EUROOPA KOMISJON Brüssel,22.3.2022 COM(2022) 119 final 2022/0084(COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS infoturbe kohta liidu institutsioonides, organites ja asutustes {SWD(2022) 65 final} - {SWD(2022) 66 final}



SELETUSKIRI 1.ETTEPANEKU TAUST •Ettepaneku põhjused ja eesmärgid See ettepanek on osa ELi julgeolekuliidu strateegiast, mille komisjon võttis vastu 24. juulil 2020 ja milles on sätestatud komisjoni kohustus luua Euroopa Liidu lisaväärtust julgeoleku valdkonnas tehtavatele riiklikele jõupingutustele. Selle kohustuse osana viiakse ellu algatus ühtlustada kõigis liidu institutsioonides ja organites kohaldatavad infoturbealased õigusraamistikud. Euroopa Ülemkogu poolt 2019. aasta juunis vastu võetud strateegilise tegevuskava (2019–2024) peamine eesmärk on kaitsta meie ühiskonda institutsioonides ja organites käideldavat teavet ähvardavate pidevalt muutuvate ohtude eest. Oma järeldustes kutsus Euroopa Ülemkogu „ELi institutsioone koos liikmesriikidega üles tegema tööd meetmetega, mille eesmärk on suurendada ELi vastupanuvõimet ja parandada selle julgeolekukultuuri seoses väljastpoolt ELi pärinevate küber- ja hübriidohtudega ning paremini kaitsta ELi info- ja sidevõrke ning ELi otsustusprotsesse igasuguse pahatahtliku tegevuse eest“. Samamoodi jõuti üldasjade nõukogu 2019. aasta detsembri istungil järeldusele, et ELi institutsioonid ja organid peaksid liikmesriikide toel välja töötama ja kasutusele võtma tervikliku meetmete kogumi oma julgeoleku tagamiseks. See kajastab nõukogu julgeolekukomitee pikaajalist taotlust uurida nõukogu, komisjoni ja Euroopa välisteenistuse ühiseid julgeolekueeskirju. Praegu on liidu institutsioonidel ja organitel kas oma infoturbe-eeskirjad, mis põhinevad nende kodukorral või asutamisaktil, või puuduvad neil infoturbe-eeskirjad üldse. See on enamasti nii mõne väikese üksuse puhul, kellel puuduvad ametlikud infoturbepõhimõtted. Kuna liidu institutsioonid ja organid peavad omavahel jagama üha rohkem tundlikku, kuid salastamata teavet ja Euroopa Liidu salastatud teavet (edaspidi „ELi salastatud teave“) ning arvestades ohtude kiiret muutumist on Euroopa haldusasutused kõigis oma tegevusvaldkondades löögi all. Meie institutsioonides ja organites käideldav teave on ründajate jaoks väga ihaldusväärne ja seda tuleb nõuetekohaselt kaitsta. Teabe kaitse tõhustamine nõuab kiiret tegutsemist. Seepärast ning selleks et tugevdada Euroopa haldusasutustes käideldava teabe kaitset, on käesoleva algatuse eesmärk ühtlustada liidu institutsioonide ja organite õigusraamistikud: •kehtestada ühtlustatud ja kõikehõlmavad teabekategooriad ning ühised käitlemiseeskirjad kõigi liidu institutsioonide ja organite jaoks; •Euroopa Liidu institutsioonide ja organite vahelise tõhusa koostöökorra kehtestamine infoturbe valdkonnas, et toetada ühtset infoturbekultuuri kõigis Euroopa haldusasutustes; •kõigi liidu institutsioonide ja organite infoturbepõhimõtete ajakohastamine kõikidel salastatuse/liigituse tasemetel, võttes arvesse digipööret ja kaugtöö kui struktuurilise tava arengut. •Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Algatus on kooskõlas paljude ELi tegevuspõhimõtetega julgeoleku ja infoturbe valdkonnas. 2016. aastal võtsid Euroopa Parlament ja nõukogu vastu direktiivi meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus. See direktiiv oli esimene kogu ELi hõlmav õiguslik meede, mille eesmärk oli suurendada liikmesriikidevahelist koostööd küberturvalisuse valdkonnas. Kuigi komisjon võttis 2020. aasta detsembris vastu nimetatud õigusakti läbivaatamise ettepaneku, milles sätestati riiklike ametiasutuste järelevalvemeetmed, jäävad liidu haldusasutused selle kohaldamisalast välja. Samamoodi ja täiendamaks liikmesriikide jõupingutusi julgeoleku valdkonnas, on ülimalt oluline, et liidu institutsioonid ja organid saavutaksid oma teabe ja sellega seotud info- ja sidesüsteemide kõrgetasemelise kaitse, et tagada teabe kaitstus. 2020. aasta juulis võttis komisjon vastu julgeolekuliidu strateegia, millega EL võttis endale ulatusliku kohustuse toetada liikmesriikide jõupingutusi kõigis julgeolekuvaldkondades. Strateegia hõlmab ajavahemikku 2020–2025 ja selles on esitatud neli peamist tegevusprioriteeti: tulevikukindel julgeolekukeskkond, muutuvate ohtudega tegelemine, eurooplaste kaitsmine terrorismi ja organiseeritud kuritegevuse eest ning tugev Euroopa julgeolekusüsteem. Mitmed nende prioriteetide raames käsitletavad teemad keskenduvad infoturbele, küberturvalisusele, koostööle ja teabevahetusele ning elutähtsale taristule. Kooskõlas julgeolekuliidu strateegiaga teeb Euroopa Komisjon ettepaneku koostada kõigis liidu institutsioonides ja organites infoturbe miinimumeeskirjad, mis toovad kaasa kohustuslikud ja ranged ühised standardid turvaliseks teabevahetuseks. See algatus kujutab endast institutsioonide ja organite kohustust seada julgeoleku valdkonnas Euroopa haldusasutustele sama ulatuslikud eesmärgid nagu need, mida nõutakse liikmesriikidelt. 16. detsembril 2020 tutvustasid komisjon ning liidu välisasjade ja julgeolekupoliitika kõrge esindaja uut ELi küberturvalisuse strateegiat. Selles on sätestatud prioriteedid ja põhimeetmed, et suurendada Euroopa vastupanuvõimet, iseseisvust, juhtpositsiooni ja tegevussuutlikkust seoses Euroopa võrgu- ja infosüsteeme ähvardavate üha suurenevate ja keeruliste ohtudega ning edendada ülemaailmset ja avatud küberruumi ja selle rahvusvahelisi partnerlusi. Oluline on ka see, et liidu institutsioonid ja organid aitaksid kaasa nende prioriteetide saavutamisele, kehtestades samaväärsed nõuded nii infoturbe kui ka küberturvalisuse valdkonnas.

Käesoleva ettepanekuga, mis lisandub ettepanekule võtta vastu määrus, millega kehtestatakse meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes, püütakse täiendada julgeolekuliidu strateegia regulatiivset pilti Euroopa haldusele esitatavate erinõuetega. Arvestades infoturbe ja küberturvalisuse omavahelisi seoseid, tuleks ühtlustada nende kahe ettepaneku salastamata teabe kaitse käsitlust. •Kooskõla muude liidu tegevuspõhimõtetega Käesolevas algatuses võetakse arvesse ka muid liidu tegevuspõhimõtteid, mis on seotud infoturbega. Andmekaitse valdkonnas kohaldatakse Euroopa Liidu ja Euroopa Aatomienergiaühenduse haldusasutuste suhtes määrust (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist. Samas tuleb mainida, et mõne liidu institutsiooni ja organi jaoks on ELi seadusandjad võtnud vastu konkreetsed asjakohased isikuandmete kaitset reguleerivad õigusnormid. Läbipaistvuse valdkonnas tugineb käesolev ettepanek põhimõtetele, mis on sätestatud määruses (EÜ) nr 1049/2001 üldsuse juurdepääsu kohta Euroopa Parlamendi, nõukogu ja komisjoni dokumentidele, võttes arvesse muid asjakohaseid õigusnorme. 2.ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS •Õiguslik alus Võttes arvesse käesoleva ettepaneku eesmärki ja sisu, on selle kõige asjakohasem õiguslik alus Euroopa Liidu toimimise lepingu artikkel 298 ja Euroopa Aatomienergiaühenduse asutamislepingu artikkel 106a. ELi toimimise lepingu artikkel 298 lisati Lissaboni lepinguga ja see võimaldab seadusandjal kehtestada sätteid eesmärgiga luua tõhus ja sõltumatu halduskorraldus, mis toetab institutsioone, organeid ja asutusi oma ülesannete täitmisel. Tõhus ja sõltumatu halduskorraldus sõltub teabe turvalisusest. Oma eesmärkide saavutamiseks tuleb liidu institutsioonidele ja organitele kasuks, kui on olemas turvaline keskkond teabe jaoks, mida nad igapäevaselt käitlevad ja säilitavad. Lisaks sellele tagaks kõigile kohustuslike ühiste põhistandardite kehtestamine kõrgetasemelise turvalisuse, vähendaks nõrkade lülide tekkimise riski institutsioonide ja organite koostalitlusvõime toetamisel ning kasutaks ära koostoimet, suurendades seeläbi haldusasutuste vastupanuvõimet muutuvatele ohtudele. Lisaks sellele võimaldab käesolev ettepanek, mille üldine eesmärk on saavutada liidu institutsioonide ja organite käideldava ja säilitatava ELi salastatud teabe ja salastamata teabe turvalisuse ühtlaselt kõrge tase, kaitsta Euroopa haldusasutusi paremini välise sekkumise ja luuretegevuse eest. ELi toimimise lepingu artikkel 298 võimaldab liidul kehtestada ühised eeskirjad kõikide Euroopa haldusasutuste jaoks, et tagada, et kõik liidu institutsioonid ja organid käitlevad ELi salastatud teavet ja salastamata teavet ühtemoodi. Käesoleva määrusega kehtestatakse haldusasutuste suhtes kohaldatavad eeskirjad ning võidakse kaudselt kehtestada ainult nende haldusasutuste nimel või lepingu alusel ülesandeid täitvate isikute kohustused (välja arvatud volinikud, nõukogus kokku tulnud liikmesriikide esindajad, Euroopa Parlamendi liikmed, liidu kohtute kohtunikud ja Euroopa Kontrollikoja liikmed). Vastavalt ELi toimimise lepingu artiklile 298 tegutsevad Euroopa Parlament ja nõukogu seadusandliku tavamenetluse kohaselt määruste abil. Käesolev ettepanek vajab täiendavat õiguslikku alust, kuna see hõlmab ka teavet, mis on seotud Euroopa Aatomienergiaühenduse teatava tegevusega. Selline teave ei ole Euratomi salastatud teave, kuid liidu institutsioonid ja organid käitlevad seda ELi salastatud teavet käsitleva üldise korra kohaselt. See täiendav õiguslik alus on Euroopa Aatomienergiaühenduse asutamislepingu artikkel 106a, mis teeb Euroopa Liidu toimimise lepingu artikli 298 kohaldatavaks ka eespool mainitud Euratomi tegevuse suhtes. •Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul) Euroopa Liidu lepingu artikli 5 lõikes 3 sätestatud subsidiaarsuse põhimõtte kohaselt tuleks ELi tasandil võtta meetmeid ainult siis, kui liikmesriigid üksi ei suuda kavandatud eesmärke piisavalt saavutada ning kui neid saab kavandatava meetme ulatuse või mõju tõttu paremini saavutada ELi tasandil. Kuna ainult liit võib vastu võtta eeskirju, mida kohaldatakse liidu institutsioonide ja organite poolt käideldava ja säilitatava ELi salastatud teabe ja tundliku, kuid salastamata teabe suhtes, siis subsidiaarsuse põhimõtet ei kohaldata. •Proportsionaalsus Kõigile liidu institutsioonidele ja organitele ühise infoturbe etaloni kehtestamine on vajalik, et aidata kaasa sõltumatule ja tõhusale haldusele.

Vastavalt Euroopa Liidu lepingu artikli 5 lõikes 4 sätestatud proportsionaalsuse põhimõttele ei ole määruse sätted liialt ettekirjutavad ja võimaldavad võtta eri tasandite konkreetseid meetmeid, mis on kooskõlas iga liidu institutsiooni ja organi turvalisusalase küpsusega. Lisaks on lahendusel piiratud mõju üksikisikute põhiõigustele. Seega ei lähe ettepanek kaugemale sellest, mis on vajalik, et lahendada kõigile liidu institutsioonidele ja organitele ühiste infoturbe-eeskirjade puudumise probleem. •Vahendi valik Sobivaks õiguslikuks vahendiks peetakse Euroopa Liidu toimimise lepingu artiklil 298 põhinevat määrust. Seda õigustab asjaolu, et ülekaalus on elemendid, mis nõuavad ühetaolist kohaldamist, mis ei jäta liidu institutsioonidele ja organitele rakendamisruumi ja millega luuakse minimaalne horisontaalne raamistik. 3.JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED •Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Ei kohaldata. •Konsulteerimine sidusrühmadega Komisjon on pidanud ulatuslikke konsultatsioone peamiste sidusrühmadega liidu institutsioonide ja organite infoturbe-eeskirjadega seotud eri aspektide üle. Konsultatsioonide üldine eesmärk oli koguda asjakohast teavet kõigile liidu institutsioonidele ja organitele ühiseid infoturbe-eeskirju käsitleva seadusandliku algatuse ettevalmistamiseks. Konsultatsioonide eesmärk oli koguda teavet järgmise kohta: •liidu institutsioonides ja organites kehtiva infoturberaamistikuga seotud probleemid, mida sidusrühmade arvates tuleks algatuses käsitleda; •algatuse asjakohasus, tõhusus, tulemuslikkus ja lisaväärtus; •algatuse eeldatav mõju ja võimalikud muud tagajärjed sidusrühmadele. Käesolevat õigusakti ettepanekut koostades konsulteeris komisjon järgmiste sidusrühmadega: 1)liidu institutsioonid, organid ja asutused; 2)liikmesriikide riiklikud julgeolekuasutused; 3)Teadusuuringute Ühiskeskuse eksperdid. Arvestades selle algatuse eripära, mis seisneb selles, et see on kohaldatav üksnes liidu institutsioonide ja organite suhtes ning mõjutab vähe Euroopa kodanikke ja ettevõtjaid, otsustasid komisjoni talitused seada esikohale asjaomaste sidusrühmade seisukohtade kogumise. Seega ei korraldatud ühtki spetsiaalselt seda seadusandlikku algatust käsitlevat avalikku konsultatsiooni. Konsultatsiooniprotsessi käigus kasutasid komisjoni talitused järgmisi konsulteerimismeetodeid ja -vorme: 1)kõigile huvitatud isikutele esialgse mõjuhinnangu kohta komisjoni „Avaldage arvamust!“ portaali kaudu tagasiside andmise võimaldamine;

2)liidu institutsioonide ja organite infoturbeekspertidele mõeldud sihtotstarbeline küsimustik, millele sai vastata ELi veebipõhise küsitluse kaudu; 3)liikmesriikide riiklikele julgeolekuasutustele mõeldud sihtotstarbeline küsimustik, millele sai vastata ELi veebipõhise küsitluse kaudu; 4)taotlus põhiliste infoturbe varade kohandatud riskihindamiseks ning 5)arvukad kohtumised ja teabevahetus institutsioonide, organite ja asutuste ning liikmesriikide riiklike julgeolekuasutuste esindajatega. Konsultatsioonide peamiste tulemustena toob komisjon välja järgmised punktid: •meie institutsioonide ja organite asjakohaste õigusraamistike killustatus põhjustab märkimisväärset dubleerimist sisekorra koostamisel ja järgimisel, samuti koostalitlusvõimetust teabe käitlemisel. Asjaomaste eeskirjade erinevus suurendab liikmesriikides vääritimõistmise, valesti tõlgendamise ja nõuete rikkumise ohtu; •kuigi kõigi liidu institutsioonide ja organite jaoks infoturbe etaloni kehtestamine looks standardiseeritud julgeolekueeskirjade ja väljakujunenud parimate tavade süsteemi, tuleks arvesse võtta erinevusi ning iga liidu institutsiooni ja organi erinevat ärikeskkonda ning lubada kohalikke lahendusi; •see algatus peab austama iga liidu institutsiooni ja organi sõltumatust ja erinevaid turvalisusalase küpsuse tasemeid, kuna nemad jäävad täielikult vastutavaks oma infoturbe korraldamise eest. •Eksperdiarvamuste kogumine ja kasutamine Komisjon kasutas sidusrühmadega konsulteerimiseks oma ressursse. Personalihalduse ja julgeoleku peadirektoraadi turvalisusküsimuste direktoraat korraldas küsitlusi, videokonverentse ja muid seminare. See ülesanne hõlmas nii osalejate valimist kui ka ürituste korraldamist ja saadud teabe töötlemist. Teadusuuringute Ühiskeskus tegi peamiste infoturbe varade riskihindamise, mille põhjal koostati mõjuhinnang. •Mõjuhinnang See algatus on suunatud üksnes liidu institutsioonidele ja organitele ning selle mõju liikmesriikidele ja üksikisikutele on väike. Seetõttu ei olnud vaja teha põhjalikku mõju hindamist, kuna sel puudub selgelt tuvastatav või märkimisväärne mõju kodanikele ja ettevõtjatele. Euroopa Liidu veebisaidil avaldati põhjalik tegevuskava ja koguti tagasisidet asjaomastelt sidusrühmadelt. •Õigusnormide toimivus ja lihtsustamine Ei kohaldata. •Põhiõigused EL lähtub põhiõiguste kaitsmisel kõige rangematest nõuetest. See algatus tagab täieliku vastavuse Euroopa Liidu põhiõiguste hartas sätestatud põhiõigustele, mis on järgmised. •Õigus heale haldusele Suurendades Euroopa kodanike probleemide lahendamisel käideldava teabe turvalisust, aitavad liidu institutsioonid ja organid kaasa hea halduse põhimõtte järgimisele. •Isikuandmete kaitse

Isikuandmete töötlemine käesoleva ettepaneku raames toimuks usaldusväärsetes keskkondades ja täielikus kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2018/1725. •Õigus tutvuda dokumentidega Üldsuse juurdepääsu ELi salastatud teabele ja tundlikule, kuid salastamata teabele reguleeritakse endiselt täielikult Euroopa Parlamendi ja nõukogu määrusega (EÜ) nr 1049/2001. •Õigus intellektuaalomandile Salastamata teabe ja ELi salastatud teabe käitlemisel ja säilitamisel kaitsevad liidu institutsioonid ja organid intellektuaalomandit kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 2001/29/EÜ. •Sõna- ja teabevabadus Kuigi igaühel on vabadus saada ja levitada teavet ja ideid avaliku võimu sekkumiseta, ei tohi see takistada liitu kehtestamast teatud liiki teabele juurdepääsu ning selle käitlemise ja säilitamise tingimusi, lähtudes selle konfidentsiaalsustasemest. Nende vabaduste kasutamise suhtes võib kohaldada seaduses sätestatud tingimusi ja piiranguid, mis on demokraatlikus ühiskonnas vajalikud, et vältida konfidentsiaalse teabe avalikustamist ja tagada ELi julgeolek. 4.MÕJU EELARVELE Käesolev ettepanek eeldab ühe AD-kategooria ametniku ja ühe AST-kategooria assistendi määramist personalihalduse ja julgeoleku peadirektoraadi turvalisusküsimuste direktoraadi koordineerimisrühma alalisesse sekretariaati, mille tagab komisjon. Institutsioonide ja organite jaoks on oodata kulude kokkuhoidu seoses ühiste ja koostööülesannetega ning tänu infoturbe parandamisele ka turvaintsidentidest tulenevate võimalike majanduslike kahjude vältimisega. Teisest küljest saab uute õigusaktide rakendamiseks vajalikud rahalised kulutused katta iga liidu institutsiooni ja organi olemasolevate infoturbe parandamise programmide raames. 5.MUU TEAVE •Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Ettepanekuga nähakse ette komisjoni kohustus esitada Euroopa Parlamendile ja nõukogule iga kolme aasta järel aruanne käesoleva määruse rakendamise kohta, sealhulgas määrusega kehtestatud juhtimissüsteemi toimimise kohta. Lisaks sellele hindab komisjon iga viie aasta tagant käesolevat määrust, et hinnata selle tegelikku mõju, ning selgitada selle alusel välja, kas on vaja õigusakti muuta. •Ettepaneku sätete üksikasjalik selgitus Käesolevas ettepanekus keskendutakse salastamata teabe ja ELi salastatud teabe käitlemise ja säilitamise nõuetele; salastamata teave ja ELi salastatud teave on algatuse peamised teemad ja nende tõhustatud kaitse on selle põhieesmärk. Reguleerimisese ja kohaldamisala (artiklid 1 ja 2) Käesoleva määruse eesmärk on luua infoturbe miinimumeeskirjad, mida kohaldatakse kõigi liidu institutsioonide ja organite suhtes. Käesolevat määrust kohaldatakse kogu institutsioonide ja organite käideldava ja säilitatava teabe suhtes, sealhulgas Euroopa Aatomienergiaühenduse tegevusega seotud teabe suhtes, välja arvatud Euratomi salastatud teave. Käesolev määrus hõlmab nii salastamata teavet kui ka ELi salastatud teavet

Mõisted ja üldpõhimõtted (artiklid 3–5) Artiklis 3 esitatud mõisted põhinevad liidu institutsioonide ja organite poolt eraldi vastu võetud kehtivatel infoturbe-eeskirjadel. Lisaks liidu õigusaktide üldpõhimõtetele on läbipaistvuse, proportsionaalsuse, tõhususe ja aruandekohustuse tagamiseks käesolevas määruses sätestatud siduvad põhisuunised, näiteks iga liidu institutsiooni ja organi jaoks eraldi infoturberiski juhtimise protsess ja nende teabe hindamine, et seda saaks nõuetekohaselt liigitada. Turbe juhtimine ja korraldus (artiklid 6–8) Kõik liidu institutsioonid ja organid teevad koostööd institutsioonidevahelises infoturbe koordineerimisrühmas, mis tegutseb konsensuse alusel ning liidu institutsioonide ja organite ühistes huvides. Koordineerimisrühmas on esindatud kõikide institutsioonide ja organite julgeolekuasutused ning ta koostab käesoleva määruse rakendamist käsitlevaid juhenddokumente. Ta teeb regulaarselt koostööd liikmesriikide riiklike julgeolekuasutustega, kes on koondunud infoturbekomiteesse. Luuakse viis alltöörühma, kuhu kuuluvad eri institutsioone ja organeid esindavad eksperdid, et ühtlustada menetlusi ja muid infoturbega seotud praktilisi aspekte. Iga liidu institutsioon ja organ peab määrama julgeolekuasutuse, kes vastutab asutusesiseste infoturbepõhimõtete kindlaksmääramise ja rakendamise eest. Julgeolekuasutus loob spetsiaalseid ülesandeid täitvad üksused, nagu infokindluse asutus, infokindluse rakendusasutus, turvalisuse akrediteerimise asutus, TEMPEST-asutus, krüptovahendite heakskiitmise asutus ja krüptomaterjalide jaotamise asutus, kelle ülesanded võib delegeerida teisele institutsioonile või organile tõhususe suurendamiseks või vahendite paremaks kasutamiseks. Infokindlus ning side- ja infosüsteemid (artiklid 9–11) Määrusega luuakse teabe tagamise allrühm, mille eesmärk on suurendada liidu institutsioonide ja organite vahelist sidusust infoturbe eeskirjade ja küberturvalisuse lähtetaseme vahel, nagu on sätestatud määruses, millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes. Liidu institutsioonid ja organid peavad järgima nendes artiklites nimetatud põhimõtteid ja võtma vastu eraldi töökorra konkreetsete turvameetmete kohta, mis on kohandatud nende endi turvakeskkonnale. Salastamata teave (artiklid 12–17 ja I lisa) Määruses on sätestatud kolme liiki salastamata teave: avalikuks kasutamiseks mõeldud teave, tavapärane teave ja tundlik, kuid salastamata teave. Kõik kategooriad on kindlaks määratud ning ühtlasi on ette nähtud märgistused ja käitlemistingimused sellise teabe kaitsmiseks. Selleks et kooskõlastada liidu institutsioonide ja organite kehtestatud konkreetsete kategooriate ja määruses sätestatud ühiste kategooriate samaväärsuse valdkonnas tehtavat tööd, luuakse ettepanekuga salastamata teabe alltöörühm. ELi salastatud teave (artiklid 18–58 ja II–VI lisa) Kuna see on ettepaneku kõige mahukam peatükk, on see jagatud seitsmeks jaoks, mis on järgmised: üldsätted, töötajatega seotud julgeolek, füüsiline julgeolek, ELi salastatud teabe haldamine, side- ja infosüsteemide kaitse, tööstusjulgeolek ning ELi salastatud teabe jagamine ja salastatud teabe vahetamine. Üldsätete jaos on sätestatud ELi salastatud teabe neli taset, nimelt TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED, ning liidu institutsioonide ja organite kohustus võtta vajalikke turvameetmeid kooskõlas infoturberiski juhtimise protsessiga. Ülejäänud jaod keskenduvad konkreetsete valdkondadega seotud ELi salastatud teabe kaitse standarditele. ELi salastatud teabe kaitse tingimusi on täpsemalt kirjeldatud II–V lisas. VI lisas on esitatud ELi salastatud teabe liikmesriikide ja Euroopa Aatomienergiaühenduse salastatuse tasemete vastavuse tabel. Selleks et ühtlustada valdkonna asjakohaseid protsesse ja vältida dubleerimist, luuakse määrusega infokindluse, salastamata teabe, füüsilise julgeoleku, ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise ning ELi salastatud teabe jagamise ja salastatud teabe vahetamise alltöörühmad. Lõppsätted (artiklid 59–62)

Lõppsätetega tagatakse üleminek kehtivatelt eeskirjadelt ja menetlustelt käesoleva määrusega sätestatud uuele õigusraamistikule. Need puudutavad liidu institutsioonides ja organites praegu kohaldatavaid infoturbe-eeskirju, enne määruse kohaldamise algust tehtud hindamiskülastuste tunnustamist, varem sõlmitud halduskokkulepete käsitlemist ja toetuslepingute suhtes kohaldatavate konkreetsete julgeolekuraamistike rakendamise jätkamist. Käesolevat määrust hakatakse kohaldama kaks aastat pärast selle jõustumist. 2022/0084 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS infoturbe kohta liidu institutsioonides, organites ja asutustes EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 298, võttes arvesse Euroopa Aatomienergiaühenduse asutamislepingut, eriti selle artiklit 106a, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud õigusakti eelnõu liikmesriikide parlamentidele, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1)Praegu on liidu institutsioonidel ja organitel oma infoturbe-eeskirjad, mis põhinevad nende kodukorral või asutamisaktil, või puuduvad infoturbe-eeskirjad üldse. Sellest tingituna teevad kõik liidu institutsioonid ja organid märkimisväärseid jõupingutusi, võttes kasutusele erinevaid lähenemisviise, mille tulemusel on tekkinud olukord, kus teabevahetus ei ole alati usaldusväärne. Ühise lähenemisviisi puudumine takistab ühiste vahendite kasutuselevõttu, mis põhinevad kokkulepitud eeskirjadel, mis sõltuvad kaitstava teabe turbevajadustest. (2)Hoolimata edusammudest ühtsemate eeskirjade kehtestamisel ELi salastatud teabe ja salastamata teabe kaitsmiseks on asjaomaste süsteemide koostalitlusvõime endiselt piiratud, mis takistab teabe sujuvat edastamist liidu eri institutsioonide ja organite vahel. Seega tuleks rohkem vaeva näha, et ELi salastatud teabe ja tundliku, kuid salastamata teabe jagamisel oleks võimalik kohaldada institutsioonidevahelist lähenemisviisi, mis hõlmaks ühiseid teabekategooriaid ja peamisi ühiseid käitluspõhimõtteid. Samuti tuleks ette näha ühtsed alamstandardid, et lihtsustada menetlusi ELi salastatud teabe ja tundliku, kuid salastamata teabe jagamiseks liidu institutsioonide ja organite vahel ning liikmesriikidega. (3)Seetõttu tuleks kehtestada asjakohased eeskirjad, mis tagavad ühtsel tasemel infoturbe kõigis liidu institutsioonides ja organites. Need peaksid moodustama ELi salastatud teabe ja salastamata teabe kaitsmise tervikliku ja ühtse üldraamistiku ning tagama aluspõhimõtete ja miinimumstandardite samaväärsuse. (4)Hiljutise pandeemia tõttu muutusid tunduvalt töömeetodid ja kaugsidevahendid said tavapäraseks. Seetõttu kohandati kiiresti paljusid menetlusi, mis olid vähemalt osaliselt veel paberipõhised, et võimaldada teabe elektroonilist töötlemist ja vahetamist. Nende suundumuste tõttu on vaja muuta teabe käitlemist ja kaitsmist. Käesolevas määruses võetakse arvesse uut töökorraldust. (5)Kehtestades ELi salastatud teabe ja salastamata teabe ühise minimaalse kaitsetaseme, aitab käesolev määrus tagada, et liidu institutsioone ja organeid toetab oma ülesannete täitmisel tõhus ja sõltumatu halduskorraldus. Samal ajal jääb igale liidu institutsioonile ja organile vabadus otsustada, kuidas rakendada käesolevas määruses sätestatud õigusnorme vastavalt oma turbevajadustele. Käesolev määrus ei takista mingil juhul liidu institutsioone ja organeid täitmast oma ülesandeid, mis on neile antud ELi õigusaktidega, ega piira nende institutsioonilist sõltumatust. (6)Käesolev määrus ei piira määrust (Euratom) nr 3/1958, määrust nr 31 (EMÜ), 11 (Euratom), millega kehtestatakse Euroopa Majandusühenduse ja Euroopa Aatomienergiaühenduse ametnike personalieeskirjad ja muude teenistujate teenistustingimused, Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 1049/2001, Euroopa Parlamendi ja nõukogu määrust (EL) 2018/1725, nõukogu määrust (EMÜ, Euratom) nr 354/83, Euroopa Parlamendi ja nõukogu määrust (EL, Euratom) 2018/1046, Euroopa Parlamendi ja nõukogu määrust (EL) 2021/697, ega Euroopa Parlamendi ja nõukogu määrust (EL) [...], millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes. (7)Selleks et säilitada Euroopa Aatomienergiaühenduse Nõukogu määrusega nr 3/1958 reguleeritava Euroopa Aatomienergiaühenduse tegevuse eripära, ei kohaldata käesolevat määrust Euratomi salastatud teabe suhtes. Kogu teave, mis on seotud Euratomi muude tegevustega, mis ei ole hõlmatud määrusega nr 3/1958, kuulub siiski käesoleva määruse kohaldamisalasse.

(8)Liidu institutsioonide ja organite vahelise ametliku koostöö sisseseadmiseks infoturbe valdkonnas on tarvis luua institutsioonidevaheline koordineerimisrühm (edaspidi „koordineerimisrühm“), kus on esindatud kõik liidu institutsioonide ja organite julgeolekuasutused. See otsuste vastuvõtmise õiguseta töörühm peaks suurendama tegevuspõhimõtete ühtsust infoturbe valdkonnas ning aitama kaasa infoturbe menetluste ja vahendite ühtlustamisele kõikides liidu institutsioonides ja organites. (9)Koordineerimisrühma töö vajab infoturbe eri valdkondade ekspertide tuge: liigitamine ja märgistamine, side- ja infosüsteemid, akrediteerimine, füüsiline julgeolek ning ELi salastatud teabe jagamine ja salastatud teabe vahetamine. Selleks et vältida liidu institutsioonide ja organite tegevuse dubleerimist, tuleks luua temaatilised alltöörühmad. Lisaks sellele peaks koordineerimisrühmal olema vajaduse korral võimalik moodustada muid konkreetsete ülesannetega alltöörühmi. (10)Koordineerimisrühm teeb tihedat koostööd liikmesriikide riiklike julgeolekuasutustega, et tugevdada infoturvet liidus. Seetõttu tuleks luua liikmesriikide infoturbekomitee, kes nõustab koordineerimisrühma. (11)Kuigi kõiki liidu institutsioone ja organeid esindavad ühised organid on loodud koostööpõhimõttel, peaks iga institutsioon ja organ jääma täielikult vastutavaks teabe turvalisuse eest oma organisatsioonis. Igal liidu institutsioonil ja organil peaks olema oma julgeolekuasutus või vajaduse korral muu asutus, kes täidab konkreetseid infoturbega seotud kohustusi. (12)Iga liidu institutsiooni ja organi poolt selles valdkonnas väljatöötatavate tegevuspõhimõtete keskmes peaks olema infoturberiski juhtimise põhimõte. Kuigi käesolevas määruses sätestatud miinimumnõuded peavad olema täidetud, peaks iga liidu institutsioon ja organ võtma konkreetsed turvameetmed teabe kaitsmiseks vastavalt asutusesisese riskianalüüsi tulemustele. Samamoodi tuleks teabe kaitsmise tehnilisi vahendeid kohandada vastavalt iga institutsiooni ja organi konkreetsele olukorrale. (13)Arvestades nende salastamata teabe kategooriate mitmekesisust, mille liidu institutsioonid ja organid on välja töötanud oma turvalisusalase teabe eeskirjade alusel, ja selleks, et vältida viivitusi käesoleva määruse rakendamisel, peaks liidu institutsioonidel ja organitel olema võimalus säilitada oma märgistamissüsteem kas asutusesiseseks kasutamiseks või teabe vahetamiseks oma konkreetsete partneritega teistest institutsioonidest ja organitest või liikmesriikidest. (14)Uute kaugtöötavadega kohanemiseks peaksid liidu institutsiooni või organi kaugühenduse teenustega ühendamiseks kasutatavad võrgud olema kaitstud piisavate turvameetmetega. (15)Kuna liidu institutsioonid ja organid kasutavad sageli töövõtjaid ja allhankeid, on oluline kehtestada ühised sätted, mis käsitlevad lepinglaste töötajaid, kes täidavad infoturbega seotud ülesandeid. (16)Liidu eri institutsioonide ja organite kodukorras sisalduvad sisulised eeskirjad, mis käsitlevad juurdepääsu ELi salastatud teabele, on praegu ühtlustatud, kuid nimetuste ja nõutavate menetlustega seoses esineb märkimisväärseid erinevusi. See koormab liikmesriikide riiklikke julgeolekuasutusi, kes peavad kohanema erinevate nõuetega. Seega on töötajatega seotud julgeoleku valdkonnas vaja ühtlustada termineid ja menetlusi, lihtsustades sellega koostööd liikmesriikide riiklike julgeolekuasutustega ja vähendades ELi salastatud teabe ohtu seadmist. (17)Võttes arvesse liidu institutsioonide ja organite ressursside erinevust ning selleks, et ühtlustada nende asjakohaseid menetlusi ja tavasid, võib julgeolekukontrolli ülesanded anda komisjonile, et tagada pikaajaliste tavade kohaldamise jätkamine julgeolekukontrolli valdkonnas ja aidata kaasa igale julgeolekuasutusele määratud ülesannete tsentraliseerimisele. (18)ELi salastatud teabe kaitse tagatakse ka tehniliste ja korralduslike meetmetega, mida kohaldatakse liidu institutsioonide ja organite valduste, hoonete, ruumide, ametiruumide või rajatiste suhtes, kus ELi salastatud teavet arutatakse, käideldakse või säilitatakse. Käesoleva määrusega nähakse ette infoturbe haldamise protsessi rakendamine füüsilise julgeoleku valdkonnas, mis võimaldaks liidu institutsioonidel ja organitel valida oma tegevuskohtade jaoks sobivad turvameetmed. (19)Kõik ELi salastatud teavet käitlevad ja säilitavad liidu institutsioonid ja organid peaksid looma oma tegevuskohtades füüsiliselt kaitstud alad, et tagada seal käideldava ja säilitatava ELi salastatud teabe asjakohaste salastatuse tasemete puhul samal tasemel kaitse. Need alad tuleks määrata haldustegevuse aladeks ja turvaaladeks ning järgida ELi salastatud teabe kaitsmise ühiseid miinimumnõudeid. (20)Teabe koostaja kontroll on ELi salastatud teabe haldamise oluline põhimõte ning seetõttu tuleb see selgelt sätestada ja välja töötada. Sellega seoses paneb ELi salastatud teabe loomine teabe koostajale vastutuse, mis peaks hõlmama kogu asjaomase ELi salastatud teabe dokumendi kasutusaega. (21)Liidu institutsioonid ja organid on traditsiooniliselt arendanud oma side- ja infosüsteeme iseseisvalt, jättes piisava tähelepanuta nende koostalitlusvõime kõikide liidu institutsioonide ja organite vahel. Seetõttu on vaja kehtestada minimaalsed turvanõuded nii ELi salastatud teabe kui ka salastamata teabe käitlemise ja säilitamise side- ja infosüsteemidele, et tagada sujuv teabevahetus asjaomaste sidusrühmadega. (22)Selleks et saavutada ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise ühtne standard, peaksid liidu institutsioonid ja organid tegema koostööd selleks loodud töörühmas. Neil kõigil soovitatakse kasutada seda standardit, et aidata saavutada ELi salastatud teabe üldist kaitstust. Mis puudutab korralduslikku sõltumatust, siis otsuse teeb siiski iga institutsiooni või organi pädev asutus. (23)Salastatud lepingute või toetuslepingute sõlmimisel ja täitmisel peaksid kõik liidu institutsioonid ja organid järgima samu menetlusi ja kohaldama samu meetmeid. Seega on vaja selgelt sätestada salastatud lepingute ja toetuslepingute nii kohustuslikud kui ka mittekohustuslikud elemendid. Salastatud lepingute ja toetuslepingutega seotud ELi salastatud teabe kaitsemeetmete puhul tuleks siiski arvesse võtta eeskirju, mille liidu institutsioonid ja organid on koos liikmesriikidega selles valdkonnas juba eraldi välja töötanud. (24)Liidu institutsioonide ja organite vaheline tihe koostöö ning nende vahel tekkinud arvukad sünergiad tähendavad suure hulga teabe jagamist. Salastatud teabe turvalisuse huvides tuleks hinnata liidu institutsiooni või organi usaldusväärsust enne, kui ta asub käitlema ja säilitama kindlaksmääratud tasemel ELi salastatud teavet. (25)Lisaks sellele tuleks ELi salastatud teabe jagamist liidu institutsioonide ja organite vahel ning salastatud teabe vahetamist rahvusvaheliste organisatsioonide ja kolmandate riikidega reguleerida ka selle teabe kaitsmiseks vajalike turvameetmetega. Teabe turvalisust käsitlevate lepingute kavandamisel tuleks kohaldada ELi toimimise lepingu artikli 218 sätteid. (26)Teabe turvalisust käsitlevad lepingud on mõeldud selleks, et tagada üldine õigusraamistik liidu salastatud teabe vahetamiseks kolmandate riikide ja rahvusvaheliste organisatsioonidega, samuti on vaja ette näha liidu institutsioonide ja organite võimalus sõlmida halduskokkuleppeid kolmanda riigi või rahvusvahelise organisatsiooni konkreetse partneriga ELi salastatud teabe vahetamiseks. (27)Käesoleva määrusega kehtestatakse kõigile liidu institutsioonidele ja organitele ühine raamistik. Selleks et vältida ülemäärast halduskoormust liidu institutsioonidele ja organitele, kes kohandavad oma asutusesiseseid julgeolekueeskirju käesolevas määruses sätestatud õigusnormidele, tuleks käesolevat määrust hakata kohaldama kaks aastat pärast määruse jõustumist.

(28)13. aprilli 2016. aasta institutsioonidevahelise parema õigusloome kokkuleppe punktide 22 ja 23 kohaselt peaks komisjon hindama käesolevat määrust, et hinnata selle tegelikku mõju ja vajadust võtta edasisi meetmeid. Komisjon peaks esitama Euroopa Parlamendile ja nõukogule aruande käesoleva määruse rakendamise kohta hiljemalt kolm aastat pärast määruse kohaldamise alguskuupäeva. (29)Euroopa Andmekaitseinspektoriga konsulteeriti Euroopa Parlamendi ja nõukogu määruse (EL) 2018/1725 artikli 42 kohaselt ja ta esitas oma arvamuse [kuupäev], ON VASTU VÕTNUD KÄESOLEVA MÄÄRUSE: 1. peatükk

Üldsätted Artikkel 1 Reguleerimisese 1.Käesoleva määrusega kehtestatakse kõigi liidu institutsioonide ja organite infoturbe-eeskirjad. Artikkel 2 Kohaldamisala 1.Käesolevat määrust kohaldatakse kogu institutsioonide ja organite käideldava ja säilitatava teabe suhtes, sealhulgas Euroopa Aatomienergiaühenduse tegevusega seotud teabe suhtes, välja arvatud Euratomi salastatud teave. 2.Seda kohaldatakse järgmistel konfidentsiaalsustasemetel teabe suhtes: a)salastamata teabe kolm taset: avalikuks kasutamiseks mõeldud teave, tavapärane teave ja tundlik, kuid salastamata teave; b)ELi salastatud teabe neli taset: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Need tasemed põhinevad kahjul, mida loata avalikustamine võib tekitada õigustatud era- ja avalikele huvidele, sealhulgas liidu, liidu institutsioonide ja organite ning liikmesriikide või muude sidusrühmade huvidele, et saaks kohaldada asjakohaseid kaitsemeetmeid. Artikkel 3 Mõisted Käesolevas määruses kasutatakse järgmisi mõisteid: a)„teave“ – mis tahes andmed suulisel, visuaalsel, elektroonilisel, magnetilisel või füüsilisel kujul või materjalide, seadmete või tehnoloogia kujul, sealhulgas taasesitused, tõlked ja väljatöötamisel olev materjal; b)„infoturve“ – teabe autentsuse, käideldavuse, konfidentsiaalsuse, tervikluse ja salgamatuse tagamine; c)teabe „käitlemine“ – kõikvõimalikud toimingud, mida võidakse teabega selle kasutusaja jooksul teha. See hõlmab teabe koostamist, kogumist, registreerimist, konfidentsiaalsustaseme määramist, töötlemist, esitamist, sellega tutvumist, teabekandjal dokumenteerimist, edastamist, sellele määratud salastatuse taseme alandamist, salastatuse kustutamist, arhiveerimist ja hävitamist;

d)„säilitamine“ – teabe hoidmine mis tahes andmekandjal, et tagada selle kättesaadavus edaspidiseks kasutamiseks; e)„liidu institutsioonid ja organid“ – liidu institutsioonid, organid ja asutused, mis on loodud Euroopa Liidu lepinguga, Euroopa Liidu toimimise lepinguga, Euroopa Aatomienergiaühenduse asutamislepinguga või seadusandliku aktiga või nende alusel; f)„Euratomi salastatud teave“ – teave Euroopa Aatomienergiaühenduse Nõukogu määruse nr 3/1958 tähenduses; g)„julgeolekuasutus“ – iga liidu institutsiooni ja organi julgeolekuülesandeid täitev üksus, mis on määratud vastavalt institutsiooni või organi kodukorrale või asutamisaktile; h)„infoturberiski juhtimise protsess“ – organisatsiooni või selle poolt kasutatava süsteemi turvalisust mõjutada võivate ebakindlate sündmuste kindlakstegemise, kontrollimise ja minimeerimise kogu protsess. See hõlmab kõiki riskidega seotud tegevusi, sealhulgas hindamist, käsitlemist, aktsepteerimist ja teavitamist; i)„vara“ – kõik, mis on liidu institutsiooni või organi, selle tegevuse ja toimepidevuse jaoks väärtuslik, sealhulgas institutsiooni või organi ülesannete täitmist toetavad teaberessursid; j)„turvanõuete rakendamise kord“ – III lisas osutatud dokumenteeritud menetluste kogum, mis on ette nähtud turvaala, side- ja infosüsteemi või muu turvalisusega seotud vara või teenuse toimimiseks, et tagada selle tulemuslikkus; k)„side- ja infosüsteem“ – süsteem, mis võimaldab teabe käitlemist ja säilitamist elektroonilisel kujul, sealhulgas selle toimimiseks vajalikud ressursid; l)„infokindlus“ – kindlus, et side- ja infosüsteemid kaitsevad teavet, mida nende abil käideldakse ja säilitatakse, ning toimivad õiguspäraste kasutajate kontrolli all nii nagu vaja ja siis kui vaja, tagades samal ajal asjakohasel tasemel autentsuse, käideldavuse, konfidentsiaalsuse, tervikluse ja salgamatuse; m)„akrediteering“ – turvalisuse akrediteerimise asutuse ametlik luba eelnevalt kindlaksmääratud tasemel ELi salastatud teabe töötlemiseks side- ja infosüsteemis või säilitamiseks turvaalal; n)„akrediteerimisprotsess“ – meetmed, mis tuleb võtta ja ülesanded, mis tuleb täita enne akrediteerimist; o)„TEMPESTi turvameetmed“ – meetmed, mida rakendatakse CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabe käitlemise või säilitamise side- ja infosüsteemide kaitsmiseks, et selline teave ei kahjustuks tahtmatu elektromagnetkiirgusega; p)„CERT-EU“ – liidu institutsioonide ja organite küberturvalisuse keskus Euroopa Parlamendi ja nõukogu määruse (EL) [...] (millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes) tähenduses; q)„infoturbeintsident“ – mis tahes sündmus, mis võib ohustada säilitatava, edastatava või töödeldava teabe autentsust, käideldavust, konfidentsiaalsust, terviklust või salgamatust; r)„tundmistarve“ – isiku vajadus pääseda juurde konkreetsele teabele, mida liidu institutsioon või organ käitleb või säilitab, et täita selle konkreetse liidu institutsiooni või organi ülesandeid; s)„täisusaldamatus“ – turvamudel, süsteemi projekteerimise põhimõtete kogum ning kooskõlastatud küberturvalisuse ja süsteemihaldusstrateegia, mis põhineb ohu olemasolu tunnistamisel nii võrgu tavapärastes piirides kui ka neist väljaspool; t)„märge“ – teabele kantav märgistus, millega tagatakse asjakohaste turvameetmete rakendamine; u)„salastusmärge“ – märge, mis näitab teabe konfidentsiaalsuse taset; v)„levitamise märge“ – märge, mis näitab teabe soovitud adressaate liidu institutsioonis või organis, kust teave pärineb; w)„avaldatavuse märge“ – märge, mis näitab teabe lubatud adressaate väljaspool liidu institutsiooni või organit, kust teave pärineb;

x)„süsteemi omanik“ – isik, kes vastutab side- ja infosüsteemi üldise hankimise, arendamise, integreerimise, muutmise, käitamise, hooldamise ja kasutuselt kõrvaldamise eest; y)„infoturbeoht“ – sündmus või tegur, millest võib põhjendatult eeldada kahjulikku mõju infoturbele, kui sellele ei reageerita ja kui seda kontrolli alla ei võeta; z)„turvaauk“ – vara, süsteemi, protsessi või kontrollimehhanismi nõrk koht, tundlikkus või viga, mida üks või mitu ohtu võivad ära kasutada; aa)„risk“ – teatava ohu võimalik kahjulik mõju, mis võib ära kasutada liidu institutsiooni või organi või tema kasutatavate süsteemide sisemisi ja väliseid turvaauke ning kahjustada õigustatud avalikke ja erahuve, mõõdetuna ohu tekke tõenäosuse ja selle mõju kombinatsioonina; ab)„jääkrisk“ – risk, mis jääb püsima pärast turvameetmete rakendamist; ac)„riskihindamine“ – ohtude ja turvaaukude kindlakstegemine ning sellega seotud riskianalüüsi, st riski tõenäosuse ja mõju analüüsimine; ad)„riski käsitlemine“ – riski leevendamine, kõrvaldamine, vähendamine (tehniliste, füüsiliste, korralduslike või menetluslike meetmete asjakohase kombineerimise abil), riski ülekandmine või seire; ae)„Euroopa küberturvalisuse sertifikaat“ – sertifikaat määruse (EL) 2019/881 artikli 2 lõike 11 tähenduses; af)„valdaja“ – kontrollitud tundmistarbega nõuetekohaselt volitatud isik, kelle valduses teave on ja kes seetõttu vastutab selle kaitsmise eest; ag)„materjal“ – dokument, andmekandja või valmistatud või valmistamisel olev masin või seade; ah)„ELi salastatud teave“ – teave või materjal, mis on tähistatud ELi salastusmärkega ja mille loata avalikustamine võib eri määral kahjustada liidu või ühe või mitme liikmesriigi huve; ai)„ELi salastatud teabele juurdepääsu luba“ – julgeolekuasutuse otsus, millega liidu institutsiooni või organi ametnikule, muule teenistujale või lähetatud riiklikule eksperdile antakse juurdepääs ELi salastatud teabele kuni kindlaksmääratud tasemeni ja kindlaksmääratud ajaks; aj)„riiklik julgeolekuasutus“ – liikmesriigi valitsusasutus, kellel on lõplik vastutus salastatud teabe turvalisuse eest kõnealuses liikmesriigis; ak)„määratud julgeolekuasutus“ – liikmesriigi asutus (riiklik julgeolekuasutus või muu pädev asutus), kes vastutab juhtnööride ja abi andmise eest tööstusjulgeoleku rakendamisel või loa andmise menetlustes või mõlemal juhul; al)„julgeolekukontroll“ – kontroll, mille teeb liikmesriigi pädev asutus kõnealuse liikmesriigi õigusnormide kohaselt, et saada kinnitust selle kohta, et ei ole teada midagi kahtlustäratavat, mis takistaks andmast isikule juurdepääsu kindlaksmääratud salastatuse tasemel (CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgem) ELi salastatud teabele; am)„füüsiline julgeolek“ – füüsiliste, tehniliste ja korralduslike meetmete kohaldamine liidu institutsiooni või organi valduste, hoonete, ruumide, ametiruumide või rajatiste suhtes, mida tuleb kaitsta volitamata juurdepääsu eest seal käideldavale, säilitatavale või käsitletavale teabele; an)„tegevuskohad“ – liidu institutsiooni või organi valdused, hooned, ruumid, ametiruumid või rajatised; ao)„mitmekihiline kaitse“ – turbe liik, mis kasutab mitut sõltumatut turvakontrolli kihti, et tagada, et kui üks ebaõnnestub, on teine töökorras; ap)„krüptomaterjal“ – krüptoalgoritmid, krüptoriistvara- ja tarkvaramoodulid ning -tooted, sealhulgas rakendamise üksikasjad ja seotud dokumentatsioon ning kodeerimisandmed; aq)„krüptovahend“ – vahend, mille esmane ja peamine funktsioon on turvateenuste (autentsus, käideldavus, konfidentsiaalsus, andmeterviklus ja salgamatus) pakkumine ühe või mitme krüpteerimismehhanismi kaudu;

ar)„teabe koostaja“ – liidu institutsioon või organ, liikmesriik, kolmas riik või rahvusvaheline organisatsioon, kelle volitusel on salastatud teave koostatud ja/või liidu struktuuridesse sisestatud; as)„dokument“ – mis tahes sisu olenemata selle kandjast (paberil, elektrooniline, magnetiline või muu), kirjalikus vormis või visuaalne või audiovisuaalne salvestus; at)„julgeolekukaalutlustel registreerimine“ – menetluste kohaldamine, mille abil talletatakse andmed materjali kogu kasutusaja iga etapi, sealhulgas selle levitamise ja hävitamise kohta; au)„salastatuse kustutamine“ – salastatuse tühistamine; av)„salastatuse taseme alandamine“ – salastatuse taseme madaldamine; aw)„salastatud leping“ – Euroopa Parlamendi ja nõukogu määruse (EÜ, Euratom) 2018/1046 kohane raamleping või leping, mille liidu institutsioon või organ on sõlminud lepinglasega vallas- või kinnisvara tarnimise, tööde tegemise või teenuste osutamise eesmärgil ning mille täitmise eelduseks on või mille täitmisega kaasneb ELi salastatud teabe käitlemine, sealhulgas selle koostamine või säilitamine; ax)„salastatud toetusleping“ – leping, mille alusel liidu institutsioon või organ eraldab määruse (EL, Euratom) 2018/1046 VIII jaotise kohaselt toetuse ning mille täitmise eelduseks on või mille täitmisega kaasneb ELi salastatud teabe käitlemine, sealhulgas selle koostamine, või säilitamine; ay)„salastatud all-leping“ – leping, mille liidu institutsiooni või organiga lepingu või toetuslepingu sõlmija on sõlminud all-lepinglasega vallas- või kinnisvara tarnimise, tööde tegemise või teenuste osutamise eesmärgil ning mille täitmise eelduseks on või mille täitmisega kaasneb ELi salastatud teabe käitlemine, sealhulgas selle koostamine, või säilitamine; az)„programmi või projekti julgeolekujuhised“ – loetelu julgeolekumenetlustest, mida kohaldatakse konkreetse programmi või projekti suhtes julgeolekumenetluste standardimiseks; ba)„julgeolekuaspekte käsitlev dokument“ – lepingu või toetuslepingu sõlmija väljastatud konkreetsete lepinguliste tingimuste kogum, mis moodustab sellise salastatud lepingu või toetuslepingu lahutamatu osa, millega kaasneb juurdepääs ELi salastatud teabele või sellise teabe koostamine, ning millega määratakse kindlaks lepingu julgeolekunõuded ja need lepingu või toetuse osad, mida tuleb julgeolekukaalutlustel kaitsta; bb)„salastatuse taseme määramise juhend“ – dokument, milles kirjeldatakse programmi, projekti, lepingu või toetuslepingu salastatud osasid, määrates kindlaks neile kohaldatavad salastatuse tasemed. Artikkel 4 Üldpõhimõtted 1.Iga liidu institutsioon ja organ vastutab käesoleva määruse sätete rakendamise eest oma organisatsioonis, võttes arvesse oma infoturberiski juhtimise protsessi. 2. Käesoleva määruse mittejärgimine, eelkõige artikli 2 lõikes 2 osutatud salastatuse tasemetega teabe loata avaldamine, välja arvatud avalikuks kasutamiseks mõeldud teave, võetakse uurimise alla ja võib kaasa tuua töötajate vastutuse vastavalt aluslepingutele või nende asjaomastele personalieeskirjadele. 3.Liidu institutsioonid ja organid hindavad kogu teavet, mida nad käitlevad ja säilitavad, et liigitada see vastavalt artikli 2 lõikes 2 osutatud konfidentsiaalsustasemetele. 4.Liidu institutsioonid ja organid määravad kindlaks kogu nende poolt käideldava ja säilitatava teabe turbevajadused, võttes arvesse järgmisi aspekte: a)autentsus: tagatis, et teave on ehtne ja pärineb heausksest allikast; b)käideldavus: teave on volitatud üksuse taotluse korral kättesaadav ja kasutatav; c)konfidentsiaalsus: teavet ei avalikustata volitamata isikutele, üksustele või töötlemiseks;

d)andmeterviklus: teave on täielik ja teabe täielikkus on muutumatu; e)salgamatus: võime tõendada tegevuse või sündmuse toimumist selliselt, et kõnealuse sündmuse või tegevuse toimumist ei saa hiljem eitada. 5.Liidu institutsioonid ja organid määravad iga nende vastutusalasse kuuluva side- ja infosüsteemi puhul kindlaks kõrgeima konfidentsiaalsustasemega teabe, mida sellise side- ja infosüsteemi abil võib käidelda ja säilitada, teevad infoturberiski hindamise ning jälgivad regulaarselt turbevajadusi ja kindlaksmääratud kaitsemeetmete nõuetekohast rakendamist. 6.Kõik liidu institutsioonid ja organid pakuvad koolitust ja teavitustegevusi salastamata teabe ja ELi salastatud teabe käitlemise ja säilitamise valdkonnas. Liidu institutsioonid ja organid, kes käitlevad ja säilitavad ELi salastatud teavet, korraldavad vähemalt kord iga viie aasta tagant kohustusliku koolituse kõigile isikutele, kellel on õigus juurdepääsuks ELi salastatud teabele. Asjaomased liidu institutsioonid ja organid korraldavad erikoolitusi konkreetsetele üksustele, kellele on pandud infoturbeülesanded. Liidu institutsioon või organ võib kooskõlastada selliseid koolitus- ja teavitustegevusi teiste liidu institutsioonide ja organitega. Artikkel 5 Infoturberiski juhtimise protsess 1.Iga liidu institutsioon ja organ kehtestab infoturberiski juhtimise protsessi, et kaitsta teavet, mida ta käitleb ja säilitab. 2.Infoturberiski juhtimise protsess koosneb järgmistest etappidest: a)ohtude ja turvaaukude kindlakstegemine; b)riskihindamine; c)riski käsitlemine; d)riski aktsepteerimine; e)riskist teavitamine. 3.Infoturberiski juhtimise protsessis võetakse arvesse kõiki asjaomase institutsiooni või organi puhul asjakohaseid tegureid, eelkõige: a)teabe konfidentsiaalsustaset ja sellega seotud õiguslikke kohustusi; b)teabe vormi ja hulka ning rajatisi või side- ja infosüsteeme, kus teavet käideldakse ja säilitatakse; c)isikuid, kes pääsevad teabele ligi kohapeal või kaugmeetodil; d)hoonete või alade, kus teavet hoitakse, ümbrust ja ülesehitust;

e)küberrünnakutest, tarneahelate vastu suunatud rünnakutest, spionaažist, sabotaažist, terrorismist ja õõnestavast või muust kriminaalsest tegevusest tulenevat ohtu liidule, selle institutsioonidele ja organitele või liikmesriikidele; f)talitluspidevust ja katastroofidest taastumist; g)vajaduse korral kontrollide, auditite või hindamiskülastuste tulemusi. 2. peatükk

Turbe juhtimine ja korraldus Artikkel 6 Institutsioonidevaheline infoturbe koordineerimisrühm 1.Luuakse institutsioonidevaheline infoturbe koordineerimisrühm (edaspidi „koordineerimisrühm“). Koordineerimisrühm moodustatakse kõikide liidu institutsioonide ja organite julgeolekuasutuste esindajatest ning talle antakse volitused määrata kindlaks nende ühine infoturbepoliitika. 2.Tegutsedes lepingu alusel ning liidu institutsioonide ja organite ühistes huvides, teeb koordineerimisrühm järgmist: a)võtab vastu oma töökorra ning iga-aastased ühised eesmärgid ja prioriteedid; b)võtab vastu otsused temaatiliste alltöörühmade moodustamise ja nende pädevuse kohta; c)koostab vajaduse korral käesoleva määruse rakendamise juhenddokumendid koostöös määruse (EL) nr [...] (millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes) artiklis 9 osutatud institutsioonidevahelise küberturvalisuse nõukoguga; d)loob spetsiaalsed platvormid parimate tavade ja teadmiste jagamiseks ühistel infoturbega seotud teemadel ning abi andmiseks infoturbeintsidentide korral; e)tagab, et ELi salastatud teabe kaitsmiseks võetavad turvameetmed kooskõlastatakse vajaduse korral pädevate riiklike julgeolekuasutustega. 3.Koordineerimisrühm määrab oma liikmete hulgast kolmeks aastaks esimehe ja kaks aseesimeest. 4.Koordineerimisrühm kohtub vähemalt kord aastas esimehe algatusel või liidu institutsiooni või organi taotlusel. 5.Koordineerimisrühmale pakub haldustuge alaline sekretariaat, mille tagab komisjon. 6.Iga liidu institutsioon või organ peab olema koordineerimisrühmas ja vajaduse korral temaatilistes alltöörühmades nõuetekohaselt esindatud. 7.Liidu institutsioonid ja organid teavitavad koordineerimisrühma igast olulisest infoturbepoliitika muutusest oma organisatsioonis. 8.Lõike 2 punktis e osutatud ülesannete täitmisel abistab koordineerimisrühma infoturbekomitee. Komiteesse kuulub üks esindaja igast riiklikust julgeolekuasutusest ja seda juhib lõikes 5 osutatud koordineerimisrühma sekretariaat. Infoturbekomiteel on nõuandev roll.

Artikkel 7 Temaatilised alltöörühmad 1.Koordineerimisrühm moodustab järgmised alalised temaatilised alltöörühmad, et hõlbustada käesoleva määruse rakendamist: a)infokindluse alltöörühm; b)salastamata teabe alltöörühm; c)füüsilise julgeoleku alltöörühm; d)ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise alltöörühm; e)ELi salastatud teabe jagamise ja salastatud teabe vahetamise alltöörühm. 2.Vajaduse korral võib koordineerimisrühm luua konkreetse ülesande täitmiseks ja piiratud ajaks ajutisi alltöörühmi. 3.Kui nende töökorras ei ole ette nähtud teisiti, on alltöörühmade liikmesus avatud ja nad esindavad asjaomast liidu institutsiooni või organit. Alltöörühmade liikmeteks on vastava pädevusvaldkonna eksperdid. 4.Artikli 5 lõikes 5 osutatud koordineerimisrühma sekretariaat toetab kõigi alltöörühmade tööd ja tagab liikmetevahelise teabevahetuse. Artikkel 8 Turbe korraldus 1.Iga liidu institutsioon ja organ määrab julgeolekuasutuse, kes täidab käesoleva määrusega ja vajaduse korral oma asutusesiseste julgeolekueeskirjadega määratud kohustusi. Julgeolekuasutust toetab tema ülesannete täitmisel osakond või ametnik, kellele on pandud infoturbeülesanded. 2.Vajaduse korral võtab iga liidu institutsiooni ja organi julgeolekuasutus vastu sisemised rakenduseeskirjad teabe kaitseks kooskõlas oma konkreetse, ELi õigusest tuleneva ülesandega ning tuginedes oma institutsioonilisele sõltumatusele. 3.Vajaduse korral loob iga julgeolekuasutus ka järgmised asutused: a)infokindluse asutus, kes vastutab infokindluse tagamise põhimõtete ja turvasuuniste väljatöötamise ning nende tulemuslikkuse ja asjakohasuse jälgimise eest; b)infokindluse rakendusasutus, kes vastutab turvadokumentatsiooni, eelkõige turvanõuete rakendamise korra ja krüptokava väljatöötamise eest side- ja infosüsteemide akrediteerimisprotsessi raames; c)turvalisuse akrediteerimise asutus, kes vastutab turvaalade ning ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise eest; d)TEMPEST-asutus, kes vastutab meetmete heakskiitmise eest, et kaitsta ELi salastatud teavet, et selline teave ei satuks ohtu tahtmatu elektromagnetkiirguse kaudu;

e)krüptovahendite heakskiitmise asutus, kes vastutab süsteemi omaniku taotlusel krüpteerimistehnoloogia kasutamise heakskiitmise eest; f)krüptomaterjalide jaotamise asutus, kes vastutab ELi salastatud teabe kaitsmiseks kasutatavate krüptomaterjalide (krüpteerimisseadmed, krüptovõtmed, sertifikaadid ja seotud autenturid) jaotamise eest asjaomastele kasutajatele. 4.Ühe või mitme lõikes 3 osutatud asutuse ülesannete täitmise võib delegeerida mõnele teisele liidu institutsioonile või organile, kui turvalisuse detsentraliseeritud tagamine on märkimisväärselt tõhusam või võimaldab säästa ressursse või aega. 3. peatükk

Infokindlus ning side- ja infosüsteemid Artikkel 9 Infokindluse põhimõtted 1.Infoturbe vajaduste hindamist võetakse arvesse juba kõikide side- ja infosüsteemide loomise alguses või hankimise etapis, sealhulgas asutusesiseste, sisseostetud ja hübriidsete side- ja infosüsteemide puhul. 2.Kõik side- ja infosüsteemid, mille abil käideldakse ja säilitatakse ELi salastatud teavet, akrediteeritakse kooskõlas 5. peatüki 5. jaoga. Kõik side- ja infosüsteemid, mille abil käideldakse ja säilitatakse tundlikku, kuid salastamata teavet, peavad vastama 4. peatükis sätestatud side- ja infosüsteemides oleva tundliku, kuid salastamata teabe suhtes kohaldatavatele miinimumnõuetele. Artikkel 10 Infokindluse alltöörühm 1.Artikli 7 lõike 1 punktis a osutatud infokindlustuse alltöörühmal on järgmised ülesanded ja kohustused: a)suuniste ja parimate tavade andmine teabe märgistamise, töötlemise ja säilitamise kohta side- ja infosüsteemides tihedas koostöös institutsioonidevahelise küberturvalisuse nõukoguga, millele on osutatud määruse (EL) [XXX] (millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes) artiklis 9; b)metaandmete süsteemi loomine märgistuste ja kogu vajaliku tehnilise teabe jaoks, et võimaldada koostalitlusvõimelist ja sujuvat teabevahetust liidu institutsioonide ja organite vahel nende vastavate side- ja infosüsteemide omavahelisel ühendamisel; c)määruse (EL) [XXX] (millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes) artiklis 5 osutatud infoturbe eeskirjade ja küberturvalisuse lähtetaseme sidususe edendamine kõigis liidu institutsioonides ja organites. Artikkel 11 Side- ja infosüsteemidele esitatavad nõuded 1.Liidu institutsioonid ja organid teavitavad kasutajaid side- ja infosüsteemide abil käideldava ja säilitatava teabe konfidentsiaalsustasemest. Kui side- ja infosüsteemis käideldakse ja säilitatakse mitme konfidentsiaalsustaseme andmeid, kasutatakse metaandmeid ja visuaalset märgistust, et tagada eri tasemete eristatavus. 2.Liidu institutsioonid ja organid identifitseerivad side- ja infosüsteemide kasutajad enne neile juurdepääsu andmist muul konfidentsiaalsustasemel teabele kui avalikuks kasutamiseks mõeldud teave. Kasutajad autenditakse kindlustasemel, mis vastab konfidentsiaalsustasemele. Vajaduse korral kasutatakse turvalist ühist identifitseerimissüsteemi. 3.Kõikide side- ja infosüsteemide kohta peetakse piisavaid turvalogisid, et tagada kiire uurimine rikkumiste või teabelekete korral. Selliseid logisid säilitatakse ärimõju hinnangus või asjakohastes julgeolekupõhimõtetes kindlaksmääratud aja jooksul ja viisil, mida ei saa ümber lükata. Kui side- ja infosüsteemis käideldakse ja säilitatakse ELi salastatud teavet, säilitatakse teabe tundmistarbega ja teabele juurdepääsuga seotud logisid kuni teabe salastatuse kustutamiseni. Turvalogid peavad olema otsitavad ja julgeolekuasutusele kättesaadavad.

4.Liidu institutsioonid ja organid võtavad vastu side- ja infosüsteemide turvalisust käsitlevad sise-eeskirjad, et määrata kindlaks asjakohased turvameetmed vastavalt käideldava ja säilitatava teabe turbevajadustele ning võttes arvesse jurisdiktsiooni, kus teavet säilitatakse, kuhu teavet edastatakse ja kus seda käideldakse. Vajaduse korral hõlmavad need meetmed järgmist: a)geograafilise asukoha piirangud; b)lepinglastega seotud võimalike huvide konfliktide, boikottide või karistuste kaalumine; c)lepingulised sätted teabe turvalisuse tagamiseks; d)jõudeolekus ja liikvel teabe krüpteerimine; e)piirangud lepinglaste juurdepääsule liidu institutsioonide ja organite teabele; f)isikuandmete kaitse vastavalt kohaldatavatele andmekaitsealastele õigusaktidele. 5.Liidu institutsioonid ja organid haldavad oma side- ja infosüsteeme vastavalt järgmistele põhimõtetele: a)igal side- ja infosüsteemil on omanik või selle turvalisuse eest vastutav infokindluse rakendusasutus; b)viiakse ellu infoturbe aspekte hõlmav infoturberiski juhtimise protsess; c)määratakse ametlikult kindlaks turvanõuded ja turvanõuete rakendamise kord ning rakendatakse ja kontrollitakse neid ning vaadatakse need läbi; d)infoturbeintsidendid registreeritakse ametlikult ja nende suhtes võetakse järelmeetmeid kooskõlas määrusega (EL) [XXX], millega nähakse ette meetmed küberturvalisuse ühtlaselt kõrge taseme tagamiseks liidu institutsioonides, organites ja asutustes. 4. peatükk

Salastamata teave Artikkel 12 Avalikuks kasutamiseks mõeldud teave 1.Avalikuks kasutamiseks või ametlikuks avaldamiseks mõeldud või juba avalikustatud teave, mida saab piiranguteta jagada liidu institutsioonide ja organite sees või neist väljaspool, liigitatakse ning seda käideldakse ja säilitatakse kui avalikult kasutatavat teavet. 2.Liidu institutsioonid ja organid võivad lõikes 1 osutatud teabe tähistada märkega „PUBLIC USE“. 3.Kõik liidu institutsioonid ja organid peavad tagama teabe tervikluse ja käideldavuse avalikuks kasutamiseks asjakohaste meetmetega, mis põhinevad nende turbevajadustel. Artikkel 13 Tavapärane teave

1.Teave, mis on ette nähtud kasutamiseks liidu institutsiooni või organi poolt tema ülesannete täitmiseks ja mis ei ole ei tundlik, kuid salastamata teave ega avalikuks kasutamiseks mõeldud teave, liigitatakse tavapäraseks teabeks ning seda käideldakse ja säilitatakse nagu tavapärast teavet. Sellesse kategooriasse kuulub kogu tavapärane tööga seotud teave, mida asjaomases liidu institutsioonis või organis töödeldakse. 2.Tavapärane teave võib olla tähistatud visuaalselt või metaandmetes, kui see on vajalik selle kaitse tagamiseks, eelkõige juhul, kui seda jagatakse väljaspool liidu institutsioone ja organeid. Sellisel juhul kasutatakse märget „EU NORMAL“ või „[liidu institutsiooni või organi nimi või akronüüm] NORMAL“ (mida kohandatakse juhtumipõhiselt). 3.Liidu institutsioonid ja organid määravad kindlaks tavapärase teabe kaitse meetmed, võttes arvesse salastamata teabe alltöörühma suuniseid ning oma ülesannete ja tegevusega seotud konkreetseid riske. 4.Tavapärast teavet vahetatakse väljaspool liidu institutsioone ja organeid üksnes tundmistarbega füüsiliste või juriidiliste isikutega. Artikkel 14 Tundlik, kuid salastamata teave 1.Liidu institutsioonid ja organid liigitavad tundlikuks, kuid salastamata teabeks kogu teabe, mis ei ole salastatud, kuid mida nad peavad kaitsma tulenevalt õiguslikust kohustusest või seetõttu, et sellise teabe loata avalikustamine võib kahjustada õigustatud era- ja avalikke huve, sealhulgas liidu institutsioonide ja organite, liikmesriikide või üksikisikute huve, ning käitlevad ja säilitavad seda tundliku, kuid salastamata teabena. 2.Iga liidu institutsioon ja organ tähistab tundliku, kuid salastamata teabe nähtava salastusmärkega ja määrab kindlaks vastavad käitlemisjuhised vastavalt I lisale. 3.Liidu institutsioonid ja organid kaitsevad tundlikku, kuid salastamata teavet, kohaldades selle käitlemisel ja säilitamisel asjakohaseid meetmeid. Sellist teavet võib liidu institutsioonides ja organites teha kättesaadavaks ainult tundmistarbega isikutele oma ülesannete täitmiseks. 4.Tundlikku, kuid salastamata teavet vahetatakse väljaspool liidu institutsioone ja organeid ainult tundmistarbega füüsiliste ja juriidiliste isikutega, järgides samal ajal teabele lisatud käitlemisjuhiseid. Kõiki asjaomaseid isikuid teavitatakse asjakohastest käitlemisjuhistest. Artikkel 15 Salastamata teabe kaitse ja koostalitlusvõime 1.Liidu institutsioonid ja organid kehtestavad kõigist salastamata teabe turvalisust ohustada võivatest intsidentidest või võimalikest intsidentidest teatamise ja nende lahendamise menetlused. 2.Vajaduse korral kasutavad liidu institutsioonid ja organid artiklites 12, 13 ja 14 ette nähtud märkeid. Erandkorras võib asutusesiseselt ja suhetes teiste liidu institutsioonide ja organite või liikmesriikidega kasutada muid samaväärseid märkeid, kui kõik asjaosalised on sellega nõus. Sellisest erandist teatatakse artikli 7 lõike 1 punktis b osutatud salastamata teabe alltöörühmale. 3.Kehtestatakse lepingulised kaitsemeetmed, et tagada allhanke korras osutatavate teenuste raames töödeldava tavapärase ja tundliku, kuid salastamata teabe kaitse. Kaitsemeetmete eesmärk on tagada vähemalt käesoleva määrusega ette nähtud tasemega samaväärsel tasemel kaitse ning need hõlmavad konfidentsiaalsus- ja mitteavalikustamiskohustusi, millele peavad alla kirjutama kõik asjaomased teenuseosutajad, kes pakuvad süsteeme allhanke korras. Artikkel 16 Salastamata teabe alltöörühm 1.Artikli 7 lõike 1 punktis b osutatud salastamata teabe alltöörühmal on järgmised ülesanded ja kohustused: a)salastamata teabe käitlemise ja säilitamisega seotud menetluste ühtlustamine ning asjakohaste suuniste koostamine; b)salastamata teabe käitlemise ja säilitamise süsteemidega seotud küsimuste kooskõlastamine artikli 7 lõike 1 punktis a osutatud infokindluse alltöörühmaga;

c)erineval konfidentsiaalsustasemel salastamata teabe käitlemise juhiste koostamine; d)liidu institutsioonide ja organite abistamine nende salastamata teabe konkreetsete kategooriate ja artiklites 12, 13 ja 14 sätestatud kategooriate samaväärsuse kindlaksmääramisel; e)salastamata teabe jagamise hõlbustamine liidu institutsioonide ja organite vahel, andes selleks abi ja juhtnööre. Artikkel 17 Tundliku, kuid salastamata teabe käitlemine ja säilitamine 1.Liidu institutsioonid ja organid tagavad, et side- ja infosüsteemid vastavad tundliku, kuid salastamata teabe käitlemisel ja säilitamisel järgmistele miinimumnõuetele: a)tundlikule, kuid salastamata teabele juurdepääsul kasutatakse tugevat autentimist ning edastatav ja säilitatav tundlik, kuid salastamata teave krüpteeritakse; b)säilitamiseks kasutatavate krüptovõtmete eest vastutab side- ja infosüsteemi toimimise eest vastutav liidu institutsioon või organ; c)tundlikku, kuid salastamata teavet säilitatakse ja töödeldakse liidus; d)kõikidesse allhankelepingutesse lisatakse tingimused, mis käsitlevad töötajate, varade ja teabe turvalisust; e)elektrooniliste dokumentide konfidentsiaalsustaseme registreerimiseks ja turvameetmete automatiseerimise hõlbustamiseks kasutatakse koostalitlusvõimelisi metaandmeid; f)liidu institutsioonid ja organid rakendavad meetmeid andmelekke vältimiseks ja avastamiseks, et kaitsta tundlikku, kuid salastamata teavet; g)võimaluse korral kasutatakse Euroopa küberturvalisuse sertifikaadiga turvaseadmeid; h)tundmistarbe ja täisusaldamatuse põhimõttel põhinevate turvameetmete rakendamine, et minimeerida teenuseosutajate ja lepinglaste juurdepääsu tundlikule, kuid salastamata teabele. 2.Kõik erandid lõikes 1 sätestatud miinimumnõuetest kiidetakse heaks asjaomase liidu institutsiooni või organi asjakohasel juhtimistasandil, tuginedes riskianalüüsile, mis hõlmab tundliku, kuid salastamata teabe turvalisust ohustavaid õiguslikke ja tehnilisi riske. 3.Asjaomase liidu institutsiooni või organi infokindluse asutus võib kontrollida lõikes 1 sätestatud põhimõtete järgimist mis tahes ajal side- ja infosüsteemi kasutusaja jooksul. 5. peatükk

ELi salastatud teave 1. jagu

Üldsätted Artikkel 18 Salastatuse tasemed ja märked

1.ELi salastatud teave liigitatakse ühele järgmisele tasemele ja märgistatakse järgmiselt: a)TRES SECRET UE/EU TOP SECRET: teave ja materjal, mille loata avalikustamine võib väga tõsiselt kahjustada liidu või ühe või mitme liikmesriigi olulisi huve; b)SECRET UE/EU SECRET: teave ja materjal, mille loata avalikustamine võib tõsiselt kahjustada liidu või ühe või mitme liikmesriigi olulisi huve; c)CONFIDENTIEL UE/EU CONFIDENTIAL: teave ja materjal, mille loata avalikustamine võib kahjustada liidu või ühe või mitme liikmesriigi olulisi huve; d)RESTREINT UE/EU RESTRICTED: teave ja materjal, mille loata avalikustamine võib negatiivselt mõjutada liidu või ühe või mitme liikmesriigi huve. 2.Koordineerimisrühm võtab vastu ELi salastatud teabe loomise ja salastatuse tasemete määramise juhenddokumendid. Artikkel 19 Sobivus ELi salastatud teabe käitlemiseks ja säilitamiseks 1.Iga liidu institutsioon ja organ võib käidelda ja säilitada ELi salastatud teavet, kui on täidetud järgmised tingimused: a)ta kehtestab käesoleva määruse kohased eeskirjad ja menetlused, millega tagatakse asjaomase salastatuse tasemega teabe kaitse, ning b)institutsiooni või organisse on tehtud hindamiskülastus vastavalt artiklile 53 ja talle on seejärel väljastatud tõend, et ta suudab kaitsta ELi salastatud teavet vastavalt käesolevale määrusele ja vajaduse korral muudele asjakohastele õigus- ja menetlusnormidele. 2.Lõikes 1 sätestatud tingimused arvatakse artikli 7 lõike 1 punktis e osutatud ELi salastatud teabe jagamise ja vahetamise alltöörühma liikmete poolt vaikimisi täidetuks. Artikkel 20 ELi salastatud teabe kaitse 1.ELi salastatud teabe valdaja vastutab selle kaitsmise eest. 2.Kui liikmesriik edastab liidu institutsiooni või organi struktuuridesse või võrkudesse riigisisese salastusmärkega tähistatud salastatud teabe, kaitseb kõnealune institutsioon või organ seda teavet vastavalt asjaomasele salastatusmärkele, mis on sätestatud nõukogus kokku tulnud Euroopa Liidu liikmesriikide vahelises kokkuleppes, mis käsitleb Euroopa Liidu huvides vahetatava salastatud teabe kaitset. Asjaomane vastavustabel on esitatud käesoleva määruse VI lisas. 3.ELi salastatud teabe kogumi puhul võib vajalikuks osutuda kõrgemale salastatuse tasemele vastav kaitsetase kui selle üksikkomponentide puhul. Artikkel 21 ELi salastatud teabe turvariski juhtimise protsess 1.Iga liidu institutsiooni ja organi julgeolekuasutus kiidab heaks turvameetmed ELi salastatud teabe kaitsmiseks kogu selle kasutusaja jooksul vastavalt vastava liidu institutsiooni või organi poolt tehtud riskihindamise tulemustele.

2.Iga liidu institutsiooni ja organi võetavad turvameetmed on vastavuses käideldava ja säilitatava teabe salastatuse taseme, vormi ja hulgaga ning nende valduste asukoha ja turvaseadmetega, kus ELi salastatud teavet käideldakse ja säilitatakse, ning kohapeal antud hinnanguga kuritahtlikust või kriminaalsest tegevusest tulenevale ohule. 3.Kõik liidu institutsioonid ja organid kehtestavad: a)hädaolukorra lahendamise plaanid, et tagada ELi salastatud teabe turvalisus hädaolukordades; b)talitluspidevuse tagamise plaanid, sealhulgas ennetus- ja taastamismeetmed, et minimeerida ulatuslike rikete või turvaintsidentide mõju ELi salastatud teabe käitlemisele ja säilitamisele. Artikkel 22 Turvanõuete rikkumine ja ELi salastatud teabe ohtu sattumine 1.Liidu institutsiooni või organi või üksikisiku tegevust või tegevusetust, mis on vastuolus käesoleva määrusega, käsitatakse turvanõuete rikkumisena. 2.ELi salastatud teavet peetakse ohtu sattunuks, kui see on rikkumise tulemusel täielikult või osaliselt avaldatud ühele või mitmele isikule, kellel ei ole juurdepääsuõigust kõnealusele teabele. 3.Igast ELi salastatud teabe ohtu sattumisest või ohtu sattumise kahtlusest teatatakse viivitamata asjaomase liidu institutsiooni või organi julgeolekuasutusele, kes teeb julgeolekualase uurimise ja võtab vähemalt järgmised meetmed: a)teavitab teabe koostajat; b)tagab asjaolude kindlakstegemiseks juhtumi uurimise töötajate poolt, kes ei ole rikkumisega vahetult seotud; c)hindab liidu või liikmesriikide huvidele tekitatud võimalikku kahju; d)võtab sobivad meetmed sellise juhtumi kordumise ärahoidmiseks; e)teavitab pädevat asutust tegelikust või võimalikust ohtu sattumisest ja võetud meetmetest. 2. jagu

Töötajatega seotud julgeolek Artikkel 23 Aluspõhimõtted 1.Liidu institutsiooni või organi julgeolekuasutus võib anda üksikisikutele juurdepääsu ELi salastatud teabele, kui on täidetud kõik järgmised tingimused: a)isikul on tundmistarve; b)isikut on teavitatud ELi salastatud teabe kaitseks vajalikest turvaeeskirjadest ja menetlustest ning vastavatest turvastandarditest ja -suunistest ning ta on kirjalikult kinnitanud oma vastutust seoses kõnealuse teabe kaitsmisega;

c)CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabe puhul on isik läbinud julgeolekukontrolli ja saanud vastaval tasemel salastatud teabele juurdepääsu loa. 2.Liidu institutsioonid ja organid võtavad arvesse isiku lojaalsust ja usaldusväärsust, mis on kindlaks tehtud selle liikmesriigi pädeva asutuse tehtud julgeolekukontrolli käigus, mille kodanik taotleja on. 3.Liidu institutsioonid ja organid võivad aktsepteerida julgeolekukontrolli, mida teevad kolmandad riigid ja rahvusvahelised organisatsioonid, kellega liit on sõlminud salastatud teabe kaitse lepingu. 4.Liidu institutsioonid ja organid võivad viia julgeolekukontrolli menetlusi ellu iseseisvalt või sõlmida julgeolekukontrolli tegemiseks komisjoniga teenustaseme kokkuleppe. Teenustaseme kokkuleppe sõlmimise korral on kontaktisikuks julgeolekukontrolli küsimustes asjaomase liidu institutsiooni ja organi julgeolekuasutuse ja liikmesriikide pädevate asutuste vahel komisjoni julgeolekuasutus. 5.Iga liidu institutsiooni ja organi julgeolekuasutus peab arvestust oma julgeolekukontrolli, teavitustegevuste, kirjalike kinnituste ja ELi salastatud teabele juurdepääsu lubade kohta. 6.Komisjoniga teenustaseme kokkuleppe sõlmivad liidu institutsioonid ja organid teevad komisjoni julgeolekuasutusele kättesaadavaks asjakohased andmed vähemalt ELi salastatud teabe miinimumtaseme kohta, millele üksikisikule võidakse juurdepääsu lubada, ning ELi salastatud teabele juurdepääsu loa väljastamise kuupäeva ja selle kehtivusaja kohta. Kui see on põhjendatud, tehakse kõnealused andmed kättesaadavaks teistele liidu institutsioonidele ja organitele, kes on sõlminud teenustaseme kokkuleppe. Artikkel 24 ELi salastatud teabele juurdepääsu luba 1.Iga liidu institutsioon ja organ määrab oma organisatsioonis kindlaks need ametikohad, millega seotud tööülesannete täitmiseks on vajalik juurdepääs CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabele. 2.Kui isikule on vaja luba juurdepääsuks CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabele, teatab asjaomane institutsioon või organ sellest pädevale julgeolekuasutusele, kes täidab II lisa punktis 1 nõutud formaalsused. 3.Iga liidu institutsiooni ja organi julgeolekuasutus vastutab oma töötajatele ELi salastatud teabele juurdepääsu lubade andmise, nende kehtivuse peatamise ning nende tühistamise ja pikendamise eest. 4.Erandlikel asjaoludel, kui see on nõuetekohaselt põhjendatud asjaomase talituse huvidega ja enne täieliku julgeolekualase uurimise lõpulejõudmist, võib liidu institutsiooni või organi julgeolekuasutus anda üksikisikutele ajutise loa juurdepääsuks ELi salastatud teabele, mis on vajalik konkreetse ametikohaga seotud tööülesannete täitmiseks, ilma et see piiraks ELi salastatud teabele juurdepääsu loa pikendamist käsitlevate sätete kohaldamist ja pärast asjaomase riikliku julgeolekuasutuse poolset kontrolli. 5.Liidu institutsioonid ja organid järgivad II lisas sätestatud ELi salastatud teabele juurdepääsu lubade haldamise korda. Artikkel 25 ELi salastatud teabele juurdepääsu lubade tunnustamine 1.Kindlaksmääratud tasemel ELi salastatud teabele juurdepääsu luba kehtib igas liidu institutsioonis või organis, kuhu asjaomane isik on määratud. 2.Liidu institutsioonid ja organid aktsepteerivad teiste liidu institutsioonide või organite antud ELi salastatud teabele juurdepääsu lube. 3.Kui ELi salastatud teabele juurdepääsu loa valdaja asub tööle teises liidu institutsioonis või organis, teavitab see liidu institutsioon või organ pädeva julgeolekuasutuse kaudu asjaomast riiklikku julgeolekuasutust tööandja muutumisest. Artikkel 26

ELi salastatud teabe alane teavitamine 1.Liidu institutsiooni või organi julgeolekuasutus teavitab kõiki isikuid, kellel on vaja juurdepääsu ELi salastatud teabele, kõikidest turvalisust ähvardavatest ohtudest ja kohustusest teatada igast kahtlasest tegevusest. Teavitamine toimub enne ELi salastatud teabele juurdepääsu andmist ja seejärel vähemalt iga viie aasta tagant. 2.Pärast lõikes 1 osutatud teavitamist kinnitavad kõik asjaomased isikud kirjalikult, et nad mõistavad oma kohustusi seoses ELi salastatud teabe kaitsmisega ning on teadlikud tagajärgedest, mis kaasnevad ELi salastatud teabe ohtu sattumisega. 3.Lõikes 1 osutatud teavitamine hõlmab järgmist teavet: a)iga isiku suhtes, kes on vastutav käesolevas määruses sätestatud turbe-eeskirjade rikkumise eest, võidakse kohaldada distsiplinaarmeetmeid vastavalt kohaldatavatele õigus- ja haldusnormidele; b)iga isiku suhtes, kes on vastutav ELi salastatud teabe ohtu sattumise või kadumise eest, võidakse kohaldada distsiplinaar- või õiguslikke meetmeid vastavalt kohaldatavatele õigus- ja haldusnormidele. 4.Kui isikud, kellele on antud juurdepääsuluba ELi salastatud teabele, ei vaja enam sellist juurdepääsu, tagavad liidu institutsioonid ja organid, et kõnealuseid isikuid teavitatakse nende kohustustest jätkuvalt kaitsta ELi salastatud teavet ja vajaduse korral kinnitavad nad seda kirjalikult. 5.ELi salastatud teavet käsitleva infosisu koostamise ja haldamise ülesande võib jagada liidu institutsioonide ja organite vahel tingimusel, et võetakse arvesse nende erinõudeid. 3. jagu

Füüsiline julgeolek Artikkel 27 Aluspõhimõtted 1.Iga liidu institutsioon ja organ määrab vastavalt III lisale ja mitmekihilise kaitse põhimõttele kindlaks oma tegevuskohale sobivad füüsilise julgeoleku meetmed, tuginedes oma julgeolekuasutuse tehtud riskihindamisele. Meetmetega tagatakse järgmised eesmärgid: a)välistada juurdepääs ELi salastatud teabele või jõuga sissetung; b)hoida ära, tõkestada ja avastada lubamatud toimingud ja reageerida turvaintsidentidele võimalikult kiiresti; c)võimaldada töötajate eristamist nende juurdepääsul ELi salastatud teabele tundmistarbe põhimõtte ja vajaduse korral julgeolekukontrolli alusel. 2.Liidu institutsioonid ja organid kehtestavad füüsilise julgeoleku meetmed kõigis tegevuskohtades, kus arutatakse, säilitatakse või käideldakse ELi salastatud teavet, sealhulgas käesoleva peatüki 5. jaos osutatud aladel, kus asuvad side- ja infosüsteemid. 3.CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabe füüsiliseks kaitsmiseks kasutatakse ainult liidu institutsiooni või organi julgeolekuasutuse heakskiidetud turvaseadmeid. 4.Liidu institutsioonid ja organid võivad jagada III lisas osutatud turvaalasid ELi salastatud teabe käitlemiseks ja säilitamiseks, kui nad on sõlminud vastavasisulise kokkuleppe. Artikkel 28 Füüsilise julgeoleku alltöörühm

1.Artikli 7 lõike 1 punktis c osutatud füüsilise julgeoleku alltöörühmal on järgmised ülesanded ja kohustused: a)füüsilise julgeolekuga seotud juhenddokumentide koostamine; b)ELi salastatud teabe füüsiliseks kaitseks vajalike seadmete (nt seifid, paberipurustajad, ukselukud, elektroonilised juurdepääsu kontrollimise süsteemid, sissetungi avastamise süsteemid, häiresüsteemid) hankimise üldiste turvalisuskriteeriumide kindlaksmääramine; c)liidu institutsioonide ja organite abistamine asjakohaste turvameetmete kindlaksmääramisel nende tegevuskohtade jaoks; d)ettepanekute tegemine kompenseerivate meetmete võtmiseks ELi salastatud teabe kaitseks, kui ELi salastatud teavet käideldakse väljaspool liidu institutsiooni või organi füüsiliselt kaitstud alasid. Artikkel 29 ELi salastatud teabe füüsiline kaitse 1.ELi salastatud teabe füüsilise kaitse tagamiseks loovad liidu institutsioonid ja organid järgmised füüsiliselt kaitstud alad: a)III lisas osutatud haldustegevuse alad; b)vajaduse korral turvaalad, sealhulgas I klassi, II klassi ja tehniliselt kaitstud turvaalad, nagu on osutatud III lisas. 2.Asjaomase liidu institutsiooni või organi julgeolekuasutus teeb sisekontrolli, et kontrollida, kas III lisas sätestatud tingimused haldustegevuse alaks või turvaalaks määramiseks on täidetud. Kui kontrolliaruandest selgub, et tingimused on täidetud, võib julgeolekuasutus anda turvaalale akrediteeringu kuni viieks aastaks, et kaitsta kindlaksmääratud salastatuse tasemel ELi salastatud teavet. Asjaomase liidu institutsiooni või organi julgeolekuasutus vastutab oma turvaalade uuesti akrediteerimise eest enne akrediteeringu kehtivuse lõppemist või alati, kui akrediteeritud alal on tehtud muudatusi. 3.Iga liidu institutsioon ja organ võtab vastu ametiruumide, muude ruumide, turvakambrite ja seifide võtmete ja koodide haldamise korra CONFIDENTIEL UE/EU-CONFIDENTIAL ja kõrgemal tasemel salastatud teabe jaoks. 4.Julgeolekuasutus võib lubada korraldada sisse- ja väljapääsudes läbiotsimisi, et takistada loata esemete sissetoomist tegevuskohtadesse või sealt ELi salastatud teabe loata väljaviimist. 5.Liidu institutsioonid ja organid kehtestavad ELi salastatud teabe füüsilise kaitse meetmed kooskõlas III lisaga. 4. jagu

ELi salastatud teabe haldamine Artikkel 30 Aluspõhimõtted 1.Liidu institutsioonid ja organid registreerivad, arhiveerivad, säilitavad kuni hilisema kõrvaldamiseni, valivad välja või viivad oma ELi salastatud teabe dokumendid asjaomastesse arhiividesse vastavalt iga liidu institutsiooni ja organi dokumentide säilitamise põhimõtetele ja eeskirjadele. 2.Iga liidu institutsioon ja organ, kes on ELi salastatud teabe koostaja, määrab teabe loomisel kindlaks selle teabe salastatuse taseme kooskõlas artikli 18 lõikega 1.

3.Liidu institutsioonid ja organid teatavad adressaatidele selgelt salastatuse taseme kas salastusmärke või teadaandega, kui teave edastatakse suuliselt. 4.Originaaldokumendi suhtes kohaldatavaid turvameetmeid rakendatakse ka selle dokumendi kavandite, koopiate ja tõlgete suhtes. 5.Liidu institutsioonid ja organid kehtestavad ELi salastatud teabe haldamise meetmed kooskõlas IV lisaga. Artikkel 31 ELi salastatud dokumentide koostamine 2. Liidu institutsioonid ja organid, kelle volitusel ELi salastatud dokument koostatakse, tagavad järgmiste nõuete täitmise: a)dokumendi igale leheküljele märgitakse selgelt salastatuse tase; b)dokumendi iga lehekülg nummerdatakse; c)dokumendile märgitakse viitenumber, vajaduse korral registreerimisnumber ja teema, mis iseenesest ei ole ELi salastatud teave, välja arvatud juhul, kui see on sellisena tähistatud; d)dokumendile märgitakse selle koostamise kuupäev; e)võimaluse korral loetletakse esimesel leheküljel kõik lisad ja manused; f)SECRET UE/EU SECRET ja kõrgemal tasemel salastatud dokumentidele märgitakse koopia number selle igale leheküljele, kui antakse välja mitu koopiat. Väljaspool hoiusüsteemi levitatavatele elektroonilistele koopiatele märgitakse elektroonilisel allkirjal põhinev kordumatu tunnuskood. Artikkel 32 Teabe koostaja kontroll 1.Liidu institutsioon või organ, kelle volitusel ELi salastatud teabe dokument koostatakse, rakendab koostaja kontrolli selle dokumendi üle. Teabe koostaja määrab dokumendi salastatuse taseme ja vastutab selle esialgse levitamise eest. Ilma et see piiraks määruse (EÜ) nr 1049/2001 kohaldamist, hangitakse teabe koostaja eelnev kirjalik nõusolek enne: a)teabe salastatuse kustutamist või salastatuse taseme alandamist; b)teabe kasutamist muudel kui koostaja määratud eesmärkidel; c)teabe edastamist mis tahes üksusele väljaspool seda liidu institutsiooni või organit, kelle valduses teave on, sealhulgas kolmandale riigile või rahvusvahelisele organisatsioonile, teisele liidu institutsioonile või organile, liikmesriikidele, lepinglasele või tulevasele lepinglasele, toetusesaajale või tulevasele toetusesaajale; d)TRES SECRET-UE/EU-TOP SECRET tasemel salastatud teabe kopeerimist ja tõlkimist. 2.Kui ELi salastatud teabe dokumendi koostajat ei ole võimalik kindlaks teha, teostab koostaja kontrolli selle üle liidu institutsioon või organ, kelle valduses kõnealune salastatud teave on.

3.ELi salastatud teavet sisaldava dokumendi koostajad säilitavad andmed salastatud dokumentide koostamisel kasutatud salastatud allikate kohta, sealhulgas selliste allikate kohta, mis algselt pärinevad liikmesriikidest, rahvusvahelistest organisatsioonidest või kolmandatest riikidest. Vajaduse korral tähistatakse koondatud salastatud teave viisil, mis võimaldab kasutatud salastatud allikmaterjali koostajad endiselt kindlaks teha. Artikkel 33 Salastusmärked 1.Vajaduse korral võivad ELi salastatud teavet sisaldavad dokumendid lisaks ühele salastusmärkele kanda täiendavat märget, nagu levitamise või avaldatavuse märge või koostaja nimi. 2.ELi salastatud teavet sisaldava dokumendi eri osad võivad vajada erineval tasemel salastamist ning need tähistatakse vastavalt. Dokumendi või faili üldine salastatuse tase peab olema vähemalt sama kõrge kui selle kõrgeima salastatuse tasemega osal. 3.Erinevatel tasemetel salastatud osi sisaldav dokument liigendatakse selliselt, et selle erinevatel tasemetel salastatud osad on kergesti tuvastatavad ja vajaduse korral eraldatavad ülejäänud dokumendist. Artikkel 34 ELi salastatud teabe registrite süsteem 1.Kõik liidu institutsioonid ja organid, kes käitlevad ja säilitavad CONFIDENTIEL UE/EU CONFIDENTIEL või kõrgemal tasemel salastatud teavet, loovad ühe või mitu ELi salastatud teabe registrit, et tagada teabe julgeolekukaalutlustel registreerimine, kui see saabub liidu institutsiooni või organisse või kui see sealt välja saadetakse. 2.Kõik ELi salastatud teabe registrid luuakse III lisas osutatud turvaaladel. 3.Liidu institutsioonid ja organid määravad iga ELi salastatud teabe registri haldamiseks registri kontrolliametniku. Registri kontrolliametnik peab olema läbinud asjakohase julgeolekukontrolli ja tal peab olema artikli 24 kohane luba. Kõik liidu institutsioonid ja organid tagavad oma registri kontrolliametniku nõuetekohase koolituse. Artikkel 35 Salastatuse taseme alandamine ja salastatuse kustutamine 1.Teave on salastatud üksnes niikaua, kuni see vajab kaitset. Kui ELi salastatud teave ei vaja enam algsel tasemel salastatust, alandatakse selle salastatuse taset. Kui ELi salastatud teavet ei peeta enam salastatuks, siis selle salastatus kustutatakse. 2.ELi salastatud teabe koostamise ajal märgib koostaja võimaluse korral ning eelkõige RESTREINT UE/EU RESTRICTED tasemel salastatud teabe puhul, kas ELi salastatud teabe salastatuse taset võib teataval kuupäeval või konkreetse sündmuse järel alandada või selle teabe salastatuse kustutada. 3.ELi salastatud teavet sisaldava dokumendi koostanud liidu institutsioon või organ otsustab, kas alandada teabe salastatuse taset või teabe salastatus kustutada. Ta kontrollib teavet ja hindab riske regulaarselt ja vähemalt iga viie aasta tagant, et teha kindlaks, kas algne salastatuse tase on endiselt asjakohane. 4.Liidu institutsioonid ja organid, kelle valduses on ELi salastatud teave, mis ei ole nende koostatud, ei saa kõnealuse dokumendi salastatuse taset alandada ega salastatust kustutada ega muuta või kõrvaldada artikli 18 lõikes 1 osutatud märkeid ilma teabe koostaja eelneva kirjaliku nõusolekuta. 5.Liidu institutsioonid ja organid võivad enda koostatud ELi salastatud teabe salastatuse taset osaliselt alandada või salastatuse osaliselt kustutada. Sellisel juhul koostatakse alandatud salastatuse tasemega väljavõte või väljavõte, mis ei ole salastatud. 6.Liidu institutsioonid ja organid teatavad ELi salastatud teavet vastuvõtvale organisatsioonile selle salastatuse taseme alandamisest või selle salastatuse kustutamisest. Artikkel 36

Märked dokumentidel, mille salastatuse taset on alandatud või mille salastatus on kustutatud 1.Kui liidu institutsioonid ja organid otsustavad ELi salastatud teavet sisaldava dokumendi salastatuse taset alandada, kaalutakse, kas see peab kandma tundliku, kuid salastamata teabe levitamise märget. 2.Algne salastusmärge iga lehekülje ülemises ja alumises servas kriipsutatakse silmatorkavalt läbi: elektrooniliste vormingute puhul läbikriipsutusfunktsiooni kasutades ja väljatrüki puhul käsitsi. Algset salastusmärget ei eemaldata. 3.Esimesele leheküljele või tiitellehele lüüakse salastatuse taseme alandamise või salastatuse kustutamise tempel ning lisatakse salastatuse taseme alandamise või salastatuse kustutamise eest vastutava asutuse andmed ja vastav kuupäev. ELi salastatud teavet sisaldavate elektrooniliste dokumentide salastatuse taseme alandamist või salastatuse kustutamist tõendatakse elektroonilise allkirjaga, mis antakse teabe koostaja volitusel. Artikkel 37 ELi salastatud teabe hävitamine ja kustutamine 1.Liidu institutsioonid ja organid vaatavad vähemalt iga viie aasta tagant läbi nii paberil kui ka side- ja infosüsteemides oleva ELi salastatud teabe, et otsustada, kas see tuleb hävitada või kustutada. ELi salastatud teabe hävitamisel või kustutamisel teatavad nad sellest kõigile, kes on varem saanud kõnealuse ELi salastatud teabe. 2.Liidu institutsioonid ja organid võivad hävitada ELi salastatud teabe duplikaadid, mida enam ei vajata, võttes arvesse originaalide suhtes kohaldatavaid asjakohaseid dokumendihalduseeskirju. 3.Liidu institutsioonid ja organid hävitavad ainult sellise teabe paberkoopiad, mille registri kontrolliametnik on liigitanud CONFIDENTIEL UE/EU CONFIDENTIAL või kõrgemal tasemel salastatud teabeks. Registri kontrolliametnik ajakohastab vastavalt registreerimisraamatuid ja muid registreerimisandmeid, säilitades hävitatud dokumendi olulised metaandmed. SECRET UE/EU SECRET tasemel salastatud dokumendid hävitab ainult registri kontrolliametnik tunnistaja juuresolekul, kes on läbinud vähemalt hävitatava dokumendi salastatuse tasemele vastava julgeolekukontrolli. 4.Registri kontrolliametnik ja vajaduse korral tunnistaja kirjutavad alla dokumendi hävitamisaktile, mis antakse hoiule registrisse. CONFIDENTIEL UE/EU CONFIDENTIAL ja SECRET-UE/EU-SECRET tasemel salastatud dokumentide hävitamisakte säilitatakse vähemalt viis aastat ja TRES SECRET-UE/EU-TOP SECRET tasemel salastatud dokumentide hävitamisakte vähemalt kümme aastat. Artikkel 38 ELi salastatud teabe evakueerimine ja hävitamine hädaolukorras 1.Iga liidu institutsioon ja organ töötab välja kohalikel oludel põhinevad plaanid, mille alusel evakueeritakse ja hävitatakse hädaolukorras ELi salastatud teavet, mida on vaja kaitsta, sest on suur oht, et see võib sattuda kõrvaliste isikute kätte. Hädaolukorras evakueerimise ja hävitamise plaanide rakendamise üksikasjad on samuti RESTREINT UE/EU RESTRICTED tasemel salastatud teave. 2.Hädaolukorras, kus esineb ELi salastatud teabe otsene loata avalikustamise oht, evakueerivad liidu institutsioonid ja organid ELi salastatud teabe. Kui evakueerimine ei ole võimalik, hävitatakse ELi salastatud teave viisil, mis teeb võimatuks selle tervikliku või osalise taastamise. 3.Teabe koostajat ja päritoluregistrit teavitatakse registreeritud ELi salastatud teabe evakueerimisest või hävitamisest hädaolukorra tõttu. 4.Kui hädaolukorra lahendamise plaan on ellu kutsutud, evakueeritakse või hävitatakse kõigepealt kõrgema salastatuse tasemega ELi salastatud teave, sealhulgas šifreerimisvahendid. Artikkel 39

Arhiveerimine 1.Liidu institutsioonid ja organid otsustavad vastavalt oma dokumendihalduse põhimõtetele, kas ja millal ELi salastatud teavet arhiveerida ning millised on selleks võetavad meetmed. 2.ELi salastatud dokumente ei saadeta Euroopa Liidu ajalooarhiivi. 5. jagu

ELi salastatud teabe kaitse side- ja infosüsteemides Artikkel 40 ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise alltöörühm Artikli 7 lõike 1 punktis d osutatud ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise alltöörühmal on järgmised ülesanded ja kohustused: a)liidu institutsioonide ja organite abistamine akrediteerimisprotsessis; b)akrediteerimisstandardi soovitamine, mida kõik liidu institutsioonid ja organid peaksid järgima; c)side- ja infosüsteemide akrediteerimise parimate tavade ja suuniste levitamine ja jagamine. Artikkel 41 Side- ja infosüsteemid Liidu institutsioonid ja organid järgivad ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemidega seoses järgmisi nõudeid: a)süsteemi omanik või infokindluse rakendusasutus konsulteerib turvalisuse akrediteerimise asutusega enne ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemi arendamist, hankimist või töölerakendamist, et määrata kindlaks akrediteerimisnõuded; b)ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemi kavandamise peamisi turvapõhimõtteid kohaldatakse alates projekti algatamisest osana infoturberiski juhtimise protsessist ning võttes arvesse tundmistarvet, minimaalset funktsionaalsust, mitmekihilist kaitset, minimaalõiguste printsiipi, ülesannete lahusust ja kahemehereeglit; c)ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemi salvestus-, kesktöötlus- ja võrguhalduskomponendid paigaldatakse III lisas osutatud turvaalale; d)rakendatakse TEMPESTi turvameetmeid, mis on vastavuses teabe kasutusriski ja salastatuse tasemega; e)kõik töötajad, kes osalevad ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemi käitamises, teavitavad julgeolekuasutust ja süsteemi omanikku või infokindluse rakendusasutust igast võimalikust turvaaugust, intsidendist, turvanõuete rikkumisest või süsteemi ohtu sattumisest, mis võib mõjutada side- ja infosüsteemi või selles sisalduva ELi salastatud teabe kaitset; f)vajaduse korral teavitab julgeolekuasutus teiste asjaomaste liidu institutsioonide ja organite julgeolekuasutusi võimalikest turvaaukudest või -intsidentidest, mis võivad mõjutada nende side- ja infosüsteeme, mida kasutatakse ELi salastatud teabe käitlemiseks ja säilitamiseks. Artikkel 42

Krüptovahendid 1.ELi salastatud teabe elektrooniliseks edastamiseks ja säilitamiseks kasutatakse heakskiidetud krüptovahendeid. Nõukogu koostab heakskiidetud krüptovahendite loetelu riiklikelt julgeolekuasutustelt saadud andmete põhjal. 2.Kui lõikes 1 osutatud loetelu ei sisalda ühtegi ettenähtud otstarbeks sobivat vahendit, taotleb asjaomase liidu institutsiooni või organi krüptovahendite heakskiitmise asutus nõukogult ajutist heakskiitu. Võimaluse korral valitakse krüptovahend, mille on heaks kiitnud liikmesriigi riiklik julgeolekuasutus. Nõukogu võtab vajalikud meetmed, et tagada sobiva vahendi lisamine loetellu. 3.Krüptovahendite heakskiit kehtib maksimaalselt viis aastat ja vaadatakse seejärel igal aastal läbi. 4.Nõukogu eemaldab heakskiidetud krüptovahendite loetelust kõik krüptovahendid, mille riiklik heakskiit on tühistatud või mille kehtivusaeg on lõppenud. 5.Koordineerimisrühm teavitab nõukogu igal aastal kõigist krüptovahenditest, mida ta soovitab liidu institutsioonides ja organites tehtud uuringu põhjal liikmesriigi krüptovahendite heakskiitmise asutusel hinnata. Artikkel 43 ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimine 1.ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimisega kinnitavad liidu institutsioonid ja organid, et kooskõlas käesoleva määrusega on rakendatud kõiki asjakohaseid turvameetmeid ning on saavutatud ELi salastatud teabe ning side- ja infosüsteemi piisava tasemega kaitse. 2.Side- ja infosüsteemi omanik või infokindluse rakendusasutus vastutab akrediteerimistoimikute ja dokumentatsiooni, sealhulgas eri liiki kasutajatele mõeldud käsiraamatute koostamise eest. 3.Iga liidu institutsiooni ja organi turvalisuse akrediteerimise asutus vastutab kõigi tema vastutusalas olevate side- ja infosüsteemide akrediteerimisprotsessi kehtestamise eest koos selgete tingimustega, mis vajavad heakskiitu. 4.Kui side- ja infosüsteemi käitlemine ja säilitamine hõlmab nii liidu institutsioone ja organeid kui ka riiklikke julgeolekuasutusi, loovad asjaomased liidu institutsioonid ja organid artikli 8 lõike 2 kohaselt vastu võetavate rakenduseeskirjadega süsteemi akrediteerimise eest vastutava ühise turvalisuse akrediteerimise nõukogu. Sellesse ametisse kuuluvad asjaosaliste turvalisuse akrediteerimise asutuse esindajad ja selle tööd juhib side- ja infosüsteemi omanikuks oleva liidu institutsiooni või organi turvalisuse akrediteerimise asutus. Artikkel 44 ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemide akrediteerimise protsess 1.Kõik ELi salastatud teabe käitlemise ja säilitamise side- ja infosüsteemid läbivad akrediteerimisprotsessi, mis tugineb infokindluse põhimõtetele ja mille põhjalikkus vastab nõutud kaitsetasemele. 2.Akrediteerimisprotsessi tulemusena väljastatakse akrediteerimisteatis, milles määratakse kindlaks selle teabe maksimaalne salastatuse tase, mida side- ja infosüsteemis võib käidelda ja säilitada, ning vastavad tingimused. Akrediteerimisteatis põhineb riskihindamise ning asjaomase side- ja infosüsteemi suhtes rakendatud turvameetmete ametlikul kinnitamisel, andes kindluse järgmiste elementide suhtes: a)infoturberiski juhtimise protsess on ellu viidud nõuetekohaselt; b)süsteemi omanik või riskiomanik on teadlikult jääkriski aktsepteerinud; c)kooskõlas käesoleva määrusega on saavutatud side- ja infosüsteemi ning selle abil käideldava ja säilitatava ELi salastatud teabe piisava tasemega kaitse.

3.Akrediteerimisteatise valideerib ametlikult liidu institutsiooni või organi turvalisuse akrediteerimise asutus. Pärast edukat valideerimist väljastab turvalisuse akrediteerimise asutus käitamisloa, milles määratakse kindlaks selle ELi salastatud teabe maksimaalne salastatuse tase, mida side- ja infosüsteemis võib käidelda, ning vastavad käitamistingimused. Luba antakse kindlaksmääratud ajavahemikuks. Kui ühte või mitut nõutavat turvameedet ei ole rakendatud, kuid see ei mõjuta eriti üldist turvalisust, võidakse anda ajutine käitamisluba, milles täpsustatakse, mida tuleb parandada. 4.Asjaomase liidu institutsiooni või organi turvalisuse akrediteerimise asutus võib mis tahes ajal side- ja infosüsteemi kasutusaja jooksul võtta järgmisi meetmeid: a)kohaldada akrediteerimisprotsessi; b)auditeerida või kontrollida side- ja infosüsteemi; c)juhul kui käitamistingimused ei ole enam täidetud, näiteks on turvaintsidendi käigus ilmnenud side- ja infosüsteemis märkimisväärne turvaauk, nõuda turvalisuse tõhustamise kava koostamist ja tulemuslikku elluviimist kindlaksmääratud aja jooksul, tühistades vajaduse korral side- ja infosüsteemi käitamise loa, kuni käitamistingimused on täidetud. 5.Süsteemi omanik või infokindluse rakendusasutus esitab igal aastal käitamisloa kehtivusaja jooksul turvalisuse akrediteerimise asutusele ametliku aruande, mis sisaldab kokkuvõtet kõigist olulistest intsidentidest, muudatustest ja riskiteguritest. Artikkel 45 Erakorralised asjaolud 1.Liidu institutsioonid ja organid võivad hädaolukorras, nagu ähvardava või reaalse kriisi, konflikti, sõjaolukorra või erandlike tegutsemistingimuste korral kohaldada pärast oma krüptovahendite heakskiitmise asutuselt loa saamist erimenetlusi ELi salastatud teabe edastamiseks või säilitamiseks. 2.Lõikes 1 nimetatud olukorras võib pädeva asutuse nõusolekul ELi salastatud teavet edastada madalama salastatuse taseme jaoks heakskiidetud krüptovahendeid kasutades või krüpteerimata kujul, kui mis tahes viivitus põhjustaks selgelt suuremat kahju kui salastatud materjali avalikuks saamisega kaasnev kahju ning kui on täidetud järgmised tingimused: a)teabe saatja ja saaja käsutuses ei ole nõutavat krüptoseadet; b)salastatud materjali õigeaegne edastamine ei ole muude vahendite abil võimalik. 3.Lõikes 2 kirjeldatud asjaoludel edastatud salastatud teavet ei tähistata märgete või tunnustega, mis eristavad seda salastamata teabest või teabest, mida on võimalik kaitsta olemasoleva krüptovahendiga. Teabe saajaid teavitatakse salastatuse tasemest viivitamata muude vahendite abil. 4.Hiljem esitatakse asjaomasele julgeolekuasutusele aruanne ELi salastatud teabe edastamise kohta lõikes 1 osutatud asjaoludel. 6. jagu

Tööstusjulgeolek Artikkel 46 Aluspõhimõtted 1.Iga liidu institutsioon või organ kui lepingu või toetuslepingu sõlmija tagab, et salastatud lepingutes või toetuslepingutes viidatakse käesolevas jaos sätestatud tööstusjulgeoleku miinimumnõuetele ning V lisas sätestatud ELi salastatud teabe kaitsmise tingimustele salastatud lepingutes ja toetuslepingutes või need lisatakse salastatud lepingutesse või toetuslepingutesse ning neid järgitakse salastatud lepingute või toetuslepingute sõlmimisel. 2.Tööstusjulgeolek tähendab meetmete kohaldamist selleks, et tagada ELi salastatud teabe kaitsmine järgmiste isikute või üksuste poolt: a)eelarve otsesel täitmisel salastatud lepingute raames järgmiste isikute poolt:

i)kandidaadid ja pakkujad kogu hankemenetluse ja lepingu sõlmimise menetluse vältel; ii)lepinglased ja all-lepinglased kogu salastatud lepingute kehtivusaja jooksul;