COMISIÓN EUROPEA Bruselas, 22.3.2022 COM(2022) 119 final 2022/0084(COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión {SWD(2022) 65 final} - {SWD(2022) 66 final}



CONTEXTO DE LA PROPUESTA 1.CONTEXTO DE LA PROPUESTA •Razones y objetivos de la propuesta La presente propuesta forma parte de la Estrategia de la UE para una Unión de la Seguridad adoptada por la Comisión el 24 de julio de 2020 y en la que se establece su compromiso de aportar el valor añadido de la Unión Europea a los esfuerzos nacionales en el ámbito de la seguridad. Parte de este compromiso es la iniciativa de racionalizar los marcos jurídicos internos para la seguridad de la información en todas las instituciones y órganos de la Unión. Una característica clave de la Agenda Estratégica para 2019-2024, adoptada por el Consejo Europeo en junio de 2019, es proteger a nuestras sociedades de las amenazas en constante evolución dirigidas contra la información tratada por las instituciones y órganos. En sus conclusiones, el Consejo Europeo pidió, en particular, que «las instituciones de la UE, junto con los Estados miembros, elaboren medidas destinadas a reforzar la resiliencia, a mejorar la cultura de seguridad de la UE frente a las amenazas híbridas y las ciberamenazas procedentes de fuera de la UE y a proteger mejor de todo tipo de actividades malintencionadas las redes de información y comunicación de la UE y los procesos decisorios de esta». En la misma línea, el Consejo de Asuntos Generales de diciembre de 2019 concluyó que las instituciones y órganos de la UE, con el apoyo de los Estados miembros, debían desarrollar y aplicar un conjunto completo de medidas para garantizar su seguridad. Esto se hace eco de una reiterada petición del Comité de Seguridad del Consejo de estudiar las posibilidad de establecer un núcleo común de normas de seguridad para el Consejo, la Comisión y el Servicio Europeo de Acción Exterior. En la actualidad, las instituciones y órganos de la Unión tienen sus propias normas sobre seguridad de la información, basadas en su reglamento interno o acto constitutivo, o no disponen de ninguna norma de esta índole. Este es principalmente el caso de determinadas pequeñas entidades, que carecen de políticas formales de seguridad de la información. Debido a la creciente cantidad de información sensible no clasificada y de información clasificada de la Unión Europea (ICUE) que las instituciones y órganos de la Unión deben compartir entre sí, y teniendo en cuenta la drástica evolución del panorama de amenazas, la Administración europea está expuesta a ataques en todos sus ámbitos de actividad. La información que tratan nuestras instituciones y órganos es muy atractiva para quienes nos amenazan y debe protegerse adecuadamente. Esto requiere la rápida adopción de medidas para mejorar su protección. Por consiguiente, y con el fin de aumentar la protección de la información tratada por la Administración europea, esta iniciativa tiene por objeto racionalizar los diferentes marcos jurídicos de las instituciones y órganos de la Unión en este ámbito mediante: •El establecimiento de categorías armonizadas y exhaustivas de información, así como de normas comunes de tratamiento para todas las instituciones y órganos de la Unión. •El establecimiento de un sistema de cooperación sencillo en materia de seguridad de la información entre las instituciones y órganos de la Unión capaz de fomentar una cultura coherente de la seguridad de la información en toda la Administración europea. •La modernización de las políticas de seguridad de la información en todos los grados de clasificación y categorización para todas las instituciones y órganos de la Unión, teniendo en cuenta la transformación digital y el desarrollo del teletrabajo como práctica estructural. •Coherencia con las disposiciones existentes en la misma política sectorial Esta iniciativa se ajusta a una amplia gama de políticas de la UE en los ámbitos de la seguridad y la seguridad de la información. En 2016, el Parlamento Europeo y el Consejo adoptaron una Directiva relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión. Esta Directiva fue la primera medida legislativa a escala de la UE destinada a aumentar la cooperación entre los Estados miembros en materia de ciberseguridad. Si bien la Comisión adoptó en diciembre de 2020 una propuesta de revisión de este instrumento, que introduce medidas de supervisión para las autoridades nacionales, la Administración de la Unión sigue estando fuera de su ámbito de aplicación. En la misma línea y para complementar los esfuerzos de los Estados miembros en el ámbito de la seguridad, es de vital importancia que las instituciones y órganos de la Unión alcancen un alto nivel de protección de su información y de sus sistemas de información y comunicación conexos, con vistas a salvaguardar la seguridad de la información. En julio de 2020, la Comisión adoptó la Estrategia para una Unión de la Seguridad, con el compromiso de la UE de complementar los esfuerzos de los Estados miembros en todos los ámbitos de la seguridad. Esta Estrategia se desarrolla entre 2020 y 2025 y esboza cuatro pilares principales de actuación: un entorno de seguridad que resista el paso del tiempo; hacer frente a unas amenazas en constante evolución; proteger a los ciudadanos europeos frente al terrorismo y la delincuencia organizada; e instaurar un sólido ecosistema europeo de seguridad. Varios de los temas abordados en el marco de estos pilares se centran en la seguridad de la información, la ciberseguridad, la cooperación y el intercambio de información, y las infraestructuras críticas. En consonancia con la Estrategia para una Unión de la Seguridad, la Comisión Europea propone la creación de un conjunto mínimo de normas sobre seguridad de la información y ciberseguridad en todas las instituciones y órganos de la Unión, lo que dará lugar a normas comunes obligatorias y estrictas para el intercambio seguro de información. Esta iniciativa representa el compromiso de las instituciones y órganos de establecer en la Administración europea el mismo nivel de ambición en el ámbito de la seguridad que se exige a los Estados miembros. El 16 de diciembre de 2020, la Comisión y el Alto Representante para Asuntos Exteriores y Política de Seguridad presentaron una nueva Estrategia de Ciberseguridad de la UE que establece prioridades y acciones clave para reforzar la resiliencia, la autonomía, el liderazgo y la capacidad operativa de Europa frente a amenazas crecientes y complejas para sus redes y sistemas de información, y para promover un ciberespacio global y abierto y sus asociaciones internacionales. Es igualmente importante que las instituciones y órganos de la Unión contribuyan a la consecución de estas prioridades estableciendo requisitos equivalentes tanto en el ámbito de la seguridad de la información como en el de la ciberseguridad.

La presente propuesta, junto con la propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión, tiene por objeto completar la visión normativa de la Estrategia para una Unión de la Seguridad con requisitos específicos para la Administración europea. Habida cuenta de las interrelaciones entre seguridad de la información y ciberseguridad, ambas propuestas deben garantizar un enfoque coherente de la protección de la información no clasificada. •Coherencia con otras políticas de la Unión Esta iniciativa también tiene en cuenta otras políticas de la Unión que son pertinentes para la seguridad de la información. En el ámbito de la protección de datos aplicable a la Administración de la Unión Europea y de la Comunidad Europea de la Energía Atómica (Euratom), existe el Reglamento (UE) 2018/1725, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos. En la misma línea, debemos mencionar que, en el caso de determinadas instituciones y órganos de la Unión, los legisladores de la UE han adoptado normas específicas pertinentes para la protección de los datos personales. En el ámbito de la transparencia, la presente propuesta se basa en los principios consagrados en el Reglamento (CE) n.º 1049/2001 relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión, con respecto a otras normas pertinentes. 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD •Base jurídica Teniendo en cuenta el objetivo y el contenido de la presente propuesta, su base jurídica más adecuada es el artículo 298 del Tratado de Funcionamiento de la Unión Europea (TFUE) y el artículo 106 bis del Tratado constitutivo de la Comunidad Europea de la Energía Atómica. El artículo 298 del TFUE fue introducido por el Tratado de Lisboa y permite a los legisladores establecer disposiciones con vistas a crear una Administración eficaz e independiente que apoye a las instituciones, órganos y organismos en el cumplimiento de su misión. Una Administración eficiente e independiente depende de la seguridad de su información. Con el fin de cumplir su misión, las instituciones y órganos de la Unión dispondrán de un entorno seguro para la información que traten y almacenen diariamente. Además, facilitar una base de referencia común de normas obligatorias para todos garantizaría un alto nivel de seguridad, reduciría el riesgo de vínculos débiles a la hora de apoyar la interoperabilidad entre instituciones y órganos e impulsaría sinergias, mejorando así la resiliencia de la Administración frente a amenazas cambiantes. Además, con el objetivo general de lograr un alto nivel común de seguridad para la ICUE y la información no clasificada tratada y almacenada por las instituciones y órganos de la Unión, la presente propuesta permite a la Administración europea proteger mejor de las interferencias externas y las actividades de espionaje. El artículo 298 del TFUE permite a la Unión establecer normas comunes para el conjunto de la Administración europea a fin de garantizar que todas las instituciones y órganos de la Unión traten de manera similar la ICUE y la información no clasificada. Como tal, el presente Reglamento establece normas aplicables a la Administración y solo puede imponer obligaciones indirectas a las personas que desempeñen funciones en nombre de dicha Administración o sobre una base contractual (excluidos los comisarios, los representantes de los Estados miembros en el seno del Consejo, los miembros del Parlamento Europeo, los jueces de los tribunales de la Unión o los miembros del Tribunal de Cuentas Europeo). De conformidad con el artículo 298 del TFUE, el Parlamento Europeo y el Consejo se pronunciarán mediante un reglamento y con arreglo al procedimiento legislativo ordinario. La presente propuesta necesita una base jurídica adicional, ya que también contempla la información relativa a algunas actividades de la Comunidad Europea de la Energía Atómica. Dicha información no es información clasificada de Euratom, sino que es tratada por las instituciones y órganos de la Unión con arreglo al régimen general de la ICUE. Esta base jurídica adicional es el artículo 106 bis del Tratado constitutivo de la Comunidad Europea de la Energía Atómica, que hace también aplicable el artículo 298 del TFUE a las actividades de Euratom antes mencionadas. •Subsidiariedad (en el caso de competencia no exclusiva) Con arreglo al principio de subsidiariedad contemplado en el artículo 5, apartado 3, del Tratado de la Unión Europea, la UE solo debe intervenir en caso de que los objetivos perseguidos no puedan ser alcanzados de manera suficiente por los Estados miembros por sí solos, sino que puedan alcanzarse mejor, debido a la dimensión o a los efectos de la acción pretendida, a escala de la UE. Dado que solo la Unión puede adoptar normas que regulen la ICUE y la información sensible no clasificada tratada y almacenada por las instituciones y órganos de la Unión, no se aplica el principio de subsidiariedad. •Proporcionalidad El establecimiento de una base común de seguridad de la información para todas las instituciones y órganos de la Unión es necesario para contribuir a una Administración independiente y eficiente.

De conformidad con el principio de proporcionalidad establecido en el artículo 5, apartado 4, del TUE, las disposiciones del Reglamento no son excesivamente prescriptivas y dejan margen para diferentes niveles de acción específica, en consonancia con el nivel de madurez de la seguridad de cada institución y órgano de la Unión. Por otro lado, la solución tiene un impacto limitado en los derechos fundamentales de las personas. Por lo tanto, la propuesta no va más allá de lo necesario para abordar el problema de no disponer de un conjunto común de normas de seguridad de la información para todas las instituciones y órganos de la Unión. •Elección del instrumento Un reglamento basado en el artículo 298 del TFUE se considera el instrumento jurídico adecuado. Está justificado por el predominio de elementos que requieren una aplicación uniforme, lo que no deja márgenes de ejecución a las instituciones y órganos de la Unión y que crea un marco horizontal mínimo. 3.RESULTADOS DE LAS EVALUACIONES A POSTERIORI, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO •Evaluaciones a posteriori y controles de la adecuación de la legislación existente No procede. •Consultas con las partes interesadas La Comisión ha llevado a cabo una amplia consulta de las principales partes interesadas sobre diversos aspectos relacionados con las normas sobre seguridad de la información de las instituciones y órganos de la Unión. El objetivo general de la consulta era recabar información pertinente para la preparación de una iniciativa legislativa sobre normas de seguridad de la información comunes a todas las instituciones y órganos. Las consultas trataron de recabar información sobre: •Los problemas relacionados con el marco existente de seguridad de la información en las instituciones y órganos de la Unión que las partes interesadas consideran que deben abordarse en la iniciativa. •La pertinencia, eficacia, eficiencia y valor añadido de la iniciativa. •Las repercusiones previstas de la iniciativa y otras posibles consecuencias para las partes interesadas. Para preparar la propuesta legislativa, la Comisión ha consultado a las siguientes categorías de partes interesadas: 1.Instituciones, órganos y organismos de la Unión. 2.Autoridades nacionales de seguridad de los Estados miembros. 3.Expertos en investigación del CCI. Habida cuenta de las características particulares de esta iniciativa, que es aplicable exclusivamente a las instituciones y órganos de la Unión, con escaso impacto en los ciudadanos y las empresas europeos, los servicios de la Comisión optaron por dar prioridad a la recogida de puntos de vista de los grupos de partes interesadas pertinentes. Por tanto, no se realizó ninguna consulta pública específica para esta iniciativa legislativa. Durante el proceso de consulta, los servicios de la Comisión utilizaron los siguientes métodos y formas de consulta: 1.La posibilidad de que todas las partes interesadas formulasen observaciones sobre la evaluación de impacto inicial a través de la plataforma «Díganos lo que piensa» de la Comisión.

2.Un cuestionario específico dirigido a los expertos en seguridad de la información de las instituciones y órganos de la Unión a través de una encuesta en línea. 3.Un cuestionario específico dirigido a las autoridades nacionales de seguridad de los Estados miembros a través de una encuesta en línea. 4.Una solicitud de evaluación de riesgos adaptada de los activos básicos de seguridad de la información. 5.Numerosas reuniones y conversaciones con homólogos de instituciones, órganos y organismos, así como con las autoridades nacionales de seguridad de los Estados miembros. Como principales aportaciones de las consultas, la Comisión destaca: •La fragmentación de los marcos jurídicos pertinentes entre nuestras instituciones y órganos genera una importante duplicación de esfuerzos para crear y mantener normas internas, así como prácticas no interoperables de tratamiento de la información. Para los Estados miembros, la diversidad de estas normas aumenta el riesgo de malentendidos, interpretaciones erróneas e incumplimientos. •Si bien el establecimiento de una base de referencia de la seguridad de la información para todas las instituciones y órganos de la Unión crearía un «ecosistema» con normas de seguridad normalizadas y la aplicación de mejores prácticas, deben tenerse en cuenta la diversidad y el diferente entorno administrativo de cada institución y órgano de la Unión, y permitirse soluciones locales. •Esta iniciativa debe respetar la autonomía y los diferentes niveles de madurez en materia de seguridad de cada institución y órgano de la Unión, que seguirán siendo plenamente responsables de su organización de la seguridad de la información. •Obtención y uso de asesoramiento especializado La Comisión utilizó sus propios recursos para consultar a las partes interesadas. La Dirección de Seguridad de la DG HR realizó el trabajo correspondiente sobre las encuestas, las videoconferencias y otros talleres. Esta tarea supuso tanto la selección de los participantes como la organización de actos y el tratamiento de las aportaciones recibidas. El Centro Común de Investigación (CCI) realizó una evaluación de riesgos de los principales activos de seguridad de la información, que sirvió de base para la evaluación de impacto. •Evaluación de impacto Esta iniciativa se dirige exclusivamente a las instituciones y órganos de la Unión y tiene un impacto limitado para los Estados miembros y los particulares. Por lo tanto, no era necesario realizar una evaluación de impacto exhaustiva, al no haber repercusiones claramente identificables o significativas para los ciudadanos y las empresas. En el sitio web Europa se publicó un plan de trabajo exhaustivo que recabó información de las partes interesadas pertinentes. •Adecuación regulatoria y simplificación No procede. •Derechos fundamentales La UE tiene el compromiso de garantizar un alto nivel de protección de los derechos fundamentales. Esta iniciativa garantiza el pleno respeto de los derechos fundamentales consagrados en la Carta de los Derechos Fundamentales de la Unión Europea, a saber: •Derecho a una buena administración Al mejorar la seguridad de la información que gestionan al tratar los asuntos de los ciudadanos europeos, las instituciones y órganos de la Unión contribuyen a la consecución del principio de buena administración. •Protección de datos de carácter personal

Todo tratamiento de datos de carácter personal en el marco de la presente propuesta se llevaría a cabo en entornos de confianza y respetando plenamente el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo. •Derecho de acceso a los documentos El acceso público a la ICUE y a los documentos sensibles no clasificados sigue estando plenamente regulado por el Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo. •Derecho a la propiedad intelectual Al tratar y almacenar información no clasificada e ICUE, las instituciones y órganos de la Unión protegen la propiedad intelectual de conformidad con la Directiva 2001/29/CE del Parlamento Europeo y del Consejo. •Libertad de expresión y de información Si bien todo el mundo tiene libertad para recibir y compartir información e ideas sin interferencia de la autoridad pública, ello no debe impedir que la Unión establezca las condiciones de acceso, tratamiento y almacenamiento de determinados tipos de información, sobre la base de su nivel de confidencialidad. El ejercicio de estas libertades puede estar sujeto a condiciones y restricciones establecidas por la ley y necesarias en una sociedad democrática, a fin de impedir la divulgación de información recibida de forma confidencial y en interés de la seguridad de la UE. 4.REPERCUSIONES PRESUPUESTARIAS La presente propuesta exige la asignación de un funcionario AD y un asistente AST para la secretaría permanente del Grupo de Coordinación, que facilita la Comisión en el seno de la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad. Se espera que las instituciones y órganos ahorren costes en términos de tareas compartidas y colaborativas, así como que se impidan posibles daños económicos derivados de incidentes de seguridad, gracias a la mejora de la seguridad de la información. Por otra parte, los esfuerzos financieros necesarios para la aplicación de la nueva legislación pueden cubrirse como parte de los programas de mejora de la seguridad de la información existentes en cada institución y órgano de la Unión. 5.OTROS ELEMENTOS •Planes de ejecución y modalidades de seguimiento, evaluación e información La propuesta establece la obligación de que la Comisión informe cada tres años al Parlamento Europeo y al Consejo sobre la aplicación del presente Reglamento, incluido el funcionamiento de la gobernanza establecida en el mismo. Además, cada cinco años la Comisión evaluará el presente Reglamento con el fin de evaluar su rendimiento real y, sobre la base de ello, si es necesaria alguna modificación de la legislación. •Explicación detallada de las disposiciones específicas de la propuesta La propuesta se estructura en torno a los requisitos para el tratamiento y almacenamiento de información no clasificada e ICUE, que son los principales objetos de la iniciativa y cuya protección reforzada representa su objetivo de fondo. Objeto y ámbito de aplicación (artículos 1 y 2) El Reglamento tiene por objeto crear un conjunto mínimo de normas de seguridad de la información aplicables a todas las instituciones y órganos de la Unión. Se aplica a toda la información tratada y almacenada por las instituciones y órganos de la Unión, incluida la información relacionada con las actividades de la Comunidad Europea de la Energía Atómica, distinta de la información clasificada de Euratom. Tanto la información no clasificada como la ICUE se contemplan en el presente Reglamento.

Definiciones y principios generales (artículos 3 a 5) Las definiciones que figuran en el artículo 3 se basan en las normas actuales sobre seguridad de la información adoptadas por separado por las instituciones y órganos de la Unión. Además de los principios generales de la legislación de la Unión (transparencia, proporcionalidad, eficiencia y rendición de cuentas), el Reglamento establece las principales directrices vinculantes, como el proceso independiente de gestión del riesgo en materia de seguridad de la información llevado a cabo por cada institución y órgano de la Unión, y la evaluación de su información para que se clasifique adecuadamente. Gobernanza y organización de la seguridad (artículos 6 a 8) Todas las instituciones y órganos de la Unión cooperarán en un Grupo de Coordinación Interinstitucional de la Seguridad de la Información, que actuará por consenso y en interés común de las instituciones y órganos de la Unión. El Grupo de Coordinación reúne a las autoridades de seguridad de todas las instituciones y órganos y elabora documentos de orientación sobre la aplicación del Reglamento. Mantiene contactos periódicos con las autoridades nacionales de seguridad de los Estados miembros, reunidos en un Comité de Seguridad de la Información. Se crean cinco subgrupos de expertos que representan a diferentes instituciones y órganos con el fin de racionalizar los procedimientos y otros aspectos prácticos relacionados con la seguridad de la información. Cada institución y órgano de la Unión debe designar una autoridad de seguridad encargada de definir las políticas internas en materia de seguridad de la información y de aplicarlas. La autoridad de seguridad establece funciones específicas asignadas a entidades como la Autoridad de Garantía de la Información, la Autoridad Operativa de Garantía de la Información, la Autoridad de Acreditación de Seguridad, la Autoridad TEMPEST, la Autoridad de Certificación Criptográfica y la Autoridad de Distribución Criptográfica, que pueden delegarse en otra institución u órgano por razones de eficiencia o recursos. Garantía de la información y sistemas de comunicación e información (artículos 9 a 11) El Reglamento establece un subgrupo sobre garantía de la información con el objetivo de mejorar la coherencia entre las instituciones y órganos de la Unión entre las normas de seguridad de la información y el código básico de ciberseguridad, tal como se define en el Reglamento por el que se establecen medidas destinadas a garantizar un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión. Las instituciones y órganos de la Unión deben cumplir los principios mencionados en estos artículos y adoptar sus propias normas internas para medidas de seguridad específicas, adaptadas a su propio entorno de seguridad. Información no clasificada (artículos 12 a 17 y anexo I) El Reglamento establece tres categorías de información no clasificada: información para uso público, información normal e información sensible no clasificada. Se definen todas las categorías y se establecen marcas y condiciones de tratamiento para proteger dicha información. Con el fin de coordinar el trabajo sobre la equivalencia entre categorías particulares establecidas por determinadas instituciones y órganos de la Unión y categorías comunes previstas en el Reglamento, la propuesta crea un subgrupo sobre información no clasificada. ICUE (artículos 18 a 58 y anexos II a VI) Este capítulo, el más voluminoso de la propuesta, se estructura en siete secciones: disposiciones generales, seguridad en el personal, seguridad física, gestión de la ICUE, protección de los sistemas de comunicación e información, seguridad industrial, y puesta en común de ICUE e intercambio de información clasificada. La sección sobre disposiciones generales establece cuatro grados de ICUE: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED, y la obligación de las instituciones y órganos de la Unión de adoptar las medidas de seguridad necesarias de conformidad con los resultados de un proceso de gestión del riesgo para la seguridad de la información. Cada una de las secciones restantes se centra en las normas de protección de la ICUE en relación con su ámbito específico. Los detalles para esta protección de la ICUE se especifican en los anexos II a V. El anexo VI establece el cuadro de equivalencias de la ICUE con las clasificaciones de seguridad de los Estados miembros y de la Comunidad Europea de la Energía Atómica. Con el fin de racionalizar los procesos pertinentes sobre el terreno y evitar la duplicación de esfuerzos, el Reglamento crea subgrupos sobre garantía de la información, información no clasificada, seguridad física, acreditación de sistemas de comunicación e información que tratan y almacenan ICUE, y puesta en común e intercambio de información clasificada. Disposiciones finales (artículos 59 a 62)

Las disposiciones finales garantizan la transición desde las normas y procedimientos actuales al nuevo marco jurídico establecido por el presente Reglamento. Se refieren a las normas internas sobre seguridad de la información actualmente aplicables en las instituciones y órganos de la Unión, al reconocimiento de las visitas de evaluación realizadas antes del inicio de la aplicación del Reglamento, al tratamiento de los acuerdos administrativos celebrados anteriormente y a la continuación de los marcos de seguridad específicos aplicables a los acuerdos de subvención. El presente Reglamento se aplicará transcurridos dos años desde la fecha de su entrada en vigor. 2022/0084 (COD) Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 298, Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106 bis, Vista la propuesta de la Comisión Europea, Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales, De conformidad con el procedimiento legislativo ordinario, Considerando lo siguiente: (1)En la actualidad, las instituciones y órganos de la Unión tienen sus propias normas de seguridad de la información, basadas en su reglamento interno o en un acto constitutivo, o no disponen de ninguna norma sobre seguridad de la información. En este contexto, cada institución y órgano de la Unión invierte esfuerzos significativos en la adopción de enfoques diferentes, lo que da lugar a una situación en la que el intercambio de información no siempre es fiable. La falta de un enfoque común dificulta el despliegue de herramientas comunes basadas en un conjunto de normas acordado en función de las necesidades de seguridad de la información que debe protegerse. (2)Si bien se ha avanzado hacia unas normas más coherentes para la protección de la información clasificada de la Unión Europea (ICUE) y de la información no clasificada, la interoperabilidad de los sistemas pertinentes sigue siendo limitada, lo que impide una transferencia fluida de información entre las diferentes instituciones y órganos de la Unión. Por consiguiente, deben realizarse esfuerzos adicionales en aras de un enfoque interinstitucional de la puesta en común de ICUE y del intercambio de información sensible no clasificada, recurriendo a categorías de información comunes y principios clave de tratamiento comunes. También debe preverse una base de referencia para simplificar los procedimientos de puesta en común de ICUE y de intercambio de información sensible no clasificada entre las instituciones y órganos de la Unión y con los Estados miembros. (3)Por consiguiente, deben establecerse normas pertinentes que garanticen un nivel común de seguridad de la información en todas las instituciones y órganos de la Unión. Dichas normas deben constituir un marco general completo y coherente para la protección de la ICUE y de la información no clasificada, y garantizar la equivalencia de los principios básicos y las normas mínimas. (4)La reciente pandemia ha provocado un cambio significativo en las prácticas de trabajo, pues las herramientas de comunicación a distancia se han convertido en norma. Por lo tanto, muchos procedimientos que aún se basaban parcialmente en el papel se ajustaron rápidamente para permitir el tratamiento y el intercambio de información por medios electrónicos. Esta evolución requiere cambios en el tratamiento y la protección de la información. El presente Reglamento tiene en cuenta las nuevas prácticas de trabajo. (5)Al crear un nivel mínimo común de protección de la ICUE y de la información no clasificada, el presente Reglamento contribuye a garantizar que las instituciones y órganos de la Unión cuenten con el apoyo de una Administración eficiente e independiente en el desempeño de sus funciones. Al mismo tiempo, cada institución y órgano de la Unión conserva su autonomía a la hora de determinar cómo aplicar las normas establecidas en el presente Reglamento, en consonancia con sus propias necesidades de seguridad. El presente Reglamento no impedirá en ningún caso a las instituciones y órganos de la Unión cumplir su misión, tal como le encomienda la legislación de la UE, ni interfiere en su autonomía institucional. (6)El presente Reglamento no obsta a la aplicación del Reglamento (Euratom) n.º 3/1958; del Reglamento n.º 31 (CEE), 11 (CEEA), por el que se establece el Estatuto de las funcionarios y el régimen aplicable a los otros agentes de la Comunidad Económica Europea y de la Comunidad y de la Comunidad Europa de la Energía Atómica; del Reglamento (CE) 1049/2001 del Parlamento Europeo y del Consejo; del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo; del Reglamento (CEE, Euratom) n.º 354/83 del Consejo; del Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo; del Reglamento (UE) 2021/697 del Parlamento Europeo y del Consejo; y del Reglamento (UE) [...] del Parlamento Europeo y del Consejo por el que se establecen medidas para un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión. (7)Con el fin de preservar la naturaleza específica de las actividades de la Comunidad Europea de la Energía Atómica reguladas por el Reglamento 3/1958 del Consejo de la Comunidad Europea de la Energía Atómica, el presente Reglamento no debe aplicarse a la información clasificada de Euratom. No obstante, toda la información relacionada con otras actividades de Euratom no contempladas en el Reglamento 3/1958 debe entrar en el ámbito de aplicación del presente Reglamento.

(8)Con el fin de establecer una estructura formal de cooperación entre las instituciones y órganos de la Unión en el ámbito de la seguridad de la información, es necesario crear un Grupo de Coordinación Interinstitucional (en lo sucesivo, «Grupo de Coordinación») en el que estén representadas las autoridades de seguridad de todas las instituciones y órganos de la Unión. Sin poder decisorio, el Grupo de Coordinación debe reforzar la coherencia de las políticas en el ámbito de la seguridad de la información y contribuir a la armonización de los procedimientos y herramientas de seguridad de la información en todas las instituciones y órganos de la Unión. (9)El trabajo del Grupo de Coordinación necesita el apoyo de expertos en diferentes ámbitos de la seguridad de la información: categorización y marcado, sistemas de comunicación e información, acreditación, seguridad física, y puesta en común de ICUE e intercambio de información clasificada. A fin de evitar la duplicación de esfuerzos entre las instituciones y órganos de la Unión, deben crearse subgrupos temáticos. Además, cuando sea necesario, el Grupo de Coordinación debe poder crear otros subgrupos con tareas específicas. (10)El Grupo de Coordinación debe cooperar estrechamente con las autoridades nacionales de seguridad de los Estados miembros con vistas a mejorar la seguridad de la información en la Unión. Por consiguiente, debe crearse un Comité de Seguridad de la Información de los Estados miembros que asesore al Grupo de Coordinación. (11)Si bien los órganos comunes que representan a todas las instituciones y órganos de la Unión se crean sobre la base del principio de cooperación, cada institución y órgano debe seguir siendo plenamente responsable de la seguridad de la información dentro de su organización. Cada institución y órgano de la Unión debe contar con una autoridad de seguridad y, en caso necesario, otras autoridades con responsabilidades específicas relacionadas con la seguridad de la información. (12)El principio de gestión del riesgo de la seguridad de la información debe constituir el núcleo de la política que desarrolle cada institución y órgano de la Unión en este ámbito. Si bien deben cumplirse los requisitos mínimos establecidos en el presente Reglamento, cada institución y órgano de la Unión debe adoptar medidas de seguridad específicas para proteger la información de conformidad con los resultados de una evaluación interna de riesgos. Del mismo modo, los medios técnicos para proteger la información deben adaptarse a la situación específica de cada institución y órgano. (13)Dada la diversidad de categorías de información no clasificada que las instituciones y órganos de la Unión han desarrollado sobre la base de sus propias normas en materia de información de seguridad, y a fin de evitar retrasos en la aplicación del presente Reglamento, las instituciones y órganos de la Unión deben poder mantener su propio sistema de marcado a efectos internos o en el intercambio de información con homólogos concretos de otras instituciones y órganos o de los Estados miembros. (14)Con el fin de adaptarse a las nuevas prácticas de teletrabajo, las redes utilizadas para conectarse a los servicios de acceso remoto de las instituciones u órganos de la Unión deben protegerse con medidas de seguridad adecuadas. (15)Dado que las instituciones y órganos de la Unión recurren con frecuencia a contratistas y a la externalización, es importante establecer disposiciones comunes relativas al personal de los contratistas que lleva a cabo tareas relacionadas con la seguridad de la información. (16)Las normas sustantivas relativas al acceso a la ICUE que figuran en las normas internas de varias instituciones y órganos de la Unión concuerdan actualmente, pero existen diferencias significativas en cuanto a las denominaciones y los procedimientos. Esto supone una carga para las autoridades nacionales de seguridad de los Estados miembros, que deben adaptarse a diferentes requisitos. Por lo tanto, es necesario establecer un glosario común y procedimientos comunes en el ámbito de la seguridad en el personal, simplificando así la cooperación con las autoridades nacionales de seguridad de los Estados miembros y limitando el riesgo de comprometer la ICUE. (17)Dada la disparidad de recursos entre las instituciones y órganos de la Unión y con el fin de racionalizar sus procedimientos y prácticas pertinentes, las tareas de habilitación de seguridad pueden encomendarse a la Comisión con el fin de mantener una práctica ya consolidada en el ámbito de la habilitación de seguridad y contribuir a la centralización de las tareas asignadas a cada autoridad de seguridad. (18)La protección de la ICUE también se garantiza a través de medidas técnicas y organizativas que se aplican a los locales, edificios, salas, oficinas o instalaciones de las instituciones y órganos de la Unión en los que se debate, trata o almacena ICUE. El presente Reglamento prevé la aplicación de un proceso de gestión de la seguridad de la información en el ámbito de la seguridad física que permita a las instituciones y órganos de la Unión seleccionar las medidas de seguridad adecuadas para sus emplazamientos. (19)Todas las instituciones y órganos de la Unión que traten y almacenen ICUE deben establecer zonas físicamente protegidas en sus emplazamientos, a fin de garantizar el mismo nivel de protección para los grados pertinentes de clasificación de la ICUE tratada y almacenada en ellos. Dichas zonas deben ser designadas zonas administrativas y zonas de acceso restringido y respetar las normas mínimas comunes para la protección de la ICUE. (20)El control por parte del expedidor es un principio importante en la gestión de la ICUE, por lo que debe estipularse y desarrollarse claramente. A este respecto, la creación de ICUE confiere al expedidor una responsabilidad que debe abarcar todo el ciclo de vida del documento pertinente que contenga ICUE. (21)Tradicionalmente, las instituciones y órganos de la Unión han desarrollado sus sistemas de comunicación e información de manera autónoma, sin prestar suficiente atención a su interoperabilidad en todas las instituciones y órganos de la Unión. Por consiguiente, es necesario establecer requisitos mínimos de seguridad en relación con los sistemas de información y comunicación (SIC) que tratan y almacenan tanto ICUE como información no clasificada, con el fin de garantizar un intercambio fluido de información con las partes interesadas pertinentes. (22)Con el fin de lograr un único nivel de acreditación de los SIC que tratan y almacenan ICUE, las instituciones y órganos de la Unión deben colaborar en un grupo creado a tal efecto. Se recomienda que todos ellos utilicen dicha norma para contribuir a un nivel general de protección de la ICUE. No obstante, por lo que se refiere a la autonomía organizativa, la decisión corresponde a la autoridad competente de cada institución u órgano. (23)Todas las instituciones y organismos de la Unión deben seguir los mismos procedimientos y aplicar las mismas medidas a la hora de adjudicar y ejecutar contratos o acuerdos de subvención clasificados. Por lo tanto, es necesario establecer claramente los elementos obligatorios y facultativos de los contratos y acuerdos de subvención clasificados. No obstante, las medidas para la protección de la ICUE en relación con los contratos y acuerdos de subvención clasificados deben tener en cuenta las normas ya desarrolladas por separado en este ámbito por las instituciones y órganos de la Unión junto con los Estados miembros. (24)La estrecha cooperación entre las instituciones y órganos de la Unión, así como la multitud de sinergias desarrolladas entre ellos, implican la puesta en común de una gran cantidad de información. En aras de la seguridad de la información clasificada, la fiabilidad de una institución u órgano de la Unión debe evaluarse antes de que estos traten y almacenen un determinado grado de ICUE. (25)Además, la puesta en común de ICUE entre las instituciones y órganos de la Unión y el intercambio de información clasificada con organizaciones internacionales y terceros países también deben regularse a través de medidas de seguridad adecuadas para la protección de dicha información. Cuando se prevean acuerdos sobre seguridad de la información, deberán aplicarse las disposiciones del artículo 218 del Tratado. (26)Los acuerdos sobre seguridad de la información tienen por objeto garantizar el marco jurídico general para el intercambio de ICUE con terceros países y organizaciones internacionales. También es necesario prever la posibilidad de que las instituciones y órganos de la Unión celebren acuerdos administrativos con una contraparte específica de un tercer país o de una organización internacional con el fin de intercambiar ICUE. (27)El presente Reglamento establece un marco común a todas las instituciones y órganos de la Unión. A fin de evitar imponer una carga administrativa excesiva a las instituciones y órganos de la Unión en el proceso de adaptación de sus normas de seguridad internas a las establecidas en el presente Reglamento, el presente Reglamento debe aplicarse a partir de dos años después de su entrada en vigor.

(28)De conformidad con los apartados 22 y 23 del Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación, la Comisión debe evaluar el presente Reglamento a fin de evaluar sus efectos reales y la necesidad de adoptar nuevas medidas. La Comisión debe presentar al Parlamento Europeo y al Consejo un informe sobre la aplicación del presente Reglamento, a más tardar tres años después de la fecha de aplicación. (29)El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, emitió su dictamen el..., HAN ADOPTADO EL PRESENTE REGLAMENTO: Capítulo 1

Disposiciones generales Artículo 1 Objeto 1.El presente Reglamento establece normas de seguridad de la información para todas las instituciones y órganos de la Unión. Artículo 2 Ámbito de aplicación 1.El presente Reglamento se aplicará a toda la información tratada y almacenada por las instituciones y órganos de la Unión, incluida la información relacionada con las actividades de la Comunidad Europea de la Energía Atómica, distinta de la información clasificada de Euratom. 2.Se aplicará a los siguientes grados de confidencialidad de la información: a)tres grados de información no clasificada: uso público, normal y sensible no clasificada; b)cuatro grados de información no clasificada de la UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Estos grados se basan en el perjuicio que la divulgación no autorizada puede causar a los intereses públicos y privados legítimos, incluidos los de la Unión, las instituciones y órganos de la Unión y los Estados miembros u otras partes interesadas, de modo que puedan aplicarse las medidas de protección adecuadas. Artículo 3 Definiciones A efectos del presente Reglamento, se entenderá por: a)«información»: cualquier dato en formato verbal, visual, electrónico, magnético o documental, o en forma de material, equipos o tecnología, incluidas reproducciones, traducciones y material en proceso de desarrollo; b)«seguridad de la información»: garantía de la autenticidad, disponibilidad, confidencialidad, integridad y no rechazo de la información; c)«tratamiento»: toda posible intervención a la que la información pueda estar sujeta a lo largo de su ciclo de vida; comprende su creación, recogida, registro, asignación de un nivel de confidencialidad, tratamiento, visualización, consulta, transporte, transmisión, rebaja del nivel de clasificación, desclasificación, archivo y destrucción;

d)«almacenamiento»: hecho de conservar la información en cualquier medio para garantizar su disponibilidad para su uso futuro; e)«instituciones y órganos de la Unión»: las instituciones, órganos y organismos de la Unión creados por el Tratado de la Unión Europea, el Tratado de Funcionamiento de la Unión Europea, el Tratado constitutivo de la Comunidad Europea de la Energía Atómica o un acto legislativo, o en virtud de dichos Tratados o actos; f)«información clasificada de Euratom»: información en el sentido del Reglamento n.º 3/1958 del Consejo de la Comunidad Europea de la Energía Atómica; g)«autoridad de seguridad»: función de seguridad de cada institución y órgano de la Unión, designada de conformidad con su reglamento interno o su acto constitutivo; h)«proceso de gestión del riesgo de seguridad de la información»: integridad del proceso de determinación, control y minimización de acontecimientos inciertos que puedan afectar a la seguridad de una organización o de cualquiera de los sistemas que utiliza; abarca todas las actividades relacionadas con los riesgos, incluida la evaluación, el tratamiento, la aceptación y la comunicación; i)«activo»: todo lo que tenga valor para una institución u órgano de la Unión, su funcionamiento y continuidad, incluidos los recursos de información disponibles para llevar a cabo su misión; j)«procedimientos operativos de seguridad»: conjunto de procedimientos documentados a que se refiere el anexo III para el funcionamiento de una zona de acceso restringido, un sistema de información y comunicación u otros activos o servicios relacionados con la seguridad para garantizar su eficacia; k)«sistema de información y comunicación» o «SIC»: todo sistema que permita el tratamiento y almacenamiento de información en formato electrónico, incluyendo todos los activos necesarios para su funcionamiento; l)«garantía de la información»: certeza de que los sistemas de comunicación e información protegerán la información que tratan y almacenan y de que funcionarán adecuadamente cuando se necesite, bajo el control de usuarios legítimos, garantizando al mismo tiempo unos niveles adecuados de autenticidad, disponibilidad, confidencialidad, integridad y no rechazo; m)«acreditación»: autorización oficial de la Autoridad de Acreditación de Seguridad para que un sistema de información y comunicación procese o para que una zona de seguridad almacene un grado predefinido de ICUE; n)«proceso de acreditación»: etapas y tareas requeridas antes de la acreditación; o)«medidas de seguridad TEMPEST»: medidas para proteger cualquier SIC que trate y almacene información clasificada de nivel CONFIDENTIEL UE/EU CONFIDENTIAL o superior frente al peligro de que dicha información pueda verse puesta en peligro por emanaciones electromagnéticas no intencionadas; p)«CERT-UE»: Centro de Ciberseguridad de las instituciones y órganos de la Unión en el sentido del Reglamento (UE) [...] del Parlamento Europeo y del Consejo, por el que se establecen medidas destinadas a garantizar un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión; q)«incidente relativo a la seguridad de la información»: cualquier acontecimiento que pueda comprometer la autenticidad, disponibilidad, confidencialidad, integridad o no rechazo de la información almacenada, transmitida o tratada; r)«necesidad de conocer»: necesidad de que una persona acceda a información específica tratada o almacenada por una institución u órgano de la Unión para desempeñar las funciones de esa institución u órgano de la Unión en particular; s)«confianza cero»: modelo de seguridad, conjunto de principios de diseño del sistema y estrategia coordinada de ciberseguridad y gestión del sistema basada en el reconocimiento de la existencia de amenazas dentro y fuera de las fronteras tradicionales de la red; t)«marca»: etiqueta que se añade a la información para garantizar que se aplican las medidas de seguridad adecuadas; u)«marca de seguridad»: marca que indica el nivel de confidencialidad de la información; v)«marca de distribución»: marca que indica los destinatarios de la información en la institución u órgano de la Unión de origen; w)«marca de posibilidad de cesión»: marca que indica los destinatarios autorizados fuera de la institución u órgano de la Unión de origen;

x)«propietario del sistema»: persona responsable de la contratación general, el desarrollo, la integración, la modificación, el funcionamiento, el mantenimiento y la retirada de un sistema de comunicación e información; y)«amenaza para la seguridad de la información»: suceso o agente del que quepa esperar razonablemente que afectará negativamente a la seguridad de la información si no se adoptan medidas ni se controla; z)«vulnerabilidad»: debilidad, susceptibilidad o defecto de un activo, sistema, proceso o control que pueda ser aprovechado por una o varias amenazas; aa)«riesgo»: efecto adverso potencial de una amenaza determinada, que pueda aprovechar las vulnerabilidades internas y externas de una institución u órgano de la Unión o de los sistemas que utilice y cause un perjuicio a los intereses públicos y privados legítimos, medido como una combinación de la probabilidad de que se produzcan amenazas y de sus repercusiones; ab)«riesgo residual»: riesgo que persiste tras la aplicación de las medidas de seguridad; ac)«evaluación del riesgo»: determinación de las amenazas y las vulnerabilidades, y realización del correspondiente análisis del riesgo, es decir, el análisis de la probabilidad y las repercusiones; ad)«tratamiento del riesgo»: atenuación, supresión, reducción del riesgo (adoptando una combinación adecuada de medidas técnicas, físicas, de gestión o de procedimiento), transferencia del riesgo o seguimiento del mismo; ae)«certificado europeo de ciberseguridad»: certificado en el sentido del artículo 2, punto 11, del Reglamento (UE) 2019/881; af)«poseedor»: persona debidamente autorizada con una probada necesidad de conocer la información, que esté en posesión de cualquier información que requiera protección y, por tanto, responsable de su protección; ag)«material»: todo documento, soporte de datos, máquina o equipo, producido o en proceso de producción; ah)«información clasificada de la UE» o «ICUE»: toda información o material a los que se haya asignado una clasificación de seguridad de la UE cuya revelación no autorizada pueda causar perjuicio en distintos grados a los intereses de la Unión o de uno o varios Estados miembros; ai)«autorización de acceso a ICUE»: decisión de una autoridad de seguridad según la cual un funcionario, otro agente o experto nacional en comisión de servicios de una institución u órgano de la Unión puede tener acceso a ICUE hasta un determinado nivel durante un período determinado; aj)«autoridad nacional de seguridad» o «ANS»: autoridad de un Estado miembro responsable en última instancia de la seguridad de la información clasificada en dicho Estado miembro; ak)«autoridad de seguridad designada» o «ASD»: autoridad de un Estado miembro (ANS o cualquier otra autoridad competente) responsable de facilitar orientaciones y asistencia en la aplicación de la seguridad industrial o en los procedimientos de habilitación, o ambos; al)«investigación de seguridad»: procedimiento de investigación efectuado por la autoridad competente de un Estado miembro con arreglo a las disposiciones legales y reglamentarias nacionales vigentes con el fin de obtener la garantía de que no se conocen datos desfavorables que impidan conceder a una persona determinada una habilitación de seguridad para acceder a ICUE de un determinado nivel (CONFIDENTIEL UE/EU CONFIDENTIAL o superior); am)«seguridad física»: aplicación de medidas físicas, técnicas y organizativas a los locales, edificios, salas, oficinas o instalaciones de una institución u órgano de la Unión que requieran protección contra el acceso no autorizado a la información tratada, almacenada o debatida en ellos; an)«emplazamientos»: locales, edificios, salas, oficinas o instalaciones de una institución u órgano de la Unión; ao)«defensa en profundidad»: tipo de seguridad que utiliza varios niveles independientes de controles de seguridad para garantizar que cuando uno falle otro se aplique; ap)«material criptográfico»: algoritmos criptográficos, módulos de programas informáticos y equipos y productos criptográficos, incluida la información sobre su uso, la documentación pertinente y los datos de las claves criptográficas; aq)«producto criptográfico»: producto que tiene como función primordial y principal la prestación de servicios de seguridad (autenticidad, disponibilidad, confidencialidad, integridad y no rechazo) mediante uno o varios mecanismos criptográficos;

ar)«expedidor»: institución u órgano de la Unión, Estado miembro, país tercero u organización internacional bajo cuya autoridad se ha producido información clasificada o se ha introducido en las estructuras de la Unión; as)«documento»: todo contenido, sea cual sea su soporte (papel, electrónico, magnético u otro), escrito o grabación visual o audiovisual; at)«registro a efectos de seguridad»: aplicación de procedimientos que registren el ciclo de vida del material de que se trate, incluida su difusión y destrucción; au)«desclasificación»: supresión de toda clasificación de seguridad; av)«rebaja del grado de clasificación»: reducción del grado de clasificación de seguridad; aw)«contrato clasificado»: contrato marco o contrato a que se refiere el Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, celebrado por una institución u órgano de la Unión con un contratista para el suministro de bienes muebles o inmuebles, la ejecución de obras o la prestación de servicios cuya ejecución requiera o implique el tratamiento, incluida la creación, o el almacenamiento de ICUE; ax)«acuerdo de subvención clasificado»: acuerdo en virtud del cual la Comisión concede una subvención, tal como se indica en el título VIII del Reglamento (UE, Euratom) 2018/1046, cuya ejecución requiera o implique el tratamiento, incluida la creación, o el almacenamiento de ICUE; ay)«subcontrato clasificado»: contrato celebrado por un contratista o beneficiario de una institución u órgano de la Unión, con un subcontratista para el suministro de bienes muebles o inmuebles, la ejecución de obras o la prestación de servicios cuya ejecución exija o implique el tratamiento, incluida la creación, o el almacenamiento de ICUE; az)«instrucciones de seguridad de un programa o proyecto»: lista de procedimientos de seguridad aplicables a un programa o proyecto específico para normalizar los procedimientos de seguridad; ba)«cláusula sobre aspectos de la seguridad»: conjunto de condiciones contractuales especiales impuestas por el órgano de contratación o la autoridad que concede la subvención y que forman parte integrante de un contrato clasificado que conlleve el acceso a ICUE o la creación de ese tipo de información; en ella se enumeran los requisitos de seguridad o los elementos del contrato o subvención que requieren protección de seguridad; bb)«Guía de Clasificación de Seguridad»: documento que describe los elementos de un programa, proyecto, contrato o acuerdo de subvención que están clasificados, con especificación de los grados de clasificación de seguridad aplicables. Artículo 4 Principios generales 1.Cada institución y órgano de la Unión será responsable de la aplicación de las disposiciones del presente Reglamento en su organización, teniendo en cuenta su propio proceso de gestión del riesgo para la seguridad de la información. 2. El incumplimiento del presente Reglamento, en particular la divulgación no autorizada de información con los niveles de confidencialidad a que se refiere el artículo 2, apartado 2, excepto la información para uso público, será objeto de investigación y podrá dar lugar a la responsabilidad del personal de conformidad con los Tratados o con sus reglas del personal pertinentes. 3.Las instituciones y órganos de la Unión evaluarán toda la información que traten y almacenen para clasificarla con arreglo a los niveles de confidencialidad a que se refiere el artículo 2, apartado 2. 4.Las instituciones y órganos de la Unión determinarán las necesidades de seguridad de toda la información que traten y almacenen teniendo en cuenta los siguientes aspectos: a)autenticidad: garantía de que la información es verídica y procede de fuentes de buena fe; b)disponibilidad: accesibilidad y posibilidad de ser utilizada en el momento que lo requiera una entidad autorizada; c)confidencialidad: no revelación de información a personas, entidades o procesos no autorizados;

d)integridad: hecho de que la información sea completa, exhaustiva y que no haya sido alterada; e)no rechazo: capacidad de demostrar que un acto o suceso ha ocurrido efectivamente, de modo que no pueda ser desmentido posteriormente. 5.Para cada sistema de comunicación e información bajo su responsabilidad, las instituciones y órganos de la Unión determinarán el nivel de confidencialidad más elevado que dicho sistema de comunicación e información pueda tratar y almacenar, llevarán a cabo una evaluación del riesgo para la seguridad de la información y supervisarán periódicamente las necesidades de seguridad y la correcta aplicación de las medidas de protección identificadas. 6.Todas las instituciones y órganos de la Unión llevarán a cabo actividades de formación y sensibilización sobre cómo tratar y almacenar información no clasificada e ICUE. Las instituciones y órganos de la Unión que traten y almacenen ICUE organizarán una formación obligatoria al menos una vez cada cinco años para todas las personas autorizadas a acceder a ICUE. Las instituciones y órganos de la Unión interesadas organizarán una formación específica para los cargos específicos a los que se encomiendan tareas de seguridad de la información. Una institución u órgano de la Unión podrá coordinar dichas actividades de formación y sensibilización con otras instituciones y órganos de la Unión. Artículo 5 Proceso de gestión del riesgo para la seguridad de la información 1.Cada institución y órgano de la Unión establecerá un proceso de gestión del riesgo para la seguridad de la información para la protección de la información que trate y almacene. 2.El proceso de gestión del riesgo para la seguridad de la información incluirá las siguientes etapas: a)identificación de amenazas y vulnerabilidades; b)evaluación del riesgo; c)tratamiento del riesgo; d)aceptación del riesgo; e)comunicación del riesgo. 3.El proceso de gestión del riesgo para la seguridad de la información tendrá en cuenta todos los factores pertinentes para la institución u órgano de que se trate, en particular: a)el nivel de confidencialidad de la información y las obligaciones jurídicas conexas; b)la forma y cantidad de la información y las instalaciones o los SIC en los que se trate y almacene información; c)las personas que accedan a la información en los emplazamientos o a distancia; d)el entorno y la estructura de los edificios o zonas donde se almacene la información;

e)las amenazas contra la Unión, las instituciones y órganos de la Unión o los Estados miembros derivadas de ciberataques, ataques a la cadena de suministro, espionaje, sabotaje, actividades terroristas o subversivas u otras actividades delictivas; f)la continuidad de las actividades y la recuperación en caso de catástrofe; g)los resultados de las inspecciones, auditorías o visitas de evaluación, cuando proceda. Capítulo 2

Gobernanza y organización de la seguridad Artículo 6 Grupo de Coordinación Interinstitucional de la Seguridad de la Información 1.Se crea un Grupo de Coordinación Institucional de la Seguridad de la Información (en lo sucesivo, «Grupo de Coordinación»). Estará compuesto por todas las autoridades de seguridad de las instituciones y órganos de la Unión y tendrá un mandato para definir la política común de estos en el ámbito de la seguridad de la información. 2.Actuando por consenso y en interés común de todas las instituciones y órganos de la Unión, el Grupo de Coordinación: a)adoptará su reglamento interno y sus prioridades y objetivos comunes anuales; b)adoptará decisiones sobre la creación de subgrupos temáticos y su mandato; c)elaborará documentos de orientación sobre la aplicación del presente Reglamento, en cooperación con el Consejo Interinstitucional de Ciberseguridad a que se refiere el artículo 9 del Reglamento UE [...] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión, cuando proceda; d)creará plataformas específicas para compartir mejores prácticas y conocimientos sobre temas comunes pertinentes para la seguridad de la información, así como para prestar asistencia en caso de incidentes de seguridad de la información; e)velará por que las medidas de seguridad se coordinen según sea necesario con las autoridades nacionales de seguridad competentes a efectos de la protección de la ICUE. 3.El Grupo de Coordinación designará un presidente y dos vicepresidentes de entre sus miembros, por un período de tres años. 4.El Grupo de Coordinación se reunirá al menos cuatro veces al año a iniciativa de su presidente o a petición de una institución u órgano. 5.El Grupo de Coordinación contará con el apoyo administrativo de una secretaría permanente facilitada por la Comisión. 6.Cada institución u órgano de la Unión estará debidamente representado en el Grupo de Coordinación y, en su caso, en los subgrupos temáticos. 7.Las instituciones y órganos de la Unión pondrán en conocimiento del Grupo de Coordinación cualquier evolución significativa de la política de seguridad de la información en su organización. 8.En el desempeño de las tareas a que se refiere el apartado 2, letra e), el Grupo de Coordinación estará asistido por un Comité de Seguridad de la Información. Dicho Comité estará compuesto por un representante de cada autoridad nacional de seguridad y presidido por la Secretaría del Grupo de Coordinación a que se refiere el apartado 5. El Comité de Seguridad de la Información tendrá una función consultiva.

Artículo 7 Subgrupos temáticos 1.El Grupo de Coordinación creará los siguientes subgrupos temáticos permanentes para facilitar la aplicación del presente Reglamento: a)subgrupo de garantía de la información; b)subgrupo de información no clasificada; c)subgrupo de seguridad física; d)subgrupo de acreditación de sistemas de información y comunicación que tratan y almacenan ICUE; e)subgrupo de puesta en común de ICUE e intercambio de información clasificada. 2.En caso necesario, el Grupo de Coordinación podrá crear subgrupos ad hoc para una tarea específica y con una duración limitada. 3.Salvo disposición en contrario en su mandato, los subgrupos se basarán en una composición abierta que represente a la institución u órgano de la Unión de que se trate. Los miembros de los subgrupos serán expertos en el ámbito de competencia respectivo. 4.La Secretaría del Grupo de Coordinación a que se refiere el artículo 5, apartado 5, apoyará el trabajo de todos los subgrupos y garantizará la comunicación entre sus miembros. Artículo 8 Organización de la seguridad 1.Cada institución y órgano de la Unión designará una autoridad de seguridad que asumirá las responsabilidades asignadas por el presente Reglamento y, en su caso, por sus normas de seguridad internas. En el desempeño de sus funciones, cada autoridad de seguridad contará con el apoyo del servicio o del funcionario encargado de las tareas de seguridad de la información. 2.Cuando sea necesario, la autoridad de seguridad de cada institución y órgano de la Unión adoptará normas internas de aplicación para la protección de la información, de conformidad con la misión específica que le encomiende la legislación de la UE y sobre la base de su autonomía institucional. 3.Cuando proceda, cada autoridad de seguridad asumirá también las siguientes funciones: a)Autoridad de Garantía de la Información, encargada de establecer políticas de garantía de la seguridad de la información y directrices de seguridad, así como de supervisar su eficacia y pertinencia. b)Autoridad Operativa de Garantía de la Información, responsable de elaborar la documentación de seguridad, en particular los procedimientos operativos de seguridad y el plan criptográfico dentro del proceso de acreditación de los sistemas de comunicación e información. c)Autoridad de Acreditación de Seguridad, encargada de acreditar las zonas de acceso restringido y los SIC que tratan y almacenan ICUE. d)Autoridad TEMPEST, responsable de aprobar las medidas adoptadas para proteger contra la puesta en peligro de ICUE a través de emanaciones electrónicas no intencionadas.

e)Autoridad de Certificación Criptográfica responsable de aprobar el uso de tecnologías de cifrado sobre la base de una solicitud del propietario del sistema. f)Autoridad de Distribución Criptográfica, responsable de la distribución a los usuarios afectados de materiales criptográficos utilizados para la protección de la ICUE (equipos de cifrado, claves criptográficas, certificados y autenticadores conexos). 4.Las responsabilidades de una o varias de las funciones a que se refiere el apartado 3 podrán delegarse en otra institución u órgano de la Unión siempre que la prestación descentralizada de la seguridad ofrezca un ahorro significativo de eficiencia, recursos o tiempo. Capítulo 3

Garantía de la información y sistemas de comunicación e información (SIC) Artículo 9 Principios de garantía de la información 1.La evaluación de las necesidades de seguridad de la información se tendrá en cuenta desde el inicio de la creación o en la fase de contratación por lo que respecta a todos los SIC, incluidos los SIC internos, externalizados e híbridos. 2.Todo SIC que trate y almacene ICUE estará acreditado de conformidad con el capítulo 5, sección 5. Todo SIC que trate y almacene información sensible no clasificada cumplirá los requisitos mínimos aplicables a la información sensible no clasificada en los SIC establecidos en el capítulo 4. Artículo 10 Subgrupo de garantía de la información 1.El subgrupo de garantía de la información a que se refiere el artículo 7, apartado 1, letra a), tendrá las siguientes funciones y responsabilidades: a)facilitar orientación y mejores prácticas sobre el marcado, el tratamiento y el almacenamiento en los SIC en estrecha cooperación con el Consejo Interinstitucional de Ciberseguridad a que se refiere el artículo 9 del Reglamento UE [XXX] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión; b)establecer un sistema de metadatos para las marcas y toda la información técnica necesaria para contribuir a un intercambio de información interoperable y sin fisuras entre las instituciones y órganos de la Unión, al interconectar sus respectivos SIC; c)contribuir a la coherencia entre las normas sobre información de la seguridad y el código básico de ciberseguridad en todas las instituciones y órganos de la Unión, a que se refiere el artículo 5 del Reglamento UE [XXX] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión. Artículo 11 Requisitos de los sistemas de comunicación e información 1.Las instituciones y órganos de la Unión informarán a los usuarios sobre los niveles de confidencialidad de la información que puede tratarse y almacenarse en un SIC. Cuando un SIC trate y almacene múltiples niveles de confidencialidad, se utilizarán metadatos y marcas visuales para garantizar que puedan distinguirse los distintos niveles. 2.Las instituciones y órganos de la Unión identificarán a los usuarios de los SIC antes de concederles acceso a niveles de confidencialidad distintos del uso público. Los usuarios deberán autenticarse con un nivel de garantía adecuado al nivel de confidencialidad. Cuando proceda, se utilizará un sistema común de identificación seguro. 3.A fin de garantizar investigaciones rápidas en caso de infracciones o filtraciones de información, se mantendrán registros de seguridad adecuados para todos los SIC. Dichos registros se conservarán durante un período establecido en la evaluación del impacto en la gestión o en las políticas de seguridad pertinentes, de manera no rechazable. Cuando un SIC trate y almacene ICUE, los registros relacionados con la necesidad de conocer la información y el acceso a la misma se conservarán hasta que se desclasifique la información. La autoridad de seguridad deberá poder realizar búsquedas y acceder a los registros de seguridad.

4.Las instituciones y órganos de la Unión adoptarán normas internas sobre la seguridad de los SIC para especificar las medidas de seguridad adecuadas en función de las necesidades de seguridad de la información que deba tratarse y almacenarse, y teniendo en cuenta las jurisdicciones en las que se almacene, transmita y trate la información. Cuando proceda, dichas medidas incluirán: a)restricciones a la localización geográfica; b)la consideración de posibles conflictos de intereses, boicots o sanciones en relación con los contratistas; c)disposiciones contractuales para garantizar la seguridad de la información; d)cifrado de la información en reposo y en tránsito; e)restricciones a la accesibilidad de la información de las instituciones y órganos de la Unión por parte del personal del contratista; f)protección de los datos personales de conformidad con la legislación aplicable en materia de protección de datos. 5.Las instituciones y órganos de la Unión gestionarán sus SIC de conformidad con los siguientes principios: a)cada SIC tendrá un propietario del sistema o una Autoridad Operativa de Garantía de la Información responsable de su seguridad; b)se llevará a cabo un proceso de gestión del riesgo para la seguridad de la información que abarque los aspectos de seguridad de la información; c)los requisitos de seguridad y los procedimientos operativos de seguridad se definirán, aplicarán, controlarán y revisarán formalmente; d)los incidentes de seguridad de la información se registrarán oficialmente y serán objeto de seguimiento, de conformidad con el Reglamento UE [XXX] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión. Capítulo 4

Información no clasificada Artículo 12 Información destinada al uso público 1.La información destinada al uso público o a su publicación oficial o ya divulgada, que pueda compartirse sin restricciones dentro o fuera de las instituciones y órganos de la Unión, se clasificará, tratará y almacenará como información destinada al público. 2.Las instituciones y órganos de la Unión podrán marcar con «PUBLIC USE» la información a que se refiere el apartado 1. 3.Todas las instituciones y órganos de la Unión garantizarán la integridad y disponibilidad de la información destinada al público a través de medidas adecuadas basadas en sus necesidades de seguridad. Artículo 13 Información normal

1.La información destinada a ser utilizada por una institución u órgano de la Unión en el ejercicio de sus funciones y que no sea sensible no clasificada ni esté destinada al uso público se clasificará, tratará y almacenará como información normal. Esta categoría abarca toda la información normal utilizada y necesaria para el trabajo de la institución u órgano de la Unión de que se trate. 2.La información normal podrá marcarse visualmente o en metadatos cuando sea necesario para garantizar su protección, en particular cuando se comparta fuera de las instituciones y órganos de la Unión. En ese caso se utilizará la marca «EU NORMAL» o «[nombre o acrónimo de la institución u órgano de la Unión] NORMAL» (ajustado caso por caso). 3.Las instituciones y órganos de la Unión definirán medidas de protección normalizadas para la información normal teniendo en cuenta las orientaciones del subgrupo sobre información no clasificada y cualquier riesgo específico relacionado con sus tareas y actividades. 4.La información normal se intercambiará fuera de las instituciones y órganos de la Unión únicamente con personas físicas o jurídicas que tengan necesidad de conocer. Artículo 14 Información sensible no clasificada 1.Las instituciones y órganos de la Unión clasificarán, tratarán y almacenarán como sensible no clasificada toda la información que no esté clasificada, pero que deban proteger debido a obligaciones jurídicas o al perjuicio que por su divulgación no autorizada pueda causarse a los intereses públicos y privados legítimos, incluidos los de las instituciones y órganos de la Unión, los Estados miembros o las personas físicas. 2.Cada institución y órgano de la Unión identificará la información sensible no clasificada mediante una marca de seguridad visible y definirá las instrucciones de tratamiento correspondientes de conformidad con el anexo I. 3.Las instituciones y órganos de la Unión protegerán la información sensible no clasificada aplicando las medidas adecuadas en relación con su tratamiento y almacenamiento. Dicha información solo podrá ponerse a disposición de las personas con necesidad de conocer en el interior de las instituciones y órganos de la Unión para el cumplimiento de sus tareas. 4.La información sensible no clasificada se intercambiará fuera de las instituciones y órganos de la Unión únicamente con personas físicas y jurídicas que tengan necesidad de conocer, respetando al mismo tiempo las instrucciones de tratamiento que acompañan a la información. Se informará a todas las partes implicadas sobre las instrucciones de tratamiento adecuadas. Artículo 15 Protección de la información no clasificada e interoperabilidad 1.Las instituciones y órganos de la Unión establecerán procedimientos para la notificación y gestión de cualquier incidente o sospecha de incidente que pueda poner en peligro la seguridad de la información no clasificada. 2.Cuando sea necesario, las instituciones y órganos de la Unión utilizarán las marcas previstas en los artículos 12, 13 y 14. Excepcionalmente, podrán utilizarse otras marcas equivalentes a nivel interno y en relación con sus homólogos particulares de otras instituciones y órganos de la Unión o de los Estados miembros, cuando todas las partes estén de acuerdo. Esta excepción se notificará al subgrupo de información no clasificada a que se refiere el artículo 7, apartado 1, letra b). 3.Se establecerán salvaguardias contractuales para garantizar la protección de la información normal y sensible no clasificada tratada por servicios externalizados. Las salvaguardias estarán concebidas para garantizar al menos un nivel de protección equivalente al previsto en el presente Reglamento, e incluirán compromisos de confidencialidad y no divulgación que firmarán todos los proveedores de servicios pertinentes que participen en la prestación de los sistemas externalizados. Artículo 16 Subgrupo de información no clasificada 1.El subgrupo de información no clasificada a que se refiere el artículo 7, apartado 1, letra b), tendrá las siguientes funciones y responsabilidades: a)racionalizar los procedimientos relativos al tratamiento y almacenamiento de la información no clasificada y preparar las orientaciones pertinentes; b)coordinarse con el subgrupo sobre garantía de la información a que se refiere el artículo 7, apartado 1, letra a), sobre cuestiones relacionadas con los sistemas de tratamiento y almacenamiento de información no clasificada;

c)preparar instrucciones de tratamiento para los diferentes niveles de confidencialidad de la información no clasificada; d)ayudar a las instituciones y órganos de la Unión a establecer la equivalencia entre sus categorías particulares de información no clasificada y las previstas en los artículos 12, 13 y 14; e)facilitar el intercambio de información no clasificada entre las instituciones y órganos de la Unión, facilitando asistencia y orientación. Artículo 17 Tratamiento y almacenamiento de información sensible no clasificada en los SIC 1.Las instituciones y órganos de la Unión velarán por que los SIC cumplan los siguientes requisitos mínimos al tratar y almacenar información sensible no clasificada: a)se aplicará una autenticación fuerte para acceder a la información sensible no clasificada, que se cifrará para su transmisión y almacenamiento; b)las claves de cifrado utilizadas para el almacenamiento estarán bajo la responsabilidad de la institución u órgano de la Unión responsable del funcionamiento del SIC; c)la información sensible no clasificada se almacenará y tratará en la Unión; d)en todos los contratos de externalización se incluirán disposiciones contractuales relativas a la seguridad del personal, los activos y la información; e)se utilizarán metadatos interoperables para registrar el nivel de confidencialidad de los documentos electrónicos y facilitar la automatización de las medidas de seguridad; f)las instituciones y órganos de la Unión aplicarán medidas para prevenir y detectar filtraciones de datos con el fin de proteger la información sensible no clasificada; g)se utilizarán equipos de seguridad provistos de un certificado europeo de ciberseguridad, cuando estén disponibles; h)se aplicarán medidas de seguridad basadas en los principios de necesidad de conocer y de confianza cero para minimizar el acceso a información sensible no clasificada por parte de los proveedores de servicios y contratistas. 2.Toda excepción a los requisitos mínimos establecidos en el apartado 1 estará sujeta a la aprobación del nivel adecuado de los responsables de la institución u órgano de la Unión de que se trate, sobre la base de una evaluación de riesgos que cubra los riesgos jurídicos y técnicos para la seguridad de la información sensible no clasificada. 3.La Autoridad de Garantía de la Información de la institución u órgano de la Unión de que se trate podrá comprobar el cumplimiento de los principios establecidos en el apartado 1 en cualquier momento durante el ciclo de vida de un SIC. Capítulo 5

EUCI Sección 1

Disposiciones generales Artículo 18 Clasificaciones y marcas de seguridad

1.La ICUE se clasificará en uno de los grados siguientes y se marcará de la siguiente forma: a)TRES SECRET UE/EU TOP SECRET: información y material cuya revelación no autorizada pueda causar un perjuicio excepcionalmente grave a los intereses esenciales de la Unión o de uno o varios Estados miembros; b)SECRET UE/EU SECRET: información y material cuya revelación no autorizada pueda causar un perjuicio grave a los intereses esenciales de la Unión o de uno o varios Estados miembros; c)CONFIDENTIEL UE/UE CONFIDENTIAL: información y material cuya revelación no autorizada pueda causar un perjuicio a los intereses esenciales de la Unión o de uno o varios Estados miembros; d)RESTREINT UE/EU RESTRICTED: información y material cuya revelación no autorizada pueda resultar desfavorable para los intereses de la Unión o de uno o varios Estados miembros. 2.El Grupo de Coordinación adoptará documentos de orientación sobre la creación y clasificación de ICUE. Artículo 19 Idoneidad para tratar y almacenar ICUE 1.Cualquier institución y órgano de la Unión podrá tratar y almacenar ICUE cuando cumpla las siguientes condiciones: a)haber establecido normas y procedimientos de conformidad con el presente Reglamento que garanticen la protección de la información para un determinado nivel de clasificación; y b)haber sido objeto de una visita de evaluación de conformidad con el artículo 53 y haberse certificado posteriormente que puede proteger la ICUE de conformidad con el presente Reglamento y, en su caso, con cualesquiera otras normas y procedimientos pertinentes. 2.Se considerará que los miembros del subgrupo de puesta en común de ICUE e intercambio de información clasificada a que se refiere el artículo 7, apartado 1, letra e), cumplen por defecto las condiciones establecidas en el apartado 1. Artículo 20 Protección de la ICUE 1.El poseedor de cualquier ICUE tendrá la responsabilidad de protegerla. 2.Cuando un Estado miembro introduzca información clasificada que lleve una marca nacional de clasificación de seguridad en las estructuras o redes de una institución u órgano de la Unión, dicha institución u órgano protegerá dicha información de conformidad con el marcado de clasificación correspondiente establecido en el Acuerdo entre los Estados miembros de la Unión Europea, reunidos en el seno del Consejo, sobre la protección de la información clasificada intercambiada en interés de la Unión Europea. El cuadro de equivalencias correspondiente figura en el anexo VI del presente Reglamento. 3.Un agregado de ICUE podrá justificar un grado de protección que corresponda a una clasificación más elevada que la asignada a cada uno de sus componentes. Artículo 21 Proceso de gestión del riesgo para la seguridad ICUE 1.La autoridad de seguridad de cada institución y órgano de la Unión aprobará las medidas de seguridad para la protección de la ICUE a lo largo de todo su ciclo de vida, de conformidad con el resultado de una evaluación del riesgo realizada por la institución u órgano de la Unión correspondiente.

2.Las medidas de seguridad adoptadas por cada institución y órgano de la Unión serán proporcionales al nivel de clasificación de la información tratada y almacenada, su forma y volumen, la ubicación y las características de protección de las instalaciones en las que se trate y almacene la ICUE y la amenaza de actividades malintencionadas o delictivas evaluada localmente. 3.Todas las instituciones y órganos de la Unión establecerán: a)planes de contingencia para garantizar la seguridad de la ICUE durante las emergencias; b)planes de continuidad de la actividad que incluyan medidas preventivas y de recuperación para reducir al máximo las repercusiones de fallos o incidentes graves en el tratamiento y almacenamiento de ICUE. Artículo 22 Fallos de seguridad y puesta en peligro de la ICUE 1.Un acto u omisión de una institución u órgano de la Unión o de un individuo, que suponga un incumplimiento de las disposiciones del presente Reglamento, será considerado un fallo de seguridad. 2.Se considerará que la ICUE se ha puesto en peligro cuando, como consecuencia de una infracción, haya sido revelada, total o parcialmente, a una o varias personas que no estén autorizadas a acceder a ella. 3.Cualquier puesta en peligro o sospecha de puesta en peligro de ICUE se comunicará inmediatamente a la autoridad de seguridad de la institución u órgano de la Unión pertinente, que llevará a cabo una investigación de seguridad y adoptará al menos las siguientes medidas: a)informar al expedidor de la información; b)asegurarse de que el personal que investiga el caso con el fin de esclarecer los hechos no esté directamente implicado en el fallo de seguridad; c)evaluar el posible perjuicio causado a los intereses de la Unión o de los Estados miembros; d)tomar medidas adecuadas a fin de impedir que se repitan esos hechos; e)notificar a las autoridades pertinentes los efectos de la puesta en peligro, real o potencial, y las medidas adoptadas. Sección 2

Seguridad en el personal Artículo 23 Principios fundamentales 1.La autoridad de seguridad de una institución u órgano de la Unión podrá conceder a determinadas personas acceso a ICUE cuando se cumplan todas las condiciones siguientes: a)tengan necesidad de conocerla; b)hayan sido instruidas sobre las normas y procedimientos de seguridad para la protección de la ICUE, y hayan aceptado por escrito sus responsabilidades en lo que respecta a la protección de dicha información;

c)en el caso de la información clasificada CONFIDENTIEL UE/EU CONFIDENTIAL o superior, que hayan obtenido una habilitación de seguridad y hayan sido autorizadas al grado pertinente. 2.Las instituciones y órganos de la Unión tendrán en cuenta la lealtad, honradez y fiabilidad de una persona determinada mediante una investigación de seguridad llevada a cabo por las autoridades competentes del Estado miembro del que el solicitante sea ciudadano o nacional. 3.Las instituciones y órganos de la Unión podrán aceptar habilitaciones de seguridad de terceros países y organizaciones internacionales con las que la Unión tenga un acuerdo sobre seguridad de la información. 4.Las instituciones y órganos de la Unión podrán gestionar los procesos de habilitación de forma autónoma o solicitar un acuerdo de nivel de servicio con la Comisión a efectos de habilitación de seguridad. Cuando se celebre un acuerdo de nivel de servicio, la autoridad de seguridad de la Comisión será el punto de contacto entre las oficinas de seguridad de la institución u órgano de la Unión de que se trate y las autoridades nacionales competentes de los Estados miembros a efectos de las cuestiones de habilitación de seguridad. 5.La autoridad de seguridad de cada institución y órgano de la Unión llevará un registro de sus habilitaciones de seguridad, sesiones informativas, reconocimientos escritos y autorizaciones de acceso a ICUE. 6.Las instituciones y órganos de la Unión que celebren un acuerdo de nivel de servicio con la Comisión pondrán a disposición de la autoridad de seguridad de la Comisión los registros pertinentes relativos, como mínimo, al nivel de ICUE al que puede concederse acceso a la persona, la fecha de expedición de la autorización de acceso a la ICUE y su período de validez. Podrán acceder a dichos registros otras instituciones y órganos de la Unión con un acuerdo de nivel de servicio, cuando esté justificado. Artículo 24 Autorización de acceso a ICUE 1.Cada institución y órgano de la Unión identificará los cargos de su organización que requieran acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior para que el poseedor pueda desempeñar sus funciones. 2.Cuando deba autorizarse a una persona a acceder a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior, la institución u órgano de que se trate informará de ello a la autoridad de seguridad competente, que llevará a cabo las formalidades exigidas en el punto 1 del anexo II. 3.La autoridad de seguridad de cada institución y órgano de la Unión será responsable de conceder, suspender, retirar y renovar las autorizaciones de acceso a ICUE para su personal. 4.En circunstancias excepcionales, cuando esté debidamente justificado en interés del servicio y a la espera de la conclusión de una investigación de seguridad completa, la autoridad de seguridad de una institución u órgano de la Unión podrá conceder una autorización temporal a personas que ocupen un cargo concreto para acceder a ICUE, sin perjuicio de las disposiciones relativas a la renovación de la autorización de acceso a ICUE y previa verificación de la autoridad nacional de seguridad correspondiente. 5.Las instituciones y órganos de la Unión seguirán los procedimientos para gestionar la autorización de acceso a ICUE establecidos en el anexo II. Artículo 25 Autorización de acceso a ICUE 1.La autorización de acceso a ICUE hasta el nivel especificado será válida en cualquier institución u órgano de la Unión en el que esté destinada la persona. 2.Las instituciones y órganos de la Unión aceptarán las autorizaciones de acceso a ICUE concedidas por otras instituciones u órganos de la Unión. 3.Cuando el poseedor de una autorización de acceso a ICUE pase a ocupar un puesto de trabajo en otra institución u órgano de la Unión, dicha institución u órgano notificará al acuerdo de nivel de servicio competente el cambio de empleador, a través de la autoridad de seguridad competente. Artículo 26

Sesiones informativas sobre la ICUE 1.La autoridad de seguridad de una institución u órgano de la Unión informará a todas las personas que necesiten acceder a ICUE sobre cualquier amenaza para la seguridad y sobre su obligación de notificar cualquier actividad sospechosa. La sesión informativa tendrá lugar antes de que se conceda el acceso a ICUE y, posteriormente, al menos cada cinco años. 2.Antes de recibir la autorización de acceso a ICUE, todas las personas reconocerán en una declaración escrita que han entendido sus obligaciones respecto a la protección de la ICUE y las consecuencias del comprometimiento de esta información. 3.La sesión informativa a que se refiere el apartado 1 contendrá la información siguiente: a)la persona que sea responsable de un incumplimiento de las normas de seguridad establecidas en el presente Reglamento podrá ser objeto de medidas disciplinarias de conformidad con las disposiciones legales y reglamentarias aplicables; b)la persona que sea responsable de la puesta en peligro comprometimiento o pérdida de ICUE podrá ser objeto de medidas disciplinarias o de una acción judicial de conformidad con las disposiciones legales y reglamentarias aplicables. 4.Cuando las personas a las que se hayan concedido autorizaciones para acceder a ICUE dejen de necesitar dicho acceso, las instituciones y órganos de la Unión velarán por que dichas personas conozcan y, en su caso, reconozcan por escrito sus obligaciones en relación con la continuidad de la protección de la ICUE. 5.Las instituciones y órganos de la Unión podrán compartir la tarea de crear y gestionar las sesiones informativas sobre la ICUE, siempre que se tengan en cuenta sus requisitos específicos. Sección 3

Seguridad física Artículo 27 Principios fundamentales 1.Cada institución y órgano de la Unión determinará las medidas de seguridad física adecuadas a sus emplazamientos, de conformidad con el anexo III y el principio de defensa en profundidad, sobre la base de una evaluación de riesgos realizada por su autoridad de seguridad. Las medidas deberán garantizar los objetivos siguientes: a)denegar o impedir el acceso por la fuerza a ICUE; b)disuadir, impedir y detectar acciones no autorizadas y responder a los incidentes de seguridad lo antes posible; c)permitir la separación del personal en su acceso a ICUE en función de su necesidad de conocer y, en su caso, de su habilitación de seguridad. 2.Las instituciones y órganos de la Unión establecerán medidas de seguridad física para todos los emplazamientos en los que se debata, almacene o trate ICUE, incluidas las zonas que alberguen los sistemas de información y comunicación a que se refiere la sección 5 del presente capítulo. 3.Solo se utilizará el equipo de seguridad aprobado por la autoridad de seguridad de una institución u órgano de la Unión para la protección física de información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior. 4.Las instituciones y órganos de la Unión podrán compartir las zonas de acceso restringido a que se refiere el anexo III para el tratamiento y almacenamiento de ICUE, previa celebración de un acuerdo. Artículo 28 Subgrupo de seguridad física

1.El subgrupo de seguridad física a que se refiere el artículo 7, apartado 1, letra c), tendrá las siguientes funciones y responsabilidades: a)preparar documentos de orientación relativos a cuestiones de seguridad física; b)definir los criterios generales de seguridad para la adquisición de equipos tales como contenedores de seguridad, trituradoras, cerraduras de puertas, sistemas electrónicos de control de acceso, sistemas de detección de intrusiones y sistemas de alarma para la protección física de la ICUE; c)asistir a las instituciones y órganos de la Unión en la determinación de las medidas de seguridad adecuadas para sus emplazamientos; d)proponer medidas compensatorias para la protección de la ICUE cuando esta se trate fuera de las zonas físicamente protegidas de una institución u órgano de la Unión. Artículo 29 Protección física de la ICUE 1.Para garantizar la protección física de la ICUE, las instituciones y órganos de la Unión establecerán las siguientes zonas físicamente protegidas: a)las zonas administrativas a que se refiere el anexo III; b)en su caso, zonas de acceso restringido, incluidas las zonas de clase I y clase II y las zonas técnicas de acceso restringido contempladas en el anexo III. 2.La autoridad de seguridad de la institución u órgano de la Unión de que se trate realizará una inspección interna para verificar si se cumplen las condiciones para que una zona se establezca como zona administrativa o zona de acceso restringido, tal como se establece en el anexo III. Cuando el informe de inspección indique que se cumplen las condiciones, la autoridad de seguridad podrá expedir una acreditación relativa a la zona protegida para proteger la ICUE hasta el nivel establecido por un período no superior a cinco años. La autoridad de seguridad de la institución u órgano de la Unión de que se trate será responsable de llevar a cabo el proceso de reacreditación de sus zonas de acceso restringido, antes de que expire la acreditación o siempre que se hayan introducido cambios en la zona acreditada. 3.Cada institución y órgano de la Unión adoptará procedimientos para gestionar las claves y los ajustes combinados de oficinas, salas, cámaras acorazadas y contenedores de seguridad para el nivel CONFIDENTIEL UE/EU-CONFIDENTIAL y para los grados superiores. 4.La autoridad de seguridad podrá autorizar la realización, en las entradas y salidas, registros que disuadan de todo intento no autorizado de introducir material en los emplazamientos o de sacar ICUE de ellos. 5.Las instituciones y órganos de la Unión establecerán las medidas para la protección física de la ICUE de conformidad con el anexo III. Sección 4

Gestión de la ICUE Artículo 30 Principios fundamentales 1.Las instituciones y órganos de la Unión registrarán, archivarán, conservarán y, en último término, eliminarán o transferirán, íntegramente o en forma de muestras, sus documentos que contengan ICUE a los archivos pertinentes, de conformidad con la política de conservación y las normas específicas de los expedientes de cada institución y órgano de la Unión. 2.Toda institución y órgano de la Unión que sea el expedidor de ICUE determinará la clasificación de seguridad de dicha información en el momento de su creación y de conformidad con el artículo 18, apartado 1.

3.Las instituciones y órganos de la Unión comunicarán claramente el nivel de clasificación a los destinatarios, bien mediante una marca de clasificación, bien mediante un anuncio, cuando la información se entregue oralmente. 4.Las medidas de seguridad aplicables a los documentos originales serán aplicables a sus borradores, copias y traducciones. 5.Las instituciones y órganos de la Unión establecerán las medidas para la protección física de la ICUE de conformidad con el anexo IV. Artículo 31 Producción de ICUE 2. Las instituciones y órganos de la Unión bajo cuya autoridad se cree ICUE velarán por que se cumplan los siguientes requisitos: a)se marcará claramente cada página con el grado de clasificación; b)se numerarán todas las páginas; c)el documento deberá llevar un número de referencia, un número de registro y una indicación del asunto, que en sí misma no constituirá ICUE, salvo si se marca como tal; d)el documento incluirá su fecha de creación; e)todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página; f)los documentos con clasificación SECRET UE/EU SECRET o superior llevarán un número de ejemplar en cada página cuando hayan de distribuirse en varios ejemplares. Las copias electrónicas que se distribuyan fuera del sistema de explotación llevarán un identificador único basado en una firma electrónica. Artículo 32 Control del autor 1.La institución u órgano de la Unión bajo cuya autoridad se haya creado un documento que contenga ICUE tendrá el control como expedidor sobre dicho documento. El expedidor determinará el nivel de clasificación del documento y será responsable de su difusión inicial. Sin perjuicio de lo dispuesto en el Reglamento 1049/2001, el consentimiento previo por escrito del expedidor se obtendrá antes de que la información sea: a)desclasificada u objeto de una rebaja del nivel de clasificación; b)utilizada con fines distintos de los determinados por el expedidor; c)transmitida a cualquier entidad ajena a la institución u órgano de la Unión que posea la información, incluidos un tercer país u organización internacional, otra institución u órgano de la Unión, Estados miembros, un contratista o posible contratista, un beneficiario o posible beneficiario; d)copiada y traducida en el caso de información de grado TRES SECRET-UE/EU-TOP SECRET. 2.Cuando no pueda identificarse al expedidor de un documento que contenga ICUE, la institución u órgano de la Unión que posea dicha información clasificada ejercerá el control como expedidor.

3.Los expedidores de cualquier documento que contenga ICUE llevarán un registro de las fuentes clasificadas utilizadas para la elaboración de documentos clasificados, incluidos los datos de las fuentes originarias de Estados miembros, organizaciones internacionales o terceros países. Cuando así proceda, la información clasificada agregada se marcará de una forma que preserve la identificación de los expedidores de los materiales originales clasificados que se hayan utilizado. Artículo 33 Marcas de clasificación 1.Cuando proceda, además de uno de las marcas de clasificación de seguridad, los documentos que contengan ICUE podrán llevar marcas adicionales, como marcas de distribución o de posibilidad de cesión, o indicar el expedidor. 2.Las distintas partes de un documento que contengan ICUE podrán requerir clasificaciones diferentes y se marcarán en consecuencia. El grado general de clasificación de un documento o archivo deberá ser al menos tan alto como el de su componente con mayor grado de clasificación. 3.Los documentos que contengan partes con distintos niveles de clasificación se estructurarán de tal modo que las partes con un grado de clasificación diferente puedan ser fácilmente reconocidas y separadas, si fuera necesario. Artículo 34 Sistema de registro de ICUE 1.Todas las instituciones y órganos de la Unión que traten y almacenen información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIEL o superior establecerán uno o más registros de ICUE para garantizar su registro a efectos de seguridad cuando lleguen a una institución u órgano de la Unión o salgan de ella. 2.Todos los registros de ICUE se establecerán en zonas seguras, tal como se especifica en el anexo III. 3.Las instituciones y órganos de la Unión asignarán un controlador del registro («RCO», por sus siglas en inglés) para gestionar cada registro de ICUE. El RCO dispondrá de la habilitación de seguridad adecuada y estará autorizado de conformidad con el artículo 24. Las instituciones y órganos de la Unión impartirán una formación adecuada a su RCO. Artículo 35 Rebaja del grado de clasificación y desclasificación 1.La información solo permanecerá clasificada mientras requiera protección. La ICUE que ya no necesite la clasificación original se rebajará a un grado inferior. La ICUE que ya no deba considera