklassificeringen. Artikel 36

Mærkninger på nedklassificerede og afklassificerede dokumenter 1.Hvis EU's institutioner og organer beslutter at afklassificere et EUCI-dokument, overvejes det, om dokumentet bør forsynes med en distributionsmærkning, der angiver, at der er tale om følsomme ikkeklassificerede informationer. 2.Den oprindelige klassifikationsmærkning øverst og nederst på hver side streges tydeligt over enten ved hjælp af "gennemstregningsfunktionen", når der er tale om dokumenter i elektronisk form, eller manuelt, når der er tale om trykte dokumenter. Den oprindelige klassifikationsmærkning fjernes ikke. 3.Den første side eller forsiden stemples som nedklassificeret eller afklassificeret og forsynes med nærmere oplysninger om den myndighed, der er ansvarlig for nedklassificeringen eller afklassificeringen, og den tilhørende dato. Nedklassificering eller afklassificering af et elektronisk EUCI-dokument dokumenteres ved hjælp af en elektronisk signatur under udsteders myndighed. Artikel 37 Destruktion og sletning af EUCI 1.EU's institutioner og organer gennemgår mindst hvert femte år både EUCI, der foreligger i papirform, og EUCI, der er lagret i CIS'er, for at fastslå, om de bør destrueres eller slettes. Hvis EUCI destrueres eller slettes, instruerer de alle, der tidligere har modtaget de pågældende EUCI. 2.EU's institutioner og organer kan destruere duplikater af EUCI, der ikke længere er nødvendige, under hensyntagen til de relevante regler om dokumentforvaltning, der gælder for originalerne. 3.EU's institutioner og organer destruerer kun papirkopier af informationer, der af deres arkivansvarlige er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller højere. Den arkivansvarlige ajourfører logbøger og andre registreringsinformationer i overensstemmelse hermed, idet de vigtigste metadata af det destruerede dokument beholdes. Dokumenter, der er klassificeret SECRET UE/EU SECRET og højere, destrueres kun af den arkivansvarlige og under overværelse af et vidne, der er sikkerhedsgodkendt til mindst samme klassifikationsgrad som det dokument, der destrueres. 4.Den arkivansvarlige og, hvis det er relevant, vidnet, underskriver en destruktionsattest, der opbevares i arkivet. Attesten opbevares i mindst fem år for så vidt angår informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET-UE/EU-SECRET, og i mindst 10 år for så vidt angår informationer, der er klassificeret TRES SECRET-UE/EU-TOP SECRET. Artikel 38 Nødflytning og nøddestruktion af EUCI 1.Hver EU-institution eller -organ udarbejder planer for nødflytning og nøddestruktion baseret på lokalforholdene med henblik på at beskytte EUCI, der har en betydelig risiko for at falde i de forkerte hænder i en krisesituation. De nærmere detaljer i planerne for nødflytning og nøddestruktion klassificeres RESTREINT UE/EU RESTRICTED. 2.Hvis der i en nødsituation er overhængende fare for uautoriseret videregivelse af EUCI, flytter EU's institutioner og -organer EUCI. Hvis flytning ikke er mulig, destrueres EUCI på en sådan måde, at de ikke kan rekonstrueres hverken helt eller delvis. 3.Udstederen og det udstedende arkiv underrettes om nødflytningen eller nøddestruktionen af de registrerede EUCI. 4.Når nødplanerne er aktiveret, prioriteres det at flytte eller destruere informationer med højeste klassifikationsgrad først, herunder krypteringsudstyret. Artikel 39

Arkivering 1.EU's institutioner og organer beslutter, om og hvornår EUCI arkiveres samt de tilhørende praktiske foranstaltninger, der træffes, i overensstemmelse med deres politik for dokumentforvaltning. 2.EUCI-dokumenter overføres ikke til Den Europæiske Unions historiske arkiver. Afsnit 5

Beskyttelse af EUCI i kommunikations- og informationssystemer (CIS'er) Artikel 40 Undergruppen om akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI Undergruppen om akkreditering af kommunikations- og informationssystemer, der håndterer og opbevarer af EUCI, jf. artikel 7, stk. 1, litra d), har følgende roller og ansvarsområder: a)bistå EU's institutioner og organer i forbindelse med akkrediteringsprocessen b)anbefale en standard for akkreditering, der bør følges af alle EU-institutioner og -organer c)udbrede og dele bedste praksis og vejledning vedrørende akkreditering af CIS'er. Artikel 41 Kommunikations- og informationssystemer (CIS'er) EU's institutioner og organer opfylder følgende krav i forbindelse med CIS'er, der håndterer og opbevarer EUCI: a)systemejeren eller den operative informationssikringsmyndighed konsulterer sikkerhedsakkrediteringsmyndigheden inden førstnævnte udvikler, bestiller eller muliggør håndtering eller opbevaring af EUCI i et CIS, med henblik på at fastsætte akkrediteringskravene b)de vigtigste sikkerhedsprincipper for udformningen af CIS'er, der håndterer og opbevarer EUCI, gælder fra projektets begyndelse, som en del af informationssikkerhedsrisikostyringsprocessen og under hensyntagen til need to know, minimumsfunktionalitet, dybdeforsvar, minimumsrettigheder, funktionsadskillelse og to par øjne c)lagrings-, centralbehandlings- og netstyringskomponenterne i et CIS, der håndterer og opbevarer EUCI, installeres i et sikret område, jf. bilag III d)der gennemføres TEMPEST-sikkerhedsforanstaltninger, som svarer til risikoen for udnyttelse af informationerne og til informationernes klassifikationsgrad e)alt personale, der er involveret i driften af et CIS, der håndterer og opbevarer EUCI, underretter sikkerhedsmyndigheden og den relevante systemejer eller operative informationssikringsmyndighed om potentielle sikkerhedssvagheder, hændelser, sikkerhedsbrud og systemkompromittering, som kan have indflydelse på beskyttelsen af CIS'et eller de EUCI, det håndterer eller opbevarer f)hvis det er relevant, underretter sikkerhedsmyndigheden andre berørte EU-institutioners eller -organers sikkerhedsmyndigheder om potentielle sikkerhedssvagheder eller hændelser, som kan have indflydelse på deres CIS'ers håndtering eller opbevaring af E