Decisión de la Comisión

de 29 de noviembre de 2001

por la que se modifica su Reglamento interno

[notificada con el número C(2001) 3031]

(2001/844/CE, CECA, Euratom)

LA COMISIÓN DE LAS COMUNIDADES EUROPEAS,

Visto el Tratado constitutivo de la Comunidad Europea y, en particular, el apartado 2 de su artículo 218,

Visto el Tratado constitutivo de la Comunidad Europea del Carbón y del Acero, y, en particular, su artículo 16,

Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica y, en particular, su artículo 131,

Visto el Tratado de la Unión Europea, y, en particular, el apartado 1 de su artículo 28 y el apartado 1 de su artículo 41.

DECIDE:

Artículo 1

Las disposiciones de la Comisión en materia de seguridad, cuyo texto figura en el anexo de la presente Decisión, se añaden al Reglamento interno de la Comisión como anexo.

Artículo 2

La presente Decisión entrará en vigor el día de su publicación en el Diario Oficial de las Comunidades Europeas.

Será aplicable a partir del 1 de diciembre de 2001.

Hecho en Bruselas, el 29 de noviembre de 2001.

Por la Comisión

El Presidente

Romano Prodi

ANEXO

DISPOSICIONES DE LA COMISIÓN EN MATERIA DE SEGURIDAD

Considerando lo siguiente:

(1) A fin de desarrollar las actividades de la Comisión en los ámbitos que exigen un determinado grado de confidencialidad, es conveniente establecer un sistema exhaustivo de seguridad aplicable a la Comisión, las demás instituciones, órganos, oficinas y agencias establecidos en virtud del Tratado CE o del Tratado de la Unión Europea o sobre la base de dichos Tratados, y los Estados miembros, así como cualquier otro destinatario de información clasificada de la Unión Europea, denominada en lo sucesivo "información clasificada de la UE".

(2) A fin de salvaguardar la eficacia del sistema de seguridad así establecido, la Comisión sólo facilitará información clasificada de la UE a los órganos externos que ofrezcan garantías de que han adoptado todas las medidas necesarias para aplicar normas estrictamente equivalentes a las presentes disposiciones.

(3) Las presentes disposiciones se adoptan sin perjuicio de lo dispuesto en el Reglamento n° 3, de 31 de julio de 1958, relativo a la aplicación del artículo 24 del Tratado constitutivo de la Comunidad Europea de la Energía Atómica(1), el Reglamento (CE) n° 1588/90 del Consejo, de 11 de junio de 1990, relativo a la transmisión a la Oficina Estadística de las Comunidades Europeas de las informaciones amparadas por el secreto estadístico(2), y la Decisión C(95) 1510 final de la Comisión, de 23 de noviembre de 1995, sobre la protección de los sistemas informáticos.

(4) El sistema de seguridad de la Comisión se basa en los principios presentados en la Decisión 2001/264/CE del Consejo, de 19 de marzo de 2001, por la que se adoptan las normas de seguridad del Consejo(3), a fin de garantizar el correcto funcionamiento del proceso de adopción de decisiones de la Unión.

(5) La Comisión subraya la importancia de que, cuando resulte adecuado, las demás instituciones queden asociadas a las normas de confidencialidad necesarias para proteger los intereses de la Unión y de sus Estados miembros.

(6) La Comisión reconoce la necesidad de crear su propio concepto de seguridad, teniendo en cuenta todos los elementos relativos a la seguridad y el carácter específico de la Comisión como institución.

(7) Las presentes disposiciones se adoptan sin perjuicio de lo dispuesto en el artículo 255 del Tratado y el Reglamento (CE) n° 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión(4).

Artículo 1

Se establecen en el anexo las normas de la Comisión en materia de seguridad.

Artículo 2

1. El miembro de la Comisión encargado de los asuntos de seguridad adoptará las medidas adecuadas para garantizar que, al tratarse información clasificada de la UE, se cumplan en la Comisión las normas a que se refiere el artículo 1 por parte de los funcionarios y otros agentes de la Comisión, del personal enviado a la Comisión en comisión de servicio, y en todos los locales de la Comisión, incluidas sus Representaciones y Oficinas en la Unión y sus Delegaciones en terceros países, así como por parte de los contratistas externos a la Comisión.

2. Los Estados miembros, las demás instituciones, órganos, oficinas y agencias establecidos en virtud o sobre la base de los Tratados estarán autorizados para recibir información clasificada de la UE siempre y cuando garanticen que, cuando se trate este tipo de información, se cumplan en sus servicios y locales normas estrictamente equivalentes a las normas a que se refiere el artículo 1, en particular por parte de:

a) los miembros de las Representaciones Permanentes de los Estados miembros ante la Unión Europea, así como los miembros de las Delegaciones nacionales que asistan a reuniones de la Comisión o de sus órganos, o que participen en otras actividades de la Comisión;

b) otros miembros de las administraciones nacionales de los Estados miembros que traten información clasificada de la UE, con independencia de que ejerzan sus funciones en el territorio de los Estados miembros o en el extranjero;

c) los contratistas externos y el personal enviado en comisión de servicio que traten información clasificada de la UE.

Artículo 3

Los países terceros, las organizaciones internacionales y demás órganos estarán autorizados para recibir información clasificada de la UE siempre y cuando garanticen que, cuando se trate este tipo de información, se cumplan normas estrictamente equivalentes a las normas a que se refiere el artículo 1.

Artículo 4

De conformidad con los principios básicos y las normas mínimas de seguridad recogidos en la Parte I del anexo, el miembro de la Comisión encargado de los asuntos de seguridad podrá adoptar medidas con arreglo a lo dispuesto en la Parte II del anexo.

Artículo 5

Las presentes disposiciones sustituirán, a partir de la fecha de su aplicación, a las siguientes:

a) Decisión C(94) 3282 de la Comisión, de 30 de noviembre de 1994, relativa a las medidas de seguridad aplicables a la información clasificada facilitada o transmitida en relación con las actividades de la Unión Europea;

b) Decisión C(1999) 423 de la Comisión, de 25 de febrero de 1999, relativa a los procedimientos por los que los funcionarios y demás empleados de la Comisión Europea pueden ser autorizados a tener acceso a la información clasificada en poder de la Comisión.

Artículo 6

A partir de la fecha de aplicación de las presentes disposiciones, toda la información clasificada en poder de la Comisión hasta esa fecha, a excepción de la información clasificada de Euratom:

a) en caso de proceder de la Comisión, se considerará como información que deba reclasificarse como "EU RESTRICTED" por defecto, a no ser que su autor decida darle otra clasificación antes del 31 de enero de 2002, en cuyo caso dicho autor informará a todos los destinatarios del documento de que se trate;

b) en caso de que el autor sea ajeno a la Comisión, conservará su clasificación original y será tratada por consiguiente como información clasificada de la UE de nivel equivalente, a no ser que el autor dé su consentimiento a la desclasificación o recalificación de la información.

(1) DO n° 17 de 6.10.1958, p. 406/58.

(2) DO L 151 de 15.6.1990, p. 1.

(3) DO L 101 de 11.4.2001, p. 1.

(4) DO L 145 de 31.5.2001, p. 43.

ANEXO

NORMAS EN MATERIA DE SEGURIDAD

Índice

>SITIO PARA UN CUADRO>

PARTE I: PRINCIPIOS BÁSICOS Y NORMAS MÍNIMAS DE SEGURIDAD

1. INTRODUCCIÓN

Las presentes disposiciones establecen los principios básicos y las normas mínimas de seguridad que deberán respetar de manera adecuada la Comisión, en todos sus lugares de trabajo, y todos los destinatarios de información clasificada de la UE, a fin de salvaguardar la seguridad y garantizar a cada uno el establecimiento de una norma común de protección.

2. PRINCIPIOS GENERALES

La política de seguridad de la Comisión forma parte integrante de su política general de gestión interna y está basada por lo tanto en los principios que regulan su política general.

Se trata de los principios de legalidad, transparencia, responsabilidad y subsidiariedad (proporcionalidad).

La legalidad indica la necesidad de permanecer estrictamente en el marco jurídico a la hora de ejecutar las funciones de seguridad y la necesidad de ajustarse a los requisitos jurídicos. Significa también que las responsabilidades en materia de seguridad deben basarse en las disposiciones legales adecuadas. Son plenamente aplicables las disposiciones del Estatuto y, especialmente, su artículo 17 relativo a la obligación del personal de observar discreción en relación con la información de la Comisión y su Título VI sobre el régimen disciplinario. Significa por último que las infracciones a la seguridad que son responsabilidad de la Comisión deben tratarse de forma coherente con la política de la Comisión sobre medidas disciplinarias y su política de cooperación con los Estados miembros en materia de justicia penal.

La transparencia indica la necesidad de claridad por lo que respecta a todas las normas y disposiciones relativas a la seguridad, de cierto equilibrio entre los distintos servicios y los diferentes sectores (seguridad física frente a protección de la información, etc.) y de una política coherente y estructurada de sensibilización a la seguridad. También establece la necesidad de unas directrices claras por escrito, relativas a la aplicación de las medidas de seguridad.

La responsabilidad significa que se definirán claramente las responsabilidades en el ámbito de la seguridad. Indica además la necesidad de proceder a pruebas periódicas a fin de comprobar si se asumen correctamente dichas responsabilidades.

La subsidiariedad, o proporcionalidad, significa que la seguridad se organizará al nivel más bajo posible y más próximo posible de las Direcciones Generales y los servicios de la Comisión. También indica que las actividades relacionadas con la seguridad se limitarán exclusivamente a aquellos elementos que la necesiten realmente. Significa por último que las medidas de seguridad serán proporcionales a los intereses que sea preciso proteger y a los riesgos reales o potenciales en torno a esos intereses, permitiendo una defensa que cause el mínimo trastorno posible.

3. FUNDAMENTOS DE LA SEGURIDAD

Los fundamentos de una seguridad óptima serán los siguientes:

a) en cada Estado miembro, una organización de seguridad nacional responsable de:

1) recopilar y registrar la información confidencial en materia de espionaje, sabotaje, terrorismo y otras actividades subversivas y

2) facilitar información y prestar asesoramiento a su Gobierno correspondiente y, a través de éste, a la Comisión, sobre la índole de las amenazas contra la seguridad y sobre los medios de protección frente a dichas amenazas;

b) en cada Estado miembro, y en la Comisión, una autoridad técnica en materia de seguridad de la información (INFOSEC), responsable de colaborar con la autoridad de seguridad correspondiente a fin de facilitar información y prestar asesoramiento sobre las amenazas técnicas contra la seguridad y los medios de protección frente a dichas amenazas;

c) una colaboración periódica entre los Ministerios y los servicios adecuados de las instituciones europeas con el fin de determinar y recomendar, según resulte apropiado:

1) qué personas, información y recursos necesitan protección, y

2) unas normas comunes de protección;

d) una estrecha colaboración entre la Oficina de Seguridad de la Comisión y los servicios de seguridad de las demás instituciones europeas, así como la Oficina de Seguridad de la OTAN.

4. PRINCIPIOS RELATIVOS A LA SEGURIDAD DE LA INFORMACIÓN

4.1. Objetivos

La seguridad de la información tendrá los siguientes objetivos principales:

a) proteger la información clasificada de la UE frente al espionaje, las situaciones de peligro o la divulgación no autorizada;

b) proteger la información de la UE tratada en los sistemas y redes de comunicación e información frente a las amenazas contra su confidencialidad, integridad y disponibilidad;

c) proteger los locales de la Comisión en los que se encuentra información de la UE frente al sabotaje y los daños intencionados;

d) en caso de fallo, evaluar el perjuicio causado, limitar sus consecuencias y adoptar las medidas necesarias para remediarlo.

4.2. Definiciones

En las presentes normas se entenderá por:

a) "información clasificada de la UE", toda información y material cuya divulgación no autorizada pueda causar perjuicio en distintos grados a los intereses de la UE, o de uno o varios Estados miembros, ya se origine dicha información en la UE o proceda de los Estados miembros, terceros países u organizaciones internacionales;

b) "documento", todo escrito, nota, acta, informe, memorándum, señal o mensaje, dibujo, fotografía, diapositiva, película, mapa, gráfico, plano, cuaderno, plantilla, papel carbón, máquina de escribir o cinta mecanográfica, cinta magnetofónica, casete, disco de ordenador, CD-ROM u otro medio físico en que se haya registrado información;

c) "material", todo documento según se define en la letra b), así como todo artículo de equipo, producido o en proceso de producción;

d) "necesidad de conocer", la necesidad de un empleado de tener acceso a información clasificada de la UE para poder desempeñar una función o tarea;

e) "autorización", la decisión del Presidente de la Comisión de permitir a una persona el acceso a información clasificada de la UE hasta un nivel determinado, sobre la base del resultado positivo de una comprobación de seguridad (investigación), llevada a cabo por una autoridad nacional de seguridad de acuerdo con la legislación nacional;

f) "clasificación", la asignación de un nivel adecuado de seguridad a la información cuya divulgación no autorizada podría causar perjuicio en distintos grados a los intereses de la Comisión o de los Estados miembros;

g) "recalificación" (downgrading - déclassement), la disminución del nivel de clasificación;

h) "desclasificación" (declassification - déclassification), la supresión de toda mención de clasificación;

i) "autor", la persona debidamente autorizada que ha redactado un documento clasificado; en la Comisión, los Jefes de servicio podrán autorizar a su personal a producir información clasificada de la UE;

j) "servicios de la Comisión", los distintos servicios, incluidos los gabinetes, de todos los lugares de trabajo, incluido el Centro Común de Investigación, las Representaciones y Oficinas en la Unión y las Delegaciones en países terceros.

4.3. Clasificación

a) En lo que atañe a la confidencialidad, se requieren cierta cautela y experiencia a la hora de seleccionar la información y el material que vayan a protegerse y evaluar el grado de protección requerido. Resulta fundamental que el grado de protección se corresponda con la importancia que revista, desde el punto de vista de la seguridad, el elemento concreto de información y material que haya de protegerse. A fin de garantizar la adecuada difusión de la información, se adoptarán las medidas necesarias para evitar una clasificación superior o inferior a la requerida.

b) El sistema de clasificación es el instrumento que permite poner en vigor estos principios. Deberá aplicarse un sistema de clasificación similar a efectos de la planificación y organización de los medios necesarios para luchar contra el espionaje, el sabotaje, el terrorismo y otras amenazas, de tal modo que se garantice la óptima protección de los locales más importantes donde se encuentre información clasificada y de los puntos más sensibles de dichos locales.

c) El único responsable de la clasificación de la información será el autor de dicha información.

d) El nivel de clasificación sólo podrá basarse en el contenido de la información.

e) En caso de que se reúnan distintas informaciones, deberá aplicarse al conjunto un nivel de clasificación al menos equivalente al nivel de clasificación más elevado. No obstante, se podrá asignar a una recopilación de informaciones una clasificación más elevada que la de sus distintos componentes.

f) La clasificación sólo se asignará en caso necesario y durante el plazo necesario.

4.4. Objetivos de las medidas de seguridad

Las medidas de seguridad deberán:

a) aplicarse a todas las personas que tengan acceso a información clasificada, a los soportes de información clasificada, a todos los locales en que se encuentre dicha información y a las instalaciones importantes;

b) concebirse de manera tal que permitan detectar a aquellas personas cuya posición pueda poner en peligro la seguridad de la información clasificada y de las instalaciones importantes en que se encuentre dicha información, y proceder a su exclusión o traslado;

c) impedir que personas no autorizadas tengan acceso a la información clasificada o a las instalaciones en que se encuentre dicha información;

d) garantizar que la información clasificada se difunda únicamente de conformidad con el principio de necesidad de conocer, que resulta fundamental para todos los aspectos referentes a la seguridad;

e) garantizar la integridad (es decir, impedir la alteración, la modificación o la destrucción no autorizadas) y la disponibilidad (es decir, no se denegará el acceso a las personas que necesiten la información y estén autorizadas para acceder a ella) de toda la información, clasificada o no clasificada, y, especialmente, de la información almacenada, procesada o transmitida de forma electromagnética.

5. ORGANIZACIÓN DE LA SEGURIDAD

5.1. Normas mínimas comunes

La Comisión garantizará la observancia de normas mínimas comunes de seguridad por parte de todos los destinatarios de información clasificada de la UE dentro de la institución y bajo su competencia, por ejemplo los servicios y contratistas, de tal modo que exista la certeza, al comunicarse la información clasificada de la UE, de que vaya a ser tratada con igual cautela. Estas normas mínimas incluirán los criterios relativos a la habilitación del personal y los procedimientos referentes a la protección de la información clasificada de la UE.

La Comisión sólo autorizará el acceso a la información clasificada de la UE a órganos externos si éstos garantizan que, al tratarse este tipo de información, se cumplan disposiciones al menos estrictamente equivalentes a las presentes normas mínimas.

5.2. Organización

La seguridad en la Comisión se articulará en torno a dos niveles:

a) A nivel de la Comisión en su conjunto, habrá una Oficina de Seguridad de la Comisión con una autoridad de acreditación en materia de seguridad que actuará también como autoridad Crypto y autoridad TEMPEST, y una autoridad INFOSEC, así como uno o varios registros centrales de información clasificada de la UE que contarán cada uno con uno o varios controladores de registro.

b) A nivel de los servicios de la Comisión, la seguridad será responsabilidad de uno o varios responsables locales de seguridad, uno o varios responsables centrales de seguridad informática, responsables locales de seguridad informática y registros locales de información clasificada de la UE que contarán cada uno con uno o varios controladores de registro.

c) Los órganos centrales de seguridad facilitarán orientaciones operativas a los órganos locales de seguridad.

6. SEGURIDAD DEL PERSONAL

6.1. Habilitación del personal

Todas las personas que necesiten acceder a la información clasificada EU CONFIDENTIAL o de nivel superior deberán someterse al debido proceso de habilitación antes de que se les autorice dicho acceso. Una habilitación similar será necesaria en el caso de las personas cuyas obligaciones impliquen la manipulación técnica o el mantenimiento de sistemas de comunicación e información que contengan información clasificada. La habilitación tendrá por objeto determinar si dichas personas:

a) son de lealtad incuestionable;

b) son de carácter y discreción tales que no arrojen ninguna duda sobre su integridad en el tratamiento de la información clasificada;

c) pueden ser sensibles a presiones externas u otras.

En los procedimientos de habilitación deberá investigarse con especial atención a las personas:

d) a las que vaya a concederse acceso a información clasificada EU TOP SECRET;

e) que ocupen puestos que conlleven el acceso habitual a un volumen considerable de información clasificada EU SECRET;

f) cuyas obligaciones les den especial acceso a sistemas de comunicación o información de seguridad y, por lo tanto, la posibilidad de obtener acceso no autorizado a un importante volumen de información clasificada de la UE, o de comprometer gravemente la misión de que se trate mediante actos de sabotaje técnico.

En las circunstancias expuestas en las letras d), e) y f), se utilizarán al máximo las técnicas de investigación de antecedentes.

Cuando haya que recurrir a personas que carezcan de una "necesidad de conocer" determinada, en circunstancias en las que puedan acceder a información clasificada de la UE (por ejemplo, mensajeros, agentes de seguridad, personal de mantenimiento y limpieza, etc.), dichas personas se someterán previamente al debido procedimiento de habilitación de seguridad.

6.2. Registro de las habilitaciones del personal

Todos los servicios de la Comisión que traten información clasificada de la UE o cuenten con sistemas de comunicación e información de seguridad llevarán un registro de las habilitaciones concedidas al personal que tengan asignado. Cada habilitación deberá comprobarse, en función de las circunstancias, con objeto de garantizar que resulte adecuada a la asignación de la persona en cuestión en ese momento; la habilitación deberá examinarse de nuevo con carácter prioritario siempre que se reciba nueva información indicativa de que el mantenimiento de la asignación de una persona a tareas que implican la utilización de información clasificada ha dejado de ser compatible con los intereses en materia de seguridad. El responsable local de seguridad del servicio de la Comisión llevará un registro de las habilitaciones en el sector que le corresponda.

6.3. Instrucción del personal en materia de seguridad

Todo el personal que trabaje en puestos en los que pueda tener acceso a información clasificada recibirá, en el momento de asumir sus funciones y a intervalos periódicos, instrucciones completas sobre las necesidades en materia de seguridad y los procedimientos aplicables a tal efecto. Deberá exigirse a este personal que certifique por escrito que ha leído y comprendido perfectamente las presentes disposiciones en materia de seguridad.

6.4. Responsabilidades de gestión

Los directivos tendrán la obligación de saber quiénes son los miembros de su personal que trabajan con información clasificada o tienen acceso a sistemas de comunicación e información de seguridad, así como la obligación de registrar y comunicar cuantos incidentes o aparentes muestras de vulnerabilidad puedan afectar a la seguridad.

6.5. Situación del personal en materia de seguridad

Deberán establecerse los procedimientos necesarios para garantizar que, cuando se den a conocer informaciones negativas en relación con una persona determinada, se determine si ésta trabaja con información clasificada o tiene acceso a sistemas de comunicación o información de seguridad y se informe a la Oficina de Seguridad de la Comisión. En caso de que se determine que representa un riesgo para la seguridad, dicha persona será excluida o cesada en las funciones en que pueda poner en peligro la seguridad.

7. SEGURIDAD FÍSICA

7.1. Necesidad de protección

El grado de las medidas de seguridad física que vayan a aplicarse para garantizar la protección de la información clasificada de la UE deberá ser proporcional al nivel de clasificación y al volumen de la información y del material de que se trate, así como a los riesgos a que se expongan dicha información y material. Todas las personas que estén en posesión de información clasificada de la UE deberán aplicar prácticas uniformes por lo que respecta a la clasificación de dicha información y cumplir normas comunes de protección en relación con la custodia, transmisión y eliminación de la información y del material que requieran protección.

7.2. Comprobación

Antes de abandonar sin vigilancia los lugares en que se encuentre información clasificada de la UE, las personas responsables de la custodia de la misma se cerciorarán de que dicha información quede almacenada de manera segura y todos los dispositivos de seguridad hayan sido activados (cerraduras, alarmas, etc.). Deberán llevarse a cabo controles independientes adicionales después de las horas de trabajo.

7.3. Seguridad de los edificios

Los edificios en que se encuentren información clasificada de la UE o sistemas de comunicación e información de seguridad deberán estar protegidos contra el acceso no autorizado. El tipo de protección proporcionado a la información clasificada de la UE, por ejemplo, bloqueo de ventanas, cerraduras en las puertas, guardias en las entradas, sistemas automatizados de control de acceso, controles y patrullas de seguridad, sistemas de alarma, sistemas de detección de intrusos y perros de vigilancia, dependerá de:

a) la clasificación, el volumen y la ubicación dentro del edificio de la información y del material que requieran protección,

b) la calidad de los muebles de seguridad destinados a esta información y material, y

c) la naturaleza física y la ubicación del edificio.

El tipo de protección proporcionado a los sistemas de comunicación e información dependerá asimismo de la evaluación del valor de lo que esté en juego y de los posibles daños que se derivarían en caso de peligrar la seguridad, así como de la naturaleza física y de la ubicación del edificio en que se encuentre el sistema, y de la ubicación del sistema dentro del edificio.

7.4. Planes de emergencia

Deberán elaborarse con antelación planes detallados para la protección de la información clasificada en caso de plantearse una situación de emergencia a escala local o nacional.

8. SEGURIDAD DE LA INFORMACIÓN

La seguridad de la información (INFOSEC) se refiere a la determinación y aplicación de medidas de seguridad para proteger la información procesada, almacenada o transmitida a través de sistemas de comunicación e información y otros sistemas electrónicos frente a la pérdida de confidencialidad, integridad o disponibilidad de la misma, ya sea accidental o intencionada. Deberán adoptarse medidas adecuadas para impedir el acceso de usuarios no autorizados a la información clasificada de la UE, impedir la denegación de acceso a este tipo de información a usuarios autorizados y la alteración, la modificación o la destrucción no autorizadas de este tipo de información.

9. LUCHA CONTRA EL SABOTAJE Y CONTROL DE OTRAS FORMAS DE DAÑO INTENCIONADO

Las precauciones físicas para la protección de instalaciones importantes en las que se encuentre información clasificada constituyen las mejores garantías de seguridad para proteger dicha información contra el sabotaje y los daños intencionados, sin que la mera habilitación del personal pueda sustituirlas de manera eficaz. Se solicitará al órgano nacional competente que facilite información confidencial relativa al espionaje, el sabotaje, el terrorismo y otras actividades subversivas.

10. DIFUSIÓN DE INFORMACIÓN CLASIFICADA A TERCEROS PAÍSES Y ORGANIZACIONES INTERNACIONALES

Corresponderá a la Comisión adoptar de forma colegiada la decisión de difundir a un país tercero u organización internacional información clasificada de la UE procedente de la Comisión. En caso de que el autor de la información que vaya a difundirse no sea la Comisión, ésta deberá recabar el consentimiento del autor de la información antes de difundirla. En caso de que no sea posible determinar el autor, la Comisión asumirá la responsabilidad del mismo.

En caso de que la Comisión reciba información clasificada procedente de terceros países, organizaciones internacionales o terceras partes, se dará a dicha información la protección adecuada a su clasificación, equivalente a las normas establecidas en las presentes disposiciones para la información clasificada de la UE o a las normas más elevadas exigidas por las terceras partes que difundan la información. Podrán disponerse controles recíprocos.

Los principios anteriormente expuestos se aplicarán con arreglo a las disposiciones establecidas en los apéndices 3, 4 y 5 de la sección 26 de la Parte II.

PARTE II: ORGANIZACIÓN DE LA SEGURIDAD EN LA COMISIÓN

11. EL MIEMBRO DE LA COMISIÓN ENCARGADO DE LA SEGURIDAD

El miembro de la Comisión encargado de la seguridad:

a) aplicará la política de seguridad de la Comisión;

b) considerará los problemas de seguridad que le transmitan la Comisión o sus órganos competentes;

c) examinará las cuestiones que impliquen cambios en la política de seguridad de la Comisión, en estrecha colaboración con las autoridades nacionales de seguridad (en lo sucesivo, "ANS") de los Estados miembros, u otras autoridades apropiadas.

En particular, corresponderá al miembro de la Comisión encargado de la seguridad:

a) coordinar todos los asuntos de seguridad relativos a las actividades de la Comisión;

b) solicitar a las autoridades designadas por los Estados miembros que las ANS faciliten habilitaciones de seguridad para el personal empleado en la Comisión, de conformidad con lo dispuesto en la sección 20;

c) investigar u ordenar que se abra una investigación sobre cualquier fuga de información clasificada de la UE de la existan indicios de que se ha producido en la Comisión;

d) pedir a las autoridades de seguridad adecuadas que abran una investigación cuando una fuga de información clasificada de la UE parezca haberse producido fuera de la Comisión, y coordinar las investigaciones en caso de que intervenga más de una autoridad de seguridad;

e) inspeccionar periódicamente las disposiciones de seguridad adoptadas para proteger la información clasificada de la UE;

f) mantener una estrecha relación con todas las autoridades de seguridad interesadas para lograr la coordinación global de la seguridad;

g) mantener bajo constante revisión la política y los procedimientos de seguridad de la Comisión y, en caso necesario, preparar las recomendaciones adecuadas; en este sentido, el miembro de la Comisión encargado de la seguridad presentará a la Comisión el plan anual de inspecciones preparado por la Oficina de Seguridad de la Comisión.

12. EL GRUPO CONSULTIVO SOBRE POLÍTICA DE SEGURIDAD DE LA COMISIÓN

Se creará un Grupo consultivo sobre política de seguridad, que estará compuesto por el miembro de la Comisión encargado de la seguridad o su delegado, que será su presidente, y por representantes de las ANS de cada Estado miembro. También podrá invitarse a representantes de otras instituciones europeas e, igualmente, podrá invitarse a representantes de los organismos descentralizados de la UE cuando se debatan cuestiones que les afecten.

El Grupo consultivo sobre política de seguridad se reunirá a instancias de su presidente o de cualquiera de sus miembros. Su cometido será examinar y evaluar todas las cuestiones de seguridad pertinentes y presentar a la Comisión las recomendaciones que procedan.

13. EL COMITÉ DE SEGURIDAD DE LA COMISIÓN

Se creará un Comité de seguridad de la Comisión, que estará compuesto por el Secretario General, que ejercerá la presidencia, y por los Directores Generales del Servicio Jurídico, de Personal y Administración, de Relaciones Exteriores, de Justicia e Interior y del Centro Común de Investigación, y por los jefes del servicio de auditoría interna de la Oficina de Seguridad de la Comisión. Podrá invitarse a otros funcionarios de la Comisión. El mandato de este Comité será examinar las medidas de seguridad existentes dentro de la Comisión y efectuar recomendaciones al respecto al miembro de la Comisión encargado de la seguridad.

14. LA OFICINA DE SEGURIDAD DE LA COMISIÓN

A fin de cumplir los cometidos indicados en la sección 11, el miembro de la Comisión encargado de la seguridad tendrá a su disposición la Oficina de Seguridad de la Comisión para coordinar, supervisar y aplicar las medidas de seguridad.

El jefe de la Oficina de Seguridad de la Comisión será el principal consejero en materia de seguridad del miembro de la Comisión encargado de la seguridad y ejercerá las funciones de secretario del Grupo consultivo sobre política de seguridad. En el cumplimiento de sus funciones, dirigirá la actualización de las normas de seguridad y coordinará las medidas de seguridad con las autoridades competentes de los Estados miembros y, cuando proceda, con las organizaciones internacionales vinculadas a la Comisión por acuerdos de seguridad. A estos efectos, actuará en calidad de funcionario de enlace.

El jefe de la Oficina de Seguridad de la Comisión será responsable de la acreditación de los sistemas y redes de tecnología de la información (en lo sucesivo, "TI") dentro de la Comisión. Tomará las decisiones, en colaboración con las ANS correspondientes, sobre la acreditación de los sistemas y redes de TI en los que participen, por un lado, la Comisión y, por otro, cualesquiera otros destinatarios de información clasificada de la UE.

15. INSPECCIONES DE SEGURIDAD

La Oficina de Seguridad de la Comisión llevará a cabo inspecciones periódicas de las disposiciones de seguridad adoptadas para proteger la información clasificada de la UE.

Para ese fin, podrá pedir la colaboración de los servicios de seguridad de las demás instituciones de la UE que traten información clasificada de la UE o de las autoridades nacionales de seguridad de los Estados miembros(1).

La ANS de un Estado miembro podrá efectuar, previa solicitud del Estado miembro, una inspección de las disposiciones de protección de la información clasificada de la UE dentro de la Comisión conjuntamente y de común acuerdo con la Oficina de Seguridad de la Comisión.

16. CLASIFICACIONES, INDICACIONES Y MARCADOS DE SEGURIDAD

16.1. Niveles de clasificación(2)

La información se clasificará según los siguientes niveles (véase también el apéndice 2):

EU TOP SECRET: esta clasificación se aplicará únicamente a la información y al material cuya divulgación no autorizada pueda causar un perjuicio excepcionalmente grave a los intereses esenciales de la Unión Europea o de uno o más de sus Estados miembros.

EU SECRET: esta clasificación se aplicará únicamente a la información y al material cuya divulgación no autorizada pueda suponer un perjuicio grave para los intereses esenciales de la Unión Europea o de uno o más de sus Estados miembros.

EU CONFIDENTIAL: esta clasificación se aplicará a la información y al material cuya divulgación no autorizada pueda suponer un perjuicio para los intereses esenciales de la Unión Europea o de uno o más de sus Estados miembros.

EU RESTRICTED: esta clasificación se aplicará a la información y al material cuya divulgación no autorizada pueda resultar desventajosa para los intereses de la Unión Europea o de uno o más de sus Estados miembros.

No están permitidas otras clasificaciones.

16.2. Indicaciones de seguridad

Para fijar límites a la validez de una clasificación (es decir, el momento en el que se recalifica o desclasifica información clasificada) será posible utilizar una indicación de seguridad acordada. Esta indicación podrá ser "HASTA ...(hora/fecha)" o "HASTA ...(suceso)".

Se aplicarán indicaciones de seguridad adicionales, tales como CRYPTO o cualquier otra indicación especial de seguridad reconocida por la UE, cuando exista una necesidad de distribución limitada y de tratamiento especial además del designado por la clasificación de seguridad.

Las indicaciones de seguridad únicamente se utilizarán en combinación con una clasificación.

16.3. Marcados

Puede utilizarse un marcado para especificar el ámbito del documento, para indicar una difusión específica basada en el principio de necesidad de conocer o, en el caso de información no clasificada, para indicar el final de una prohibición.

Un marcado no constituye una clasificación y no puede utilizarse en lugar de la clasificación.

El marcado ESDP se aplicará a los documentos y copias de los mismos relativos a la seguridad y defensa de la Unión o de uno o más de sus Estados miembros, o referentes a la gestión militar o no militar de crisis.

16.4. Estampación de la clasificación

La clasificación se indicará del siguiente modo:

a) en los documentos EU RESTRICTED, por medios mecánicos o electrónicos;

b) en los documentos EU CONFIDENTIAL, por medios mecánicos, a mano, o mediante impresión en papel preestampillado y registrado;

c) en los documentos EU SECRET y EU TOP SECRET, por medios mecánicos o a mano.

16.5. Estampación de las indicaciones de seguridad

Las indicaciones de seguridad se estamparán debajo mismo de la clasificación del mismo modo que las clasificaciones.

17. GESTIÓN DE LA CLASIFICACIÓN

17.1. Aspectos generales

La información sólo se clasificará cuando resulte necesario. La clasificación se indicará clara y correctamente, y se mantendrá únicamente en la medida en que la información requiera protección.

El único responsable de la clasificación de la información y de cualquier recalificación o desclasificación que se produzca posteriormente será el autor.

Los funcionarios y otros agentes de la Comisión clasificarán, recalificarán o desclasificarán la información siguiendo instrucciones de su jefe de departamento o con su consentimiento.

Los procedimientos precisos para el tratamiento de los documentos clasificados habrán sido concebidos para garantizar la protección adecuada de la información que contengan.

Se reducirá al mínimo el número de personas autorizadas a emitir documentos EU TOP SECRET y sus nombres se registrarán en una lista elaborada por la Oficina de Seguridad de la Comisión.

17.2. Aplicación de las clasificaciones

La clasificación de un documento se determinará con arreglo al nivel de sensibilidad de su contenido, de acuerdo con la definición de la sección 16. Es importante que la clasificación se utilice correctamente y con moderación, en particular en el caso de la clasificación EU TOP SECRET.

El autor de un documento que se vaya a clasificar deberá tener en cuenta las normas expuestas y abstenerse de clasificar de forma excesiva o insuficiente.

En el apéndice 2 figura una guía práctica de la clasificación.

Cada página, apartado, sección, anexo, apéndice o documento adjunto de un documento dado podrá requerir una clasificación diferente, lo que se indicará en consecuencia. La clasificación global del documento en su totalidad será la de la parte clasificada al nivel más alto.

La clasificación de una carta o nota de transmisión de documentos será equivalente al nivel más alto de clasificación de los documentos adjuntos. El autor deberá hacer constar claramente el nivel en que dicha carta o nota debe clasificarse cuando se separe de los documentos adjuntos.

El acceso del público seguirá rigiéndose por el Reglamento (CE) n° 1049/2001.

17.3. Recalificación y desclasificación

Los documentos clasificados de la UE podrán recalificarse o desclasificarse únicamente con la autorización del autor y, en caso necesario, tras consultar a las demás partes interesadas. La recalificación o desclasificación se confirmará por escrito. El autor se encargará de informar de la modificación a sus destinatarios; éstos, por su parte, se encargarán de informar de dicha modificación a los destinatarios subsiguientes a quienes se haya enviado el documento o una copia del mismo.

Siempre que sea posible, los autores deberán especificar en los documentos clasificados la fecha, plazo o suceso en que el contenido podrá ser recalificado o desclasificado. En caso contrario, revisarán los documentos cada cinco años como mínimo, para comprobar si la clasificación original sigue siendo necesaria.

18. SEGURIDAD FÍSICA

18.1. Aspectos generales

El objetivo principal de las medidas físicas de seguridad es impedir que una persona no autorizada acceda a información o material clasificados de la UE, impedir el robo y la degradación de equipos y demás bienes, e impedir que se hostigue o agreda al personal, a otros empleados o a visitantes.

18.2. Requisitos de seguridad

Todos los locales, zonas, edificios, oficinas, salas, sistemas de comunicación e información, etc., en que se almacene o trate información o material clasificado de la UE se protegerán mediante las medidas de seguridad física apropiadas.

Al decidir el grado de seguridad física necesario se tendrán en cuenta todos los factores pertinentes, como:

a) la clasificación de la información o del material;

b) la cantidad y la forma (por ejemplo, copia en papel o medios de almacenamiento informáticos) de la información que se guarde;

c) la amenaza evaluada a nivel local que puedan suponer servicios de inteligencia interesados en la UE, en los Estados miembros, en otras instituciones o en terceros que posean información clasificada de la UE, con fines de, por ejemplo, sabotaje, terrorismo y otras actividades subversivas o delictivas.

Las medidas físicas de seguridad aplicadas se concebirán con vistas a:

a) impedir la entrada subrepticia o por la fuerza de intrusos;

b) disuadir, impedir y detectar actos de personal desleal;

c) impedir el acceso a información clasificada de la UE de quienes no tengan necesidad de conocer.

18.3. Medidas físicas de seguridad

18.3.1. Zonas de seguridad

Las zonas en que se trate y almacene información clasificada como EU CONFIDENTIAL o de nivel superior se organizarán y estructurarán de forma que correspondan a una de las categorías siguientes:

a) Zona de seguridad de clase I: una zona en que se trata y almacena información EU CONFIDENTIAL o de nivel superior de tal manera que la entrada en dicha zona constituye, a efectos prácticos, un acceso a información clasificada. Este tipo de zona requiere:

i) un perímetro claramente definido y protegido en el que se controlen todas las entradas y salidas;

ii) un sistema de control de entradas que sólo deje entrar en la zona a las personas debidamente habilitadas y especialmente autorizadas;

iii) una especificación de la clasificación de la información que habitualmente se conserve en la zona, es decir, la información a la que se puede acceder entrando en la zona.

b) Zona de seguridad de clase II: una zona en que se trata y almacena información EU CONFIDENTIAL o de nivel superior de manera que pueda protegerse del acceso de personas no autorizadas mediante controles internos, como, por ejemplo, los locales con oficinas en las que se almacena y trata habitualmente información EU CONFIDENTIAL. Este tipo de zona requiere:

i) un perímetro claramente definido y protegido en el que se controlen todas las entradas y salidas;

ii) un sistema de control de entradas por el que sólo puedan entrar en la zona no acompañadas las personas debidamente habilitadas y autorizadas especialmente a acceder a la zona; para cualquier otra persona se deberá disponer la compañía de un vigilante o un control equivalente con el fin de impedir el acceso sin autorización a información clasificada de la UE y la entrada no controlada a zonas sujetas a inspecciones técnicas de seguridad.

Las zonas no ocupadas por personal de servicio las 24 horas del día se inspeccionarán inmediatamente después del horario habitual de trabajo para cerciorarse de que la información clasificada de la UE se encuentra segura.

18.3.2. Zona administrativa

Se podrán crear zonas administrativas con un nivel de seguridad inferior alrededor de las zonas de seguridad de clase I y clase II, o en los espacios que conduzcan a dichas zonas. Estas zonas requerirán un perímetro definido visualmente que permita la verificación del personal y de los vehículos. En las zonas administrativas sólo se tratará y almacenará información clasificada como EU RESTRICTED e información no clasificada.

18.3.3. Control de entradas y salidas

Las entradas y salidas de las zonas de seguridad de clase I y clase II de todas las personas que trabajan normalmente en ellas se controlarán mediante un sistema de pases o de identificación personal. Igualmente se creará un sistema de comprobación de visitantes que impida el acceso no autorizado a la información clasificada de la UE. Los sistemas de pases podrán basarse en una identificación automatizada que se considerará adicional a los guardias, y nunca totalmente sustitutiva de éstos. Una modificación de la evaluación del riesgo podrá conllevar el refuerzo de las medidas de control de entradas y salidas, por ejemplo con motivo de la visita de personalidades.

18.3.4. Patrullas de guardia

Fuera del horario habitual de trabajo se realizarán patrullas por las zonas de clase I y clase II a fin de proteger el material de la UE de cualquier peligro, daño o pérdida. La frecuencia de las patrullas se determinará en función de las circunstancias locales, si bien, a título orientativo, se efectuarán cada dos horas.

18.3.5. Mobiliario de seguridad y cámaras acorazadas

Para almacenar información clasificada de la UE se utilizarán tres clases de muebles:

- clase A: muebles con homologación nacional para el almacenamiento de información clasificada como EU TOP SECRET en una zona de seguridad de clase I o clase II,

- clase B: muebles con homologación nacional para el almacenamiento de información clasificada como EU SECRET y EU CONFIDENTIAL en una zona de seguridad de clase I o clase II,

- clase C: mobiliario de oficina adecuado para guardar información clasificada como EU RESTRICTED únicamente.

En el caso de las cámaras acorazadas construidas dentro de una zona de seguridad de clase I o clase II y de todas las zonas de seguridad de clase I en que se almacene información EU CONFIDENTIAL y de nivel superior en estanterías abiertas o expuesta en forma de gráficos, mapas, etc., una AAS deberá certificar que las paredes, suelos y techos y puertas con cerradura ofrecen un nivel de protección equivalente al de un mueble de seguridad de la clase homologada para el almacenamiento de información de la misma clasificación.

18.3.6. Cerraduras

Las cerraduras utilizadas en los muebles de seguridad y las cámaras acorazadas en que se almacene información clasificada de la UE habrán de cumplir las siguientes normas:

- grupo A: homologación nacional para muebles de la clase A,

- grupo B: homologación nacional para muebles de la clase B,

- grupo C: válido únicamente para mobiliario de oficina de la clase C.

18.3.7. Control de las llaves y las combinaciones

Las llaves de los muebles de seguridad no se sacarán de los edificios de la Comisión. Las combinaciones de los muebles de seguridad deberán ser memorizadas por las personas que necesiten conocerlas. El responsable local de seguridad del correspondiente servicio de la Comisión tendrá bajo su custodia un juego de llaves de repuesto y un registro escrito de cada combinación, que se utilizarán en caso de emergencia. Las combinaciones se guardarán en sobres individuales opacos y sellados. Las llaves de trabajo, llaves de seguridad de repuesto y combinaciones se guardarán en muebles de seguridad aparte. Las llaves y combinaciones serán objeto de un nivel de protección de seguridad nunca inferior al del material al que den acceso.

El número de personas que conozcan las combinaciones de los muebles de seguridad será lo más limitado posible. Las combinaciones se modificarán:

a) cada vez que se reciba un nuevo mueble de seguridad;

b) cada vez que haya un cambio de personal;

c) cada vez que se produzca o se sospeche que se ha producido una situación de peligro;

d) a intervalos de seis meses, preferentemente, y como mínimo cada doce meses.

18.3.8. Dispositivos de detección de intrusos

Cuando se utilicen sistemas de alarma, circuitos cerrados de televisión y otros dispositivos eléctricos para proteger la información clasificada de la UE, se dispondrá de un suministro de electricidad que garantice la continuidad del funcionamiento del sistema en caso de interrupción de la alimentación eléctrica general. También es fundamental que exista una alarma u otro medio de aviso fiable al personal de vigilancia que entre en funcionamiento en caso de funcionamiento incorrecto o de intento de manipulación de los citados sistemas.

18.3.9. Equipo homologado

La Oficina de Seguridad de la Comisión llevará listas actualizadas, por tipos y modelos, de los equipos de seguridad que haya homologado para la protección de información clasificada en diferentes circunstancias y condiciones especificadas. Para elaborar estas listas, a Oficina de Seguridad de la Comisión se basará, entre otras fuentes, en la información facilitada por las ANS.

18.3.10. Protección física de las fotocopiadoras y de los telefax

Las fotocopiadoras y los telefax se protegerán físicamente en la medida necesaria para garantizar que sólo puedan ser utilizados para tratar información clasificada por personas autorizadas y que todos los productos clasificados se sometan a los debidos controles.

18.4. Protección contra miradas y escuchas indebidas

18.4.1. Miradas indebidas

Se tomarán todas las medidas adecuadas día y noche para asegurarse de que ninguna persona no autorizada vea información clasificada de la UE, así sea accidentalmente.

18.4.2. Escuchas indebidas

Las oficinas y zonas en que se hable habitualmente sobre información clasificada como EU SECRET o de nivel superior estarán protegidas contra la escucha pasiva y activa siempre que exista un riesgo que así lo exija. Corresponderá evaluar este riesgo a la Oficina de Seguridad de la Comisión, tras consultar, en caso necesario, a las ANS.

18.4.3. Introducción de aparatos electrónicos y de grabación

No se permitirá la introducción de teléfonos móviles, ordenadores personales, grabadoras, cámaras y demás aparatos electrónicos o de grabación en las zonas de seguridad o en las zonas técnicamente seguras sin autorización previa del jefe de la Oficina de Seguridad de la Comisión.

A fin de determinar las medidas de protección que han de aplicarse en los locales que puedan prestarse a escucha pasiva (por ejemplo, aislamiento de paredes, puertas, suelos y techos y medición de radiaciones sospechosas) o a escucha activa (búsqueda de micrófonos, por ejemplo), la Oficina de Seguridad de la Comisión podrá solicitar asistencia de especialistas de las ANS.

De la misma forma, cuando las circunstancias así lo exijan, el equipo de telecomunicaciones y el equipo de oficina eléctrico o electrónico de cualquier tipo que se utilice durante las reuniones a nivel EU SECRET o superior podrán someterse a comprobación por parte de especialistas técnicos en materia de seguridad de las ANS, a petición del jefe de la Oficina de Seguridad de la Comisión.

18.5. Zonas técnicamente seguras

Determinadas zonas podrán designarse zonas técnicamente seguras. Se efectuará un control especial de entrada a las mismas. Estas zonas se mantendrán cerradas bajo llave con un método homologado cuando no estén ocupadas y todas las llaves recibirán tratamiento de llaves de seguridad. Estas zonas se someterán a inspecciones físicas periódicas, que podrán realizarse igualmente en caso de entrada o de sospecha de entrada de personas no autorizadas.

Se realizará un inventario detallado del equipo y mobiliario a fin de seguir sus movimientos. No se introducirá en estas zonas ningún mueble o equipo que no haya sido minuciosamente inspeccionado por personal de seguridad preparado especialmente para detectar dispositivos de escucha. Como norma general, no estará permitido instalar líneas de comunicación en zonas técnicamente seguras sin autorización previa de la autoridad competente.

19. NORMAS GENERALES SOBRE EL PRINCIPIO DE NECESIDAD DE CONOCER Y LA HABILITACIÓN DE SEGURIDAD DEL PERSONAL DE LA UE

19.1. Aspectos generales

Únicamente estarán autorizadas a acceder a información clasificada de la UE las personas que tengan la "necesidad de conocer" por motivo de su tarea o misión. El acceso a la información clasificada EU TOP SECRET, EU SECRET y EU CONFIDENTIAL sólo se autorizará a las personas que posean la debida habilitación de seguridad.

La responsabilidad de determinar si existe la "necesidad de conocer" corresponderá al servicio en el que vaya a trabajar la persona de que se trate.

Será responsabilidad de cada servicio solicitar la habilitación de su personal.

El procedimiento desembocará en la expedición de un "certificado de seguridad" que indicará el nivel de información clasificada al que podrá acceder la persona autorizada, así como la fecha de expiración del mismo.

Un certificado de seguridad correspondiente a un nivel de clasificación determinado autorizará a su titular a acceder también a información clasificada de nivel inferior.

Las personas que no sean funcionarios u otros agentes, por ejemplo contratistas externos, expertos o consultores, con quienes haya de tratarse o a quienes haya de mostrarse información clasificada de la UE, deberán poseer una autorización de seguridad referente a información clasificada de la UE y recibir instrucciones relativas a su responsabilidad en materia de seguridad.

El acceso del público seguirá rigiéndose por el Reglamento (CE) n° 1049/2001.

19.2. Normas específicas sobre el acceso a información clasificada como EU TOP SECRET

Todas las personas que vayan a tener acceso a información EU TOP SECRET se someterán previamente a una comprobación de seguridad para el acceso a dicha información.

Todas las personas que necesiten acceder a información EU TOP SECRET serán designadas por el miembro de la Comisión encargado de la seguridad y su nombre figurará en el correspondiente registro EU TOP SECRET que creará y llevará la Oficina de Seguridad de la Comisión.

Antes de tener acceso a información clasificada como EU TOP SECRET, todas las personas firmarán un certificado en el que conste que han recibido instrucciones sobre los procedimientos de seguridad de la Comisión y que son plenamente conscientes de su responsabilidad especial de proteger la información EU TOP SECRET, así como de las consecuencias previstas en la normativa de la UE y en la legislación nacional o administrativa en caso de que la información clasificada pase a manos no autorizadas de manera intencional o por negligencia.

En caso de que haya personas que accedan a información EU TOP SECRET en reuniones o circunstancias similares, el controlador competente del servicio u órgano en el que trabajen dichas personas notificará al órgano que convoque la reunión que las personas mencionadas están autorizadas para ello.

Los nombres de todas las personas que dejen de desempeñar funciones para las cuales sea necesario acceder a información EU TOP SECRET se eliminarán de la lista EU TOP SECRET. Además, se recordará a dichas personas su responsabilidad especial en relación con la protección de la información EU TOP SECRET. También firmarán una declaración en la que se comprometan a no utilizar ni transmitir información clasificada como EU TOP SECRET que se encuentre en su poder.

19.3. Normas específicas sobre el acceso a información clasificada como EU SECRET y EU CONFIDENTIAL

Todas las personas que vayan a tener acceso a información EU SECRET o EU CONFIDENTIAL se someterán previamente a una comprobación de seguridad al nivel correspondiente.

Todas las personas que vayan a tener acceso a información EU SECRET o EU CONFIDENTIAL deberán tener conocimiento de las correspondientes normas de seguridad y conocer las consecuencias de las negligencias.

En el caso de las personas que accedan a información EU SECRET o EU CONFIDENTIAL en reuniones o circunstancias similares, el encargado de seguridad del órgano en que trabajen dichas personas notificará al órgano que convoque la reunión que dichas personas están autorizadas para ello.

19.4. Normas específicas sobre el acceso a información clasificada como EU RESTRICTED

Se darán a conocer a las personas con acceso a información clasificada como EU RESTRICTED las presentes normas de seguridad, así como las consecuencias de las negligencias.

19.5. Traslados

Cuando un miembro del personal sea trasladado de un puesto que conlleve el trabajo con material clasificado de la UE, el registro supervisará la transmisión adecuada del material del funcionario saliente al entrante.

Cuando un miembro del personal sea trasladado a otro puesto que conlleve el trabajo con material clasificado de la UE, el responsable local de seguridad le dará las instrucciones adecuadas.

19.6. Instrucciones especiales

Las personas que tengan que trabajar con información clasificada de la UE deberán tener conocimiento, en el momento de asumir sus tareas y periódicamente con posterioridad, de lo siguiente:

a) los peligros que entraña para la seguridad las conversaciones indiscretas;

b) las precauciones que han de tomar en sus relaciones con los medios informativos y con representantes de grupos que defienden intereses particulares;

c) la amenaza que suponen las actividades de los servicios de inteligencia que tienen como objetivo la UE y sus Estados miembros en lo relativo a la información y actividades clasificadas de la UE;

d) la obligación de informar inmediatamente a las autoridades de seguridad correspondientes sobre cualquier aproximación o maniobra sospechosa de espionaje o cualquier circunstancia anómala que afecte a la seguridad.

Todas las personas expuestas habitualmente a contactos frecuentes con representantes de países cuyos servicios de inteligencia están interesados en la información y actividades clasificadas de la UE y de los Estados miembros recibirán información sobre las técnicas que utilizan los distintos servicios de inteligencia.

No existen en la Comisión normas de seguridad referentes a los viajes privados que realiza el personal habilitado para acceder a información clasificada de la UE. No obstante, la Oficina de Seguridad de la Comisión dará a conocer a los funcionarios y otros agentes de su ámbito de responsabilidad las normas sobre viajes a las que puedan estar sujetos.

20. PROCEDIMIENTO DE HABILITACIÓN DE SEGURIDAD DE LOS FUNCIONARIOS Y OTROS AGENTES DE LA COMISIÓN

a) Sólo tendrán acceso a información clasificada que obre en poder de la Comisión los funcionarios y otros agentes de la Comisión o personas que trabajen en la misma que, por sus tareas y por necesidades del servicio, deban tener conocimiento de dicha información o utilizarla.

b) Para acceder a información clasificada como EU TOP SECRET, EU SECRET y EU CONFIDENTIAL, las personas mencionadas en la letra a) deberán haber sido autorizadas para ello con arreglo al procedimiento previsto en las letras c) y d).

c) Sólo se concederá la autorización a las personas que hayan sido sometidas a una comprobación de seguridad por las autoridades nacionales competentes de los Estados miembros (ANS) conforme al procedimiento previsto en las letras i) a n).

d) El jefe de la Oficina de Seguridad de la Comisión será el encargado de conceder las autorizaciones a que se refieren las letras a), b) y c).

e) Concederá la autorización tras recabar el dictamen de las autoridades nacionales competentes de los Estados miembros sobre la base de la comprobación de seguridad efectuada de acuerdo con las letras i) a n).

f) La Oficina de Seguridad de la Comisión llevará una lista actualizada de todos los puestos sensibles, comunicados por los correspondientes servicios de la Comisión, y de todas las personas que hayan recibido una autorización (temporal).

g) La autorización, que será válida durante un período de cinco años, no podrá sobrepasar la duración de las tareas que motivaron su concesión. Podrá ser renovada de acuerdo con el procedimiento indicado en la letra e).

h) El jefe de la Oficina de Seguridad de la Comisión retirará la autorización si considera que existen motivos para ello. La decisión de retirar la autorización se notificará al interesado, que podrá solicitar ser oído por el jefe de la Oficina de Seguridad de la Comisión, y a la autoridad nacional competente.

i) La comprobación de seguridad se realizará con la asistencia del interesado y a instancias del jefe de la Oficina de Seguridad de la Comisión. La autoridad nacional competente será la del Estado miembro del que sea nacional el interesado. Si éste no es un nacional de un Estado miembro de la UE, el jefe de la Oficina de Seguridad de la Comisión solicitará una comprobación de seguridad sobre él al Estado miembro en el que esté domiciliado o resida habitualmente.

j) En el marco del procedimiento de comprobación de seguridad, se pedirá al interesado que cumplimente una ficha personal de información.

k) El jefe de la Oficina de Seguridad de la Comisión especificará en su solicitud el tipo y el nivel de información clasificada al que tendrá acceso el interesado, de manera que las autoridades nacionales competentes puedan llevar a cabo la comprobación de seguridad y dar su opinión sobre el nivel de autorización que sería adecuado conceder a dicha persona.

l) El conjunto del procedimiento de comprobación de seguridad, junto con los resultados obtenidos, se regirán por la normativa vigente en el Estado miembro interesado, incluida la relativa a los recursos.

m) Si las autoridades nacionales competentes de Estado miembro emiten un dictamen positivo, el jefe de la Oficina de Seguridad de la Comisión podrá conceder la autorización al interesado.

n) Si el dictamen es negativo, las autoridades nacionales competentes lo notificarán al interesado, que podrá solicitar ser oído por el jefe de la Oficina de Seguridad de la Comisión. Si lo considera necesario, el jefe de la Oficina de Seguridad de la Comisión podrá solicitar a las autoridades nacionales competentes cualquier otra aclaración que puedan facilitar. En caso de que se confirme el dictamen negativo, no se concederá la autorización.

o) Todas las personas a las que se conceda autorización con arreglo a las letras d) y e) recibirán, en el momento en que se conceda la autorización y a intervalos regulares posteriormente, todas las instrucciones necesarias sobre la protección de la información clasificada y sobre los medios para garantizar dicha protección. Estas personas firmarán una declaración en la que declaren que conocen las instrucciones y se comprometen a respetarlas.

p) El jefe de la Oficina de Seguridad de la Comisión adoptará cuantas medidas considere necesarias para aplicar la presente sección, en particular en lo relativo a las normas por las que se rige el acceso a la lista de personas autorizadas.

q) A título excepcional, en caso de que el servicio lo exija, el jefe de la Oficina de Seguridad de la Comisión podrá conceder una autorización temporal, previa notificación a las autoridades nacionales competentes y siempre que éstas no respondan en el plazo de un mes, para un período que no superará los seis meses, en espera del resultado de la comprobación de seguridad prevista en la letra i).

r) Las autorizaciones provisionales y temporales concedidas de esta forma no darán acceso a información clasificada como EU TOP SECRET; sólo podrán acceder a esta información los funcionarios que hayan superado con éxito una comprobación de seguridad, con arreglo a lo previsto en la letra i). En espera del resultado de la comprobación de seguridad, los funcionarios para los que se ha solicitado una autorización de nivel EU TOP SECRET podrán ser autorizados con carácter temporal y provisional a acceder a información clasificada hasta el nivel EU SECRET inclusive.

21. ELABORACIÓN, DIFUSIÓN, TRANSMISIÓN, SEGURIDAD DEL PERSONAL DE CORREO, COPIAS ADICIONALES, TRADUCCIONES Y EXTRACTOS DE DOCUMENTOS CLASIFICADOS DE LA UE

21.1. Elaboración

1. Las clasificaciones de la UE se aplicarán según lo establecido en la sección 16. En los documentos EU CONFIDENTIAL y de nivel superior, la clasificación figurará en la parte central, superior e inferior, de cada página. Todas las páginas irán numeradas. Todos los documentos clasificados de la UE llevarán un número de referencia y una fecha. En el caso de los documentos EU TOP SECRET y EU SECRET, el número de referencia aparecerá en cada página. Si se han de distribuir varias copias, cada una de ellas llevará un número de copia, que figurará en la primera página, junto con la indicación del número total de páginas. En los documentos clasificados como EU CONFIDENTIAL y de nivel superior, todos los anexos y documentos adjuntos se indicarán en la primera página.

2. Los documentos clasificados como EU CONFIDENTIAL y de nivel superior serán mecanografiados, traducidos, almacenados, fotocopiados, reproducidos magnéticamente o microfilmados únicamente por personas autorizadas para acceder a información clasificada de la UE como mínimo hasta el nivel de clasificación de seguridad correspondiente al documento de que se trate.

3. Las disposiciones por las que se rige la producción informatizada de documentos clasificados figuran en la sección 25.

21.2. Difusión

1. Únicamente se difundirá información clasificada de la UE a las personas que tengan necesidad de conocerla y posean la debida habilitación de seguridad. El autor especificará la lista inicial de difusión.

2. La difusión de documentos clasificados como EU TOP SECRET se efectuará a través de registros EU TOP SECRET (véase sección 22.2). En el caso de los mensajes EU TOP SECRET, el registro competente podrá autorizar al jefe del centro de comunicaciones a realizar el número de copias indicado en la lista de destinatarios.

3. Los documentos clasificados como EU SECRET y de nivel inferior podrán ser difundidos a su vez por los destinatarios iniciales a otros destinatarios. No obstante, las autoridades autoras podrán hacer constar cualquier tipo de restricción que deseen imponer. Cuando se impongan estas restricciones, los destinatarios sólo podrán difundir los documentos con la autorización de las autoridades autoras.

4. A la entrada o salida de una Dirección General o Servicio, los documentos clasificados como EU CONFIDENTIAL y de nivel superior se inscribirán en el registro local de información clasificada de la UE del servicio de que se trate. Se anotarán pormenores (referencias, fecha y, en su caso, número de copia) que permitan identificar los documentos y se incluirán en un registro o en un soporte informatizado especialmente protegido (véase sección 22.1).

21.3. Transmisión de documentos clasificados de la UE

21.3.1. Pliegos y acuses de recibo

1. Los documentos clasificados como EU CONFIDENTIAL y de nivel superior se transmitirán en doble pliego mediante sobres opacos y de gran resistencia. El sobre interior irá marcado con la correspondiente clasificación de seguridad de la UE y, si es posible, con indicación completa del cargo del destinatario y de su dirección.

2. Únicamente un controlador de registro (véase sección 22.1), o su sustituto, podrán abrir el sobre interior y acusar recibo de los documentos adjuntos, salvo que el sobre vaya dirigido a una persona concreta. En este caso, se hará constar en el registro correspondiente (véase sección 22.1) la llegada del sobre, y únicamente la persona a la que éste vaya destinado podrá abrir el sobre interior y acusar recibo de los documentos que contenga.

3. El sobre interior contendrá un impreso de acuse de recibo, que no estará clasificado y en el que figurarán el número de referencia, la fecha y el número de copia del documento, pero nunca la materia de que trate.

4. El sobre interior irá dentro de un sobre exterior en el que se indicará el número de envío a efectos de recepción. Bajo ningún concepto figurará la clasificación de seguridad en el sobre exterior.

5. En el caso de los documentos clasificados como EU CONFIDENTIAL o de nivel superior, los correos y mensajeros recibirán impresos de acuse de recibo que correspondan al número de envío.

21.3.2. Transmisión dentro de un edificio o grupo de edificios

Dentro de un edificio o grupo de edificios dado, los documentos clasificados podrán ser transportados en un sobre sellado que lleve únicamente el nombre del destinatario, a condición de que la persona que los transporte posea una habilitación equivalente al nivel de clasificación de los documentos.

21.3.3. Transmisión dentro de un país

1. Dentro de un país, los documentos clasificados como EU TOP SECRET deberán enviarse únicamente a través de un servicio de mensajería oficial o de personas autorizadas para acceder a información clasificada como EU TOP SECRET.

2. Cada vez que se recurra a un servicio de mensajería para la transmisión de un documento EU TOP SECRET fuera de los límites físicos de un edificio o grupo de edificios, se aplicarán las disposiciones en materia de pliegos y recepción que figuran en el presente capítulo. La dotación de personal de los servicios de reparto será tal que los paquetes que contengan documentos EU TOP SECRET permanezcan en todo momento bajo la supervisión directa de un funcionario en el que recaiga la responsabilidad.

3. Excepcionalmente, funcionarios que no sean mensajeros podrán llevar documentos clasificados como EU TOP SECRET fuera de los límites físicos de un edificio o grupo de edificios, para uso local en reuniones y deliberaciones, siempre que se cumplan las siguientes condiciones:

a) el portador esté autorizado a acceder a esos documentos EU TOP SECRET;

b) el modo de transporte cumpla las normas que regulan la transmisión de documentos clasificados como EU TOP SECRET;

c) el funcionario no se separe de los documentos EU TOP SECRET en ningún momento;

d) se tomen disposiciones para que en el registro EU TOP SECRET en el que se conservan los documentos figure la lista de documentos así transportados, se anoten éstos en un registro y se compruebe su devolución.

4. Dentro de un país dado, los documentos EU SECRET y EU CONFIDENTIAL podrán enviarse bien por correo, si esta transmisión está autorizada por las normas nacionales y cumple lo dispuesto por ellas, bien mediante un servicio de mensajería, bien por personas autorizadas a acceder a información clasificada de la UE.

5. La Oficina de Seguridad de la Comisión dictará instrucciones para el personal que transporte documentos clasificados de la UE que se basarán en las presentes normas. El portador estará obligado a leer y firmar dichas instrucciones. En particular, las instrucciones deberán dejar claro que bajo ningún concepto los documentos podrán:

a) dejar de estar en posesión del portador, a menos que estén bajo custodia segura, conforme a lo dispuesto en la sección 18;

b) quedar descuidados en transportes públicos o en vehículos privados, o en lugares como restaurantes u hoteles; no podrán guardarse en cajas fuertes de hotel ni quedar descuidados en habitaciones de hotel;

c) leerse en lugares públicos, como aviones o trenes.

21.3.4. Transmisión de un Estado a otro

1. El material clasificado como EU CONFIDENTIAL y de nivel superior será expedido a través del servicio de correo diplomático o militar.

2. No obstante, podrá permitirse el transporte personal de material clasificado como EU SECRET y EU CONFIDENTIAL si las disposiciones relativas a su transporte garantizan que no caiga en manos de personas no autorizadas.

3. El miembro de la Comisión encargado de la seguridad podrá autorizar el transporte personal cuando no se disponga de correos diplomáticos o militares o el recurso a los mismos pueda producir un retraso perjudicial para el funcionamiento de la UE y el destinatario previsto necesite con urgencia el material. La Oficina de Seguridad de la Comisión dictará instrucciones relativas al transporte personal de material clasificado hasta el nivel EU SECRET inclusive por personas que no sean correos diplomáticos o militares. Dichas instrucciones deberán exigir lo siguiente:

a) el portador deberá tener la habilitación de seguridad adecuada;

b) se anotará el material así transportado en la oficina o registro correspondiente;

c) los paquetes o bolsas que contengan material de la UE llevarán un sello oficial para impedir o disuadir de la inspección por los aduaneros, así como etiquetas con identificación e instrucciones para la persona que los encuentre;

d) el portador llevará un certificado de correo u orden de misión reconocidos por todos los Estados miembros de la UE que lo autoricen a llevar el paquete identificado;

e) cuando se viaje por tierra no se atravesará un Estado que no sea miembro de la UE ni se cruzará su frontera, a menos que el Estado de expedición tenga garantías específicas de ese Estado;

f) todas las disposiciones para el viaje del portador en lo relativo a los destinos, rutas que se vayan a seguir y medios de transporte que se vayan a utilizar se ajustarán a las normas de la UE o, si las normas nacionales en este ámbito son más estrictas, a estas últimas;

g) el material nunca podrá dejar de estar en posesión del portador a menos que se proteja de acuerdo con las disposiciones en materia de custodia de seguridad que figuran en la sección 18;

h) el material nunca podrá quedar descuidado en vehículos públicos o privados, o en lugares como restaurantes u hoteles; o deberá guardarse en cajas fuertes de hotel o quedar descuidado en habitaciones de hotel;

i) en caso de que el material transportado contenga documentos, éstos no deberán leerse en lugares públicos (aviones, trenes, etc.).

4. La persona designada para transportar el material clasificado deberá leer y firmar unas consignas de seguridad que contengan, como mínimo, las instrucciones antes expuestas y los procedimientos que se deberán seguir en caso de emergencia o cuando el paquete sea detenido por aduaneros o agentes de seguridad de aeropuerto.

21.3.5. Transmisión de documentos clasificados como EU RESTRICTED

No se establecen medidas especiales para el envío de documentos clasificados como EU RESTRICTED, salvo que el envío debe efectuarse de tal forma que dichos documentos no caigan en manos de personas no autorizadas.

21.4. Seguridad del personal de correo

Todos los correos y mensajeros utilizados para llevar documentos clasificados como EU SECRET o EU CONFIDENTIAL habrán de tener la debida habilitación de seguridad.

21.5. Medios técnicos de transmisión electrónicos y otros

1. Las medidas de seguridad de las comunicaciones estarán concebidas para garantizar la transmisión segura de información clasificada de la UE. En la sección 25 figuran las normas detalladas aplicables a la transmisión de dicha información clasificada de la UE.

2. Únicamente los centros y redes o terminales y sistemas de comunicación acreditados podrán transmitir información clasificada como EU CONFIDENTIAL o EU SECRET.

21.6. Copias adicionales, traducciones y extractos de documentos clasificados de la UE

1. Sólo el autor podrá autorizar la copia o traducción de documentos clasificados como EU TOP SECRET.

2. Si personas sin habilitación EU TOP SECRET necesitan información que, a pesar de figurar en un documento EU TOP SECRET, no tiene dicha clasificación, el jefe del registro EU TOP SECRET (véase sección 22.2) podrá ser autorizado a efectuar la cantidad necesaria de extractos de dicho documento. Al mismo tiempo, hará lo necesario para garantizar que dichos extractos reciban la clasificación de seguridad adecuada.

3. Los documentos clasificados como EU SECRET o de nivel inferior podrán ser reproducidos y traducidos por el destinatario, dentro del marco de las presentes normas de seguridad y con la condición de que cumpla estrictamente con el principio de necesidad de conocer. Las medidas de seguridad aplicables a los documentos originales serán también aplicables a las reproducciones o traducciones del mismo.

22. REGISTROS, COLECCIONES, CONTROLES, ALMACENAMIENTO EN ARCHIVOS Y DESTRUCCIÓN DE INFORMACIÓN CLASIFICADA DE LA UE

22.1. Registros locales de información clasificada de la UE

1. En cada servicio de la Comisión, según proceda, uno o más registros locales de información clasificada de la UE se encargarán del registro, reproducción, envío, archivo y destrucción de documentos clasificados EU SECRET o EU CONFIDENTIAL.

2. Cuando un servicio no disponga de un registro local de información clasificada de la UE, el registro local de información clasificada de la UE de la Secretaría General cumplirá esa función.

3. Los registros locales de información clasificada de la UE dependerán del jefe de servicio del que reciben instrucciones. El jefe de estos registros será el controlador del registro.

4. Los registros locales de información clasificada de la UE serán supervisados por el responsable local de seguridad en lo relativo a la aplicación de las disposiciones sobre el tratamiento de los documentos de información clasificada de la UE y el cumplimiento de las correspondientes medidas de seguridad.

5. Los funcionarios asignados a los registros locales de información clasificada de la UE estarán autorizados para poder acceder a la información clasificada de la UE de conformidad con la sección 20.

6. Bajo la autoridad del jefe de servicio pertinente, los registros locales de información clasificada de la UE:

a) controlarán las operaciones relativas al registro, reproducción, traducción, envío y destrucción de dicha información;

b) actualizarán el registro de información clasificada;

c) periódicamente se interrogarán sobre la necesidad de mantener la clasificación de la información.

7. Los registros locales de información clasificada de la UE mantendrán un registro con la siguiente información:

a) la fecha de elaboración de la información clasificada;

b) el nivel de clasificación;

c) la fecha en que expira la clasificación;

d) el nombre y el servicio del autor;

e) el destinatario o destinatarios, con el número de serie;

f) el asunto;

g) el número;

h) el número de ejemplares distribuidos;

i) la elaboración de inventarios de la información clasificada transmitida al servicio;

j) el registro de desclasificación o recalificación de información clasificada.

8. Las normas generales establecidas en la sección 21 se aplicarán a los registros locales de información clasificada de la UE de la Comisión, a menos que se modifiquen mediante las normas específicas establecidas en la presente sección.

22.2. Registro EU TOP SECRET

22.2.1. Aspectos generales

1. Un registro central EU TOP SECRET garantiza el almacenamiento, tratamiento y distribución de documentos EU TOP SECRET con arreglo a las presentes disposiciones de seguridad. El jefe del registro EU TOP SECRET será el controlador EU TOP SECRET.

2. El registro central EU TOP SECRET actuará como la principal autoridad receptora y emisora de los Estados miembros, con otras instituciones de la UE, Estados miembros, organizaciones internacionales y terceros Estados con los que la Comisión tenga acuerdos sobre procedimientos de seguridad para el intercambio de información clasificada.

3. Cuando sea necesario, se establecerán registros secundarios encargados de la gestión interna de los documentos EU TOP SECRET, que mantendrán datos actualizados sobre la circulación de cada documento a cargo del registro secundario.

4. Los registros secundarios EU TOP SECRET se crearán según lo dispuesto en la sección 22.2.3 en respuesta a las necesidades a largo plazo y estarán vinculados a un registro central EU TOP SECRET. Si hay necesidad de consultar documentos EU TOP SECRET sólo temporal y ocasionalmente, estos documentos podrán darse a conocer sin crear un registro secundario EU TOP SECRET, siempre que se establezcan normas para garantizar que permanecen bajo control del registro EU TOP SECRET pertinente y que se observan todas las normas de seguridad físicas y de personal.

5. Los registros secundarios no transmitirán documentos EU TOP SECRET directamente a otros registros secundarios del mismo registro central EU TOP SECRET sin la expresa aprobación de este último.

6. Todos los intercambios de documentos EU TOP SECRET entre registros secundarios que no dependan del mismo registro central se tramitarán a través de los registros centrales EU TOP SECRET.

22.2.2. Registro central EU TOP SECRET

En su calidad de controlador, el jefe del registro central EU TOP SECRET se encargará de:

a) transmitir los documentos EU TOP SECRET con arreglo a lo dispuesto en la sección 21.3;

b) mantener una lista de todos sus registros secundarios dependientes EU TOP SECRET, junto con los nombres y firmas de los controladores designados y de sus suplentes autorizados;

c) guardar recibos de los registros de todos los documentos EU TOP SECRET distribuidos por el registro central;

d) mantener un registro de los documentos EU TOP SECRET guardados y distribuidos;

e) mantener una lista actualizada de todos los registros centrales EU TOP SECRET con los que normalmente mantiene correspondencia, junto con los nombres y firmas de sus controladores designados y de sus suplentes autorizados;

f) velar por la protección física de todos los documentos EU TOP SECRET del registro con arreglo a las normas de la sección 18.

22.2.3. Registros secundarios EU TOP SECRET

En su calidad de controlador, el jefe de un registro secundario EU TOP SECRET se encargará de:

a) transmitir los documentos EU TOP SECRET con arreglo a lo dispuesto en la sección 21.3;

b) mantener una lista actualizada de todas las personas autorizadas a tener acceso a la información EU TOP SECRET bajo su control;

c) distribuir los documentos EU TOP SECRET con arreglo a las instrucciones del autor o según la necesidad de conocer, comprobando en primer lugar que el destinatario tiene la habilitación de seguridad exigida;

d) mantener un registro actualizado de todos los documentos EU TOP SECRET guardados o en circulación bajo su control o que hayan pasado por otros registros EU TOP SECRET y guardar todos los recibos correspondientes;

e) mantener una lista actualizada de los registros EU TOP SECRET con los que está autorizado a intercambiar documentos clasificados EU TOP SECRET, junto con los nombres y firmas de los controladores designados y de sus suplentes autorizados;

f) velar por la protección física de todos los documentos EU TOP SECRET del registro secundario con arreglo a las normas de la sección 18.

22.3. Inventarios, colecciones y controles de documentos clasificados de la UE

1. Anualmente, cada registro EU TOP SECRET a que se refiere la presente sección llevará a cabo un inventario detallado de los documentos EU TOP SECRET. Se considerará que se ha respondido de un documento si el registro cuenta físicamente con él, o guarda un recibo del registro EU TOP SECRET al que se ha enviado, un certificado de su destrucción o una instrucción de recalificación o desclasificación de dicho documento. Los registros presentarán los resultados de los inventarios anuales al miembro de la Comisión encargado de la seguridad, a más tardar el 1 de abril de cada año.

2. Los registros secundarios EU TOP SECRET presentarán los resultados de su inventario anual al registro central ante el que son responsables, en la fecha que determine este último.

3. Los documentos clasificados de la UE de una categoría inferior a la de EU TOP SECRET se someterán a controles internos de acuerdo con las instrucciones del miembro de la Comisión encargado de la seguridad.

4. Estas operaciones permitirán afianzar la opinión de los poseedores sobre:

a) la posibilidad de recalificar o desclasificar determinados documentos;

b) los documentos que deben destruirse.

22.4. Almacenamiento en archivos de información clasificada de la UE

1. La información clasificada de la UE deberá almacenarse en condiciones que cumplan todos los requisitos pertinentes que se enumeran en la sección 18.

2. Para reducir al mínimo los problemas de almacenamiento, los controladores de todos los registros estarán autorizados para microfilmar los documentos EU TOP SECRET, EU SECRET y EU CONFIDENTIAL o para guardarlos en medios magnéticos u ópticos con objeto de archivarlos, siempre y cuando:

a) el proceso de microfilmado o almacenamiento lo realice personal con habilitación vigente para el nivel de clasificación apropiado correspondiente;

b) el medio de microfilmado o almacenamiento goce de la misma seguridad que los documentos originales;

c) se informe al autor sobre el microfilmado o almacenamiento de todo documento EU TOP SECRET;

d) los carretes de fotos u otro tipo de soporte contengan sólo documentos de la misma clasificación EU TOP SECRET, EU SECRET o EU CONFIDENTIAL;

e) el microfilmado o almacenamiento de un documento EU TOP SECRET o EU SECRET aparezca claramente indicado en el registro utilizado para el inventario anual;

f) los documentos originales que se hayan microfilmado o almacenado de otro modo se destruyan con arreglo a las normas establecidas en la sección 22.5.

3. Estas normas se aplicarán también a cualquier otra forma de almacenamiento autorizado, como los medios electromagnéticos o los discos ópticos.

22.5. Destrucción de documentos clasificados de la UE

1. Para evitar una acumulación innecesaria de documentos clasificados de la UE, los que, a juicio del jefe de la organización que los tenga en su poder, sean anticuados y excesivos en número se destruirán tan pronto como sea posible de la manera siguiente:

a) Los documentos EU TOP SECRET sólo los destruirá el registro central encargado de su custodia. Los documentos destruidos se enumerarán en un certificado de destrucción, firmado por el controlador EU TOP SECRET y por el funcionario que haya presenciado la destrucción, que tendrá la habilitación EU TOP SECRET. En el libro de registro se hará una anotación al efecto.

b) El registro conservará los certificados de destrucción, junto con los impresos de distribución, durante diez años. Sólo cuando se solicite expresamente se transmitirán copias al autor o al registro central que corresponda.

c) Los documentos EU TOP SECRET, incluidos todos los restos de documentos clasificados que se hayan utilizado para preparar documentos EU TOP SECRET, como copias defectuosas, borradores de trabajo, notas mecanografiadas y disquetes, se destruirán, bajo la supervisión de un controlador de registro EU TOP SECRET, quemándolos, convirtiéndolos en pasta, triturándolos o reduciéndolos de cualquier otro modo a un estado en que sean irreconocibles y no puedan reconstituirse.

2. Los documentos EU SECRET los destruirá el registro encargado de su custodia, bajo la supervisión de una persona con habilitación de seguridad, utilizando uno de los procesos indicados en la letra c) del apartado 1. Los documentos EU SECRET que se destruyan se incluirán en certificados de destrucción firmados que se guardarán en el registro, junto con los impresos de distribución, durante al menos tres años.

3. Los documentos EU CONFIDENTIAL los destruirá el registro encargado de su custodia, bajo la supervisión de una persona con habilitación de seguridad, utilizando uno de los procesos indicados en la letra c) del apartado 1. Se guardará constancia de su destrucción con arreglo a las instrucciones del miembro de la Comisión encargado de la seguridad.

4. Los documentos EU RESTRICTED los destruirá el registro encargado de su custodia o el usuario, con arreglo a las instrucciones del miembro de la Comisión encargado de la seguridad.

22.6. Destrucción en situaciones de urgencia

1. Los servicios de la Comisión prepararán planes basados en las condiciones locales para proteger el material clasificado de la UE en situaciones de crisis, incluidos, si fuera necesario, planes de destrucción y evacuación de urgencia. Asimismo, promulgarán las instrucciones que se estimen necesarias para impedir que la información clasificada de la UE caiga en manos de personas no autorizadas.

2. Las disposiciones para la protección o la destrucción de material EU SECRET y EU CONFIDENTIAL en situaciones de crisis no afectarán en ningún caso a la protección o destrucción de material EU TOP SECRET, incluido el equipo de mensajes cifrados, cuyo tratamiento deberá tener prioridad sobre todas las demás tareas.

3. Las medidas que deban adoptarse para la protección y destrucción del equipo de mensajes cifrados en una situación de urgencia figurarán en instrucciones específicas.

4. Será necesario disponer de instrucciones in situ en un sobre cerrado. Asimismo deberá contarse con medios o instrumentos de destrucción.

23. MEDIDAS DE SEGURIDAD APLICABLES A LAS REUNIONES ESPECÍFICAS CELEBRADAS FUERA DE LOS LOCALES DE LA COMISIÓN EN LAS QUE SE UTILICE INFORMACIÓN CLASIFICADA DE LA UE

23.1. Aspectos generales

Cuando las reuniones de la Comisión u otras reuniones importantes se celebren fuera de los locales de la Comisión y cuando los requisitos específicos de seguridad relativos a la gran sensibilidad de los temas tratados o de la información utilizada así lo justifiquen, deberán adoptarse las medidas de seguridad descritas a continuación. Estas medidas afectan únicamente a la protección de información clasificada de la UE, por lo que tal vez sea necesario preparar otras medidas de seguridad.

23.2. Atribuciones

23.2.1. Oficina de Seguridad de la Comisión

La Oficina de Seguridad de la Comisión deberá cooperar con las autoridades competentes del Estado miembro en cuyo territorio se celebre la reunión (el Estado miembro anfitrión) con el fin de garantizar la seguridad de las reuniones de la Comisión o de otras reuniones importantes, así como la seguridad física de los delegados y de su personal. Con respecto a la protección de la seguridad, deberá concretamente garantizar que:

a) se elaboran planes para hacer frente a amenazas de la seguridad e incidentes relacionados con la seguridad; las medidas en cuestión abarcarán en particular la custodia segura de documentos clasificados de la UE en los despachos;

b) se adoptan medidas para proporcionar un posible acceso al sistema de comunicaciones de la Comisión para la recepción y transmisión de mensajes clasificados de la UE; se pedirá al Estado miembro anfitrión que proporcione acceso a sistemas de telefonía de seguridad, si así se solicita.

La Oficina de Seguridad de la Comisión deberá actuar como órgano consultor de seguridad para la preparación de la reunión; deberá estar representada in situ para ayudar y aconsejar al responsable de seguridad de la reunión y a las delegaciones, si fuera necesario.

Cada una de las delegaciones de una reunión deberá designar un agente de seguridad que se ocupará de la seguridad en su delegación y de mantener contactos con el responsable de seguridad de la reunión, así como con el representante de la Oficina de Seguridad de la Comisión, si fuera necesario.

23.2.2. Responsable de seguridad de reunión

Deberá nombrarse un responsable de seguridad de reunión que se encargará, en general, de la preparación y del control de las medidas generales de seguridad interna y de la coordinación con las demás autoridades de seguridad en cuestión. Las medidas adoptadas por dicho agente se referirán en general a lo siguiente:

a) medidas de protección en el lugar donde se celebre la reunión para garantizar que esta se desarrolla sin incidentes que puedan poner en peligro la seguridad de cualquier información clasificada de la EU que pueda utilizarse;

b) el control del personal autorizado a acceder al lugar donde se celebre la reunión, a las zonas destinadas a las delegaciones y a las salas de conferencia, y el control de todo el equipo;

c) una coordinación constante con las autoridades competentes del Estado miembro anfitrión y con la Oficina de Seguridad de la Comisión;

d) la inclusión de instrucciones de seguridad en la documentación de la reunión, teniendo en cuenta los requisitos establecidos en las presentes normas y cualquier otra instrucción de seguridad que se considere necesaria.

23.3. Medidas de seguridad

23.3.1. Zonas de seguridad

Se crearán las siguientes zonas de seguridad:

a) una zona de seguridad de clase II, constituida por una sala de redacción, los despachos de la Comisión y su equipo de reprografía y los despachos de las delegaciones, según convenga;

b) una zona de seguridad de clase I, constituida por la sala de conferencias y las cabinas de sonido y de interpretación;

c) las zonas administrativas, constituidas por la zona de prensa y las partes del local de la reunión utilizadas para la administración, la comida y el alojamiento, así como la zona inmediatamente contigua al centro de prensa y al lugar de la reunión.

23.3.2. Pases

El responsable de seguridad de reunión deberá suministrar las tarjetas adecuadas que soliciten las delegaciones, según sus necesidades. Siempre que sea necesario, podrá distinguirse entre el acceso a las diferentes zonas de seguridad.

Las instrucciones de seguridad de la reunión deberán exigir que todos los participantes ostenten de forma visible y permanente sus tarjetas mientras se encuentren en el lugar de la reunión, para que el personal de seguridad pueda controlarlas según se requiera.

Aparte de los participantes con tarjeta, deberá reducirse al mínimo el número de personas que pueden entrar en el lugar de la reunión. El responsable de seguridad de reunión sólo permitirá que las delegaciones nacionales reciban visitantes durante la reunión si lo solicitan previamente. Cada visitante dispondrá de una tarjeta y se deberá rellenar un formulario de entrada con su nombre y el nombre de la persona objeto de la visita. Los visitantes permanecerán siempre acompañados de un guardia de seguridad o de la persona objeto de la visita. Cuando el visitante abandone el lugar de la reunión, la persona que lo acompañe deberá entregar su formulario, junto con la tarjeta de visitante, al personal de seguridad.

23.3.3. Control de los equipos de fotografía y sonido

En las zonas de seguridad de clase I no podrá entrar ninguna cámara o equipo de grabación más que el empleado por los fotógrafos y los ingenieros de sonido debidamente autorizados por el responsable de seguridad de reunión.

23.3.4. Control de maletines, ordenadores portátiles y paquetes

Las personas que tengan un pase con acceso a una zona de seguridad en general podrán llevar sus maletines y ordenadores portátiles (sólo con alimentación independiente) sin que se efectúe control alguno. Los paquetes dirigidos a las delegaciones podrán serán recogidos por éstas y deberán ser comprobados por el agente de seguridad de la delegación, inspeccionados mediante aparatos especiales o abiertos por el personal de seguridad. Si el responsable de seguridad de reunión lo considera necesario, podrán establecerse medidas más estrictas de inspección de maletines y paquetes.

23.3.5. Seguridad técnica

Un equipo de seguridad técnica se encargará de que la sala de reuniones sea técnicamente segura y también podrá llevar a cabo un control electrónico durante la reunión.

23.3.6. Documentos de las delegaciones

Las delegaciones se encargarán de llevar y traer los documentos clasificados de la UE a las reuniones. También deberán encargarse del control y la seguridad de esos documentos mientras los utilicen en los locales que se les asignen. Podrá solicitarse ayuda del Estado miembro anfitrión para llevar y traer los documentos clasificados al lugar donde se celebre la reunión.

23.3.7. Custodia segura de los documentos

Si la Comisión o las delegaciones no pudieran guardar sus documentos clasificados de conformidad con las normas establecidas, podrán entregarlos en un sobre cerrado al responsable de seguridad de reunión, contra entrega del recibo pertinente, para que éste pueda guardarlos según las normas establecidas.

23.3.8. Control de los despachos

El responsable de seguridad de reunión dispondrá que, al término de cada jornada de trabajo, se realice una inspección de los despachos de la Comisión y de las delegaciones para garantizar que todos los documentos clasificados de la UE están en un lugar seguro. Si no fuera así, tomará las medidas oportunas.

23.3.9. Eliminación de los restos de documentos clasificados de la UE

Todos los restos de documentos se considerarán material clasificado de la UE. Deberán entregarse papeleras y bolsas a la Comisión y a las delegaciones para que recojan los papeles. Antes de abandonar los locales que se les hayan asignado, la Comisión y las delegaciones deberán entregar los papeles al responsable de seguridad de la reunión, que ordenará su destrucción según las normas.

Al final de la reunión, todos los documentos que la Comisión o las delegaciones ya no deseen se tratarán como restos de documentos. Antes de levantar las medidas de seguridad decretadas para la reunión se llevará a cabo un registro exhaustivo de los locales utilizados por la Comisión y por las delegaciones. En la medida de lo posible, los documentos que se hayan entregado a cambio de un recibo se destruirán de conformidad con lo dispuesto en la sección 22.5.

24. INFRACCIONES DE LA SEGURIDAD Y RIESGO A QUE SE EXPONE LA INFORMACIÓN CLASIFICADA DE LA UE

24.1. Definiciones

Infringir la seguridad es un acto u omisión contrario a una norma de seguridad de la Comisión que puede poner en peligro o exponer a riesgo información clasificada de la UE.

La información clasificada de la UE se expone a riesgo cuando cae total o parcialmente en manos de personas no autorizadas, es decir, que ni tienen la habilitación de seguridad ni la necesidad de conocer pertinentes, o cuando existe la probabilidad de que se haya producido este hecho.

La información clasificada de la UE puede exponerse a riesgo por descuido, negligencia o indiscreción, así como por las actividades de servicios de espionaje cuyo objetivo es la UE o sus Estados miembros, en lo tocante a la información clasificada y a las actividades de la UE, o por la actuación de organizaciones de carácter subversivo.

24.2. Notificación de las infracciones de la seguridad

Todas las personas que deban tratar información clasificada de la UE deberán recibir instrucciones detalladas sobre sus atribuciones en este ámbito. Asimismo, deberán notificar inmediatamente cualquier infracción de la seguridad de la que puedan tener conocimiento.

Cuando un responsable local de seguridad o un agente de seguridad de reunión descubra o sea informado de una infracción de la seguridad relativa a información clasificada de la UE o de la desaparición de material clasificado de la UE, deberá tomar las medidas oportunas para:

a) proteger las pruebas;

b) aclarar los hechos;

c) evaluar los daños causados y reducirlos al mínimo;

d) impedir que los hechos se repitan;

e) notificar a las autoridades competentes los efectos de la infracción de la seguridad.

En este contexto, deberán aportarse los datos siguientes:

i) descripción de la información de que se trata, con su clasificación, números de referencia y de copia, fecha, autor, asunto y ámbito;

ii) breve descripción de las circunstancias en que se ha producido la infracción de la seguridad, con la fecha y el período en que pudo exponerse a riesgo la información;

iii) declaración sobre si se ha informado al autor.

Tan pronto como se notifique que puede haberse producido una infracción, cada autoridad de seguridad deberá ponerlo inmediatamente en conocimiento de la Oficina de Seguridad de la Comisión.

Sólo se deberán notificar los casos relativos a información clasificada EU RESTRICTED cuando presenten características anómalas.

Cuando se le comunique que se ha producido una infracción de la seguridad, el miembro de la Comisión encargado de la seguridad:

a) lo notificará al autor de la información clasificada de que se trate;

b) pedirá a las autoridades de seguridad competentes que inicien una investigación;

c) coordinará las investigaciones cuando intervengan en ellas más de una instancia de seguridad;

d) obtendrá un informe sobre las circunstancias en que se produjo la infracción, la fecha o período en que pudo ocurrir y en que fue descubierta, con una descripción detallada del contenido y de la clasificación del material en cuestión;