EUROPÄISCHE KOMMISSION Brüssel, den 22.3.2022 COM(2022) 119 final 2022/0084(COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die Informationssicherheit in den Organen, Einrichtungen und sonstigen Stellen der Union {SWD(2022) 65 final} - {SWD(2022) 66 final}



BEGRÜNDUNG 1.KONTEXT DES VORSCHLAGS •Gründe und Ziele des Vorschlags Dieser Vorschlag ist Teil der EU-Strategie für eine Sicherheitsunion, die die Kommission am 24. Juli 2020 angenommen hat und in der sie sich verpflichtet, den Mehrwert der Europäischen Union für die nationalen Bemühungen im Bereich der Sicherheit einzubringen. Teil dieser Verpflichtung ist die Initiative zur Straffung des internen Rechtsrahmens für die Informationssicherheit in allen Organen und Einrichtungen der Union. Ein zentrales Element der vom Europäischen Rat im Juni 2019 angenommenen Strategischen Agenda für 2019–2024 ist der Schutz unserer Gesellschaft vor den sich ständig wandelnden Bedrohungen, die sich gegen die Informationen richten, mit denen die Organe und Einrichtungen umgehen. In seinen Schlussfolgerungen ersucht der Europäische Rat insbesondere „die EU-Institutionen, zusammen mit den Mitgliedstaaten Maßnahmen auszuarbeiten, um die Resilienz zu stärken und die Sicherheitskultur der EU hinsichtlich Cyberbedrohungen und hybrider Bedrohungen von außerhalb der EU zu verbessern und die Kommunikations- und Informationsnetze der EU sowie ihre Entscheidungsprozesse besser vor böswilligen Aktivitäten aller Art zu schützen.“ In diesem Sinne kam der Rat (Allgemeine Angelegenheiten) im Dezember 2019 zu dem Schluss, dass die Organe und Einrichtungen der EU mit Unterstützung der Mitgliedstaaten ein umfassendes Paket von Maßnahmen zur Gewährleistung ihrer Sicherheit entwickeln und umsetzen sollten. Dies spiegelt eine seit langem bestehende Forderung des Sicherheitsausschusses des Rates wider, einen gemeinsamen Kern von Sicherheitsvorschriften für den Rat, die Kommission und den Europäischen Auswärtigen Dienst zu erarbeiten. Gegenwärtig haben die Organe und Einrichtungen der Union entweder ihre eigenen Vorschriften für die Informationssicherheit, die auf ihrer Geschäftsordnung oder ihrem Gründungsakt beruhen, oder sie haben überhaupt keine Vorschriften für die Informationssicherheit. Dies ist vor allem bei einigen kleinen Einrichtungen der Fall, die über keine formelle Informationssicherheitsstrategie verfügen. Aufgrund der ständig wachsenden Menge an vertraulichen, nicht als Verschlusssache eingestuften und als EU-Verschlusssachen eingestuften Informationen (im Folgenden „EU-VS“), die die Organe und Einrichtungen der Union untereinander austauschen müssen, und angesichts der dramatischen Entwicklung der Bedrohungslage ist die europäische Verwaltung in allen ihren Tätigkeitsbereichen Angriffen ausgesetzt. Die von den Organen und Einrichtungen der Union bearbeiteten Informationen sind ein sehr attraktives Ziel für die Angreifer und müssen angemessen geschützt werden. Hierzu sind umgehend Maßnahmen zu ergreifen, um den Schutz dieser Informationen zu verbessern. Aus diesem Grund und um den Schutz der von der europäischen Verwaltung bearbeiteten Informationen zu verbessern, sollen mit dieser Initiative die verschiedenen Rechtsrahmen der Organe und Einrichtungen der Union in diesem Bereich mit folgenden Maßnahmen gestrafft werden: •Festlegung harmonisierter und umfassender Kategorien von Informationen sowie gemeinsamer Vorschriften für den Umgang mit Informationen für alle Organe und Einrichtungen der Union •Einrichtung eines effizienten Systems der Zusammenarbeit im Bereich der Informationssicherheit zwischen den Organen und Einrichtungen der Union, das eine kohärente Kultur der Informationssicherheit in der gesamten europäischen Verwaltung fördern kann •Modernisierung der Strategien zur Informationssicherheit auf allen Ebenen der Klassifizierung/Kategorisierung für alle Organe und Einrichtungen der Union unter Berücksichtigung des digitalen Wandels und der Entwicklung der Telearbeit als strukturelle Praxis •Kohärenz mit den bestehenden Vorschriften in diesem Bereich Diese Initiative steht im Einklang mit einer Vielzahl von EU-Maßnahmen im Bereich der Sicherheit und Informationssicherheit. Bereits 2016 erließen das Europäische Parlament und der Rat eine Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union. Diese Richtlinie war die erste unionsweite Legislativmaßnahme, mit der die Zusammenarbeit zwischen den Mitgliedstaaten im Bereich der Cybersicherheit verstärkt werden sollte. Die Kommission hat zwar im Dezember 2020 einen Vorschlag zur Überarbeitung dieses Instruments angenommen, mit dem Aufsichtsmaßnahmen für die nationalen Behörden eingeführt werden, die Verwaltung der Union fällt jedoch weiterhin nicht in den Anwendungsbereich dieses Instruments. In diesem Sinne und zur Ergänzung der Bemühungen der Mitgliedstaaten im Bereich der Sicherheit ist es von größter Bedeutung, dass die Organe und Einrichtungen der Union ein hohes Schutzniveau für ihre Informationen und die damit verbundenen Informations- und Kommunikationssysteme erreichen, um die Informationssicherheit zu gewährleisten. Im Juli 2020 nahm die Kommission die Strategie für eine Sicherheitsunion an, mit der sich die EU umfassend verpflichtet, die Anstrengungen der Mitgliedstaaten in allen Bereichen der Sicherheit zu ergänzen. Diese Strategie läuft von 2020 bis 2025 und umfasst vier strategische Prioritäten: ein zukunftsfähiges Sicherheitsumfeld, der Umgang mit sich wandelnden Bedrohungen, der Schutz der Europäerinnen und Europäer vor Terrorismus und organisierter Kriminalität und eine starke europäische Sicherheitsgemeinschaft. Im Mittelpunkt verschiedener Themen, die im Rahmen dieser Prioritäten angegangen werden, stehen die Informationssicherheit, die Cybersicherheit, die Zusammenarbeit und der Informationsaustausch sowie kritische Infrastrukturen. Im Einklang mit der Strategie für eine Sicherheitsunion schlägt die Europäische Kommission die Schaffung von Mindestvorschriften für die Informationssicherheit in allen Organen und Einrichtungen der Union vor, das verbindliche und hohe gemeinsame Standards für den sicheren Austausch von Informationen vorsieht. Mit dieser Initiative setzen sich die Organe und Einrichtungen dafür ein, dass innerhalb der europäischen Verwaltung das gleiche Maß an Ehrgeiz im Bereich der Sicherheit herrscht, wie es von den Mitgliedstaaten gefordert wird. Am 16. Dezember 2020 stellten die Kommission und die Hohe Vertreterin für Außen- und Sicherheitspolitik eine neue Cybersicherheitsstrategie der EU vor. Darin werden Prioritäten und Handlungsbereiche festgelegt, um Europas Resilienz, Autonomie, Führungsrolle und operative Kapazitäten angesichts der wachsenden und komplexen Bedrohungen für seine Netz- und Informationssystem aufzubauen und einen globalen und offenen Cyberraum und die diesbezüglichen internationalen Partnerschaften zu fördern. Ebenso wichtig ist es, dass die Organe und Einrichtungen der Union zur Verwirklichung dieser Prioritäten beitragen, indem sie gleichwertige Anforderungen im Bereich der Informations- und Cybersicherheit festlegen.

Mit diesem Vorschlag und dem Vorschlag für eine Verordnung über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union soll der Regelungsrahmen der Strategie für eine Sicherheitsunion durch spezielle Anforderungen an die europäische Verwaltung vervollständigt werden. Angesichts der Verflechtungen zwischen Informationssicherheit und Cybersicherheit sollte bei diesen beiden Vorschlägen ein kohärenter Ansatz für den Schutz von nicht als Verschlusssache eingestuften Informationen gewährleistet werden. •Kohärenz mit der Politik der Union in anderen Bereichen Diese Initiative trägt auch der Politik der Union in anderen Bereichen Rechnung, die für die Informationssicherheit von Bedeutung sind. Im Bereich des Datenschutzes gilt für die Verwaltung der Europäischen Union und der Europäischen Atomgemeinschaft (im Folgenden „Euratom“) die Verordnung (EU) 2018/1725 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die Organe, Einrichtungen und sonstigen Stellen der Union und zum freien Datenverkehr. In diesem Zusammenhang ist auch zu erwähnen, dass die EU-Gesetzgeber für einige Organe und Einrichtungen der Union spezielle Vorschriften zum Schutz personenbezogener Daten erlassen haben. Im Bereich der Transparenz stützt sich dieser Vorschlag auf die Grundsätze der Verordnung (EG) Nr. 1049/2001 über den Zugang der Öffentlichkeit zu Dokumenten des Europäischen Parlaments, des Rates und der Kommission sowie auf andere einschlägige Vorschriften. 2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄẞIGKEIT •Rechtsgrundlage In Anbetracht des Ziels und des Inhalts dieses Vorschlags ist die geeignetste Rechtsgrundlage Artikel 298 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) und Artikel 106a des Vertrags zur Gründung der Europäischen Atomgemeinschaft. Artikel 298 AEUV wurde durch den Vertrag von Lissabon eingeführt und ermöglicht es dem Gesetzgeber, Bestimmungen zur Schaffung einer effizienten und unabhängigen Verwaltung zu erlassen, die die Organe, Einrichtungen und sonstigen Stellen bei der Ausübung ihrer Aufgaben unterstützt. Eine effiziente und unabhängige Verwaltung ist auf die Sicherheit ihrer Informationen angewiesen. Damit die Organe und Einrichtungen der Union ihre Aufgaben ausüben können, benötigen sie eine sichere Umgebung für die Informationen, die sie täglich bearbeiten und speichern. Die Bereitstellung einer gemeinsamen Grundlage von Standards, die für alle verbindlich sind, würde zudem ein hohes Sicherheitsniveau gewährleisten, das Risiko von Schwachstellen bei der Unterstützung der Interoperabilität zwischen den Organen und Einrichtungen verringern und Synergien nutzen, wodurch die Resilienz der Verwaltung gegenüber den sich wandelnden Bedrohungen verbessert würde. Mit dem übergeordneten Ziel, ein hohes gemeinsames Sicherheitsniveau für EU-VS und nicht als Verschlusssache eingestufte Informationen, die von den Organen und Einrichtungen der Union bearbeitet und gespeichert werden, zu erreichen, ermöglicht dieser Vorschlag der europäischen Verwaltung einen besseren Schutz vor äußeren Eingriffen und Spionagetätigkeiten. Artikel 298 AEUV ermöglicht es der Union, gemeinsame Vorschriften für die gesamte europäische Verwaltung festzulegen, um sicherzustellen, dass alle Organe und Einrichtungen der Union EU-VS und nicht als Verschlusssache eingestufte Informationen in gleicher Weise behandeln. Insofern werden in dieser Verordnung Vorschriften für die Verwaltung festgelegt, wobei mittelbar nur den Personen Verpflichtungen auferlegt werden können, die Aufgaben im Namen dieser Verwaltung oder auf vertraglicher Grundlage erfüllen (dies gilt nicht für die Kommissionsmitglieder, die im Rat handelnden Vertreter der Mitgliedstaaten, die Mitglieder des Europäischen Parlaments, die Richter der Gerichte der Union oder die Mitglieder des Europäischen Rechnungshofs). Gemäß Artikel 298 AEUV beschließen das Europäische Parlament und der Rat gemäß dem ordentlichen Gesetzgebungsverfahren durch eine Verordnung. Für diesen Vorschlag ist eine zusätzliche Rechtsgrundlage erforderlich, da er auch Informationen im Zusammenhang mit einigen Tätigkeiten der Europäischen Atomgemeinschaft abdeckt. Bei diesen Informationen handelt es sich nicht um Euratom-Verschlusssachen, doch werden sie von den Organen und Einrichtungen der Union nach der allgemeinen Regelung für EU-VS behandelt. Diese zusätzliche Rechtsgrundlage ist Artikel 106a des Vertrags zur Gründung der Europäischen Atomgemeinschaft, durch den Artikel 298 AEUV auch auf die oben genannten Euratom-Tätigkeiten anwendbar wird. •Subsidiarität (bei nicht ausschließlicher Zuständigkeit) Nach dem in Artikel 5 Absatz 3 des Vertrags über die Europäische Union verankerten Subsidiaritätsprinzip wird die EU nur tätig, sofern und soweit die angestrebten Ziele auf Ebene der Mitgliedstaaten nicht ausreichend erreicht werden können und daher wegen ihres Umfangs oder ihrer Wirkungen besser auf EU-Ebene zu verwirklichen sind. Da nur die Union Vorschriften für EU-VS und nicht als Verschlusssache eingestufte vertrauliche Informationen erlassen kann, die von den Organen und Einrichtungen der Union bearbeitet und gespeichert werden, findet das Subsidiaritätsprinzip keine Anwendung. •Verhältnismäßigkeit Die Schaffung einer gemeinsamen Grundlage für die Informationssicherheit aller Organe und Einrichtungen der Union ist notwendig, um eine unabhängige und effiziente Verwaltung zu gewährleisten.

Im Einklang mit dem in Artikel 5 Absatz 4 EUV verankerten Grundsatz der Verhältnismäßigkeit sind die Bestimmungen der Verordnung nicht übermäßig präskriptiv und lassen Raum für verschiedene Ebenen spezifischer Maßnahmen, die dem Sicherheitsniveau der einzelnen Organe und Einrichtungen der Union entsprechen. Außerdem hat die Lösung nur begrenzte Auswirkungen auf die Grundrechte des Einzelnen. Insofern geht der Vorschlag nicht über das Maß hinaus, das notwendig ist, um das Problem der fehlenden gemeinsamen Vorschriften für die Informationssicherheit für alle Organe und Einrichtungen der Union zu lösen. •Wahl des Instruments Eine Verordnung auf der Grundlage von Artikel 298 AEUV wird als das geeignete Rechtsinstrument angesehen. Die Wahl einer Verordnung als Rechtsinstrument ist dadurch gerechtfertigt, dass Elemente überwiegen, die eine einheitliche Anwendung ohne Umsetzungsspielraum der Organe und Einrichtungen der Union erfordern und durch die ein minimaler horizontaler Rahmen geschaffen wird. 3.ERGEBNISSE DER EX-POST-BEWERTUNG, DER KONSULTATION DER INTERESSENTRÄGER UND DER FOLGENABSCHÄTZUNG •Ex-post-Bewertung/Eignungsprüfungen bestehender Rechtsvorschriften Entfällt. •Konsultation der Interessenträger Die Kommission hat eine umfassende Konsultation der wichtigsten Interessenträger zu verschiedenen Aspekten der Vorschriften für die Informationssicherheit der Organe und Einrichtungen der Union durchgeführt. Übergeordnetes Ziel der Konsultation war es, relevante Beiträge für die Ausarbeitung einer Gesetzesinitiative zu gemeinsamen Vorschriften für die Informationssicherheit für alle Organe und Einrichtungen der Union zu sammeln. Mit den Konsultationen sollten Beiträge zu folgenden Themen gesammelt werden: •Probleme im Zusammenhang mit dem bestehenden Rahmen für die Informationssicherheit in den Organen und Einrichtungen der Union, die nach Ansicht der Interessenträger in der Initiative berücksichtigt werden sollten •Relevanz, Wirksamkeit, Effizienz und Mehrwert der Initiative •erwartete Auswirkungen der Initiative und mögliche weitere Folgen für die Interessenträger Bei der Ausarbeitung dieses Legislativvorschlags hat die Kommission die folgenden Kategorien von Interessenträgern konsultiert: 1.Organe, Einrichtungen, Ämter und Agenturen der Europäischen Union 2.Nationale Sicherheitsbehörden in den Mitgliedstaaten 3.Sachverständige der Gemeinsamen Forschungsstelle der Kommission In Anbetracht der Besonderheit dieser Initiative, die ausschließlich für die Organe und Einrichtungen der Union gilt und nur geringe Auswirkungen auf die europäischen Bürger und Bürgerinnen sowie Unternehmen hat, haben die Kommissionsdienststellen beschlossen, der Sammlung von Standpunkten der relevanten Interessenträger Vorrang einzuräumen. Daher wurde speziell für diese Gesetzesinitiative keine öffentliche Konsultation durchgeführt. Während des Konsultationsprozesses haben die Kommissionsdienststellen verschiedene Konsultationsmethoden und -formen angewandt: 1.Gelegenheit für alle interessierten Parteien, über die Plattform „Ihre Meinung zählt“ der Kommission Rückmeldung zur Folgenabschätzung in der Anfangsphase zu geben

2.ein gezielter Fragebogen an die Sachverständigen für Informationssicherheit in den Organen und Einrichtungen der Union über eine Online-Umfrage der EU 3.ein gezielter Fragebogen an die nationalen Sicherheitsbehörden der Mitgliedstaaten über eine Online-Umfrage der EU 4.ein Antrag auf eine maßgeschneiderte Risikobewertung der wichtigsten Komponenten der Informationssicherheit 5.zahlreiche Sitzungen und Gespräche mit Vertretern von Organen, Einrichtungen, Ämtern und Agenturen sowie mit den nationalen Sicherheitsbehörden der Mitgliedstaaten Als wichtigste Ergebnisse der Konsultation hebt die Kommission die folgenden Punkte hervor: •Die Uneinheitlichkeit der einschlägigen Rechtsrahmen der Organe und Einrichtungen der EU führt zu erheblicher Doppelarbeit bei der Erstellung und Aufrechterhaltung interner Vorschriften sowie zu nicht miteinander kompatiblen Verfahren im Umgang mit Informationen. Die Verschiedenartigkeit dieser Vorschriften erhöht für die Mitgliedstaaten das Risiko von Missverständnissen, Fehlinterpretationen und Nichteinhaltung. •Durch die Festlegung einer gemeinsamen Grundlage für die Informationssicherheit aller Organe und Einrichtungen der Union würde zwar ein System mit standardisierten Sicherheitsvorschriften und bewährten Verfahren geschaffen, doch sind die Vielfalt und das unterschiedliche Tätigkeitsumfeld der einzelnen Organe und Einrichtungen der Union zu berücksichtigen, und es sollten lokale Lösungen zugelassen werden. •Diese Initiative sollte die Autonomie und den unterschiedlichen Entwicklungsstand der Informationssicherheit der einzelnen Organe und Einrichtungen der Union respektieren, die für ihre Organisation der Informationssicherheit voll verantwortlich bleiben. •Einholung und Nutzung von Expertenwissen Die Kommission nutzte zur Durchführung der Konsultation der Interessenträger ihre eigenen Ressourcen. Die Direktion Sicherheit der GD HR hat die damit verbundenen Arbeiten an den Umfragen, Videokonferenzen und anderen Workshops durchgeführt. Diese Aufgabe umfasste sowohl die Auswahl der Teilnehmer als auch die Organisation der Veranstaltungen und die Auswertung der eingegangenen Beiträge. Die Gemeinsame Forschungsstelle (GFS) führte eine Risikobewertung der wichtigsten Komponenten der Informationssicherheit durch, die als Grundlage für die Folgenabschätzung diente. •Folgenabschätzung Diese Initiative richtet sich ausschließlich an die Organe und Einrichtungen der Union und hat nur begrenzte Auswirkungen auf die Mitgliedstaaten und Einzelpersonen. Daher war es nicht notwendig, eine umfassende Folgenabschätzung durchzuführen, da keine klar erkennbaren oder erheblichen Auswirkungen auf Bürger und Bürgerinnen oder Unternehmen festgestellt wurden. Ein umfassender Fahrplan wurde auf der Europa-Website veröffentlicht und es wurde Feedback von den relevanten Interessenträgern eingeholt. •Effizienz der Rechtsetzung und Vereinfachung Entfällt. •Grundrechte Die EU setzt alles daran, hohe Standards für den Schutz der Grundrechte zu gewährleisten. Diese Initiative gewährleistet die vollständige Einhaltung der Grundrechte, wie sie in der Charta der Grundrechte der Europäischen Union verankert sind: •Recht auf eine gute Verwaltung Die Organe und Einrichtungen der Union tragen zur Verwirklichung des Grundsatzes der guten Verwaltungspraxis bei, indem sie die Sicherheit der Informationen erhöhen, mit denen sie bei der Behandlung der Angelegenheiten der europäischen Bürger und Bürgerinnen umgehen. •Schutz personenbezogener Daten

Die gesamte Verarbeitung personenbezogener Daten im Rahmen dieses Vorschlags fände in vertrauenswürdiger Umgebung unter uneingeschränkter Einhaltung der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates statt. •Recht auf Zugang zu Dokumenten Der Zugang der Öffentlichkeit zu EU-VS und nicht als Verschlusssache eingestuften vertraulichen Dokumenten wird weiterhin vollständig durch die Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates geregelt. •Recht auf den Schutz geistigen Eigentums Bei der Bearbeitung und Verwahrung von nicht als Verschlusssache eingestuften Informationen und EU-VS schützen die Organe und Einrichtungen der Union das geistige Eigentum gemäß der Richtlinie 2001/29/EG des Europäischen Parlaments und des Rates. •Freiheit der Meinungsäußerung und Informationsfreiheit Zwar hat jeder die Freiheit, Informationen und Ideen zu erhalten und auszutauschen, ohne dass eine Behörde eingreift, doch hindert dies die Union nicht daran, die Bedingungen für den Zugang zu bestimmten Arten von Informationen sowie deren Bearbeitung und Verwahrung auf der Grundlage ihrer Vertraulichkeitsstufe festzulegen. Für die Ausübung dieser Freiheiten können Bedingungen und Beschränkungen gelten, die gesetzlich vorgesehen und in einer demokratischen Gesellschaft notwendig sind, um die Weitergabe von vertraulichen Informationen zu verhindern und die Sicherheit der EU zu gewährleisten. 4.AUSWIRKUNGEN AUF DEN HAUSHALT Dieser Vorschlag erfordert die Zuweisung eines Beamten der Funktionsgruppe AD und eines Beamten der Funktionsgruppe AST für das ständige Sekretariat der Koordinierungsgruppe, das von der Kommission in der Direktion Sicherheit der Generaldirektion Humanressourcen und Sicherheit eingerichtet wird. Für die Organe und Einrichtungen werden Kosteneinsparungen bei den gemeinsamen Aufgaben und der Zusammenarbeit sowie bei der Vermeidung potenzieller wirtschaftlicher Schäden infolge von Sicherheitsvorfällen aufgrund von Verbesserungen der Informationssicherheit erwartet. Zum anderen können die für die Durchführung der neuen Rechtsvorschriften erforderlichen finanziellen Aufwendungen im Rahmen der bestehenden Programme zur Verbesserung der Informationssicherheit in den einzelnen Organen und Einrichtungen der Union gedeckt werden. 5.WEITERE ANGABEN •Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten Die Kommission ist gemäß dem Vorschlag verpflichtet, dem Europäischen Parlament und dem Rat alle drei Jahre über die Durchführung dieser Verordnung, einschließlich der Funktionsweise der mit dieser Verordnung geschaffenen Governance, Bericht zu erstatten. Darüber hinaus wird die Kommission alle fünf Jahre diese Verordnung evaluieren, um ihre tatsächliche Leistung zu bewerten und auf dieser Grundlage zu ermitteln, ob eine Änderung der Rechtsvorschriften erforderlich ist. •Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags Im Mittelpunkt dieses Vorschlags stehen die Anforderungen an den Umgang mit und die Speicherung von nicht als Verschlusssache eingestuften Informationen und EU-VS, die den Hauptgegenstand der Initiative bilden und deren besserer Schutz das eigentliche Ziel der Initiative ist. Gegenstand und Anwendungsbereich (Artikel 1 und Artikel 2) Diese Verordnung soll ein Mindestmaß an Vorschriften für die Informationssicherheit schaffen, die für alle Organe und Einrichtungen der Union gelten. Sie gilt für alle Informationen, die von den Organen und Einrichtungen der Union bearbeitet und gespeichert werden, einschließlich der Informationen im Zusammenhang mit den Tätigkeiten der Europäischen Atomgemeinschaft, mit Ausnahme von Euratom-Verschlusssachen. Sowohl die nicht als Verschlusssache eingestuften Informationen als auch die EU-VS fallen unter diese Verordnung.

Begriffsbestimmungen und allgemeine Grundsätze (Artikel 3 bis 5) Die Begriffsbestimmungen in Artikel 3 stützen sich auf die geltenden Vorschriften zur Informationssicherheit, die von den Organen und Einrichtungen der Union gesondert erlassen wurden. Neben den allgemeinen Grundsätzen des Unionsrechts – Transparenz, Verhältnismäßigkeit, Effizienz und Rechenschaftspflicht – enthält diese Verordnung die wichtigsten verbindlichen Leitlinien, wie z. B. ein von allen Organen und Einrichtungen der Union gesondert durchgeführtes Verfahren für das Risikomanagement im Bereich der Informationssicherheit und die Bewertung ihrer Informationen im Hinblick auf eine angemessene Kategorisierung. Governance und Organisation der Sicherheit (Artikel 6 bis 8) Alle Organe und Einrichtungen der Union arbeiten in einer interinstitutionellen Koordinierungsgruppe für Informationssicherheit zusammen, die im Konsens und im gemeinsamen Interesse der Organe und Einrichtungen der Union handelt. In der Koordinierungsgruppe kommen die Sicherheitsbehörden aller Organe und Einrichtungen zusammen und erstellen Leitfäden für die Durchführung dieser Verordnung. Sie steht in regelmäßigem Kontakt mit den nationalen Sicherheitsbehörden der Mitgliedstaaten, die in einem Ausschuss für Informationssicherheit zusammenkommen. Zur Straffung der Verfahren und aus anderen praktischen Gesichtspunkten im Zusammenhang mit der Informationssicherheit werden fünf Untergruppen eingesetzt, in denen Sachverständige aus verschiedenen Organen und Einrichtungen vertreten sind. Jedes Organ und jede Einrichtung der Union ist verpflichtet, eine Sicherheitsbehörde zu benennen, die für die Festlegung interner Maßnahmen zur Informationssicherheit und für deren Umsetzung verantwortlich ist. Die Sicherheitsbehörde legt spezifische Funktionen fest, wie z. B. die Stelle für Informationssicherung, die für den Betrieb zuständige Stelle für Informationssicherung, die Sicherheitsakkreditierungsstelle, die TEMPEST-Stelle, die Krypto-Zulassungsstelle und die Krypto-Verteilungsstelle, die aus Effizienz- oder Ressourcengründen an ein anderes Organ oder eine andere Einrichtung delegiert werden können. Informationssicherung und Kommunikations- und Informationssysteme (Artikel 9 bis 11) Mit der Verordnung wird eine Untergruppe für Informationssicherung eingesetzt, deren Ziel es ist, die Kohärenz zwischen den Vorschriften für die Informationssicherheit und den Cybersicherheitsgrundregeln, wie in der Verordnung über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union festgelegt, zu verbessern. Die Organe und Einrichtungen der Union sind verpflichtet, die in diesen Artikeln genannten Grundsätze einzuhalten und gesonderte interne Vorschriften für spezifische Sicherheitsmaßnahmen zu erlassen, die an ihr eigenes Sicherheitsumfeld angepasst sind. Nicht als Verschlusssache eingestufte Informationen (Artikel 12 bis 17 und Anhang I) In der Verordnung sind drei Kategorien von nicht als Verschlusssache eingestuften Informationen vorgesehen: Für die Öffentlichkeit bestimmte Informationen, normale Informationen und nicht als Verschlusssache eingestufte vertrauliche Informationen. Alle diese Kategorien werden definiert, außerdem werden Kennzeichnungsvorschriften und Vorschriften für den Umgang mit diesen Informationen festgelegt, um diese zu schützen. Für die Koordinierung der Arbeiten zur Gleichwertigkeit der von einigen Organen und Einrichtungen der Union festgelegten Kategorien mit den in der Verordnung vorgesehenen gemeinsamen Kategorien wird im Rahmen des Vorschlags eine Untergruppe für nicht als Verschlusssache eingestufte Informationen eingesetzt. EU-VS (Artikel 18 bis 58 und Anhänge II bis VI) Dieses Kapitel ist der umfangreichste Teil des Vorschlags und gliedert sich in sieben Abschnitte: Allgemeine Bestimmungen, Personeller Geheimschutz, Materieller Geheimschutz, Behandlung von EU-VS, Schutz in Kommunikations- und Informationssystemen, Geheimschutz in der Wirtschaft und Weitergabe von EU-VS und Austausch von Verschlusssachen. Im Abschnitt „Allgemeine Bestimmungen“ sind vier Stufen von EU-VS vorgesehen: „TRES SECRET UE/EU TOP SECRET“, „SECRET UE/EU SECRET“, „CONFIDENTIEL UE/EU CONFIDENTIAL“, „RESTREINT UE/EU RESTRICTED“ – sowie eine Verpflichtung der Organe und Einrichtungen der Union, die erforderlichen Sicherheitsmaßnahmen in Übereinstimmung mit den Ergebnissen eines Verfahrens zum Risikomanagement der Informationssicherheit zu ergreifen. Im Mittelpunkt der übrigen Abschnitte stehen die Standards für den Schutz von EU-VS, die sich auf den jeweiligen Bereich beziehen. Die Einzelheiten dieses Schutzes von EU-VS sind in den Anhängen II bis V festgelegt. Anhang VI enthält eine Entsprechungstabelle für die Kennzeichnung des Geheimhaltungsgrades der Mitgliedstaaten und der Europäischen Atomgemeinschaft. Um die einschlägigen Verfahren in diesem Bereich zu straffen und Doppelarbeit zu vermeiden, werden mit der Verordnung Untergruppen für Informationssicherung, für nicht als Verschlusssache eingestufte Informationen, für den materiellen Geheimschutz, für die Akkreditierung von Kommunikations- und Informationssystemen, in denen EU-VS verarbeitet und gespeichert werden, sowie für die Weitergabe von EU-VS und den Austausch von Verschlusssachen eingesetzt. Schlussbestimmungen (Artikel 59 bis 62)

Mit den Schlussbestimmungen wird der Übergang von den derzeitigen Vorschriften und Verfahren zu dem durch diese Verordnung geschaffenen neuen Rechtsrahmen gewährleistet. Sie betreffen die derzeit in den Organen und Einrichtungen der Union geltenden internen Vorschriften für die Informationssicherheit, die Anerkennung von Bewertungsbesuchen, die vor Beginn der Anwendung der Verordnung durchgeführt wurden, die Behandlung zuvor geschlossener Verwaltungsvereinbarungen und die Beibehaltung der für Finanzhilfevereinbarungen geltenden spezifischen Sicherheitsrahmen. Die Anwendung dieser Verordnung beginnt zwei Jahre nach ihrem Inkrafttreten. 2022/0084 (COD) Vorschlag für eine VERORDNUNG DES EUROPÄISCHEN PARLAMENTS UND DES RATES über die Informationssicherheit in den Organen, Einrichtungen und sonstigen Stellen der Union DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION — gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 298, gestützt auf den Vertrag zur Gründung der Europäischen Atomgemeinschaft, insbesondere auf Artikel 106a, auf Vorschlag der Europäischen Kommission, nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente, gemäß dem ordentlichen Gesetzgebungsverfahren, in Erwägung nachstehender Gründe: (1)Gegenwärtig haben die Organe und Einrichtungen der Union entweder ihre eigenen Vorschriften für die Informationssicherheit, die auf ihrer Geschäftsordnung oder ihrem Gründungsakt beruhen, oder sie haben überhaupt keine derartigen Vorschriften. In diesem Zusammenhang verwenden die einzelnen Organe und Einrichtungen der Union erhebliche Anstrengungen auf die Annahme unterschiedlicher Konzepte, was dazu führt, dass der Informationsaustausch nicht immer zuverlässig ist. Das Fehlen eines gemeinsamen Konzepts behindert den Einsatz gemeinsamer Instrumente, die auf einem vereinbarten Regelwerk je nach den Sicherheitsanforderungen der zu schützenden Informationen aufbauen. (2)Zwar wurden Fortschritte auf dem Weg zu kohärenteren Vorschriften für den Schutz von EU-Verschlusssachen („EU-VS“) und nicht als Verschlusssache eingestuften Informationen erzielt, doch ist die Interoperabilität der einschlägigen Systeme nach wie vor begrenzt, was eine nahtlose Übermittlung von Informationen zwischen den verschiedenen Organen und Einrichtungen der Union verhindert. Somit sollten weitere Anstrengungen unternommen werden, um einen interinstitutionellen Ansatz für die Weitergabe von EU-VS und nicht als Verschlusssache eingestuften vertraulichen Informationen zu ermöglichen, der gemeinsame Kategorien von Informationen und gemeinsame Grundregeln für den Umgang mit diesen Informationen vorsieht. Des Weiteren sollte eine gemeinsame Grundlage für die Vereinfachung der Verfahren für den Austausch von EU-VS und nicht als Verschlusssache eingestuften vertraulichen Informationen zwischen den Organen und Einrichtungen der Union und mit den Mitgliedstaaten angestrebt werden. (3)Daher sollten einschlägige Vorschriften zur Gewährleistung eines einheitlichen Niveaus der Informationssicherheit in allen Organen und Einrichtungen der Union festgelegt werden. Diese sollten einen umfassenden und kohärenten allgemeinen Rahmen für den Schutz von EU-VS und nicht als Verschlusssache eingestuften Informationen bilden und die Gleichwertigkeit der Grundprinzipien und Mindeststandards gewährleisten. (4)Die jüngste Pandemie hat zu einer erheblichen Veränderung der Arbeitsweisen geführt, bei der Fernkommunikationsmittel zur Regel geworden sind. So wurden viele Verfahren, die zumindest teilweise noch papiergestützt waren, rasch angepasst, um die elektronische Verarbeitung und den elektronischen Austausch von Informationen zu ermöglichen. Diese Entwicklungen erfordern Änderungen im Umgang mit und im Schutz von Informationen. Die vorliegende Verordnung trägt den neuen Arbeitsweisen Rechnung. (5)Durch die Schaffung eines gemeinsamen Mindestschutzniveaus für EU-VS und nicht als Verschlusssache eingestufte Informationen trägt diese Verordnung dazu bei, dass die Organe und Einrichtungen der Union bei der Ausübung ihrer Aufgaben von einer effizienten und unabhängigen Verwaltung unterstützt werden. Gleichzeitig bleibt es jedem Organ und jeder Einrichtung der Union überlassen zu entscheiden, wie sie die in dieser Verordnung festgelegten Regeln entsprechend ihren eigenen Sicherheitsbedürfnissen umsetzen. Diese Verordnung darf die Organe und Einrichtungen keinesfalls bei der Ausführung der ihnen durch die Rechtsvorschriften der Union übertragenen Aufgaben behindern und ihre institutionelle Autonomie nicht einschränken. (6)Diese Verordnung lässt die folgenden Verordnungen unberührt: Verordnung (Euratom) Nr. 3/1958, Verordnung Nr. 31 (EWG), Nr. 11 (EAG) über das Statut der Beamten und über die Beschäftigungsbedingungen für die sonstigen Bediensteten der Europäischen Wirtschaftsgemeinschaft und der Europäischen Atomgemeinschaft, Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates, Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates, Verordnung (EWG, EURATOM) Nr. 354/83 des Rates, Verordnung (EU, Euratom) 2018/1046 des Europäischen Parlaments und des Rates, Verordnung (EU) 2021/697 des Europäischen Parlaments und des Rates, Verordnung (EU) [...] des Europäischen Parlaments und des Rates über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union (noch anzunehmen). (7)Zur Gewährleistung des besonderen Charakters der Tätigkeiten der Europäischen Atomgemeinschaft, die in der Verordnung Nr. 3/1958 des Rates der Europäischen Atomgemeinschaft geregelt sind, sollte diese Verordnung nicht für Euratom-Verschlusssachen gelten. Alle Informationen im Zusammenhang mit anderen Euratom-Tätigkeiten, die nicht unter die Verordnung 3/1958 fallen, sollten jedoch in den Anwendungsbereich der vorliegenden Verordnung fallen.

(8)Im Hinblick auf die Schaffung einer formellen Struktur für die Zusammenarbeit zwischen den Organen und Einrichtungen der Union im Bereich der Informationssicherheit ist es erforderlich, eine interinstitutionelle Koordinierungsgruppe (im Folgenden „Koordinierungsgruppe“) einzusetzen, in der die Sicherheitsbehörden aller Organe und Einrichtungen der Union vertreten sind. Ohne über Entscheidungsbefugnisse zu verfügen, sollte die Koordinierungsgruppe die Kohärenz der Maßnahmen im Bereich der Informationssicherheit verbessern und zur Harmonisierung der Verfahren und Instrumente der Informationssicherheit in den Organen und Einrichtungen der Union beitragen. (9)Die Arbeit der Koordinierungsgruppe benötigt die Unterstützung von Experten aus verschiedenen Bereichen der Informationssicherheit: Kategorisierung und Kennzeichnung, Kommunikations- und Informationssysteme, Akkreditierung, materieller Geheimschutz, Weitergabe von EU-VS und Austausch von Verschlusssachen. Um Doppelarbeit in den Organen und Einrichtungen der Union zu vermeiden, sollten thematische Untergruppen eingerichtet werden. Außerdem sollte die Koordinierungsgruppe bei Bedarf weitere Untergruppen mit spezifischen Aufgaben einsetzen können. (10)Mit dem Ziel, die Informationssicherheit in der Union zu verbessern, sollte die Koordinierungsgruppe eng mit den nationalen Sicherheitsbehörden der Mitgliedstaaten zusammenarbeiten. Zu diesem Zweck sollte ein Ausschuss für Informationssicherheit der Mitgliedstaaten eingesetzt werden, der die Koordinierungsgruppe berät. (11)Obwohl die gemeinsamen Einrichtungen, die alle Organe und Einrichtungen der Union vertreten, nach dem Grundsatz der Zusammenarbeit geschaffen wurden, sollte jedes Organ und jede Einrichtung die volle Verantwortung für die Sicherheit der Informationen innerhalb ihrer Organisation behalten. Jedes Organ und jede Einrichtung der Union sollte über eine Sicherheitsbehörde und erforderlichenfalls über weitere Behörden verfügen, die für bestimmte Aufgaben im Zusammenhang mit der Informationssicherheit zuständig sind. (12)Der Grundsatz des Informationssicherheits-Risikomanagements sollte im Mittelpunkt der von jedem Organ und jeder Einrichtung der Union in diesem Bereich zu entwickelnden Politik stehen. Zwar müssen die in dieser Verordnung festgelegten Mindestanforderungen erfüllt werden, doch sollte jedes Organ und jede Einrichtung der Union entsprechend den Ergebnissen einer internen Risikobewertung spezifische Sicherheitsmaßnahmen zum Schutz der Informationen ergreifen. Ebenso sollten die technischen Mittel zum Schutz der Informationen an die spezifische Situation der einzelnen Organe und Einrichtungen angepasst werden. (13)Angesichts der Vielfalt der Kategorien von nicht als Verschlusssache eingestuften Informationen, die die Organe und Einrichtungen der Union auf der Grundlage ihrer eigenen Sicherheitsinformationsvorschriften entwickelt haben, und um Verzögerungen bei der Durchführung dieser Verordnung zu vermeiden, sollten die Organe und Einrichtungen der Union in der Lage sein, ihr eigenes Kennzeichnungssystem für interne Zwecke oder für den Austausch von Informationen mit ihren jeweiligen Ansprechpartnern in anderen Organen und Einrichtungen oder in den Mitgliedstaaten beizubehalten. (14)Im Zuge der Anpassung an die modernen Telearbeitsverfahren sollten die Netze, die für die Verbindung zu den Fernzugangsdiensten des Organs oder der Einrichtung der Union genutzt werden, durch angemessene Sicherheitsmaßnahmen geschützt sein. (15)Da die Organe und Einrichtungen der Union häufig auf Auftragnehmer und Outsourcing zurückgreifen, ist es wichtig, gemeinsame Bestimmungen für die Mitarbeiter von Auftragnehmern festzulegen, die Aufgaben im Bereich der Informationssicherheit wahrnehmen. (16)Die materiellrechtlichen Vorschriften für den Zugang zu EU-VS in den internen Vorschriften der verschiedenen Organe und Einrichtungen der Union sind derzeit angeglichen, es bestehen jedoch erhebliche Unterschiede in Bezug auf die Bezeichnungen und die erforderlichen Verfahren. Dies stellt eine Belastung für die nationalen Sicherheitsbehörden der Mitgliedstaaten dar, die sich auf unterschiedliche Anforderungen einstellen müssen. Daher ist es notwendig, ein gemeinsames Glossar und gemeinsame Verfahren im Bereich der Personalsicherheit zu entwickeln, um so die Zusammenarbeit mit den nationalen Sicherheitsbehörden der Mitgliedstaaten zu vereinfachen und das Risiko einer Gefährdung von EU-VS zu begrenzen. (17)Angesichts der ungleichen Ressourcenausstattung der Organe und Einrichtungen der Union und zur Straffung ihrer einschlägigen Verfahren und Praktiken können die Aufgaben der Sicherheitsermächtigung der Kommission übertragen werden, um die langjährige Praxis im Bereich der Sicherheitsermächtigung fortzusetzen und zur Zentralisierung der den einzelnen Sicherheitsbehörden übertragenen Aufgaben beizutragen. (18)Der Schutz von EU-VS wird auch durch technische und organisatorische Maßnahmen gewährleistet, die für die Räumlichkeiten, Gebäude, Räume, Büros oder Einrichtungen der Organe und Einrichtungen der Union gelten, in denen EU-VS erörtert, bearbeitet oder verwahrt werden. In dieser Verordnung ist die Einführung eines Informationssicherheitsmanagements im Bereich des materiellen Geheimschutzes vorgesehen, der es den Organen und Einrichtungen der Union ermöglicht, die für ihre Standorte geeigneten Sicherheitsmaßnahmen auszuwählen. (19)Alle Organe und Einrichtungen der Union, die EU-VS bearbeiten und verwahren, sollten an ihren Standorten materiell geschützte Bereiche einrichten, um das gleiche Schutzniveau für die entsprechenden Geheimhaltungsgrade von EU-VS, die dort bearbeitet und verwahrt werden, zu gewährleisten. Diese Bereiche sollten als Verwaltungsbereiche und Sicherheitsbereiche ausgewiesen werden und gemeinsame Mindeststandards für den Schutz von EU-VS beinhalten. (20)Die Herausgeberkontrolle ist ein wichtiger Grundsatz bei der Behandlung von EU-VS, diese muss daher klar festgelegt und entwickelt werden. In dieser Hinsicht überträgt die Erstellung von EU-VS dem Herausgeber eine Verantwortung, die den gesamten Lebenszyklus des betreffenden EU-VS-Dokuments umfassen sollte. (21)Die Organe und Einrichtungen der Union haben ihre Kommunikations- und Informationssysteme traditionell eigenständig entwickelt und dabei nicht ausreichend auf die Interoperabilität zwischen allen Organen und Einrichtungen der Union geachtet. Daher müssen Mindestsicherheitsanforderungen für die Kommunikations- und Informationssysteme (CIS) festgelegt werden, in denen sowohl EU-VS als auch nicht als Verschlusssache eingestufte Informationen verarbeitet und gespeichert werden, um so einen nahtlosen Informationsaustausch mit den betroffenen Akteuren zu gewährleisten. (22)Mit dem Ziel, einen einheitlichen Standard für die Akkreditierung von Kommunikations- und Informationssystemen, in denen EU-VS verarbeitet und gespeichert werden, zu erreichen, sollten die Organe und Einrichtungen der Union in einer zu diesem Zweck eingerichteten Gruppe zusammenarbeiten. Es wird empfohlen, dass alle Organe und Einrichtungen der Union diesen Standard verwenden, um zu einem allgemeinen Schutzniveau für EU-VS beizutragen. Was die organisatorische Autonomie anbelangt, so liegt die Entscheidung jedoch bei der zuständigen Behörde des jeweiligen Organs oder der jeweiligen Einrichtung. (23)Alle Organe und Einrichtungen der Union sollten bei der Vergabe und Durchführung von als Verschlusssache eingestuften Aufträgen oder Finanzhilfevereinbarungen dieselben Verfahren befolgen und dieselben Maßnahmen anwenden. Daher ist es notwendig, sowohl die obligatorischen als auch die fakultativen Elemente als Verschlusssache eingestuften Aufträgen und Finanzhilfevereinbarungen klar festzulegen. Die Maßnahmen zum Schutz von EU-VS im Zusammenhang mit als Verschlusssache eingestuften Aufträgen und Finanzhilfevereinbarungen sollten jedoch den Vorschriften Rechnung tragen, die von den Organen und Einrichtungen der Union zusammen mit den Mitgliedstaaten in diesem Bereich bereits gesondert entwickelt wurden. (24)Die enge Zusammenarbeit zwischen den Organen und Einrichtungen der Union sowie die zahlreichen Synergien, die sich zwischen ihnen entwickelt haben, erfordern den Austausch einer großen Menge an Informationen. Im Interesse der Sicherheit von Verschlusssachen sollte die Vertrauenswürdigkeit eines Organs oder einer Einrichtung der Union bewertet werden, bevor sie EU-VS einer bestimmten Geheimhaltungsstufe bearbeiten und speichern. (25)Außerdem sollte die Weitergabe von EU-VS zwischen den Organen und Einrichtungen der Union und der Austausch von Verschlusssachen mit internationalen Organisationen und Drittstaaten ebenfalls durch geeignete Sicherheitsmaßnahmen zum Schutz dieser Informationen geregelt werden. Wenn Vereinbarungen über die Sicherheit von Informationen geplant sind, sollten die Bestimmungen von Artikel 218 AEUV Anwendung finden. (26)Die Abkommen über die Sicherheit von Informationen sollen den rechtlichen Gesamtrahmen für den Austausch von Verschlusssachen der Union mit Drittstaaten und internationalen Organisationen gewährleisten; außerdem muss die Möglichkeit vorgesehen werden, dass die Organe und Einrichtungen der Union Verwaltungsvereinbarungen mit einem bestimmten Partner in einem Drittstaat oder einer internationalen Organisation zum Zwecke des Austauschs von EU-VS schließen können. (27)Mit dieser Verordnung wird ein gemeinsamer Rahmen für alle Organe und Einrichtungen der Union geschaffen. Um den Organen und Einrichtungen der Union bei der Anpassung ihrer internen Sicherheitsvorschriften an die Bestimmungen dieser Verordnung keinen übermäßigen Verwaltungsaufwand aufzuerlegen, sollte diese Verordnung zwei Jahre nach ihrem Inkrafttreten anwendbar werden.

(28)Im Einklang mit den Nummern 22 und 23 der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung sollte die Kommission diese Verordnung bewerten, um ihre tatsächlichen Auswirkungen und die Notwendigkeit weiterer Maßnahmen zu beurteilen. Die Kommission sollte dem Europäischen Parlament und dem Rat spätestens drei Jahre nach dem Beginn der Anwendung einen Bericht über die Durchführung dieser Verordnung vorlegen. (29)Der Europäische Datenschutzbeauftragte wurde gemäß Artikel 42 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates angehört und hat am ... eine Stellungnahme abgegeben. HABEN FOLGENDE VERORDNUNG ERLASSEN: Kapitel 1

Allgemeine Bestimmungen Artikel 1 Gegenstand (1)Mit dieser Verordnung werden Vorschriften für die Informationssicherheit in allen Organen und Einrichtungen der Union festgelegt. Artikel 2 Anwendungsbereich (1)Diese Verordnung gilt für alle Informationen, die von den Organen und Einrichtungen der Union bearbeitet und verwahrt werden, einschließlich Informationen im Zusammenhang mit Tätigkeiten der Europäischen Atomgemeinschaft, mit Ausnahme von Euratom-Verschlusssachen. (2)Sie gilt für Informationen der folgenden Vertraulichkeitsstufen: a)nicht als Verschlusssache eingestufte Informationen der drei Stufen: für die Öffentlichkeit bestimmte Information, normale Information, nicht als Verschlusssache eingestufte vertrauliche Information; b)EU-Verschlusssachen der vier Geheimhaltungsstufen: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. (3)Die Einstufungen spiegeln den Schaden wider, der für die legitimen privaten und öffentlichen Interessen, einschließlich der Interessen der Union, der Organe und Einrichtungen der Union, der Mitgliedstaaten oder anderer Interessenträger, durch eine unbefugte Offenlegung entstehen kann, und sollen sicherstellen, dass geeignete Schutzmaßnahmen ergriffen werden können. Artikel 3 Begriffsbestimmungen Für die Zwecke dieser Verordnung bezeichnet der Ausdruck a)„Information“ jegliche Daten in mündlicher, visueller, elektronischer, magnetischer oder materieller Form oder in Form von Material, Ausrüstung oder Technologie, einschließlich Vervielfältigungen, Übersetzungen und im Stadium der Entwicklung befindlichen Materials; b)„Informationssicherheit“ die Gewährleistung der Authentizität, Verfügbarkeit, Vertraulichkeit, Integrität und Beweisbarkeit von Informationen; c)„Bearbeitung“ alle möglichen Handlungen, denen Informationen während ihres gesamten Lebenszyklus unterliegen können; diese umfassen ihre Erstellung, Sammlung und Registrierung, die Zuweisung einer Vertraulichkeitsstufe, ihre Verarbeitung, Anzeige, Abfrage, Beförderung, Übermittlung, Herabstufung, die Aufhebung ihres Geheimhaltungsgrads, ihre Archivierung und Vernichtung;

d)„Verwahrung“ die Aufbewahrung beziehungsweise Speicherung von Informationen auf einem beliebigen Medium, sodass ihre Verfügbarkeit für eine künftige Nutzung gewährleistet ist; e)„Organe und Einrichtungen der Union“ die Organe, Einrichtungen und sonstigen Stellen der Union, die durch den Vertrag über die Europäische Union, den Vertrag über die Arbeitsweise der Europäischen Union, den Vertrag zur Gründung der Europäischen Atomgemeinschaft oder einen Rechtsakt oder auf deren Grundlage geschaffen wurden; f)„Euratom-Verschlusssache“ Informationen im Sinne der Verordnung Nr. 3/1958 des Rates der Europäischen Atomgemeinschaft; g)„Sicherheitsbehörde“ die Sicherheitsfunktion, die gemäß der Geschäftsordnung oder dem Gründungsakt jedes Organs und jeder Einrichtung der Union benannt wird; h)„Informationssicherheitsrisiko-Managementprozess“ den gesamten Prozess der Ermittlung, Kontrolle und Minimierung möglicher Zwischenfälle, die die Sicherheit einer Organisation oder der von ihr benutzten Systeme beeinträchtigen könnten; darunter fallen sämtliche risikobezogenen Tätigkeiten, einschließlich der Risikobewertung, -behandlung, -akzeptanz und -kommunikation; i)„Wert“ alles, was für die Organe oder Einrichtungen der Union, ihre Tätigkeiten und deren Kontinuität von Nutzen ist, einschließlich der Informationsressourcen, auf die sie sich bei der Wahrnehmung ihrer Aufgaben stützen; j)„sicherheitsbezogene Betriebsverfahren“ in Anhang III aufgeführte dokumentierte Verfahren für den Betrieb eines Sicherheitsbereichs, eines Kommunikations- und Informationssystems oder anderer sicherheitsrelevanter Werte oder Dienste, die deren Wirksamkeit gewährleisten; k)„Kommunikations- und Informationssystem“ oder „CIS“ (Communication and Information System) ein System, das die Bearbeitung und Speicherung von Informationen in elektronischer Form ermöglicht, mitsamt sämtlicher für seinen Betrieb benötigten Werte; l)„Informationssicherung“ die Gewissheit, dass Kommunikations- und Informationssysteme die in ihnen bearbeiteten und gespeicherten Informationen schützen, dass sie jederzeit ordnungsgemäß funktionieren, von rechtmäßigen Nutzern kontrolliert werden und ein angemessenes Niveau der Authentizität, Verfügbarkeit, Vertraulichkeit, Integrität und Beweisbarkeit sicherstellen; m)„Akkreditierung“ die von der Sicherheitsakkreditierungsstelle erteilte förmliche Zulassung eines Kommunikations- und Informationssystems für die Verarbeitung oder eines Sicherheitsbereichs für die Verwahrung von EU-VS eines bestimmten Geheimhaltungsgrads; n)„Akkreditierungsverfahren“ die im Hinblick auf eine Akkreditierung erforderlichen Schritte und Aufgaben; o)„TEMPEST-Sicherheitsvorkehrungen“ Maßnahmen, die die Kommunikations- und Informationssysteme, in denen als „CONFIDENTIEL UE/EU CONFIDENTIAL“ und höher eingestufte Verschlusssachen bearbeitet und gespeichert werden, so schützen, dass von den betreffenden Informationen nicht über unbeabsichtigte elektromagnetische Abstrahlung unbefugt Kenntnis genommen werden kann; p)„CERT-EU“ das Cybersicherheitszentrum für die Organe und Einrichtungen der Union im Sinne der Verordnung (EU) [...] des Europäischen Parlaments und des Rates über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union; q)„Informationssicherheitsvorfall“ jeglichen Vorfall, der die Authentizität, Verfügbarkeit, Vertraulichkeit, Integrität oder Beweisbarkeit von Informationen bei ihrer Verwahrung, Übertragung oder Bearbeitung gefährden kann; r)„Kenntnis nur, wenn nötig“ das Erfordernis, dass eine Person zu einer bestimmten Information, die von einem Organ oder einer Einrichtung der Union bearbeitet oder verwahrt wird, Zugang haben muss, um die Aufgaben des betreffenden Organs oder der betreffenden Einrichtung der Union zu erfüllen; s)„Zero-Trust“ ein Sicherheitsmodell, eine Reihe von Systemdesign-Grundsätzen und eine koordinierte Cybersicherheits- und Systemmanagement-Strategie, die sich mit innerhalb und außerhalb traditioneller Netzgrenzen bestehenden Bedrohungen auseinandersetzen; t)„Kennzeichnung“ ein Hinweis, der auf Informationen angebracht wird, um sicherzustellen, dass geeignete Sicherheitsmaßnahmen angewandt werden; u)„Sicherheitskennzeichnung“ eine Kennzeichnung, die den Grad der Vertraulichkeit der Information angibt; v)„Verteilungskennzeichnung“ eine Kennzeichnung, die angibt, an welche internen Adressaten sich eine aus dem Organ oder der Einrichtung der Union stammende Information richtet; w)„Weitergabekennzeichnung“ eine Kennzeichnung, die angibt, an welche externen Adressaten eine aus dem Organ oder der Einrichtung der Union stammende Information verteilt werden darf;

x)„Systemeigner“ die Person, die für die Beschaffung, die Entwicklung, die Integration, die Änderung, den Betrieb, die Wartung und die Ausbuchung eines Kommunikations- und Informationssystems insgesamt verantwortlich ist; y)„Informationssicherheitsbedrohung“ ein Ereignis oder einen Faktor, das beziehungsweise der nach vernünftigem Ermessen die Informationssicherheit beeinträchtigen kann, falls keine Gegenmaßnahmen ergriffen werden; z)„Schwachstelle“ eine Anfälligkeit, Empfindlichkeit oder Fehlfunktion eines Werts, eines Systems, eines Prozesses oder einer Kontrolle, die durch eine oder mehrere Bedrohungen ausgenutzt werden kann; aa)„Risiko“ die Möglichkeit, dass bei einer bestimmten Bedrohung die internen und externen Schwachstellen eines Organs oder einer Einrichtung der Union oder eines von ihnen verwendeten Systems ausgenutzt und dadurch die legitimen öffentlichen und privaten Interessen geschädigt werden, gemessen als die Kombination der Wahrscheinlichkeit des Eintretens von Bedrohungen und ihrer Auswirkungen; ab)„Restrisiko“ das nach dem Ergreifen von Sicherheitsmaßnahmen verbleibende Risiko; ac)„Risikobewertung“ die Ermittlung von Bedrohungen und Schwachstellen und die Durchführung diesbezüglicher Risikoanalysen, d. h. die Analyse der Eintrittswahrscheinlichkeit und der Auswirkungen; ad)„Risikobehandlung“ die Minderung, Beseitigung, Verringerung (durch eine geeignete Kombination von technischen, materiellen, organisatorischen oder verfahrensbezogenen Maßnahmen) sowie die Übertragung oder Überwachung des Risikos; ae)„europäisches Cybersicherheitszertifikat“ ein Zertifikat im Sinne von Artikel 2 Nummer 11 der Verordnung (EU) Nr. 2019/881; af)„Besitzer“ eine ordnungsgemäß ermächtigte Person, die nachweislich Kenntnis von einer zu schützenden Information haben muss, in deren Besitz ist und dementsprechend für deren Schutz verantwortlich zeichnet; ag)„Material“ Dokumente, Datenträger, Geräte oder Ausrüstungsgegenstände, die bereits hergestellt oder noch in der Herstellung befindlich sind; ah)„EU-Verschlusssache“ oder „EU-VS“ alle mit einem EU-Geheimhaltungsgrad gekennzeichneten Informationen oder Materialien, deren unbefugte Offenlegung den Interessen der Union oder eines oder mehrerer ihrer Mitgliedstaaten in unterschiedlichem Maße Schaden zufügen könnte; ai)„Ermächtigung zum Zugang zu EU-VS“ ein Beschluss einer Sicherheitsbehörde, der bescheinigt, dass einem Beamten, sonstigen Bediensteten oder abgeordneten nationalen Sachverständigen eines Organs oder einer Einrichtung der Union für einen bestimmten Zeitraum Zugang zu EU-VS bis zu einem bestimmten Geheimhaltungsgrad gewährt werden kann; aj)„nationale Sicherheitsbehörde“ oder „NSA“ (National Security Authority) die staatliche Behörde eines Mitgliedstaats, bei der die Endverantwortung für den Schutz von Verschlusssachen in dem betreffenden Mitgliedstaat liegt; ak)„benannte Sicherheitsbehörde“ oder „DSA“ (Designated Security Authority) eine Behörde eines Mitgliedstaats (NSA oder jede andere zuständige Behörde), die für die Leitung und Unterstützung der Durchführung des Geheimschutzes in der Wirtschaft oder von Sicherheitsermächtigungsverfahren oder beides zuständig ist; al)„Sicherheitsüberprüfung“ Überprüfung, die von der zuständigen Behörde eines Mitgliedstaats nach den innerstaatlichen Rechtsvorschriften und Regelungen durchgeführt wird, um Gewissheit darüber zu erlangen, dass über die betreffende Person keine nachteiligen Erkenntnisse vorliegen, die dem Zugang zu Verschlusssachen bis zu einem bestimmten Geheimhaltungsgrad („CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher) entgegenstehen; am)„materieller Geheimschutz“ die Anwendung von technischen, materiellen und organisatorischen Maßnahmen auf Räumlichkeiten, Gebäude, Räume, Büros oder Anlagen eines Organs oder einer Einrichtung der Union, die vor unbefugtem Zugang zu Informationen, welche dort bearbeitet, verwahrt oder erörtert werden, zu schützen sind; an)„Standorte“ die Räumlichkeiten, Gebäude, Räume, Büros oder Anlagen eines Organs oder einer Einrichtung der Union; ao)„tief gestaffelte Verteidigung“ mehrstufige Sicherheitsmechanismen, bei denen mehrere unabhängige Ebenen von Sicherheitskontrollen eingesetzt werden, um sicherzustellen, dass bei Ausfall einer Komponente eine andere funktioniert; ap)„kryptografisches Material“ oder „Kryptomaterial“ kryptografische Algorithmen, kryptografische Hardware- und Softwaremodule und Produkte, die Implementierungsdetails enthalten, sowie die dazugehörige Dokumentation und das Verschlüsselungsmaterial; aq)„kryptografisches Produkt“ ein Produkt, dessen erste und wichtigste Funktion es ist, durch einen oder mehrere kryptografische Mechanismen Sicherheitsdienste (Authentizität, Verfügbarkeit, Vertraulichkeit, Integrität und Beweisbarkeit) bereitzustellen;

ar)„Herausgeber“ das Organ oder die Einrichtung der Europäischen Union, der Mitgliedstaat, der Drittstaat oder die internationale Organisation, unter dessen/deren Verantwortung Verschlusssachen erstellt und/oder in die Strukturen der Union eingebracht wurden; as)„Dokument“ als Schrift-, Bild- oder Tonaufzeichnung verfügbarer Inhalt, unabhängig von der Form des Datenträgers (auf Papier oder in elektronischer, magnetischer oder sonstiger Form); at)„Registrierung zu Sicherheitszwecken“ die Durchführung von Verfahren, bei denen jede Phase des Lebenszyklus des Materials und auch dessen Weitergabe und Vernichtung, aufgezeichnet wird; au)„Aufhebung des Geheimhaltungsgrads“ die Löschung jeder Geheimhaltungskennzeichnung; av)„Herabstufung“ die Einstufung in einen niedrigeren Geheimhaltungsgrad; aw)„als Verschlusssache eingestufter Vertrag“ einen Rahmenvertrag oder Vertrag im Sinne der Verordnung (EU, Euratom) 2018/1046 des Europäischen Parlaments und des Rates zwischen einem Organ oder einer Einrichtung der Union und einem Auftragnehmer über die Lieferung beweglicher oder unbeweglicher Werte, die Durchführung von Arbeiten oder die Erbringung von Dienstleistungen, dessen Ausführung die Bearbeitung, einschließlich der Erstellung, oder Verwahrung von EU-VS erfordert oder vorsieht; ax)„als Verschlusssache eingestufte Finanzhilfevereinbarung“ eine Vereinbarung, mit der ein Organ oder eine Einrichtung der Union eine Finanzhilfe im Sinne von Titel VIII der Verordnung (EU, Euratom) 2018/1046 gewährt und deren Erfüllung die Bearbeitung, einschließlich der Erstellung, oder die Verwahrung von EU-VS erfordert oder vorsieht; ay)„als Verschlusssache eingestufter Unterauftrag“ einen Vertrag zwischen einem Auftragnehmer oder Begünstigten eines Organs oder einer Einrichtung der Union und einem Unterauftragnehmer über die Lieferung beweglicher oder unbeweglicher Werte, die Durchführung von Arbeiten oder die Erbringung von Dienstleistungen, dessen Ausführung die Bearbeitung, einschließlich der Erstellung, oder Verwahrung von EU-VS erforderlich macht oder umfasst; az)„Programm- oder Projekt-Sicherheitsanweisung“ oder „PSI“ (Programme or Project Security Instruction) eine Liste von Sicherheitsverfahren, die für ein spezifisches Programm oder Projekt verwendet werden, um die Sicherheitsverfahren zu vereinheitlichen; ba)„Geheimschutzklausel“ oder „SAL“ (Security Aspects Letter) besondere vom öffentlichen Auftraggeber oder von der Vergabebehörde festgelegte Vertragsbedingungen, die fester Bestandteil jedes bzw. jeder als Verschlusssache eingestuften und mit dem Zugang zu oder der Erstellung von EU-VS verbundenen Vertrags bzw. Finanzhilfevereinbarung sind und in denen die Sicherheitsanforderungen und die zu schützenden Teile des Vertrags oder der Finanzhilfevereinbarung festgelegt sind; bb)„VS-Einstufungsliste“ oder „SCG“ (Security Classification Guide) ein Dokument, in dem die Komponenten eines als Verschlusssache eingestuften Programms, Projekts oder Vertrags beziehungsweise einer als Verschlusssache eingestuften Finanzhilfevereinbarung beschrieben und die anzuwendenden Geheimhaltungsgrade angegeben sind. Artikel 4 Allgemeine Grundsätze (1)Jedes Organ und jede Einrichtung der Union ist für die Umsetzung der Bestimmungen dieser Verordnung im eigenen Hause unter Berücksichtigung des eigenen Informationssicherheitsrisiko-Managementprozesses verantwortlich. (2) Jede Nichteinhaltung dieser Verordnung, insbesondere die unbefugte Offenlegung von Informationen der in Artikel 2 Absatz 2 genannten Vertraulichkeitsstufen mit Ausnahme von für die Öffentlichkeit bestimmten Informationen, wird untersucht und kann dazu führen, dass Mitarbeiter im Einklang mit den Verträgen oder den einschlägigen Personalvorschriften zur Verantwortung gezogen werden. (3)Die Organe und Einrichtungen der Union bewerten alle von ihnen bearbeiteten und verwahrten Informationen, um sie entsprechend den Vertraulichkeitsstufen gemäß Artikel 2 Absatz 2 einzustufen. (4)In Bezug auf alle Informationen, die sie bearbeiten und verwahren, berücksichtigen die Organe und Einrichtungen der Union bei der Festlegung der Sicherheitsanforderungen die folgenden Aspekte: a)Authentizität: es ist gewährleistet, dass die Informationen echt sind und aus Bona-fide Quellen stammen; b)Verfügbarkeit: die Informationen sind auf Anfrage einer befugten Stelle zugänglich und nutzbar; c)Vertraulichkeit: Informationen werden gegenüber unbefugten Personen, Stellen oder Prozessen nicht offengelegt;

d)Integrität: die Informationen sind vollständig und ihre Vollständigkeit bleibt gewährleistet; e)Beweisbarkeit: es kann nachgewiesen werden, dass ein Vorgang oder ein Ereignis stattgefunden hat, sodass dieser Vorgang oder dieses Ereignis zu einem späteren Zeitpunkt nicht abgestritten werden kann. (5)Für jedes Kommunikations- und Informationssystem in ihrem Zuständigkeitsbereich legen die Organe und Einrichtungen der Union fest, welche Vertraulichkeitsstufe darin höchstens bearbeitet und gespeichert werden darf, führen eine Bewertung des Informationssicherheitsrisikos durch und überwachen regelmäßig die Sicherheitsanforderungen und die ordnungsgemäße Umsetzung der festgelegten Schutzmaßnahmen. (6)Alle Organe und Einrichtungen der Union bieten in Bezug auf die Bearbeitung und Verwahrung von nicht als Verschlusssache eingestuften Informationen und von EU-VS Schulungs- und Sensibilisierungsmaßnahmen an. EU-VS bearbeitende und verwahrende Organe und Einrichtungen der Union organisieren mindestens alle fünf Jahre obligatorische Schulungen für alle Personen, die über eine Ermächtigung zum Zugang zu EU-VS verfügen. Für die mit Aufgaben im Bereich der Informationssicherheit betrauten Funktionen sehen die betreffenden Organe und Einrichtungen spezielle Schulungen vor. Die Organe und Einrichtungen der Union können ihre Schulungs- und Sensibilisierungsmaßnahmen mit anderen Organen und Einrichtungen der Union abstimmen. Artikel 5 Informationssicherheitsrisiko-Managementprozess (1)Jedes Organ und jede Einrichtung der Union richtet einen Informationssicherheitsrisiko-Managementprozess ein, um die bearbeiteten und verwahrten Informationen zu schützen. (2)Der Informationssicherheitsrisiko-Managementprozess umfasst die folgenden Schritte: a)Ermittlung von Bedrohungen und Schwachstellen; b)Risikobewertung; c)Risikobehandlung; d)Risikoakzeptanz; e)Risikokommunikation. (3)Der Informationssicherheitsrisiko-Managementprozess berücksichtigt alle für das betreffende Organ oder die betreffende Einrichtung der Union relevanten Faktoren, insbesondere: a)die Vertraulichkeitsstufe der Informationen und die damit verbundenen rechtlichen Verpflichtungen; b)die Form und Menge der Informationen sowie die Anlagen oder Kommunikations- und Informationssysteme, in denen die Informationen bearbeitet und verwahrt werden; c)die Personen, die von den Standorten aus oder über Fernverbindungen auf die Informationen zugreifen; d)die Umgebung und die Struktur der Gebäude oder Bereiche, in denen die Informationen verwahrt werden;

e)die Bedrohungen, denen die Union, die Organe und Einrichtungen der Union oder die Mitgliedstaaten im Hinblick auf Cyberangriffe, nachrichtendienstliche Tätigkeiten, Sabotage, Terrorismus, subversive und sonstige kriminelle Handlungen ausgesetzt sind; f)die Betriebskontinuität und die Wiederherstellung nach einem Notfall; g)gegebenenfalls die Ergebnisse von Inspektionen, Prüfungen oder Bewertungsbesuchen. Kapitel 2

Steuerung und Organisation der Sicherheit Artikel 6 Interinstitutionelle Koordinierungsgruppe für Informationssicherheit (1)Es wird eine interinstitutionelle Koordinierungsgruppe für Informationssicherheit (im Folgenden „Koordinierungsgruppe“) eingesetzt. Der Gruppe gehören alle Sicherheitsbehörden der Organe und Einrichtungen der Union an, und sie hat das Mandat, die gemeinsame Strategie für den Bereich der Informationssicherheit festzulegen. (2)Die Koordinierungsgruppe wird einvernehmlich und im gemeinsamen Interesse aller Organe und Einrichtungen der Union a)eine Geschäftsordnung verabschieden und jährlich gemeinsame Ziele und Prioritäten festlegen; b)Beschlüsse über die Einsetzung thematischer Untergruppen und deren Mandate erlassen; c)Leitlinien für die Anwendung dieser Verordnung erstellen und sich dabei gegebenenfalls mit dem in Artikel 9 der Verordnung (EU) [...] über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union genannten interinstitutionellen Cybersicherheitsbeirat abstimmen; d)für den Austausch von bewährten Verfahren und Wissen über für die Informationssicherheit relevante gemeinsame Themen und zur Unterstützung bei Informationssicherheitsvorfällen spezielle Plattformen einrichten; e)sicherstellen, dass die Sicherheitsmaßnahmen zum Schutz von EU-VS erforderlichenfalls mit den zuständigen nationalen Sicherheitsbehörden abgestimmt werden. (3)Die Koordinierungsgruppe benennt aus dem Kreis ihrer Mitglieder einen Vorsitzenden und zwei stellvertretende Vorsitzende für einen Zeitraum von drei Jahren. (4)Die Koordinierungsgruppe tritt mindestens einmal jährlich auf Initiative ihres Vorsitzenden oder auf Antrag eines Organs oder einer Einrichtung der Union zusammen. (5)Die Koordinierungsgruppe erhält administrative Unterstützung durch ein von der Kommission gestelltes ständiges Sekretariat. (6)Jedes Organ und jede Einrichtung der Union ist in der Koordinierungsgruppe und gegebenenfalls in den thematischen Untergruppen angemessen vertreten. (7)Die Organe und Einrichtungen der Union unterrichten die Koordinierungsgruppe über jede wichtige Entwicklung der in ihrer Organisation angewandten Informationssicherheitsstrategie. (8)Bei der Wahrnehmung der in Absatz 2 Buchstabe e genannten Aufgaben wird die Koordinierungsgruppe von einem Ausschuss für Informationssicherheit unterstützt. Diesem Ausschuss gehört je ein Vertreter jeder nationalen Sicherheitsbehörde an, wobei das in Absatz 5 genannte Sekretariat der Koordinierungsgruppe den Vorsitz führt. Der Ausschuss für Informationssicherheit hat beratende Funktion.

Artikel 7 Thematische Untergruppen (1)Die Koordinierungsgruppe setzt die folgenden ständigen thematischen Untergruppen ein, um die Anwendung dieser Verordnung zu erleichtern: a)eine Untergruppe für Informationssicherung; b)eine Untergruppe für nicht als Verschlusssache eingestufte Informationen; c)eine Untergruppe für materiellen Geheimschutz; d)eine Untergruppe für die Akkreditierung von Kommunikations- und Informationssystemen, in denen EU-VS bearbeitet und gespeichert werden; e)eine Untergruppe für die Weitergabe von EU-VS und den Austausch von Verschlusssachen. (2)Erforderlichenfalls kann die Koordinierungsgruppe für bestimmte Aufgaben befristete Ad-hoc-Untergruppen einsetzen. (3)Sofern in ihren Mandaten nichts anderes bestimmt ist, steht die Mitgliedschaft in den Untergruppen Vertretern der betreffenden Organe oder Einrichtungen der Union offen. Die Mitglieder der Untergruppen sind Experten ihres jeweiligen Fachgebiets. (4)Das in Artikel 6 Absatz 5 genannte Sekretariat der Koordinierungsgruppe unterstützt die Arbeit aller Untergruppen und stellt die Kommunikation zwischen ihren Mitgliedern sicher. Artikel 8 Organisation der Sicherheit (1)Jedes Organ und jede Einrichtung der Union benennt eine Sicherheitsbehörde, die die in dieser Verordnung sowie gegebenenfalls in internen Sicherheitsvorschriften festgelegten Zuständigkeiten wahrnimmt. Bei der Wahrnehmung ihrer Aufgaben wird jede Sicherheitsbehörde von der für Informationssicherheit zuständigen Dienststelle oder Person unterstützt. (2)Erforderlichenfalls erlassen die Sicherheitsbehörden der Organe und Einrichtungen der Union im Einklang mit ihrem jeweiligen durch die Rechtvorschriften der Union übertragenen Auftrag und auf der Grundlage ihrer institutionellen Autonomie für den Schutz der Informationen interne Durchführungsbestimmungen. (3)Jede Sicherheitsbehörde kann gegebenenfalls auch folgende Aufgaben wahrnehmen: a)Ausarbeitung der Sicherheitskonzepte und -leitlinien für Informationssicherung sowie Überwachung ihrer Wirksamkeit und Angemessenheit (Informationssicherungsstelle); b)Ausarbeitung der Sicherheitsdokumentation, insbesondere der sicherheitsbezogenen Betriebsverfahren und des Kryptokonzepts im Rahmen des Akkreditierungsverfahrens für Kommunikations- und Informationssysteme, (für den Betrieb zuständige Informationssicherungsstelle); c)Akkreditierung von Sicherheitsbereichen und Kommunikations- und Informationssystemen für die Bearbeitung und Verwahrung von EU-VS (Sicherheitsakkreditierungsstelle); d)Genehmigung der Maßnahmen zum Schutz von EU-VS vor Kenntnisnahme durch unbeabsichtigte elektronische Abstrahlung (TEMPEST-Stelle);

e)Genehmigung von Anträgen der Systemeigner zur Verwendung von Verschlüsselungstechnologien (Krypto-Zulassungsstelle); f)Verteilung des kryptografischen Materials zum Schutz von EU-VS (Kodiergeräte, Kryptografieschlüssel, Zertifikate und zugehörige Authentisierer) an die betreffenden Nutzer (Krypto-Verteilungsstelle). (4)Die Zuständigkeiten für eine oder mehrere der in Absatz 3 genannten Aufgaben können einem anderen Organ oder einer anderen Einrichtung der Union übertragen werden, sofern die Auslagerung dieser Sicherheitsdienste erhebliche Effizienzvorteile oder Ressourcen- oder Zeiteinsparungen ermöglicht. Kapitel 3

Informationssicherung und Kommunikations- und Informationssysteme (CIS) Artikel 9 Grundsätze der Informationssicherung (1)Die Bewertung der Informationssicherheitsanforderungen in Bezug auf alle Kommunikations- und Informationssysteme, einschließlich interner, ausgelagerter und hybrider Systeme, wird jeweils von Beginn an bei der Einrichtung oder bei der Auftragsvergabe berücksichtigt. (2)Jedes Kommunikations- und Informationssystem, in dem EU-VS bearbeitet und gespeichert werden, muss gemäß Kapitel 5 Abschnitt 5 akkreditiert sein. Jedes Kommunikations- und Informationssystem, in dem nicht als Verschlusssache eingestufte vertrauliche Informationen bearbeitet und gespeichert werden, muss die in Kapitel 4 festgelegten Mindestanforderungen erfüllen. Artikel 10 Untergruppe für Informationssicherung (1)Die Untergruppe für Informationssicherung gemäß Artikel 7 Absatz 1 Buchstabe a hat folgende Aufgaben und Zuständigkeiten: a)Bereitstellung von Leitlinien und bewährten Vorgehensweisen für die Kennzeichnung, Bearbeitung und Speicherung von Informationen in Kommunikations- und Informationssystemen in enger Abstimmung mit dem in Artikel 9 der Verordnung (EU) [...] über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union genannten interinstitutionellen Cybersicherheitsbeirat; b)Festlegung eines Metadatenschemas für Kennzeichnungen und alle erforderlichen technischen Informationen, um den Organen und Einrichtungen der Union bei der Zusammenschaltung ihrer Kommunikations- und Informationssysteme einen interoperablen und nahtlosen Informationsaustausch zu ermöglichen; c)Förderung der Kohärenz zwischen den Organen und Einrichtungen der Union in Bezug auf die Informationssicherheitsvorschriften und die Cybersicherheitsgrundregeln gemäß Artikel 5 der Verordnung (EU) [...] über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union. Artikel 11 Anforderungen an Kommunikations- und Informationssysteme (1)Die Organe und Einrichtungen der Union informieren die Nutzer über die Vertraulichkeitsstufen der Informationen, die in Kommunikations- und Informationssystemen bearbeitet und gespeichert werden können. Werden in einem Kommunikations- und Informationssystem Informationen mehrerer Vertraulichkeitsstufen bearbeitet und gespeichert, so sind Metadaten und visuelle Kennzeichnungen zu verwenden, um sicherzustellen, dass die verschiedenen Stufen unterscheidbar sind. (2)Die Organe und Einrichtungen der Union ermitteln die Nutzer des Kommunikations- und Informationssystems, denen Zugang zu Informationen anderer Vertraulichkeitsstufen als „für die Öffentlichkeit bestimmte Information“ gewährt werden soll. Die Authentifizierung der Nutzer erfolgt auf einem der Vertraulichkeitsstufe angemessenen Sicherheitsniveau. Gegebenenfalls wird ein sicheres gemeinsames Identifizierungssystem verwendet. (3)Für alle Kommunikations- und Informationssysteme werden geeignete Sicherheitsprotokolle geführt, um im Falle von Sicherheitsverletzungen oder unbefugter Weitergabe von Informationen rasche Ermittlungen zu ermöglichen. Diese Protokolle werden für einen in der Folgenabschätzung oder in den einschlägigen Sicherheitskonzepten festgelegten Zeitraum als Beweismittel aufbewahrt. Werden in einem Kommunikations- und Informationssystem EU-VS bearbeitet und gespeichert, so werden für die jeweiligen Informationen Protokolle über die „Kenntnis nur, wenn nötig“-Ermächtigungen und den Zugang zu Informationen so lange geführt, bis der Geheimhaltungsgrad der Information aufgehoben wird. Die Sicherheitsprotokolle müssen für die Sicherheitsbehörde zugänglich sein und von ihr durchsucht werden können.

(4)Die Organe und Einrichtungen der Union erlassen interne Vorschriften für die Sicherheit von Kommunikations- und Informationssystemen, in denen die Sicherheitsmaßnahmen zur Gewährleistung der jeweiligen Sicherheitsanforderungen der zu bearbeitenden und zu speichernden Informationen festgelegt werden, wobei sie auch die Rechtsvorschriften der Länder berücksichtigen, an die die Informationen übermittelt werden und in denen sie verwahrt oder bearbeitet werden. Diese Maßnahmen umfassen gegebenenfalls Folgendes: a)Einschränkungen in Bezug auf geografische Standorte; b)die Berücksichtigung potenzieller Interessenkonflikte, Boykotte oder Sanktionen in Bezug auf Auftragnehmer; c)vertragliche Bestimmungen zur Gewährleistung der Informationssicherheit; d)die Verschlüsselung von ruhenden Informationen sowie von Informationen während der Übertragung; e)für das Personal der Auftragnehmer geltende Zugangsbeschränkungen bezüglich Informationen der Organe und Einrichtungen der Union; f)den Schutz personenbezogener Daten im Einklang mit den geltenden Datenschutzvorschriften. (5)Die Organe und Einrichtungen der Union verwalten ihre Kommunikations- und Informationssysteme nach den folgenden Grundsätzen: a)Jedes Kommunikations- und Informationssystem verfügt über einen Systemeigner oder eine für den Betrieb zuständige Informationssicherungsstelle, die für seine Sicherheit zuständig sind. b)Es wird ein Informationssicherheitsrisiko-Managementprozess angewendet, der die Aspekte der Informationssicherheit abdeckt. c)Die Sicherheitsanforderungen und sicherheitsbezogenen Betriebsverfahren werden förmlich festgelegt, umgesetzt, überprüft und überarbeitet. d)Informationssicherheitsvorfälle werden gemäß der Verordnung (EU) Nr. [XXX] über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in den Organen, Einrichtungen und sonstigen Stellen der Union förmlich aufgezeichnet und weiterverfolgt. Kapitel 4

Nicht als Verschlusssache eingestufte Informationen Artikel 12 Für die Öffentlichkeit bestimmte Informationen (1)Für die Öffentlichkeit oder die amtliche Veröffentlichung bestimmte oder bereits offengelegte Informationen, die innerhalb oder außerhalb der Organe und Einrichtungen der Union ohne Einschränkungen weitergegeben werden können, werden als für die Öffentlichkeit bestimmte Informationen eingestuft und entsprechend bearbeitet und verwahrt. (2)Die Organe und Einrichtungen der Union können Informationen nach Absatz 1 mit der Kennzeichnung „PUBLIC USE“ versehen. (3)Alle Organe und Einrichtungen der Union gewährleisten die Integrität und Verfügbarkeit von für die Öffentlichkeit bestimmten Informationen durch geeignete, den Sicherheitsanforderungen entsprechende Maßnahmen. Artikel 13 Normale Informationen

(1)Informationen, die die Organe und Einrichtungen der Union im Rahmen ihrer Aufgaben verwenden und bei denen es sich weder um nicht als Verschlusssache eingestufte vertrauliche Informationen noch um für die Öffentlichkeit bestimmte Informationen handelt, werden als normale Informationen eingestuft, bearbeitet und verwahrt. Diese Kategorie umfasst alle Informationen für den normalen Geschäftsbetrieb, die in dem betreffenden Organ oder der betreffenden Einrichtung der Union verarbeitet werden. (2)Normale Informationen können visuell oder über Metadaten gekennzeichnet werden, wenn dies zur Gewährleistung ihres Schutzes erforderlich ist, insbesondere wenn sie außerhalb der Organe und Einrichtungen der Union weitergegeben werden. In diesem Fall ist die Kennzeichnung „EU NORMAL“ oder „[Name oder Akronym des Organs oder der Einrichtung der Union] NORMAL“ zu verwenden. (3)Die Organe und Einrichtungen der Union legen für normale Informationen Standardschutzmaßnahmen fest und berücksichtigen dabei die Leitlinien der Untergruppe für nicht als Verschlusssache eingestufte Informationen sowie die etwaigen spezifischen Risiken im Zusammenhang mit ihren Aufgaben und Tätigkeiten. (4)Normale Informationen werden außerhalb der Organe und Einrichtungen der Union nur mit natürlichen oder juristischen Personen ausgetauscht, die Kenntnis davon haben müssen. Artikel 14 Nicht als Verschlusssache eingestufte vertrauliche Informationen (1)Die Organe und Einrichtungen der Union stufen alle Informationen, die nicht als Verschlusssache eingestuft sind, jedoch aufgrund rechtlicher Verpflichtungen oder aufgrund des Schadens, der den berechtigten privaten oder öffentlichen Interessen (einschließlich der Interessen der Organe und Einrichtungen der Union, der Mitgliedstaaten oder Einzelpersonen) durch ihre unbefugte Offenlegung entstehen kann, zu schützen sind, als nicht als Verschlusssache eingestufte vertrauliche Information ein und bearbeiten und verwahren sie als solche. (2)Jedes Organ und jede Einrichtung der Union versieht die nicht als Verschlusssache eingestuften vertraulichen Informationen mit einer sichtbaren Sicherheitskennzeichnung und legt gemäß Anhang I entsprechende Bearbeitungsanweisungen fest. (3)Die Organe und Einrichtungen der Union schützen die nicht als Verschlusssache eingestuften vertraulichen Informationen, indem sie in Bezug auf deren Bearbeitung und Verwahrung geeignete Maßnahmen anwenden. Diese Informationen dürfen innerhalb der Organe und Einrichtungen der Union nur Personen zugänglich gemacht werden, die zur Erfüllung der ihnen übertragenen Aufgaben von diesen Informationen Kenntnis haben müssen. (4)Nicht als Verschlusssache eingestufte vertrauliche Informationen werden außerhalb der Organe und Einrichtungen der Union unter Berücksichtigung der mit diesen Informationen verbundenen Bearbeitungsanweisungen nur mit natürlichen oder juristischen Personen ausgetauscht, die Kenntnis davon haben müssen. Alle Beteiligten sind über die entsprechenden Bearbeitungsanweisungen zu informieren. Artikel 15 Schutz der nicht als Verschlusssache eingestuften Informationen und Interoperabilität (1)Die Organe und Einrichtungen der Union legen Verfahren für die Meldung und die Bewältigung von Vorfällen oder mutmaßlichen Vorfällen fest, die zu einer Gefährdung der Sicherheit von nicht als Verschlusssache eingestuften Informationen führen könnten. (2)Erforderlichenfalls verwenden die Organe und Einrichtungen der Union die in den Artikeln 12, 13 und 14 vorgesehenen Kennzeichnungen. In Ausnahmefällen können intern und in Bezug auf ihre jeweiligen Partner in anderen Organen und Einrichtungen der Union oder in den Mitgliedstaaten andere gleichwertige Kennzeichnungen verwendet werden, sofern alle Parteien dem zustimmen. Jede solche Ausnahme wird der Untergruppe für nicht als Verschlusssache eingestufte Informationen gemäß Artikel 7 Absatz 1 Buchstabe b mitgeteilt. (3)Es werden vertragliche Vorkehrungen getroffen, um den Schutz normaler und nicht als Verschlusssache eingestufter vertraulicher Informationen, die von ausgelagerten Diensten verarbeitet werden, zu gewährleisten. Diese Schutzvorkehrungen sind so zu gestalten, dass sie ein Schutzniveau gewährleisten, das dem in dieser Verordnung vorgesehenen mindestens gleichwertig ist, und schließen Vertraulichkeits- und Geheimhaltungsverpflichtungen ein, die von allen relevanten und an der Bereitstellung der ausgelagerten Systeme beteiligten Dienstleistern zu unterzeichnen sind. Artikel 16 Untergruppe für nicht als Verschlusssache eingestufte Informationen (1)Die Untergruppe für nicht als Verschlusssache eingestufte Informationen gemäß Artikel 7 Absatz 1 Buchstabe b hat folgende Aufgaben und Zuständigkeiten: a)Straffung der Verfahren für die Bearbeitung und Verwahrung der nicht als Verschlusssache eingestuften Informationen und Ausarbeitung der einschlägigen Leitlinien; b)Koordinierung mit der Untergruppe für Informationssicherung gemäß Artikel 7 Absatz 1 Buchstabe a in allen Angelegenheiten bezüglich Systemen, in denen nicht als Verschlusssache eingestufte Informationen bearbeitet und gespeichert werden;

c)Ausarbeitung von Bearbeitungsanweisungen für nicht als Verschlusssache eingestufte Informationen verschiedener Vertraulichkeitsstufen; d)Unterstützung der Organe und Einrichtungen der Union bei der Festlegung der Gleichwertigkeit zwischen ihren jeweiligen Kategorien von nicht als Verschlusssache eingestuften Informationen und den in den Artikeln 12, 13 und 14 vorgesehenen Kategorien; e)Unterstützung und Beratung zur Erleichterung des Austauschs von nicht als Verschlusssache eingestuften Informationen zwischen den Organen und Einrichtungen der Union. Artikel 17 Bearbeitung und Speicherung von nicht als Verschlusssache eingestuften vertraulichen Informationen in Kommunikations- und Informationssystemen (1)Die Organe und Einrichtungen der Union stellen sicher, dass die Kommunikations- und Informationssysteme in Bezug auf die Bearbeitung und Speicherung von nicht als Verschlusssache eingestuften vertraulichen Informationen die folgenden Mindestanforderungen erfüllen: a)Für den Zugriff auf nicht als Verschlusssache eingestufte vertrauliche Informationen wird eine starke Authentisierung eingesetzt, und nicht als Verschlusssache eingestufte vertrauliche Informationen werden bei der Übermittlung und Speicherung verschlüsselt. b)Die für die Speicherung verwendeten Kryptografieschlüssel fallen unter die Verantwortung der für den Betrieb des betreffenden Kommunikations- und Informationssystems zuständigen Organe oder Einrichtungen der Union. c)Nicht als Verschlusssache eingestufte vertrauliche Informationen werden in der Union verwahrt und verarbeitet. d)In alle Auslagerungsverträge werden Vertragsbestimmungen über die Sicherheit von Personal, Werten und Informationen aufgenommen. e)Es werden interoperable Metadaten verwendet, um den Vertraulichkeitsgrad elektronischer Dokumente festzuhalten und die Automatisierung von Sicherheitsmaßnahmen zu erleichtern. f)Um nicht als Verschlusssache eingestufte vertrauliche Informationen zu schützen, treffen die Organe und Einrichtungen der Union Maßnahmen zur Verhinderung und Erkennung von unbefugter Weitergabe von Daten. g)Soweit vorhanden wird Sicherheitsausrüstung mit europäischem Cybersicherheitszertifikat verwendet. h)Um den Zugang von Dienstleistern und Auftragnehmern zu nicht als Verschlusssache eingestuften vertraulichen Informationen auf ein Mindestmaß zu beschränken, werden Sicherheitsmaßnahmen angewandt, die auf den Grundsätzen „Kenntnis nur, wenn nötig“ und „Zero-Trust“ beruhen. (2)Ausnahmen von den Mindestanforderungen nach Absatz 1 bedürfen der Genehmigung durch die betreffende Verwaltungsebene des jeweiligen Organs oder der jeweiligen Einrichtung der Union auf der Grundlage einer Risikobewertung, die die rechtlichen und technischen Risiken in Bezug auf die Sicherheit der nicht als Verschlusssache eingestuften vertraulichen Informationen abdeckt. (3)Die Informationssicherungsstelle des betreffenden Organs oder der betreffenden Einrichtung der Union kann die Einhaltung der in Absatz 1 genannten Grundsätze während des Lebenszyklus eines Kommunikations- und Informationssystems jederzeit überprüfen. Kapitel 5

EU-Verschlusssachen Abschnitt 1

Allgemeine Bestimmungen Artikel 18 Geheimhaltungsgrade und Kennzeichnungen

(1)EU-Verschlusssachen werden in einen der folgenden Geheimhaltungsgrade eingestuft und entsprechend gekennzeichnet: a)TRES SECRET UE/EU TOP SECRET: Informationen und Materialien, deren unbefugte Offenlegung den wesentlichen Interessen der Union oder eines oder mehrerer Mitgliedstaaten äußerst schweren Schaden zufügen könnte; b)SECRET UE/EU SECRET: Informationen und Materialien, deren unbefugte Offenlegung den wesentlichen Interessen der Union oder eines oder mehrerer Mitgliedstaaten schweren Schaden zufügen könnte; c)CONFIDENTIEL UE/EU CONFIDENTIAL: Informationen und Materialien, deren unbefugte Offenlegung den wesentlichen Interessen der Union oder eines oder mehrerer Mitgliedstaaten Schaden zufügen könnte; d)RESTREINT UE/EU RESTRICTED: Informationen und Materialien, deren unbefugte Offenlegung für die Interessen der Union oder eines oder mehrerer Mitgliedstaaten nachteilig sein könnte. (2)Die Koordinierungsgruppe nimmt Leitlinien für die Erstellung und Einstufung von EU-VS an. Artikel 19 Befugnis zur Bearbeitung und Verwahrung von EU-Verschlusssachen (1)Die Organe und Einrichtungen der Union sind befugt, EU-VS zu bearbeiten und zu verwahren, sofern alle folgenden Bedingungen erfüllt sind: a)sie legen im Einklang mit dieser Verordnung Vorschriften und Verfahren fest, die den Schutz der Information gemäß ihrem Geheimhaltungsgrad gewährleisten; und b)sie wurden einem Bewertungsbesuch nach Artikel 53 unterzogen, und ihre Fähigkeit, EU-VS im Einklang mit dieser Verordnung und gegebenenfalls anderen einschlägigen Vorschriften und Verfahren zu schützen, wurde bestätigt. (2)In Bezug auf die Mitglieder der Untergruppe für die Weitergabe von EU-VS und den Austausch von Verschlusssachen gemäß Artikel 7 Absatz 1 Buchstabe e gelten die in Absatz 1 des vorliegenden Artikels genannten Bedingungen grundsätzlich als erfüllt. Artikel 20 Schutz von EU-Verschlusssachen (1)Der Besitzer jedweder EU-VS ist dafür verantwortlich, diese zu schützen. (2)Überträgt ein Mitgliedstaat Verschlusssachen, die mit einem nationalen Geheimhaltungsgrad gekennzeichnet sind, in die Strukturen oder Netze eines Organs oder einer Einrichtung der Union, so schützt dieses Organ oder diese Einrichtung diese Verschlusssachen gemäß der im Abkommen zwischen den im Rat vereinigten Mitgliedstaaten der Union über den Schutz der im Interesse der Europäischen Union ausgetauschten Verschlusssachen festgelegten jeweiligen Kennzeichnung. Die Entsprechungstabelle findet sich in Anhang VI dieser Verordnung. (3)Eine Gesamtheit von EU-VS kann ein Schutzniveau erfordern, das einem höheren Geheimhaltungsgrad als dem ihrer einzelnen Bestandteile entspricht. Artikel 21 Sicherheitsrisiko-Managementprozess für EU-Verschlusssachen (1)Die zum Schutz von EU-VS während ihres gesamten Lebenszyklus vorgesehenen Sicherheitsmaßnahmen werden auf der Grundlage der Ergebnisse einer von dem jeweiligen Organ oder der jeweiligen Einrichtung der Union durchgeführten Risikobewertung von der Sicherheitsbehörde des Organs oder der Einrichtung der Union genehmigt.

(2)Die von den einzelnen Organen und Einrichtungen der Union getroffenen Sicherheitsmaßnahmen müssen dem Geheimhaltungsgrad der bearbeiteten und verwahrten Informationen, ihrer Form und ihrer Menge, dem geografischen Standort und den Schutzmerkmalen der Anlagen, in denen sie bearbeitet und verwahrt werden sowie der Einschätzung hinsichtlich der örtlichen Bedrohung durch böswillige oder kriminelle Handlungen angemessen sein. (3)Sämtliche Organe und Einrichtungen der Union erstellen a)Notfallpläne, um die Sicherheit von EU-VS in Notfällen zu gewährleisten; b)Betriebskontinuitätspläne mit Präventions- und Wiederherstellungsmaßnahmen, um die Auswirkungen größerer Störungen oder Sicherheitsvorfälle auf die Bearbeitung und Verwahrung von EU-VS so gering wie möglich zu halten. Artikel 22 Verletzungen der Sicherheit und Kenntnisnahme von EU-VS durch Unbefugte (1)Jede Handlung oder Unterlassung eines Organs oder einer Einrichtung der Union oder einer Person, die einen Verstoß gegen diese Verordnung darstellt, gilt als Verletzung der Sicherheit. (2)EU-VS gelten als der Kenntnisnahme durch Unbefugte ausgesetzt, wenn sie infolge einer Verletzung der Sicherheit ganz oder teilweise an eine oder mehrere Personen weitergegeben wurden, die nicht zum Zugang zu diesen Informationen ermächtigt sind. (3)Jede Kenntnisnahme oder vermutete Kenntnisnahme von EU-VS durch Unbefugte ist unverzüglich der Sicherheitsbehörde des betreffenden Organs oder der betreffenden Einrichtung der Union zu melden, die eine Sicherheitsuntersuchung durchführt und mindestens a)den Herausgeber verständigt; b)sicherstellt, dass der Fall zur Aufklärung des Sachverhalts von Personal untersucht wird, das von der Sicherheitsverletzung nicht unmittelbar betroffen ist; c)den potenziellen Schaden für die Interessen der Union oder der Mitgliedstaaten einschätzt; d)dafür sorgt, dass sich ein solcher Vorfall nicht wiederholt; e)die zuständigen Behörden über die tatsächliche oder potenzielle Kenntnisnahme durch Unbefugte und die getroffenen Maßnahmen unterrichtet. Abschnitt 2

Personeller Geheimschutz Artikel 23 Grundsätze (1)Die Sicherheitsbehörde eines Organs oder einer Einrichtung der Union kann Einzelpersonen Zugang zu EU-VS gewähren, wenn alle folgenden Bedingungen erfüllt sind: a)die Personen erfüllen das „Kenntnis, nur wenn nötig“-Kriterium; b)die Personen wurden über die Sicherheitsvorschriften und -verfahren für den Schutz von EU-VS sowie die entsprechenden Sicherheitsstandards und -leitlinien belehrt und haben ihre Verantwortlichkeiten hinsichtlich des Schutzes solcher Informationen schriftlich anerkannt;

c)für als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestufte Verschlusssachen müssen die betreffenden Personen über eine Sicherheitsermächtigung verfügen und eine Ermächtigung für den entsprechenden Geheimhaltungsgrad erhalten haben. (2)Die Organe und Einrichtungen der Union berücksichtigen die Loyalität, Vertrauenswürdigkeit und Zuverlässigkeit einer Person, die durch eine von den zuständigen Behörden des Mitgliedstaats, dessen Staatsangehörigkeit der Antragsteller besitzt, durchgeführte Sicherheitsüberprüfung festgestellt wurde. (3)Die Organe und Einrichtungen der Union können Sicherheitsermächtigungen von Drittstaaten und internationalen Organisationen, mit denen die Union ein Geheimschutzabkommen geschlossen hat, anerkennen. (4)Die Organe und Einrichtungen der Union können die Sicherheitsermächtigungsverfahren autonom verwalten oder für die Zwecke der Sicherheitsermächtigung eine Leistungsvereinbarung (Service Level Agreement, SLA) mit der Kommission anstreben. Wird eine Leistungsvereinbarung geschlossen, ist die Sicherheitsbehörde der Kommission die Kontaktstelle zwischen den Sicherheitsbüros der betreffenden Organe und Einrichtungen der Union und den zuständigen nationalen Behörden der Mitgliedstaaten im Zusammenhang mit Fragen der Sicherheitsermächtigung. (5)Die Sicherheitsbehörde jedes Organs und jeder Einrichtung der Union führt Aufzeichnungen über ihre Sicherheitsermächtigungen, Unterweisungen, schriftlichen Bestätigungen und Ermächtigungen zum Zugang zu EU-VS. (6)Die Organe und Einrichtungen der Union, die mit der Kommission eine Leistungsvereinbarung schließen, stellen der Sicherheitsbehörde der Kommission einschlägige Aufzeichnungen mindestens über den Geheimhaltungsgrad der EU-VS, zu denen die betreffende Person Zugang erhalten kann, das Datum der Erteilung der Ermächtigung zum Zugang zu EU-VS und deren Gültigkeitsdauer zur Verfügung. Diese Aufzeichnungen sind anderen Organen und Einrichtungen der Union, die über eine Leistungsvereinbarung verfügen, in begründeten Fällen zugänglich. Artikel 24 Ermächtigung zum Zugang zu EU-VS (1)Jedes Organ und jede Einrichtung der Union bestimmt die internen Dienstposten, für die ein Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen erforderlich ist, um dem Inhaber die Erfüllung seiner Verpflichtungen zu ermöglichen. (2)Benötigt eine Person die Ermächtigung zum Zugang zu als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen, so unterrichtet das betreffende Organ oder die betreffende Einrichtung die zuständige Sicherheitsbehörde, die die in Anhang II Nummer 1 vorgeschriebenen Formalitäten erledigt. (3)Die Sicherheitsbehörde jedes Organs und jeder Einrichtung der Union ist für die Gewährung, Aussetzung, Entziehung und Verlängerung der Ermächtigungen zum Zugang zu EU-VS für ihr Personal verantwortlich. (4)Unter außergewöhnlichen Umständen - wenn dies im dienstlichen Interesse hinreichend begründet ist und bis zum Abschluss einer umfassenden Sicherheitsüberprüfung - kann die Sicherheitsbehörde eines Organs oder einer Einrichtung der Union Personen unbeschadet der Bestimmungen über die Verlängerung der Ermächtigung zum Zugang zu EU-VS und nach Überprüfung durch die zuständige nationale Sicherheitsbehörde eine befristete Ermächtigung zum Zugang zu EU-VS für einen bestimmten Dienstposten erteilen. (5)Die Organe und Einrichtungen der Union halten die in Anhang II festgelegten Verfahren für die Verwaltung der Ermächtigungen zum Zugang zu EU-VS ein. Artikel 25 Anerkennung von Ermächtigungen zum Zugang zu EU-VS (1)Eine Ermächtigung zum Zugang zu EU-VS bis zu dem angegebenen Geheimhaltungsgrad ist in jedem Organ und jeder Einrichtung der Union, dem/der die betreffende Person zugewiesen ist, gültig. (2)Die Organe und Einrichtungen der Union erkennen die von anderen Organen oder Einrichtungen der Union erteilten Ermächtigungen zum Zugang zu EU-VS an. (3)Nimmt der Inhaber einer Ermächtigung zum Zugang zu EU-VS eine Beschäftigung bei einem anderen Organ oder einer anderen Einrichtung der Union auf, so teilt dieses Organ bzw. diese Einrichtung der Union der betreffenden nationalen Sicherheitsbehörde über die zuständige Sicherheitsbehörde den Wechsel des Arbeitgebers mit. Artikel 26

Unterrichtung zu EU-VS (1)Die Sicherheitsbehörde eines Organs oder einer Einrichtung der Union unterrichtet alle Personen, die Zugang zu EU-VS benötigen, über jegliche Sicherheitsbedrohungen und über ihre Pflicht, verdächtige Handlungen zu melden. Die Unterrichtung findet vor der Gewährung des Zugangs zu EU-VS und danach mindestens alle fünf Jahre statt. (2)Nach der in Absatz 1 genannten Unterrichtung bestätigen alle betreffenden Personen schriftlich, dass sie sich ihrer Pflichten in Bezug auf den Schutz von EU-VS und der Folgen einer Kenntnisnahme von EU-VS durch Unbefugte bewusst sind. (3)Die Unterrichtung nach Absatz 1 enthält folgende Informationen: a)Gegen jede Person, die für eine Verletzung der Sicherheitsvorschriften dieser Verordnung verantwortlich ist, können disziplinarische Maßnahmen gemäß den geltenden Vorschriften ergriffen werden. b)Gegen jede Person, die für die Kenntnisnahme von EU-VS durch Unbefugte oder deren Verlust verantwortlich ist, können gemäß den geltenden Gesetzen und Vorschriften Disziplinarmaßnahmen ergriffen oder rechtliche Schritte unternommen werden. (4)Benötigen Personen, denen Ermächtigungen zum Zugang zu EU-VS erteilt wurden, diesen Zugang nicht mehr, so stellen die Organe und Einrichtungen der Union sicher, dass sich diese Personen ihrer Verpflichtungen in Bezug auf den fortgesetzten Schutz von EU-VS bewusst sind und diese Verpflichtungen gegebenenfalls schriftlich bestätigen. (5)Die Erstellung und Verwaltung der Unterrichtungen zu EU-VS können die Organe und Einrichtungen der Union gemeinsam organisieren, sofern deren spezifischen Anforderungen Rechnung getragen wird. Abschnitt 3

Materieller Geheimschutz Artikel 27 Grundsätze (1)Jedes Organ und jede Einrichtung der Union legt auf der Grundlage einer von seiner/ihrer Sicherheitsbehörde durchgeführten Risikobewertung die für seine/ihre Standorte geeigneten materiellen Geheimschutzmaßnahmen im Einklang mit Anhang III und dem Grundsatz der mehrstufigen Sicherheitsmechanismen (gestaffeltes Sicherheitskonzept) fest. Die Maßnahmen sollen Folgendes gewährleisten: a)Verhinderung des Zugangs zu EU-VS oder des gewaltsamen Eindringens unbefugter Personen; b)Abschreckung, Verhinderung und Aufdeckung unbefugter Handlungen und schnellstmögliche Reaktion auf Sicherheitsvorfälle; c)Einteilung des Personals in Bezug auf seinen Zugang zu EU-VS nach dem Grundsatz „Kenntnis nur, wenn nötig“ und gegebenenfalls der Sicherheitsermächtigung. (2)Die Organe und Einrichtungen der Union treffen materielle Geheimschutzmaßnahmen für alle Standorte, an denen EU-VS erörtert, aufbewahrt oder bearbeitet werden, einschließlich der Bereiche, in denen Kommunikations- und Informationssysteme gemäß Abschnitt 5 dieses Kapitels untergebracht sind. (3)Für den materiellen Schutz von als „CONFIDENTIEL UE/EU CONFIDENTIAL“ oder höher eingestuften Verschlusssachen dürfen nur von der Sicherheitsbehörde eines Organs oder einer Einrichtung der Union genehmigte Sicherheitsausrüstungen verwendet werden. (4)Die Organe und Einrichtungen der Union können nach Abschluss einer Vereinbarung Sicherheitsbereiche gemäß Anhang III für die Bearbeitung und Aufbewahrung von EU-VS gemeinsam nutzen. Artikel 28 Untergruppe für materiellen Geheimschutz

(1)Die Untergruppe für materiellen Geheimschutz gemäß Artikel 7 Absatz 1 Buchstabe c hat folgende Aufgaben und Zuständigkeiten: a)Ausarbeitung von Leitfäden zu Fragen des materiellen Geheimschutzes; b)Festlegung der allgemeinen Sicherheitskriterien für den Erwerb von Ausrüstung wie Sicherheitsbehältern, Schreddermaschinen, Türschlössern, elektronischen Zugangskontrollsystemen, Einbruchmeldesystemen und Alarmsystemen zum materiellen Schutz von EU-VS; c)Unterstützung der Organe und Einrichtungen der Union bei der Festlegung geeigneter Sicherheitsmaßnahmen für ihre Standorte; d)Vorschläge für Ausgleichsmaßnahmen für den Schutz von EU-VS, wenn EU-VS außerhalb der materiell geschützten Bereiche eines Organs bzw. einer Einrichtung der Union bearbeitet werden. Artikel 29 Materieller Schutz von EU-VS (1)Um den materiellen Schutz von EU-VS zu gewährleisten, richten die Organe und Einrichtungen der Union die folgenden materiell geschützten Bereiche ein: a)Verwaltungsbereiche gemäß Anhang III; b)gegebenenfalls Sicherheitsbereiche der Klassen I und II und technische Sicherheitsbereiche gemäß Anhang III. (2)Die Sicherheitsbehörde des betreffenden Organs und der betreffenden Einrichtung der Union führt eine interne Inspektion durch, um zu überprüfen, ob die in Anhang III festgelegten Bedingungen für die Einrichtung eines Verwaltungsbereichs oder Sicherheitsbereichs erfüllt sind. Geht aus dem Inspektionsbericht hervor, dass die Bedingungen erfüllt sind, kann die Sicherheitsbehörde für den Sicherheitsbereich zum Schutz von EU-VS bis zu dem angegebenen Geheimhaltungsgrad eine Akkreditierung für einen Zeitraum von höchstens fünf Jahren erteilen. Die Sicherheitsbehörde des betreffenden Organs oder der betreffenden Einrichtung der Union ist dafür zuständig, die Sicherheitsbereiche vor Ablauf der Akkreditierung oder nach Durchführung von Änderungen im akkreditierten Bereich erneut zu akkreditieren. (3)Jedes Organ und jede Einrichtung der EU legt für Büros, Räume, Tresorräume und Sicherheitsbehältnisse, die für als CONFIDENTIEL UE/EU CONFIDENTIAL oder höher eingestufte EU-VS verwendet werden, Verfahren für die Verwaltung der Schlüssel und Kombinationen fest. (4