ANEXO A VI

INTERCAMBIO DE INFORMACIÓN CLASIFICADA CON TERCEROS ESTADOS Y ORGANIZACIONES INTERNACIONALES

I. INTRODUCCIÓN

II. MARCOS QUE REGULAN EL INTERCAMBIO DE INFORMACIÓN CLASIFICADA

Cuando el SEAE necesite intercambiar durante largo tiempo información clasificada de un grado no superior a «RESTREINT UE/EU RESTRICTED» con un tercer Estado o una organización internacional y se haya determinado que la otra parte no cuenta con un sistema de seguridad suficientemente desarrollado como para celebrar un acuerdo de seguridad de la información, la AR podrá, previo dictamen favorable y unánime del Comité de Seguridad del SEAE de acuerdo con el artículo 15, apartado 5, de la presente Decisión, celebrar un acuerdo administrativo con las autoridades de seguridad competentes del tercer Estado o la organización internacional.

III. VISITAS DE EVALUACIÓN

IV. AUTORIDAD PARA CEDER ICUE A TERCEROS ESTADOS U ORGANIZACIONES INTERNACIONALES

Cuando el originador de la información clasificada que va a cederse, incluidos los originadores del material fuente que contenga, no sea el SEAE, este deberá recabar el consentimiento previo por escrito del originador para establecer que no existen objeciones a la cesión. Si el SEAE no puede determinar el originador, la Autoridad de Seguridad del SEAE asumirá la responsabilidad de aquel tras obtener el dictamen favorable unánime de los Estados miembros representados en el Comité de Seguridad del SEAE.

V. CESIÓN AD HOC CON CARÁCTER EXCEPCIONAL DE ICUE

Apéndice A

Definiciones

A efectos de la presente Decisión, se entenderá por:

«Acreditación»: el proceso que concluye con la declaración formal de la Autoridad de Acreditación de Seguridad (AAS) de que un sistema ha recibido la correspondiente aprobación para tratar material de un grado determinado de clasificación en un modo específico de seguridad en su entorno operativo y con un nivel aceptable de riesgo, en el entendimiento de que se aplica un conjunto aprobado de medidas de seguridad técnicas, físicas, organizativas y procedimentales.

«Activos»: todo lo que tenga valor para una organización, para su funcionamiento y continuidad, incluidos los recursos de información disponibles para llevar a cabo su misión.

«Autorización para acceder a ICUE»: una autorización de la Autoridad de Seguridad del SEAE concedida de conformidad con la presente Decisión previa emisión de una HPS por las autoridades competentes de un Estado miembro y que acredite que una persona puede tener acceso a ICUE de un determinado grado («CONFIDENTIEL UE/EU CONFIDENTIAL» o superior) hasta una fecha determinada, siempre que se establezca su necesidad de conocer dicha información —véase el artículo 2 del anexo A I.

«Fallo en la seguridad»: una acción u omisión de una persona que sea contraria a las normas de seguridad establecidas en la presente Decisión o a las políticas o directrices de seguridad que recojan las medidas necesarias para su aplicación.

«Ciclo de vida de un SIC»: la duración completa de la existencia de un SIC, que comprende inicio, concepción, planificación, análisis de requisitos, diseño, desarrollo, pruebas, aplicación, funcionamiento, mantenimiento y desmantelamiento.

«Contrato clasificado»: el contrato celebrado entre el SEAE y un contratista para el suministro de bienes, la ejecución de obras o la prestación de servicios cuya ejecución exija o implique el acceso a ICUE o la creación de dicha información.

«Subcontrato clasificado»: el contrato celebrado por un contratista del SEAE con otro contratista (denominado «subcontratista») para el suministro de bienes, la ejecución de obras o la prestación de servicios cuya ejecución exija o implique el acceso a ICUE o la creación de dicha información.

«Sistema de información y comunicaciones» (SIC): un sistema que permite manejar información en formato electrónico. Un sistema de información y comunicaciones abarca todos los activos necesarios para su funcionamiento, incluidos la infraestructura, la organización y los recursos de personal e información —véase el artículo 8, apartado 2, del anexo A.

«Comprometimiento de la ICUE»: la revelación total o parcial de ICUE a personas o entidades no autorizadas —véase el artículo 9, apartado 2.

«Contratista»: la persona física o jurídica con capacidad legal para celebrar contratos.

«Productos criptográficos»: algoritmos criptográficos, módulos criptográficos de hardware y software, y productos que incluyan detalles de aplicación, documentación asociada y claves.

«Operación PCSD»: una operación militar o civil de gestión de crisis en virtud del título V, capítulo 2, del TUE.

«Desclasificación»: supresión de toda clasificación de seguridad.

«Defensa en profundidad»: la aplicación de una serie de medidas de seguridad organizadas a modo de barreras sucesivas de defensa.

«Autoridad de Seguridad Designada» (ASD): una autoridad responsable ante la Autoridad Nacional de Seguridad (ANS) de un Estado miembro, encargada de comunicar a sociedades industriales o de otra índole la política nacional en todos los aspectos de la seguridad industrial y de facilitarles dirección y asistencia para su aplicación. La función de ASD podrá ser ejercida por la ANS o por cualquier otra autoridad competente.

«Documento»: toda información registrada, independientemente de su soporte o características físicas.

«Reducción del grado de clasificación»: reducción del grado de clasificación de seguridad.

«Información clasificada de la UE» (ICUE): toda información o material a los que se haya asignado una clasificación de seguridad de la UE cuya revelación no autorizada pueda causar perjuicio en distintos grados a los intereses de la Unión Europea o de uno o varios de sus Estados miembros —véase el artículo 2, letra f).

«Habilitación de seguridad de establecimiento»: la certificación administrativa por parte de una ANS o una ASD de que, desde el punto de vista de la seguridad, un determinado establecimiento puede brindar un nivel adecuado de protección a la ICUE de un grado específico de clasificación de seguridad, y de que el personal que trabaja en dicho establecimiento y necesita acceder a ICUE ha sido debidamente habilitado y ha sido aleccionado sobre los requisitos de seguridad necesarios para acceder a la ICUE y para protegerla.

«Manejo» de ICUE: toda intervención posible a la que puede estar sujeta a lo largo de su ciclo de vida la ICUE, es decir: producción, tratamiento, traslado, reducción del nivel de clasificación, desclasificación y destrucción. En relación con los SIC abarca asimismo su recopilación, exposición, transmisión y almacenamiento.

«Poseedor»: persona debidamente autorizada con una probada necesidad de conocer la información, que está en posesión de cualquier ICUE y es, por tanto, responsable de su protección.

«Sociedad industrial u otro tipo de entidad»: una entidad que participa en el suministro de bienes, la ejecución de obras o la prestación de servicios. Puede tratarse de sociedades industriales, comerciales y de servicios o de centros científicos, de investigación, educativos y de desarrollo, o de individuos que trabajen por cuenta propia.

«Seguridad industrial»: la aplicación de medidas encaminadas a garantizar la protección de la ICUE por los contratistas o subcontratistas durante las negociaciones precontractuales y durante toda la vigencia de los contratos clasificados —véase el artículo 9, apartado 1, del anexo A.

«Garantía de la información»: en el ámbito de los sistemas de información y comunicaciones, la confianza en que esos sistemas protejan la información que manejan y funcionen como es necesario que lo hagan, cuando así se precise, bajo el control de sus legítimos usuarios. Una GI efectiva ha de asegurar unos niveles apropiados de confidencialidad, integridad, disponibilidad, no repudio y autenticidad. La GI se basará en un proceso de gestión del riesgo —véase el artículo 8, apartado 1, del anexo A.

«Interconexión»: a efectos de la presente Decisión, la conexión directa entre dos o más sistemas de informáticos para compartir datos y otros recursos de información (p.ej. comunicación) de forma unidireccional o multidireccional —véase el anexo A IV, apartado 31.

«Tratamiento de la información clasificada»: la aplicación de medidas administrativas de control de la ICUE a lo largo de todo su ciclo de vida que completen las medidas contempladas en los artículos 5, 6 y 8 y contribuyan, así, a disuadir, descubrir y subsanar cualquier acto deliberado o accidental que pueda comprometer o suponer la pérdida de dicha información. Estas medidas se refieren, en particular, a la producción, registro, copia, traducción, traslado, manejo, almacenamiento y destrucción de ICUE —véase el artículo 7, apartado 1, del anexo A.

«Material»: todo documento, máquina o aparato, producido o en proceso de producción.

«Originador»: la institución, agencia u organismo de la UE, el Estado miembro, el tercer Estado o la organización internacional bajo cuya autoridad se ha producido información clasificada o se ha introducido en las estructuras de la UE.

«Seguridad en el personal»: la aplicación de medidas que garanticen que el acceso a la ICUE se concede únicamente a personas que:

— tengan necesidad de conocerla;

— hayan sido habilitadas para el grado de clasificación correspondiente para acceder a información «CONFIDENTIEL UE/EU CONFIDENTIAL» o superior, o bien hayan sido debidamente autorizadas en virtud de sus funciones con arreglo a las leyes y reglamentos nacionales; y

— hayan sido instruidas sobre sus responsabilidades

véase el artículo 5, apartado 1, del anexo A.

«Habilitación personal de seguridad» (HPS) para acceder a ICUE: la declaración de una autoridad competente de un Estado miembro, efectuada al término de una investigación de seguridad realizada por las autoridades competentes del Estado miembro, mediante la cual se acredita que una persona puede tener acceso a ICUE de un determinado grado («CONFIDENTIEL UE/EU CONFIDENTIAL» o superior) hasta una fecha determinada, siempre que se establezca su necesidad de conocer dicha información; de la persona que se ajuste a esta descripción se dirá que está «habilitada».

«Certificado de habilitación personal de seguridad» (CHPS): el certificado expedido por una autoridad competente mediante el cual se establece que una persona está habilitada y dispone de una HPS válida o una autorización para acceder a ICUE del jefe de la Dirección encargada de la seguridad, y que indica el grado de ICUE a que puede tener acceso («CONFIDENTIEL UE/EU CONFIDENTIAL» o superior), el período de validez de la habilitación y la fecha de caducidad del propio certificado.

«Seguridad física»: la aplicación de medidas de protección física y técnica para impedir el acceso no autorizado a ICUE —véase el artículo 6 del anexo A.

«Instrucciones de seguridad de un programa o proyecto»: lista de procedimientos de seguridad aplicables a un programa o proyecto específico para tipificar los procedimientos de seguridad. Puede ser objeto de revisión a lo largo de la ejecución del programa o proyecto.

«Registro»: la aplicación de procedimientos para registrar el ciclo de vida de la información, incluida su divulgación y destrucción —véase el anexo A III, apartado 21.

«Riesgo residual»: el riesgo que persiste una vez aplicadas las medidas de seguridad, dado que no es posible contrarrestar todas las amenazas ni eliminar todas las vulnerabilidades.

«Riesgo»: la posibilidad de que una determinada amenaza se aproveche de las vulnerabilidades internas o externas de una organización o de cualquier sistema que esta utilice y al hacerlo ocasione daños a la organización o a sus activos tangibles o intangibles. Se mide como la combinación de la probabilidad de que se cumplan las amenazas y de su repercusión.

«Aceptación del riesgo»: la decisión de aceptar, una vez tratado el riesgo, la persistencia de un riesgo residual.

«Evaluación del riesgo»: la determinación de las amenazas y las vulnerabilidades, y la realización del correspondiente análisis del riesgo, es decir, el análisis de la probabilidad y de las repercusiones.

«Comunicación del riesgo»: la sensibilización sobre los riesgos a las comunidades de usuarios de SIC, y la información de tales riesgos a las autoridades responsables de la aprobación y a las autoridades operativas.

«Proceso de gestión del riesgo de seguridad»: la totalidad del proceso de determinación, control y disminución de acontecimientos inciertos que puedan afectar a la seguridad de una organización o de cualquiera de los sistemas que utiliza. Abarca todas las actividades relacionadas con los riesgos, incluida la evaluación, tratamiento, aceptación y comunicación.

«Tratamiento del riesgo»: la atenuación, supresión o reducción del riesgo (adoptando una combinación adecuada de medidas técnicas, físicas, de gestión o de procedimiento), transferencia del riesgo o seguimiento del mismo.

«Cláusula sobre aspectos de la seguridad»: el conjunto de condiciones contractuales especiales impuestas por la autoridad contratante y que forman parte integrante de un contrato clasificado que conlleve el acceso a ICUE o la creación ese tipo de información; en ella se enumeran los requisitos de seguridad o los elementos del contrato que requieren protección de seguridad —véase el anexo A V, sección II.

«Guía de clasificación de seguridad»: el documento que describe los elementos de un programa o contrato que están clasificados, con especificación de los grados de clasificación de seguridad aplicables. La guía de clasificación de seguridad podrá ampliarse durante toda la vigencia del programa o contrato, y se podrá reducir el grado de clasificación o reclasificar los elementos de información; cuando exista una guía de clasificación de seguridad, formará parte de la cláusula sobre aspectos de la seguridad —véase el anexo A V, sección II.

«Investigación de seguridad»: el procedimiento de investigación efectuado por la autoridad competente de un Estado miembro con arreglo a las disposiciones legales y reglamentarias nacionales, con el fin de obtener la garantía de que no se conocen datos desfavorables que impidan conceder a una persona determinada una HPS nacional o de la UE para acceder a ICUE de un determinado grado («CONFIDENTIEL UE/EU CONFIDENTIAL» o superior).

«Procedimientos operativos de seguridad»: una descripción de cómo debe aplicarse la política de seguridad, de los procedimientos operativos que deben seguirse y de las responsabilidades del personal.

«Información delicada no clasificada»: la información o material que el SEAE debe proteger por razón de obligaciones legales establecidas en los Tratados o en actos adoptados en aplicación del mismo, o por razón de su carácter delicado. La información delicada no clasificada incluye, pero no se limita a, la información o el material cubiertos por la obligación de secreto profesional, en virtud de lo dispuesto en el artículo 339 del TFUE; la información cubierta por los intereses protegidos en el artículo 4 del Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo (1), leído en relación con la jurisprudencia pertinente del Tribunal de Justicia de la Unión Europea; o los datos personales incluidos en el ámbito de aplicación del Reglamento (CE) n.o 45/2001.

«Declaración de requisitos específicos de seguridad»: un conjunto de principios vinculantes y requisitos detallados de seguridad que son de observancia y aplicación obligatorias y cimientan el proceso de certificación y acreditación de los SIC.

«TEMPEST»: la investigación, el estudio y el control de las emanaciones electromagnéticas comprometedoras y las medidas para suprimirlas.

«Amenaza»: la posible causa de un incidente no deseado que pueda ocasionar daños a una organización o a alguno de los sistemas que use; las amenazas pueden ser accidentales o deliberadas (maliciosas) y constan de elementos amenazadores, posibles blancos y métodos de ataque.

«Vulnerabilidad»: una debilidad, cualquiera que sea su naturaleza, que pueda ser aprovechada por una o varias amenazas. La vulnerabilidad puede resultar de una omisión o guardar relación con una deficiencia en el grado, completitud o coherencia de los controles, y puede ser técnica, física, procedimental, organizativa u operativa.

(1) Reglamento (CE) n.o 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43).