A VI LISA

SALASTATUD TEABE VAHETAMINE KOLMANDATE RIIKIDE JA RAHVUSVAHELISTE ORGANISATSIOONIDEGA

I. SISSEJUHATUS

II. SALASTATUD TEABE VAHETAMIST REGULEERIVAD RAAMISTIKUD

kui see on asjakohane, esitab Euroopa välisteenistuse kriisiohjamise ja planeerimise direktoraat koostöös Euroopa välisteenistuse asjaomaste teenistustega seoses A lisa artikli 10 lõike 1 punktis c osutatud lepingute või kokkulepetega, mis on sõlmitud kolmandate riikidega nende osalemiseks ÜJKP kriisiohjamisoperatsioonides, kõrgele esindajale Euroopa Liidu toimimise lepingu artikli 218 lõigete 3, 5 ja 6 alusel nõukogule väljapakutavate tekstide kavandi ning toetab kõrget esindajat läbirääkimiste pidamisel koostöös Euroopa välisteenistuse ja nõukogu peasekretariaadi asjaomaste teenistustega.

kui see on asjakohane, esitab Euroopa välisteenistuse julgeoleku eest vastutav direktoraat koostöös asjaomase Euroopa välisteenistuse geograafilise osakonnaga kõrgele esindajale Euroopa Liidu toimimise lepingu artikli 218 lõigete 3, 5 ja 6 alusel nõukogule väljapakutavate tekstide kavandi;

kui see on asjakohane, teeb Euroopa välisteenistuse asjaomane geograafiline või valdkondlik osakond koostöös Euroopa välisteenistuse julgeoleku eest vastutava direktoraadiga kindlaks vajaduse vahetada asjaomase kolmanda riigi või rahvusvahelise organisatsiooniga ELi salastatud teavet pikaajaliselt;

Kui Euroopa välisteenistusel on pikaajaline vajadus vahetada kolmanda riigi või rahvusvahelise organisatsiooniga põhimõtteliselt mitte kõrgemal kui RESTREINT UE / EU RESTRICTED tasemel salastatud teavet ja kui on kindlaks tehtud, et kõnealusel vastaspoolel ei ole piisavalt arenenud julgeolekusüsteemi, mistõttu ei ole võimalik sõlmida salastatud teabe kaitse lepingut, võib kõrge esindaja, olles käesoleva otsuse artikli 15 lõike 5 kohaselt eelnevalt saanud Euroopa välisteenistuse julgeolekukomiteelt ühehäälse pooldava arvamuse, sõlmida kõnealuse kolmanda riigi pädevate julgeolekuasutustega või rahvusvahelise organisatsiooniga halduskokkuleppe.

Kolmandate riikide või rahvusvaheliste organisatsioonidega ei vahetata ELi salastatud teavet elektrooniliselt, välja arvatud juhul, kui see on sõnaselgelt ette nähtud salastatud teabe kaitsmise lepingu või halduskokkuleppega.

Salastatud teabe vahetamist käsitleva halduskokkuleppe alusel määravad Euroopa välisteenistus ja kolmas riik või rahvusvaheline organisatsioon kumbki ühe registri, mis on peamine vahetatava salastatud teabe vastuvõtmise ja väljastamise koht. Euroopa välisteenistuse puhul on selleks Euroopa välisteenistuse keskregister.

III. HINDAMISKÜLASTUSED

pöördub Euroopa välisteenistuse julgeolekuasutuse poole, kes võib otsustada teabe avaldada, tingimusel et Euroopa välisteenistuse julgeolekukomitees esindatud liikmesriigid on andnud ühehäälse pooldava arvamuse.

ELi salastatud teavet ei vahetata enne, kui on teostatud hindamiskülastus ja on kindlaks tehtud tase, millele vastavat salastatud teavet võib lepinguosaliste vahel vahetada, lähtudes teabele kohaldatava kaitsetaseme samaväärsusest.

IV. ÕIGUS EDASTADA ELi SALASTATUD TEAVET KOLMANDATELE RIIKIDELE VÕI RAHVUSVAHELISTELE ORGANISATSIOONIDELE

V. ELi SALASTATUD TEABE ERAKORRALINE AJUTINE EDASTAMINE

pöördub Euroopa välisteenistuse julgeolekuasutuse poole, kes võib otsustada teabe avaldada, tingimusel et Euroopa välisteenistuse julgeolekukomitees esindatud liikmesriigid on andnud ühehäälse pooldava arvamuse.

kontrollib niivõrd, kui see on võimalik, kolmanda riigi või rahvusvahelise organisatsiooni julgeolekuasutuselt, kas selle julgeolekueeskirjad, -struktuurid ja menetlused tagavad talle edastatava ELi salastatud teabe kaitse vastavalt standarditele, mis on vähemalt sama ranged kui käesolevas otsuses sätestatud standardid;

Olles eelnevalt taganud, et punktis 11 osutatud tingimused on täidetud, teeb Euroopa välisteenistuse julgeoleku eest vastutav direktoraat järgmist:

A liide

Mõisted

Käesolevas otsuses kasutatakse järgmisi mõisteid:

„akrediteerimine“– menetlus, mille tulemusena väljastatakse ametlik turvalisuse akrediteerimise asutuse avaldus selle kohta, et süsteem on saanud heakskiidu töötamiseks kindlaksmääratud salastatuse tasemel, käitamiskeskkonna konkreetses turvarežiimis ja vastuvõetaval riskitasemel, tuginedes eeldusele, et on rakendatud heakskiidetud tehnilisi, füüsilisi, korralduslikke ja menetluslikke turvameetmeid;

„varad“– kõik, mis on organisatsiooni, selle töötoimingute ja nende jätkumise jaoks väärtuslik, sealhulgas organisatsiooni missiooni toetavad teaberessursid;

„juurdepääsuluba ELi salastatud teabele“– Euroopa välisteenistuse julgeolekuasutuse luba, mis antakse käesoleva otsuse kohaselt pärast seda, kui liikmesriigi pädevad asutused on väljastanud juurdepääsuloa, ning mis kinnitab, et isikule võib lubada kindlaksmääratud kuupäevani juurdepääsu kuni teatud salastatuse tasemel ELi salastatud teabele (CONFIDENTIEL UE / EU CONFIDENTIAL või kõrgem), tingimusel, et tema teadmisvajadus on kindlaks tehtud – vt A I lisa artikkel 2;

„rikkumine“– isiku selline tegevus või tegevusetus, mis on vastuolus käesolevas otsuses sätestatud julgeolekueeskirjadega ja/või julgeolekupõhimõtete või -suunistega, milles sätestatakse otsuse rakendamiseks vajalikud meetmed;

„side- ja infosüsteemi kasutusaeg“– kogu side- ja infosüsteemi eksisteerimise kestus, mis hõlmab algatamist, kontseptsiooni loomist, kavandamist, vajaduste analüüsi, projekteerimist, arendamist, katsetamist, rakendamist, käitamist, hooldust ning tegevuse lõpetamist;

„salastatud leping“– leping, mille Euroopa välisteenistus on sõlminud lepinglasega kaupade tarnimise, tööde teostamise või teenuste osutamise eesmärgil, mille täitmise eelduseks on või mille täitmisega kaasneb juurdepääs ELi salastatud teabele või sellise teabe loomine;

„salastatud all-leping“– leping, mille Euroopa välisteenistuse lepinglane on sõlminud teise lepinglasega (st all-lepinglasega) kaupade tarnimise, tööde teostamise või teenuste osutamise eesmärgil, mille täitmise eelduseks on või mille täitmisega kaasneb juurdepääs ELi salastatud teabele või sellise teabe loomine;

„side- ja infosüsteem“– süsteem, mis võimaldab elektroonilises vormis oleva teabe töötlemist. Side- ja infosüsteem hõlmab kõiki selle toimimiseks vajalikke vahendeid, sealhulgas infrastruktuuri, töökorralduse, töötajate ja teabega seotud ressursse – vt A lisa artikli 8 lõige 2;

„ELi salastatud teabe salajasuse kahjustamine“– ELi salastatud teabe täielik või osaline avaldamine volitamata isikutele või üksustele – vt artikli 9 lõige 2;

„lepinglane“– üksikisik või juriidiline isik, kellel on lepinguliste kohustuste võtmiseks õigus- ja teovõime;

„krüptomaterjal“– krüptoalgoritmid, krüptoriistvara- ja -tarkvaramoodulid ning -tooted, sealhulgas rakendamise üksikasjad ja seotud dokumentatsioon ning kodeerimisandmed;

„ÜJKP operatsioon“– Euroopa Liidu lepingu V jaotise 2. peatüki kohane kriisiohjamise sõjaline või tsiviiloperatsioon;

„salastatuse kustutamine“– salastatuse taseme tühistamine;

„süvakaitse“– erinevate mitme kaitseliinina võetavate turvameetmete kohaldamine;

„määratud julgeolekuasutus“– asutus, mis vastutab liikmesriigi julgeolekuasutuse ees tööstus- või muudele üksustele riigi kõigi tööstusjulgeolekuga seotud poliitikaküsimuste edastamise eest ning kõnealuse poliitika suunamise ja selle rakendamisel abi andmise eest. Määratud julgeolekuasutuse ülesandeid võib täita riiklik julgeolekuasutus või muu pädev asutus;

„dokument“– talletatud teave selle füüsilisest kujust ja omadustest olenemata;

„taseme alandamine“– salastatuse taseme alandamine;

„ELi salastatud teave“– teave või materjal, mis on tähistatud ELi salastatuse taseme märkega ja mille loata avaldamine võib eri määral kahjustada Euroopa Liidu või ühe või mitme liikmesriigi huve – vt artikli 2 punkt f;

„töötlemisluba“– riikliku julgeolekuasutuse või määratud julgeolekuasutuse haldusotsus selle kohta, et lähtudes julgeoleku seisukohast võib ettevõte pakkuda piisaval tasemel kaitset teataval salastatuse tasemel ELi salastatud teabele, ning et ettevõtte töötajad, kes vajavad juurdepääsu ELi salastatud teabele, on läbinud nõuetekohase julgeolekukontrolli ja neid on teavitatud asjakohastest julgeolekunõuetest, mis on vajalikud juurdepääsuks ELi salastatud teabele ja selle kaitsmiseks;

„töötlemine“– kõik võimalikud toimingud, mida ELi salastatud teabega võidakse teha selle kasutusaja jooksul. See hõlmab teabe koostamist, töötlemist, vedu, salastatuse taseme alandamist ja salastatuse kustutamist ning teabe hävitamist. Side- ja infosüsteemi puhul hõlmab see ka teabe kogumist, kuvamist, edastamist ja säilitamist;

„valdaja“– kontrollitud teadmisvajadusega nõuetekohaselt volitatud isik, kelle valduses on ELi salastatud teave ja kes seetõttu vastutab selle kaitsmise eest;

„tööstus- või muu üksus“– üksus, mis on kaasatud kaupade tarnimisse, tööde teostamisse või teenuste osutamisse; selleks võib olla tööstus-, kaubandus-, teenindus-, teadus-, uurimis-, haridus- või arendusüksus või füüsilisest isikust ettevõtja;

„tööstusjulgeolek“– meetmete kohaldamine selleks, et tagada ELi salastatud teabe kaitsmine lepinglaste ja all-lepinglaste poolt lepingueelsetel läbirääkimistel ja salastatud lepingute kogu kehtivusaja jooksul – vt A lisa artikli 9 lõige 1;

„infokindlus“– side- ja infosüsteemide valdkonnas tähendab see kindlust, et sellised süsteemid kaitsevad neis töödeldavat teavet ning toimivad ettenähtud korras, ettenähtud ajal ja õiguspäraste kasutajate juhtimisel. Tõhus infokindlus tagab asjakohasel tasemel salajasuse, tervikluse, käideldavuse, salgamise vääramise ja autentsuse. Infokindlus põhineb riskijuhtimisprotsessil – vt A lisa artikli 8 lõige 1;

„omavaheline ühendus“– kahe või enama infotehnoloogia süsteemi vaheline otseühendus, mille eesmärgiks on andmete ja muude teaberessursside (nt side) ühesuunaline või mitmesuunaline jagamine – vt A IV lisa punkt 31;

„salastatud teabe haldamine“– haldusmeetmete kohaldamine ELi salastatud teabe kontrollimiseks kogu selle kasutusaja jooksul, et täiendada artiklites 5, 6 ja 8 sätestatud meetmeid ja aidata seeläbi ära hoida, avastada ja korvata sellise teabe tahtlikku või juhuslikku salajasuse kahjustamist või kadumist. Sellised meetmed on eelkõige seotud ELi salastatud teabe loomise, registreerimise, kopeerimise, tõlkimise, veo ja hävitamisega – vt A lisa artikli 7 lõige 1;

„materjal“– dokument või valmistatud või valmistamisel olev masin või seade;

„teabe koostaja“– ELi institutsioon, asutus või organ, liikmesriik, kolmas riik või rahvusvaheline organisatsioon, kelle volitusel on salastatud teave loodud ja/või ELi struktuuridesse sisestatud;

„töötajatega seotud julgeolek“– selliste meetmete kohaldamine, millega tagatakse juurdepääs ELi salastatud teabele ainult isikutele:

— kellel on teadmisvajadus;

— kes on juurdepääsuks CONFIDENTIEL UE / EU CONFIDENTIAL või kõrgemal tasemel salastatud teabele läbinud asjakohase taseme julgeolekukontrolli või omavad ametiülesannetest tulenevat juurdepääsuõigust vastavalt siseriiklikele õigusnormidele ning

— keda on teavitatud nende vastutusest –

vt A lisa artikli 5 lõige 1;

„juurdepääsuluba“ juurdepääsuks ELi salastatud teabele– liikmesriigi pädeva asutuse avaldus, mis tehakse pärast julgeolekukontrolli lõpuleviimist liikmesriigi pädevate asutuste poolt ja mis kinnitab, et isikule võib lubada kindlaksmääratud kuupäevani juurdepääsu kuni teatud salastatuse tasemel ELi salastatud teabele (salastatuse tase CONFIDENTIEL UE / EU CONFIDENTIAL või kõrgem), tingimusel et tema teadmisvajadus on kindlaks tehtud; sellist isikut loetakse „julgeolekukontrolli läbinuks“;

„juurdepääsutõend“– pädeva asutuse väljastatud tõend, mis kinnitab, et isik on läbinud julgeolekukontrolli ja tal on kehtiv juurdepääsuluba, või ELi salastatud teabele juurdepääsu turvalisuse eest vastutava direktoraadi juhataja luba, millel on kirjas, millisel salastatuse tasemel ELi salastatud teabele võib asjaomase isiku puhul juurdepääsu lubada (CONFIDENTIEL UE / EU CONFIDENTIAL või kõrgem), vastava juurdepääsuloa kehtivuse lõppemise kuupäev ja tõendi enda kehtivuse lõppemise kuupäev;

„füüsiline julgeolek“– füüsiliste ja tehniliste kaitsemeetmete rakendamine, et tõkestada volitamata juurdepääsu ELi salastatud teabele – vt A lisa artikkel 6;

„programmi/projekti julgeolekujuhised“– loetelu julgeolekumenetlustest, mida kohaldatakse konkreetse programmi/projekti suhtes julgeolekumenetluste standardimiseks. Seda võib programmi/projekti kestel muuta;

„registreerimine“– selliste menetluste kohaldamine, mille abil talletatakse andmed materjali kogu kasutusaja iga etapi, sealhulgas selle levitamise ja hävitamise kohta – vt A III lisa punkt 21;

„jääkrisk“– risk, mis jääb püsima pärast turvameetmete rakendamist, eeldusel et kõik ohud ei ole tõrjutud ning kõiki haavatavusi ei saa kõrvaldada;

„risk“– võimalus, et antud oht kasutab ära organisatsiooni või selle poolt kasutatava süsteemi sisemisi või väliseid haavatavusi ja kahjustab seeläbi organisatsiooni ja selle materiaalset ja mittemateriaalset vara. Riski mõõdetakse olemasolevate ohtude tõenäosuse ja nende mõju kombinatsioonina;

„riski aktsepteerimine“– otsus leppida jääkriski edasise olemasoluga pärast riski käsitlemist;

„riski hindamine“– ohtude ja haavatavuse kindlakstegemine ning sellega seotud riskianalüüsi, st riski tõenäosuse ja mõju analüüsi teostamine;

„riskiteavitus“– side- ja infosüsteemide kasutajaskonna riskiteadlikkuse suurendamine, heakskiitvate asutuste teavitamine sellistest riskidest ja riske käsitlev aruandlus töötlejatele;

„riskijuhtimisprotsess“– organisatsiooni või mis tahes süsteemi, mida organisatsioon kasutab, mõjutada võivate ebakindlate sündmuste kindlaksmääramise, kontrollimise ja minimeerimise protsess tervikuna. See hõlmab kõiki riskidega seotud tegevusi, sealhulgas hindamist, käsitlemist, aktsepteerimist ja teavitamist;

„riski käsitlemine“– riski leevendamine, kõrvaldamine, vähendamine (tehniliste, füüsiliste, korralduslike või menetluslike meetmete asjakohase kombineerimise abil), riski ülekandmine või seire;

„julgeolekuaspekte käsitlev dokument“– lepingu sõlmija esitatud konkreetsete lepinguliste tingimuste kogum, mis moodustab sellise salastatud lepingu lahutamatu osa, millega kaasneb juurdepääs ELi salastatud teabele või sellise salastatud teabe loomine, ning millega määratakse kindlaks lepingu julgeolekunõuded või need lepingu osad, millele on tarvis tagada julgeolekukaitse – vt A V lisa jaotis II;

„salastatuse taseme määramise juhend“– dokument, milles kirjeldatakse programmi või lepingu salastatud osi, määrates kindlaks neile kohaldatavad salastatuse tasemed. Salastatuse taseme määramise juhendit võib kogu programmi või lepingu kehtivusaja jooksul täiendada ja nende teabeelementide salastatuse taset võib muuta või alandada; kui salastatuse taseme määramise juhend on olemas, on see julgeolekuaspekte käsitleva dokumendi osa – vt A V lisa, jaotis II;

„julgeolekukontroll“– kontroll, mille viib läbi liikmesriigi pädev asutus kõnealuses liikmesriigis kehtivate õigusnormide kohaselt, et saada kinnitust selle kohta, et ei ole teada midagi kahtlust äratavat, mis takistaks andmast isikule riiklikku või ELi juurdepääsuluba teatud tasemel (CONFIDENTIEL UE / EU CONFIDENTIAL või kõrgem) ELi salastatud teabele juurdepääsuks;

„turvanõuete rakendamise kord“– julgeolekupõhimõte rakendamise, järgitava töökorra ja töötajate kohustuste kirjeldus;

„tundlik, kuid salastamata teave“– teave või materjal, mida Euroopa välisteenistus on kohustatud kaitsma aluslepingutes või nende rakendusaktides sätestatud juriidiliste kohustuste ja/või teabe tundlikkuse tõttu. Tundlik, kuid salastamata teave hõlmab muu hulgas Euroopa Liidu toimimise lepingu artikli 339 kohaselt ametisaladuse hoidmise kohustusega hõlmatud teavet või materjale, teavet, mis on hõlmatud huvidega, mida kaitstakse Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 1049/2001 (1) artiklis 4, mida tõlgendatakse koostoimes Euroopa Liidu Kohtu asjaomase praktikaga, ning määruse (EÜ) nr 45/2001 reguleerimisalasse kuuluvaid isikuandmeid;

„süsteemispetsiifiliste turvanõuete teatis“– järgitavate julgeolekupõhimõtete ja rakendatavate üksikasjalike turvanõuete kohustuslik kogum, mis on aluseks side- ja infosüsteemide sertifitseerimisele ja akrediteerimisele;

„TEMPEST“– paljastava elektromagnetkiirguse uurimine ja kontrollimine ning selle tõkestamise meetmed;

„oht“– soovimatu intsidendi võimalik põhjus, mis võib kahjustada organisatsiooni või selle kasutatavat süsteemi. Selline oht võib olla juhuslik või tahtlik (kuritahtlik) ning seda iseloomustavad ohtlikud elemendid, võimalikud sihtmärgid ja ründemeetodid;

„haavatavus“– mis tahes laadi puudus, mida üks või mitu ohtu võivad ära kasutada. Haavatavus võib tähendada tegematajätmist või olla seotud kontrolli nõrkusega tulenevalt selle ranguse, täielikkuse või järjepidevuse puudumisest ning see võib olla tehnilist, menetluslikku, füüsilist, korralduslikku või operatsioonilist laadi.

(1) Euroopa Parlamendi ja nõukogu 30. mai 2001. aasta määrus (EÜ) nr 1049/2001 üldsuse juurdepääsu kohta Euroopa Parlamendi, nõukogu ja komisjoni dokumentidele (ELT L 145, 31.5.2001, lk 43).