02013D0488 — FI — 30.12.2019 — 002.001

Tämä asiakirja on ainoastaan dokumentoinnin apuväline eikä sillä ole oikeudellista vaikutusta. Unionin toimielimet eivät vastaa sen sisällöstä. Säädösten todistusvoimaiset versiot on johdanto-osineen julkaistu Euroopan unionin virallisessa lehdessä ja ne ovat saatavana EUR-Lexissä. Näihin virallisiin teksteihin pääsee suoraan tästä asiakirjasta siihen upotettujen linkkien kautta.

►B NEUVOSTON PÄÄTÖS, annettu 23 päivänä syyskuuta 2013, EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista turvallisuussäännöistä (2013/488/EU) (EUVL L 274 15.10.2013, s. 1)

Muutettu:









▼B

NEUVOSTON PÄÄTÖS,

annettu 23 päivänä syyskuuta 2013,

EU:n turvallisuusluokiteltujen tietojen suojaamista koskevista turvallisuussäännöistä

(2013/488/EU)







1 artikla

Kohde, soveltamisala ja määritelmät

1. Tällä päätöksellä säädetään EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat perusperiaatteet ja vähimmäisvaatimukset.

2. Näitä perusperiaatteita ja vähimmäisvaatimuksia sovelletaan neuvostoon ja neuvoston pääsihteeristöön, jäljempänä ’pääsihteeristö’, ja jäsenvaltioiden on noudatettava niitä kansallisten lakiensa ja asetustensa mukaisesti, jotta kaikki osapuolet voivat olla vakuuttuneita siitä, että EU:n turvallisuusluokiteltujen tietojen suojaamisessa noudatetaan vastaavaa tasoa.

3. Tässä päätöksessä sovelletaan lisäyksessä A säädettyjä määritelmiä.

2 artikla

EU:n turvallisuusluokiteltujen tietojen määrittely, turvallisuusluokat ja merkinnät

1. ’EU:n turvallisuusluokitelluilla tiedoilla’ tarkoitetaan mitä tahansa tietoja tai aineistoja, joille on määritelty EU:n turvallisuusluokka ja joiden luvaton ilmitulo saattaisi vaihtelevassa määrin vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion etuja.

2. EU:n turvallisuusluokitellut tiedot jaetaan seuraaviin turvallisuusluokkiin:

a) TRÈS SECRET UE/EU TOP SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa poikkeuksellisen vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja;

b) SECRET UE/EU SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa vakavasti Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja;

c) CONFIDENTIEL UE/EU CONFIDENTIAL: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion olennaisia etuja;

d) RESTREINT UE/EU RESTRICTED: tiedot ja aineistot, joiden luvattomasta ilmitulosta saattaisi olla haittaa Euroopan unionin tai yhden tai useamman jäsenvaltion eduille.

3. EU:n turvallisuusluokiteltuihin tietoihin lisätään turvallisuusluokitusmerkintä 2 kohdan mukaisesti. Niissä voi olla myös muita merkintöjä, jotka liittyvät toimialaan, jota tiedot koskevat, tai joilla ilmoitetaan luovuttaja, rajoitetaan jakelua, rajoitetaan käyttöä tai ilmoitetaan luovutettavuus.

3 artikla

Turvallisuusluokittelun hallinnointi

1. Toimivaltaisten viranomaisten on varmistettava, että EU:n turvallisuusluokitellut tiedot on asianmukaisesti turvallisuusluokiteltu, että ne on selkeästi määritelty turvallisuusluokitelluiksi tiedoiksi ja että niiden turvallisuusluokka säilytetään vain niin kauan kuin se on tarpeen.

2. EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa ei saa alentaa eikä poistaa eikä niissä olevia 2 artiklan 3 kohdassa tarkoitettuja merkintöjä saa muuttaa eikä poistaa ilman tietojen luovuttajan kirjallista etukäteissuostumusta.

3. Neuvosto hyväksyy EU:n turvallisuusluokiteltujen tietojen tuottamisessa noudatettavat turvallisuusperiaatteet, joihin sisältyy käytännön turvallisuusluokitusopas.

4 artikla

Turvallisuusluokiteltujen tietojen suojaaminen

1. EU:n turvallisuusluokiteltujen tietojen suojaamisessa on noudatettava tätä päätöstä.

2. Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on vastuussa sen suojaamisesta tämän päätöksen mukaisesti.

3. Jäsenvaltioiden tuodessa unionin rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, neuvosto ja neuvoston pääsihteeristö noudattavat kyseisten tietojen suojaamisessa vastaavan tason EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia lisäyksessä B olevan turvallisuusluokkien vastaavuustaulukon mukaisesti.

4. EU:n turvallisuusluokiteltujen tietojen kooste voi edellyttää korkeampaan turvallisuusluokkaan sovellettavaa suojaa kuin sen yksittäisten osien suoja.

5 artikla

Turvallisuusriskien hallinta

1. EU:n turvallisuusluokiteltuihin tietoihin kohdistuvia riskejä on hallittava prosessina. Prosessissa on pyrittävä määrittelemään tunnetut turvallisuusriskit ja turvatoimet niiden vähentämiseksi hyväksyttävälle tasolle tässä päätöksessä säädettyjen perusperiaatteiden ja vähimmäisvaatimusten mukaisesti sekä soveltamaan kyseisiä turvatoimia lisäyksessä A määritellyn syvyyssuuntaisen turvallisuuden käsitteen pohjalta. Turvatoimien tehokkuutta on arvioitava jatkuvasti.

2. Turvatoimet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi koko niiden elinkaaren ajan on suhteutettava erityisesti tietojen tai aineistojen turvallisuusluokitukseen, muotoon ja määrään, EU:n turvallisuusluokiteltujen tietojen sijoitustilojen sijaintiin ja rakentamiseen sekä paikallisesti arvioituun vihamielisen ja/tai rikollisen toiminnan uhkaan, vakoilu, sabotaasi ja terrorismi mukaan luettuina.

3. Varautumissuunnitelmissa on otettava huomioon tarve suojata EU:n turvallisuusluokitellut tiedot hätätilanteissa, jotta estetään luvaton pääsy tietoihin, tietojen ilmitulo tai niiden eheyden tai käytettävyyden menettäminen.

4. Toiminnan jatkuvuussuunnitelmiin on sisällytettävä ennalta ehkäiseviä ja korjaavia toimenpiteitä, jotta minimoitaisiin merkittävien toimintahäiriöiden tai poikkeuksellisten tapahtumien vaikutukset EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen.

6 artikla

Tämän päätöksen täytäntöönpano

1. Neuvosto hyväksyy turvallisuuskomitean suosituksesta tarvittaessa turvallisuusperiaatteita, joissa esitetään toimenpiteitä tämän päätöksen panemiseksi täytäntöön.

2. Turvallisuuskomitean tasolla voidaan hyväksyä turvallisuutta koskevia suuntaviivoja, joilla täydennetään tai tuetaan tätä päätöstä ja neuvoston mahdollisesti hyväksymiä turvallisuusperiaatteita.

7 artikla

Henkilöstöturvallisuus

1. Henkilöstöturvallisuudella tarkoitetaan toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin myönnetään ainoastaan henkilöille

— joilla on tiedonsaantitarve (need-to-know),

— joille on tarvittaessa tehty asianmukaisen tason turvallisuusselvitys, ja

— joille on tiedotettu heidän vastuustaan.

2. Henkilöturvallisuusselvitystä koskevien menettelyjen tarkoituksena on selvittää, voidaanko henkilölle hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin.

3. Kaikista pääsihteeristössä työskentelevistä henkilöistä, joilla on tehtäviensä suorittamiseksi oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin tai joiden on käsiteltävä niitä, on tehtävä asianmukaisen tason turvallisuusselvitys, ennen kuin heille myönnetään pääsy kyseisiin EU:n turvallisuusluokiteltuihin tietoihin. Kyseisillä henkilöillä on oltava neuvoston pääsihteeristön nimittävän viranomaisen valtuutus päästä EU:n turvallisuusluokiteltuihin tietoihin tiettyyn turvallisuusluokkaan ja tiettyyn päivämäärään saakka.

4. Jäljempänä 15 artiklan 3 kohdassa tarkoitetusta jäsenvaltioiden henkilöstöstä, joiden tehtävien suorittaminen voi edellyttää pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuihin tietoihin, on tehtävä asianmukaisen tason turvallisuusselvitys tai heillä on oltava tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen asianmukainen valtuutus, ennen kuin heille myönnetään pääsy kyseisiin EU:n turvallisuusluokiteltuihin tietoihin.

5. Kaikille henkilöille on selvitettävä heidän vastuunsa ja heidän on annettava vakuutus vastuustaan suojata EU:n turvallisuusluokitellut tiedot tämän päätöksen mukaisesti, ennen kuin heille myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin; tämä on uusittava säännöllisin väliajoin.

6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä I.

8 artikla

Fyysinen turvallisuus

1. Fyysisellä turvallisuudella tarkoitetaan fyysisten ja teknisten suojatoimenpiteiden toteuttamista niin, että estetään luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin.

2. Fyysisten turvatoimien tarkoituksena on estää tunkeutuminen salaa tai väkisin, ehkäistä, estää ja havaita luvattomat toimet ja mahdollistaa henkilöstön luokitus ja pääsy EU:n turvallisuusluokiteltuihin tietoihin sen perusteella, mikä heidän tiedonsaantitarpeensa on. Tällaiset toimet on määriteltävä riskinhallintaprosessin perusteella.

3. Fyysiset turvatoimet on toteutettava kaikissa tiloissa, rakennuksissa, toimistoissa, huoneissa ja muissa paikoissa, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään tai säilytetään, 10 artiklan 2 kohdassa määritellyt viestintä- ja tietojärjestelmien sijoitusalueet mukaan luettuina.

4. Alueet, joilla säilytetään CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltuja tietoja, on määriteltävä turva-alueiksi liitteen II mukaisesti, ja toimivaltaisen turvallisuusviranomaisen on hyväksyttävä ne.

5. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason EU:n turvallisuusluokiteltujen tietojen suojaamiseen saa käyttää vain hyväksyttyjä välineitä tai laitteita.

6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä II.

9 artikla

Turvallisuusluokiteltujen tietojen hallinnointi

1. Turvallisuusluokiteltujen tietojen hallinnoinnilla tarkoitetaan hallinnollisten toimenpiteiden soveltamista EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan niin, että täydennetään 7, 8 ja 10 artiklassa säädettyjä toimenpiteitä ja siten autetaan estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen. Tällaiset toimenpiteet liittyvät erityisesti EU:n turvallisuusluokiteltujen tietojen tuottamiseen, kirjaamiseen, jäljentämiseen, kääntämiseen, turvallisuusluokan alentamiseen, turvallisuusluokan poistamiseen, tietojen kuljettamiseen ja hävittämiseen.

2. CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tiedot on turvallisuussyistä kirjattava ennen niiden jakelua ja niiden vastaanottamisen yhteydessä. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on perustettava tätä varten kirjaamisjärjestelmä. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tiedot on kirjattava niille tarkoitetuissa kirjaamoissa.

3. Toimivaltaisen turvallisuusviranomaisen on tarkastettava säännöllisin väliajoin yksiköt ja tilat, joissa käsitellään tai säilytetään EU:n turvallisuusluokiteltuja tietoja.

4. EU:n turvallisuusluokiteltujen tietojen siirtämisessä yksiköiden ja tilojen välillä fyysisesti suojattujen alueiden ulkopuolella on noudatettava seuraavaa:

a) Yleisenä sääntönä on, että EU:n turvallisuusluokitellut tiedot on siirrettävä sähköisillä välineillä, jotka on suojattu 10 artiklan 6 kohdan mukaisesti hyväksytyillä salaustuotteilla.

b) Jos a alakohdassa tarkoitettuja välineitä ei käytetä, EU:n turvallisuusluokitellut tiedot on kuljetettava joko i) 10 artiklan 6 kohdan mukaisesti hyväksytyillä salaustuotteilla suojatuilla sähköisillä välineillä (kuten USB-muistitikut, CD-levyt, kiintolevyt); tai ii) kaikissa muissa tapauksissa, toimivaltaisen turvallisuusviranomaisen liitteessä III olevien asiaankuuluvien säännösten mukaisesti antamia ohjeita noudattaen.

5. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä III ja IV.

10 artikla

Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaaminen

1. Tietojen turvaamisella tarkoitetaan viestintä- ja tietojärjestelmien alalla varmuutta siitä, että kyseiset järjestelmät suojaavat tiedot, joita niissä käsitellään, ja toimivat tarkoituksenmukaisella tavalla, oikeaan aikaan ja oikeutettujen käyttäjien valvonnassa. Tehokkaalla tietojen turvaamisella varmistetaan asianmukainen luottamuksellisuuden, eheyden, käytettävyyden, kiistämättömyyden ja aitouden taso. Tietojen turvaaminen perustuu riskinhallintaprosessiin.

2. Viestintä- ja tietojärjestelmällä tarkoitetaan järjestelmää, joka mahdollistaa tietojen käsittelyn sähköisessä muodossa. Viestintä- ja tietojärjestelmä käsittää kaikki toimintansa kannalta tarpeelliset resurssit, myös infrastruktuurin, organisaation, henkilöstön ja tietoresurssit. Tätä päätöstä sovelletaan viestintä- ja tietojärjestelmiin, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja.

3. Viestintä- ja tietojärjestelmissä on käsiteltävä EU:n turvallisuusluokiteltuja tietoja tietojen turvaamisen periaatteen mukaisesti.

4. Kaikkien viestintä- ja tietojärjestelmien on läpikäytävä hyväksymisprosessi. Hyväksymisellä pyritään varmistamaan, että kaikki asiaankuuluvat turvatoimet on pantu täytäntöön ja että on saavutettu riittävä EU:n turvallisuusluokiteltujen tietojen ja viestintä- ja tietojärjestelmän suojaustaso tämän päätöksen säännösten mukaisesti. Hyväksymislausunnossa on määriteltävä niiden tietojen korkein sallittu turvallisuusluokka, joita viestintä- ja tietojärjestelmässä voidaan käsitellä, ja sitä koskevat ehdot ja edellytykset.

5. Turvatoimia toteutetaan viestintä- ja tietojärjestelmissä käsiteltävien CONFIDENTIEL UE/EU CONFIDENTIAL- ja sitä korkeamman turvallisuusluokan tietojen suojaamiseksi niin, että tahattomat sähkömagneettiset vuodot eivät vaaranna tietoja (TEMPEST-turvatoimet). Nämä turvatoimet on suhteutettava tietojen hyväksikäytön vaaraan ja turvallisuusluokan tasoon.

6. Jos EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytetään salaustuotteita, tällaiset tuotteet on hyväksyttävä seuraavasti:

a) SECRET UE/EU SECRET- tai sitä korkeamman turvallisuusluokan tietojen luottamuksellisuus on suojattava salaustuotteilla, jotka salauslaitteiden hyväksyntäviranomaisena toimiva neuvosto on hyväksynyt turvallisuuskomitean suosituksesta;

b) CONFIDENTIEL UE/EU CONFIDENTIAL- tai RESTREINT UE/EU RESTRICTED -turvallisuusluokan tietojen luottamuksellisuus on suojattava salaustuotteilla, jotka salauslaitteiden hyväksyntäviranomaisena toimiva neuvoston pääsihteeri, jäljempänä ’pääsihteeri’, on hyväksynyt turvallisuuskomitean suosituksesta.

Sen estämättä, mitä b alakohdassa säädetään, EU:n CONFIDENTIEL UE/EU CONFIDENTIAL- tai RESTREINT UE/EU RESTRICTED -turvallisuusluokiteltujen tietojen luottamuksellisuus voidaan suojata jäsenvaltioiden kansallisissa järjestelmissä salaustuotteilla, jotka on hyväksynyt jäsenvaltion salauslaitteiden hyväksyntäviranomainen.

7. Lähetettäessä EU:n turvallisuusluokiteltuja tietoja sähköisesti on käytettävä hyväksyttyjä salaustuotteita. Tästä vaatimuksesta poiketen poikkeuksellisissa olosuhteissa tai tiettyjen liitteessä IV säädettyjen teknisten määritysten osalta voidaan soveltaa erityisiä menettelyjä.

8. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on molempien perustettava seuraavat tiedonturvaamistehtävät:

a) tiedonturvaamisviranomainen;

b) TEMPEST-viranomainen;

c) salauslaitteiden hyväksyntäviranomainen;

d) salatun aineiston jakelusta vastaava viranomainen.

9. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten viranomaisten on molempien perustettava kutakin järjestelmää varten

a) turvallisuusjärjestelyjen hyväksyntäviranomainen;

b) operatiivinen tiedonturvaamisviranomainen.

10. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä IV.

11 artikla

Yhteisöturvallisuus

1. Yhteisöturvallisuudella tarkoitetaan toimenpiteiden toteuttamista sen varmistamiseksi, että hankeosapuolet tai alihankkijat varmistavat EU:n turvallisuusluokiteltujen tietojen suojaamisen sopimusta edeltävissä neuvotteluissa ja turvallisuusluokiteltujen sopimusten koko elinkaaren ajan. Tällaisiin sopimuksiin ei saa kuulua pääsyä TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tietoihin.

2. Pääsihteeristö voi antaa jäsenvaltioon tai sellaiseen kolmanteen valtioon, jonka kanssa EU on tehnyt 13 artiklan 2 kohdan a tai b alakohdan mukaisen sopimuksen tai hallinnollisen järjestelyn, rekisteröidyille yrityksille tai muille yhteisöille sopimuksella toimeksiantoja, joihin sisältyy tai liittyy pääsy EU:n turvallisuusluokiteltuihin tietoihin tai niiden käsittely tai säilyttäminen.

3. Pääsihteeristön on hankeviranomaisena varmistettava, että tässä päätöksessä säädettyjä ja sopimuksessa tarkoitettuja yhteisöturvallisuutta koskevia vähimmäisvaatimuksia noudatetaan tehtäessä turvallisuusluokiteltuja sopimuksia yritysten tai muiden yhteisöjen kanssa.

4. Kunkin jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen on kansallisten lakien ja asetusten antamien mahdollisuuksien mukaisesti varmistettava, että sen alueelle rekisteröidyt hankeosapuolet ja alihankkijat toteuttavat kaikki asianmukaiset toimenpiteet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi sopimusta edeltävien neuvottelujen aikana tai turvallisuusluokitellun sopimuksen toimeenpanovaiheessa.

5. Kunkin jäsenvaltion kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen on kansallisten lakien ja asetusten mukaisesti varmistettava, että kyseiseen jäsenvaltioon rekisteröidyillä hankeosapuolilla tai alihankkijoilla, jotka ovat osapuolina turvallisuusluokitelluissa sopimuksissa tai alihankintasopimuksissa, jotka edellyttävät CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietojen saamista niiden toimitiloissa joko sopimusten toimeenpanovaiheessa tai sopimuksia edeltävien neuvottelujen aikana, on asiaankuuluvan turvallisuusluokitustason yhteisöturvallisuusselvitys.

6. Asianomaisen kansallisen turvallisuusviranomaisen, nimetyn turvallisuusviranomaisen tai muun toimivaltaisen turvallisuusviranomaisen on myönnettävä henkilöturvallisuusselvitys hankeosapuolen tai alihankkijan henkilöstölle, jolla on oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietoihin turvallisuusluokitellun sopimuksen toimeenpanemiseksi, kansallisten lakien ja asetusten sekä liitteessä I säädettyjen vähimmäisvaatimusten mukaisesti.

7. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä V.

12 artikla

EU:n turvallisuusluokiteltujen tietojen jakaminen

1. Neuvosto määrittelee, millä edellytyksillä se voi jakaa hallussaan olevia EU:n turvallisuusluokiteltuja tietoja unionin muiden toimielinten, elinten, laitosten tai yksiköiden kanssa. Tarkoitusta varten voidaan perustaa asianmukaiset puitteet muun muassa tekemällä toimielinten välisiä sopimuksia tai muita järjestelyjä tarpeen mukaan.

2. Näissä puitteissa on varmistettava, että EU:n turvallisuusluokitellut tiedot suojataan niiden turvallisuusluokkaa vastaavasti ja että suojaan sovelletaan tässä päätöksessä säädettyä tasoa vastaavia perusperiaatteita ja vähimmäisvaatimuksia.

13 artikla

Turvallisuusluokiteltujen tietojen vaihto kolmansien valtioiden ja kansainvälisten järjestöjen kanssa

1. Jos neuvosto toteaa, että jonkin kolmannen valtion tai kansainvälisen järjestön kanssa on tarpeen vaihtaa EU:n turvallisuusluokiteltuja tietoja, tätä varten on perustettava asianmukaiset puitteet.

2. Tällaisten puitteiden perustamiseksi ja vaihdettavien turvallisuusluokiteltujen tietojen suojaamista koskevien vastavuoroisten sääntöjen määrittelemiseksi

a) unioni tekee kolmansien valtioiden tai kansainvälisten järjestöjen kanssa sopimuksia turvallisuusluokiteltujen tietojen vaihtoa ja suojaamista koskevista turvallisuusmenettelyistä, jäljempänä ’tietoturvallisuussopimukset’; tai

b) pääsihteeri voi liitteessä VI olevan 17 kohdan mukaisesti sopia neuvoston pääsihteeristön puolesta hallinnollisista järjestelyistä, jos luovutettavien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka on yleensä korkeintaan RESTREINT UE/EU RESTRICTED.

3. Edellä 2 kohdassa tarkoitettuihin tietoturvallisuussopimuksiin tai hallinnollisiin järjestelyihin on sisällytettävä määräyksiä, joilla varmistetaan, että kolmansien valtioiden tai kansainvälisten järjestöjen vastaanottaessa EU:n turvallisuusluokiteltuja tietoja nämä tiedot suojataan niiden turvallisuusluokan edellyttämällä tavalla ja sellaisten vaatimusten mukaisesti, jotka ovat vähintään yhtä tiukkoja kuin tässä päätöksessä vahvistetut vähimmäisvaatimukset.

4. Neuvosto tekee päätöksen neuvostosta peräisin olevien EU:n turvallisuusluokiteltujen tietojen luovuttamisesta kolmannelle valtiolle tai kansainväliselle järjestölle tapauskohtaisesti kyseisten tietojen luonteen ja sisällön, vastaanottajan tiedonsaantitarpeen ja unionille koituvan edun arvioinnin perusteella. Jos luovutuspyynnön kohteena olevien turvallisuusluokiteltujen tietojen luovuttaja ei ole neuvosto, pääsihteeristön on ensin saatava tietojen luovuttajan kirjallinen suostumus luovutukselle. Jos luovuttajaa ei tiedetä, neuvosto ottaa luovuttajan vastuun itselleen.

5. Luovutettujen tai vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi kolmannessa valtiossa tai kansainvälisessä järjestössä toteutettujen turvatoimien tehokkuus on varmistettava järjestämällä arviointikäyntejä.

6. Tämän artiklan täytäntöönpanosäännökset vahvistetaan liitteessä VI.

14 artikla

Tietoturvaloukkaukset ja EU:n turvallisuusluokiteltujen tietojen vaarantuminen

1. Tietoturvaloukkaus tapahtuu, kun henkilö ei noudata tässä päätöksessä säädettyjä turvallisuussääntöjä tai laiminlyö niitä.

2. EU:n turvallisuusluokitellut tiedot vaarantuvat, kun ne ovat tietoturvaloukkauksen seurauksena paljastuneet kokonaisuudessaan tai osittain sivullisille henkilöille.

3. Tapahtuneesta tai epäillystä tietoturvaloukkauksesta on ilmoitettava välittömästi toimivaltaiselle turvallisuusviranomaiselle.

4. Jos EU:n turvallisuusluokiteltujen tietojen tiedetään tai voidaan perustellusti olettaa vaarantuneen tai kadonneen, kansallisen turvallisuusviranomaisen tai muun toimivaltaisen viranomaisen on toteutettava kaikki asiaankuuluvien lakien ja asetusten mukaiset tarpeelliset toimenpiteet

a) ilmoittaakseen asiasta tietojen luovuttajalle;

b) varmistaakseen, että henkilöstö, joka ei ole välittömästi tekemisissä tietoturvaloukkauksen kanssa, tutkii tapauksen tosiasioiden selvittämiseksi;

c) arvioidakseen unionin tai jäsenvaltioiden eduille aiheutuneen mahdollisen vahingon;

d) toteuttaakseen tarvittavat toimenpiteet tapahtuneen toistumisen estämiseksi; ja

e) ilmoittaakseen asianmukaisille viranomaisille toteutetuista toimista.

5. Henkilölle, joka on vastuussa tässä päätöksessä säädettyjen turvallisuussääntöjen rikkomisesta, voidaan määrätä kurinpitoseuraamus asiaankuuluvien sääntöjen ja määräysten mukaisesti. Henkilöön, joka on aiheuttanut EU:n turvallisuusluokiteltujen tietojen vaarantumisen tai katoamisen, kohdistetaan kurinpidollisia ja/tai oikeudellisia toimenpiteitä sovellettavien lakien, sääntöjen ja määräysten mukaisesti.

15 artikla

Täytäntöönpanovastuu

1. Neuvosto toteuttaa kaikki tarpeelliset toimenpiteet varmistaakseen tämän päätöksen yleisesti johdonmukaisen soveltamisen.

2. Pääsihteeri toteuttaa kaikki tarpeelliset toimenpiteet sen varmistamiseksi, että käsiteltäessä tai säilytettäessä EU:n tai muita turvallisuusluokiteltuja tietoja neuvoston käyttämissä tiloissa ja pääsihteeristössä pääsihteeristön virkamiehet ja muu henkilöstö, pääsihteeristöön lähetetty henkilöstö ja pääsihteeristön hankeosapuolet soveltavat tätä päätöstä.

3. Jäsenvaltioiden on toteutettava kaikki asianmukaiset toimenpiteet kansallisten lakiensa ja asetustensa mukaisesti sen varmistamiseksi, että seuraavat noudattavat tätä päätöstä käsitellessään tai säilyttäessään EU:n turvallisuusluokiteltuja tietoja:

a) jäsenvaltioiden Euroopan unionissa olevien pysyvien edustustojen henkilöstö sekä neuvoston tai sen valmisteluelinten kokouksiin tai neuvoston muuhun toimintaan osallistuvat kansallisten valtuuskuntien jäsenet;

b) muu jäsenvaltioiden kansallisen hallinnon henkilöstö, myös kyseisiin hallintoihin lähetetty henkilöstö, riippumatta siitä, ovatko henkilöt palveluksessa jäsenvaltioiden alueella vai ulkomailla;

c) muut jäsenvaltioissa olevat henkilöt, joilla on tehtäviensä vuoksi asianmukainen valtuutus päästä EU:n turvallisuusluokiteltuihin tietoihin; ja

d) jäsenvaltioiden hankeosapuolet riippumatta siitä, ovatko ne kyseisten jäsenvaltioiden alueella vai ulkomailla.

16 artikla

Turvallisuusjärjestelyt neuvostossa

1. Osana tehtäväänsä varmistaa tämän päätöksen soveltamisen yleinen johdonmukaisuus neuvosto hyväksyy

a) 13 artiklan 2 kohdan a alakohdassa tarkoitetut sopimukset;

b) päätökset, joilla valtuutetaan luovuttamaan kolmansille valtioille tai kansainvälisille järjestöille neuvostosta peräisin olevia tai neuvoston hallussa olevia EU:n turvallisuusluokiteltuja tietoja tai joilla annetaan tähän suostumus noudattaen luovuttajan suostumuksen periaatetta;

c) turvallisuuskomitean suositteleman vuosittaisen arviointikäyntiohjelman, jonka mukaan järjestetään käyntejä ja arvioidaan jäsenvaltioiden yksiköt ja tilat, ne unionin elimet, laitokset ja yksiköt, jotka soveltavat tätä päätöstä tai sen periaatteita, ja tehdään arviointikäyntejä kolmansiin valtioihin ja kansainvälisiin järjestöihin EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen toimenpiteiden tehokkuuden varmistamiseksi; ja

d) edellä 6 artiklan 1 kohdassa tarkoitetut turvallisuusperiaatteet.

2. Pääsihteeri toimii pääsihteeristön turvallisuusviranomaisena. Siinä ominaisuudessa hän

a) panee täytäntöön neuvoston turvallisuusperiaatteet ja arvioi niitä;

b) koordinoi jäsenvaltioiden kansallisten turvallisuusviranomaisten kanssa kaikki turvallisuusasiat, jotka liittyvät neuvoston toiminnan kannalta merkityksellisten turvallisuusluokiteltujen tietojen suojaamiseen;

c) myöntää neuvoston pääsihteeristön virkamiehille, muulle henkilöstölle ja kansallisille asiantuntijoille luvan päästä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin 7 artiklan 3 kohdan mukaisesti;

d) määrää tarvittaessa tutkinnasta, joka koskee neuvoston hallussa olevien tai neuvostosta peräisin olevien EU:n turvallisuusluokiteltujen tietojen todettua tai epäiltyä vaarantumista tai katoamista, ja pyytää asiaankuuluvia turvallisuusviranomaisia auttamaan tällaisessa tutkinnassa;

e) huolehtii turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaistarkastuksista pääsihteeristön tiloissa;

f) tekee säännöllisesti käyntejä unionin elinten, laitosten ja yksiköiden, jotka soveltavat tätä päätöstä tai sen periaatteita, EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteuttamien turvallisuusjärjestelyjen arvioimiseksi;

g) huolehtii yhdessä ja keskinäisestä sopimuksesta asianomaisten kansallisten turvallisuusviranomaisten kanssa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen turvallisuusjärjestelyjen määräaikaisarvioinneista jäsenvaltioiden yksiköissä ja tiloissa;

h) varmistaa, että turvatoimet koordinoidaan tarpeen mukaan jäsenvaltioiden ja tarvittaessa kolmansien valtioiden tai kansainvälisten järjestöjen turvallisuusluokiteltujen tietojen suojaamisen osalta toimivaltaisten viranomaisten kanssa, ottaen huomioon myös EU:n turvallisuusluokiteltuihin tietoihin kohdistuvien turvallisuusuhkien luonne ja keinot suojautua niitä vastaan; ja

i) sopii 13 artiklan 2 kohdan b alakohdassa tarkoitetuista hallinnollisista järjestelyistä.

Pääsihteeristön turvallisuusyksikkö on pääsihteerin käytettävissä näissä tehtävissä avustamiseen.

3. Jäsenvaltioiden olisi 15 artiklan 3 kohdan täytäntöön panemiseksi

a) nimettävä lisäyksessä C lueteltu kansallinen turvallisuusviranomainen, joka vastaa turvallisuusjärjestelyistä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi niin, että i) julkisten tai yksityisten kotimaassa tai ulkomailla toimivien kansallisten yksiköiden, elinten tai virastojen hallussa olevat EU:n turvallisuusluokitellut tiedot on suojattu tämän päätöksen mukaisesti; ii) EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutetut turvallisuusjärjestelyt tarkastetaan tai arvioidaan määräajoin; iii) kaikista kansallisessa hallinnossa tai hankeosapuolen palveluksessa työskentelevistä henkilöistä, joille voidaan myöntää pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin, on tehty asianmukainen turvallisuusselvitys tai että heillä on tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen asianmukainen valtuutus; iv) tarpeelliset turvallisuusohjelmat on laadittu EU:n turvallisuusluokiteltujen tietojen vaarantumis- tai katoamisriskin minimoimiseksi; v) EU:n turvallisuusluokiteltujen tietojen suojaamiseen liittyvät turvallisuusasiat koordinoidaan muiden toimivaltaisten kansallisten viranomaisten kanssa, tässä päätöksessä tarkoitetut viranomaiset mukaan luettuina; ja vi) vastataan erityisesti kaikkien unionin elinten, laitosten ja yksiköiden, Euroopan unionista tehdyn sopimuksen V osaston 2 luvun nojalla perustettujen operaatioiden sekä EU:n erityisedustajien ja heidän alaisuudessaan työskentelevien henkilöiden, jotka soveltavat tätä päätöstä tai sen periaatteita, esittämiin asianmukaisiin turvallisuusselvityspyyntöihin;

b) varmistettava, että niiden toimivaltaiset viranomaiset antavat hallituksilleen ja sitä kautta neuvostolle tietoja ja neuvoja EU:n turvallisuusluokiteltuihin tietoihin kohdistuvien turvallisuusuhkien luonteesta ja keinoista suojautua niitä vastaan.

17 artikla

Turvallisuuskomitea

1. Perustetaan turvallisuuskomitea. Turvallisuuskomitea tutkii ja arvioi tämän päätöksen soveltamisalaan kuuluvia turvallisuusasioita ja antaa tarvittaessa neuvostolle suosituksia.

2. Turvallisuuskomitea muodostuu jäsenvaltioiden kansallisten turvallisuusviranomaisten edustajista, ja komission ja Euroopan ulkosuhdehallinnon edustaja osallistuu sen kokouksiin. Komitean puheenjohtajana toimii pääsihteeri tai hänen nimeämänsä henkilö. Se kokoontuu neuvoston toimeksiannosta tai pääsihteerin taikka kansallisen turvallisuusviranomaisen pyynnöstä.

Unionin elinten, laitosten ja yksiköiden, jotka soveltavat tätä päätöstä tai sen periaatteita, edustajia voidaan pyytää osallistumaan kokouksiin, kun käsitellään niitä koskevia kysymyksiä.

3. Turvallisuuskomitea järjestää toimintansa niin, että se voi antaa suosituksia erityisillä turvallisuuden aloilla. Se muodostaa tiedonturvaamisasioita käsittelevän asiantuntijakokoonpanon ja muita asiantuntijakokoonpanoja tarpeen mukaan. Se laatii tällaisten asiantuntijakokoonpanojen toimeksiannot ja sille toimitetaan niiden toimintakertomukset sekä niiden neuvostolle osoittamat mahdolliset suositukset.

18 artikla

Aiemman päätöksen korvaaminen

1. Tällä päätöksellä kumotaan ja korvataan neuvoston päätös 2011/292/EU ( 1 ).

2. Kaikki neuvoston päätöksen 2001/264/EY ( 2 ) ja päätöksen 2011/292/EU mukaisesti luokitellut EU:n turvallisuusluokitellut tiedot suojataan edelleen tämän päätöksen asiaankuuluvien säännösten mukaisesti.

19 artikla

Voimaantulo

Tämä päätös tulee voimaan päivänä, jona se julkaistaan Euroopan unionin virallisessa lehdessä.









LIITTEET

LIITE I Henkilöstöturvallisuus LIITE II Fyysinen turvallisuus LIITE III Turvallisuusluokiteltujen tietojen hallinnointi LIITE IV Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaaminen LIITE V Yhteisöturvallisuus LIITE VI Turvallisuusluokiteltujen tietojen vaihto kolmansien valtioiden ja kansainvälisten järjestöjen kanssa









LIITE I

HENKILÖSTÖTURVALLISUUS

I JOHDANTO

1. Tässä liitteessä vahvistetaan 7 artiklan täytäntöönpanosäännökset. Siinä säädetään perusteista sen päättämiseksi, voidaanko henkilölle hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin, sekä asiassa noudatettavista tutkinta- ja hallinnollisista menettelyistä.

II PÄÄSYN MYÖNTÄMINEN EU:N TURVALLISUUSLUOKITELTUIHIN TIETOIHIN

2. Henkilölle voidaan myöntää pääsy turvallisuusluokiteltuihin tietoihin vasta sen jälkeen, kun

a) hänen tiedonsaantitarpeensa (need-to-know) on selvitetty;

b) hänelle on selvitetty EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuussäännöt ja -menettelyt ja hän on antanut vakuutuksen tällaisten tietojen suojaamista koskevasta vastuustaan; ja

c) CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietojen tapauksessa — hänelle on joko myönnetty asianmukaisen tason henkilöturvallisuusselvitys tai hänet on muulla tavoin tehtäviensä vuoksi asianmukaisesti valtuutettu kansallisten lakien ja asetusten mukaisesti; tai — neuvoston pääsihteeristön virkamiesten ja muun henkilöstön tai lähetettyjen kansallisten asiantuntijoiden tapauksessa neuvoston pääsihteeristön nimittävä viranomainen on antanut hänelle valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten 16–25 kohdan mukaisesti tiettyyn turvallisuusluokkaan ja tiettyyn päivämäärään saakka.

3. Kunkin jäsenvaltion ja pääsihteeristön on määriteltävä omissa hallintorakenteissaan ne tehtävät, jotka edellyttävät pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin ja siksi asiaankuuluvan tason turvallisuusselvitystä.

III HENKILÖTURVALLISUUSSELVITYSTÄ KOSKEVAT VAATIMUKSET

4. Vastaanotettuaan asianmukaisesti valtuutetun pyynnön kansalliset turvallisuusviranomaiset tai muut toimivaltaiset kansalliset viranomaiset vastaavat siitä, että niiden kansalaisista, joilla on oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin, tehdään turvallisuustutkinta. Tutkintaa koskevien vaatimusten on oltava kansallisten lakien ja asetusten mukaisia turvallisuusselvityksen myöntämiseksi tai lausunnon antamiseksi siitä, että henkilölle myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin, tapauksen mukaan.

5. Jos asianomainen henkilö asuu toisen jäsenvaltion tai kolmannen valtion alueella, toimivaltaisten kansallisten viranomaisten on pyydettävä apua asuinvaltion toimivaltaisilta viranomaisilta kansallisten lakien ja asetusten mukaisesti. Jäsenvaltioiden on autettava toisiaan turvallisuustutkinnan tekemisessä kansallisten lakien ja asetusten mukaisesti.

6. Kansallisten lakien ja asetusten salliessa kansalliset turvallisuusviranomaiset tai muut toimivaltaiset kansalliset viranomaiset voivat tehdä tutkinnan muista kuin omista kansalaisistaan, joilla on oltava pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin. Tutkintaa koskevien vaatimusten on oltava kansallisten lakien ja asetusten mukaisia.

Turvallisuustutkinnan perusteet

7. Henkilön lojaalius, rehellisyys ja luotettavuus on määritettävä tekemällä turvallisuustutkinta, jonka perusteella hänelle voidaan tehdä turvallisuusselvitys ja myöntää pääsy CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoihin. Toimivaltaisen kansallisen viranomaisen on tehtävä kokonaisarvio turvallisuustutkinnasta saatujen tietojen perusteella. Turvallisuustutkinnan pääasiallisiin perusteisiin kuuluu kansallisten lakien ja asetusten mukaisesti mahdollisimman laaja tutkinta sen selvittämiseksi,

a) onko henkilö tehnyt tai yrittänyt tehdä vakoiluun, terrorismiin, sabotaasiin, maanpetokseen tai kapinan lietsomiseen liittyvän rikoksen, sopinut toisen kanssa sellaisen tekemisestä tai auttanut toista sellaisen tekemisessä;

b) onko henkilö yhteydessä tai onko hän aikaisemmin ollut yhteydessä vakoojiin, terroristeihin, sabotoijiin tai henkilöihin, joita voidaan kohtuudella epäillä tällaisiksi, tai sellaisten järjestöjen tai vieraiden valtioiden, myös vieraiden valtioiden tiedustelupalvelujen, edustajiin, jotka voivat uhata unionin ja/tai jäsenvaltioiden turvallisuutta, paitsi jos näihin yhteyksiin oli lupa virantoimituksen perusteella;

c) onko henkilö tai onko hän ollut jonkin sellaisen järjestön jäsen, joka väkivaltaisin, kumouksellisin tai muin laittomin keinoin pyrkii muun muassa jonkin jäsenvaltion hallituksen kaatamiseen, perustuslaillisen järjestyksen muuttamiseen tai hallituksen kokoonpanon tai politiikkojen muuttamiseen;

d) onko henkilö tai onko hän ollut jonkin c alakohdassa kuvatun järjestön kannattaja tai onko hän tai onko hän ollut tiiviisti yhteydessä tällaisen järjestön jäseniin;

e) onko henkilö tahallaan salannut, vääristellyt tai väärentänyt tärkeitä, erityisesti turvallisuuteen liittyviä tietoja, tai onko hän tahallaan valehdellut henkilöstöturvallisuutta koskevaa kyselylomaketta täyttäessään tai turvallisuutta koskevan haastattelun aikana;

f) onko henkilö tuomittu rikoksesta tai rikoksista;

g) tiedetäänkö henkilön olleen riippuvainen alkoholista, käyttäneen laittomia huumausaineita ja/tai väärinkäyttäneen laillisia lääkeaineita;

h) onko henkilö tai onko hän ollut osallisena sellaisessa toiminnassa, josta voi aiheutua joutuminen alttiiksi kiristykselle tai painostukselle;

i) onko henkilö osoittanut toimillaan tai puheillaan epärehellisyyttä, epälojaaliutta, petollisuutta tai epäluotettavuutta;

j) onko henkilö vakavasti tai toistuvasti rikkonut turvallisuussääntöjä tai onko hän yrittänyt harjoittaa tai onnistunut harjoittamaan viestintä- ja tietojärjestelmiin kohdistuvaa luvatonta toimintaa; ja

k) voiko henkilö joutua painostetuksi (esimerkiksi siksi että hänellä on yksi tai useampi muu kuin EU-kansalaisuus tai siksi että hänellä on sukulaisia tai läheisiä, jotka saattavat olla suojattomia ulkomaiden tiedustelupalveluja, terroristiryhmiä tai muita kumouksellisia järjestöjä tai yksilöitä vastaan, joiden tarkoitusperät voivat uhata unionin ja/tai jäsenvaltioiden turvallisuusetuja).

8. Tarvittaessa ja kansallisten lakien ja asetusten mukaisesti myös henkilön taloudellista ja lääketieteellistä taustaa voidaan pitää merkityksellisenä turvallisuustutkintaa tehtäessä.

9. Tarvittaessa ja kansallisten lakien ja asetusten mukaisesti puolison, avopuolison tai läheisen perheenjäsenen käyttäytyminen ja olosuhteet voidaan myös katsoa merkityksellisiksi turvallisuustutkintaa tehtäessä.

Tutkintavaatimukset pääsyn myöntämiseksi EU:n turvallisuusluokiteltuihin tietoihin

Ensimmäisen turvallisuusselvityksen myöntäminen

10. Ensimmäisen turvallisuusselvityksen CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusluokan tietoihin pääsyä varten on perustuttava turvallisuustutkintaan, joka kattaa vähintään viimeiset viisi vuotta tai ajanjakson 18 vuoden iästä nykyhetkeen riippuen siitä, kumpi ajanjakso on lyhyempi, ja johon sisältyy seuraavaa:

a) henkilöstöturvallisuutta koskevan kansallisen kyselylomakkeen täyttäminen EU:n turvallisuusluokiteltujen tietojen sen turvallisuusluokan osalta, johon henkilön voi olla tarpeen päästä; täytetty kyselylomake on toimitettava toimivaltaiselle turvallisuusviranomaiselle;

b) henkilöllisyyden tarkistaminen / kansalaisuus / kansalaisuusasema – tarkistetaan henkilön syntymäaika ja -paikka sekä henkilöllisyys. Määritetään henkilön kansalaisuusasema ja/tai kansalaisuus (sekä nykyinen että entiset kansalaisuudet); samalla arvioidaan mahdollinen alttius ulkomaisista lähteistä tulevalle painostukselle, joka liittyy esimerkiksi aiempaan asuinpaikkaan tai aiempiin yhteyksiin; ja

c) kansallisten ja paikallisten rekisteritietojen tarkistaminen – tarkistetaan kansallisen turvallisuustietorekisterin tiedot ja mahdolliset keskusrikosrekisteritiedot ja/tai muut vastaavat valtion ja poliisin rekisteritiedot. Tarkistetaan sellaisten lainvalvontaviranomaisten merkinnät, joilla on oikeudellinen toimivalta paikkakunnilla, joilla henkilö on asunut tai työskennellyt.

11. Ensimmäisen turvallisuusselvityksen TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tietoihin pääsyä varten on perustuttava turvallisuustutkintaan, joka kattaa vähintään viimeiset kymmenen vuotta tai ajanjakson 18 vuoden iästä nykyhetkeen riippuen siitä, kumpi ajanjakso on lyhyempi. Jos tehdään haastatteluja tämän kohdan e alakohdan mukaisesti, tutkinnan on katettava vähintään viimeiset seitsemän vuotta tai ajanjakso 18 vuoden iästä nykyhetkeen riippuen siitä, kumpi ajanjakso on lyhyempi. Ennen TRÈS SECRET UE/EU TOP SECRET -turvallisuusselvityksen myöntämistä on tutkittava edellä 7 kohdassa mainittujen perusteiden lisäksi mahdollisimman laajasti kansallisten lakien ja asetusten mukaisesti seuraavia seikkoja, joita voidaan tutkia myös ennen CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusselvityksen myöntämistä, jos sitä vaaditaan kansallisissa laeissa ja asetuksissa:

a) taloudellinen asema – selvitetään henkilön varallisuustilanne, jotta voidaan arvioida mahdollinen alttius joutua vakavista taloudellisista vaikeuksista johtuvan ulkomailta tai omasta maasta tulevan painostuksen kohteeksi ja havaita mahdollinen selittämätön varallisuus;

b) koulutus – selvitetään henkilön opiskelu kouluissa, yliopistoissa ja muissa oppilaitoksissa sen jälkeen, kun hän on täyttänyt 18 vuotta, tai tutkivien viranomaisten asianmukaiseksi katsomana ajanjaksona;

c) työtausta – selvitetään henkilön nykyinen ja entiset työpaikat käyttäen lähteinä muun muassa työpaikkatietoja ja työsuorituksia tai tehokkuutta koskevia raportteja sekä työnantajia ja esimiehiä;

d) asepalvelus – soveltuvissa tapauksissa on tarkistettava henkilön palvelu asevoimissa ja hänelle asevoimien palveluksesta myönnetyn eron laji; ja

e) haastattelut – haastatellaan asianomaista henkilöä yhden tai useamman kerran, jos haastattelusta säädetään kansallisissa laeissa ja asetuksissa ja jos ne ovat niiden mukaisia. Myös sellaisia muita henkilöitä on haastateltava, jotka voivat puolueettomasti arvioida tutkittavan henkilön taustaa, toimia, lojaaliutta, rehellisyyttä ja luotettavuutta. Jos on kansallisen käytännön mukaista pyytää tutkittavaa henkilöä toimittamaan suosituksia, haastatellaan suosituksen antajia, paitsi jos on olemassa hyviä syitä olla haastattelematta heitä.

12. Tarvittaessa ja kansallisten lakien ja asetusten mukaisesti voidaan suorittaa lisätutkimuksia, jotta selvitetään kaikki saatavilla olevat merkitykselliset tiedot asianomaisesta henkilöstä ja voidaan näyttää toteen tai osoittaa vääriksi kielteiset tiedot.

Turvallisuusselvityksen uusiminen

13. Sen jälkeen, kun ensimmäinen turvallisuusselvitys on myönnetty ja edellyttäen, että henkilö on ollut yhtäjaksoisesti kansallisen hallinnon tai pääsihteeristön palveluksessa ja että hänen tehtävänsä edellyttävät edelleen pääsyä EU:n turvallisuusluokiteltuihin tietoihin, turvallisuusselvitys on uusittava viimeistään viiden vuoden välein, jos kyse on TRÈS SECRET UE/EU TOP SECRET -turvallisuusselvityksestä, ja viimeistään kymmenen vuoden välein, jos kyse on SECRET UE/EU SECRET- ja CONFIDENTIEL UE/EU CONFIDENTIAL -turvallisuusselvityksistä, laskettuna selvityksen perustana olleen viimeisen turvallisuustutkinnan tulosten tiedoksiantamisajankohdasta. Kaikki turvallisuusselvityksen uusimista varten tehtävät turvallisuustutkinnat on tehtävä ajalta, joka alkaa siitä, mihin edellinen selvitys päättyi.

14. Turvallisuusselvitysten uusimiseksi on tutkittava 10 ja 11 kohdassa esitetyt seikat.

15. Uusimispyynnöt on esitettävä hyvissä ajoin ottaen huomioon turvallisuustutkinnan edellyttämä aika. Jos asiaankuuluva kansallinen turvallisuusviranomainen tai muu toimivaltainen kansallinen viranomainen on vastaanottanut asiaankuuluvan uusimispyynnön ja vastaavan henkilöstöturvallisuutta koskevan kyselylomakkeen ennen turvallisuusselvityksen voimassaolon päättymistä ja jos tarvittava turvallisuustutkinta ei ole vielä valmistunut, toimivaltainen kansallinen viranomainen voi kuitenkin jatkaa voimassa olevan turvallisuusselvityksen voimassaoloa korkeintaan 12 kuukaudella, jos se sallitaan kansallisissa laeissa ja asetuksissa. Jos turvallisuustutkinta ei ole vielä tämän 12 kuukauden ajan päättyessä valmistunut, asianomainen henkilö on siirrettävä hoitamaan tehtäviä, joissa ei vaadita turvallisuusselvitystä.

Valtuutusmenettelyt pääsihteeristössä

16. Pääsihteeristön virkamiesten ja muun henkilöstön osalta pääsihteeristön turvallisuusviranomainen toimittaa henkilöstöturvallisuutta koskevan kyselylomakkeen täytettynä sen jäsenvaltion kansalliselle turvallisuusviranomaiselle, jonka kansalainen asianomainen henkilö on, ja pyytää turvallisuustutkinnan tekemistä EU:n turvallisuusluokiteltujen tietojen sen luokan osalta, johon henkilön on tarpeen päästä.

17. Jos pääsihteeristön tietoon tulee turvallisuustutkinnan kannalta merkityksellisiä tietoja henkilöstä, joka on hakenut turvallisuusselvitystä EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, pääsihteeristön on ilmoitettava siitä asianomaiselle kansalliselle turvallisuusviranomaiselle asiaankuuluvien sääntöjen mukaisesti.

18. Turvallisuustutkinnan valmistuttua asiaankuuluvan kansallisen turvallisuusviranomaisen on annettava tutkinnan tulokset pääsihteeristön turvallisuusviranomaiselle tiedoksi turvallisuuskomitean kirjeenvaihtoa varten määräämässä vakiomuodossa.

a) Jos turvallisuustutkinnassa saadaan lausunto siitä, ettei henkilöstä ole tiedossa mitään sellaista kielteistä seikkaa, jonka perusteella voitaisiin epäillä hänen lojaaliuttaan, rehellisyyttään ja luotettavuuttaan, pääsihteeristön nimittävä viranomainen voi myöntää asianomaiselle henkilölle valtuutuksen EU:n turvallisuusluokiteltujen tietojen asiaankuuluvaan turvallisuusluokkaan pääsyä varten määrättyyn päivään asti.

b) Jos turvallisuustutkinnassa ei saada tällaista lausuntoa, pääsihteeristön nimittävä viranomainen ilmoittaa siitä asianomaiselle henkilölle, joka voi pyytää, että nimittävä viranomainen kuulee häntä. Nimittävä viranomainen voi pyytää toimivaltaiselta kansalliselta turvallisuusviranomaiselta mahdollista lisäselvitystä, jonka tämä voi antaa sen kansallisten lakien ja asetusten mukaisesti. Jos tulos vahvistetaan, valtuutusta EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten ei myönnetä.

19. Turvallisuustutkintaan ja sen tuloksiin sovelletaan kyseisessä jäsenvaltiossa voimassa olevia asiaa koskevia lakeja ja asetuksia mahdolliset muutoksenhakukeinot mukaan luettuina. Pääsihteeristön nimittävän viranomaisen päätöksiin voi hakea muutosta asetuksessa (ETY, Euratom, EHTY) N:o 259/68 ( 3 ) säädettyjen Euroopan unionin virkamiehiin sovellettavien henkilöstösääntöjen ja Euroopan unionin muuhun henkilöstöön sovellettavien palvelussuhteen ehtojen mukaisesti, jäljempänä ’henkilöstösäännöt ja palvelussuhteen ehdot’.

20. Kansallisten asiantuntijoiden, jotka lähetetään pääsihteeristöön tehtäviin, jotka edellyttävät pääsyä EU:n CONFIDENTIEL UE/EU CONFIDENTIAL- ja sitä korkeamman tason turvallisuusluokiteltuihin tietoihin, on esitettävä ennen tehtäviensä aloittamista pääsihteeristön turvallisuusviranomaiselle voimassa oleva EU:n turvallisuusluokiteltuihin tietoihin pääsyyn oikeuttava henkilöturvallisuusselvitykseen perustuva todistus, jonka nojalla nimittävä viranomainen antaa valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten.

21. Pääsihteeristö hyväksyy kaikkien muiden unionin toimielinten, elinten tai laitosten antaman valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten edellyttäen, että se on voimassa. Valtuutus kattaa kaikki asianomaisen henkilön pääsihteeristössä suorittamat tehtävät. Unionin toimielin, elin tai laitos, jossa henkilö ottaa työn vastaan, ilmoittaa asiaankuuluvalle kansalliselle turvallisuusviranomaiselle työnantajan vaihtumisesta.

22. Jos henkilön palvelusaika ei ala 12 kuukauden kuluessa siitä, kun turvallisuustutkinnan tulokset on annettu tiedoksi pääsihteeristön nimittävälle viranomaiselle, tai jos henkilön palveluksessaolo keskeytyy 12 kuukaudeksi eikä hän sinä aikana ole pääsihteeristön eikä minkään jäsenvaltion kansallisen hallinnon palveluksessa, tulosten johdosta on otettava yhteyttä asiaankuuluvaan kansalliseen turvallisuusviranomaiseen niiden voimassa pysymisen ja asianmukaisuuden vahvistamiseksi.

23. Jos pääsihteeristön tietoon tulee, että henkilö, jolla on valtuutus EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, saattaa aiheuttaa turvallisuusriskin, pääsihteeristön on asiaankuuluvien sääntöjen ja määräysten mukaisesti ilmoitettava siitä asianomaiselle kansalliselle turvallisuusviranomaiselle, ja se voi estää pääsyn EU:n turvallisuusluokiteltuihin tietoihin tai peruuttaa valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten.

24. Jos kansallinen turvallisuusviranomainen ilmoittaa pääsihteeristölle sellaista henkilöä koskevan 18 kohdan a alakohdan mukaisesti annetun lausunnon peruuttamisesta, jolla on valtuutus EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, pääsihteeristön nimittävä viranomainen voi pyytää sellaista selvennystä, jonka kansallinen turvallisuusviranomainen voi antaa jäsenvaltionsa lakien ja asetusten mukaisesti. Jos kielteinen tieto vahvistetaan, valtuutus on peruutettava, henkilöltä on evättävä pääsy EU:n turvallisuusluokiteltuihin tietoihin ja hänet on siirrettävä pois tehtävistä, joissa niihin pääsy on mahdollista tai joissa turvallisuus voisi hänen vuokseen vaarantua.

25. Kaikki pääsihteeristön virkamiehen tai muun henkilöstön jäsenen EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevan valtuutuksen peruuttamista tai keskeyttämistä koskevat päätökset ja tapauksen mukaan niiden perusteet on annettava tiedoksi asianomaiselle henkilölle, joka voi pyytää, että nimittävä viranomainen kuulee häntä. Kansallisen turvallisuusviranomaisen toimittamiin tietoihin sovelletaan kyseisessä jäsenvaltiossa voimassa olevia asiaa koskevia lakeja ja asetuksia mahdolliset muutoksenhakukeinot mukaan luettuina. Pääsihteeristön nimittävän viranomaisen päätöksiin voi hakea muutosta henkilöstösääntöjen ja palvelussuhteen ehtojen mukaisesti.

Turvallisuusselvitysten ja valtuutusten rekisterit

26. Kukin jäsenvaltio ja pääsihteeristö pitävät yllä rekistereitä turvallisuusselvityksistä ja pääsyä CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman tason turvallisuusluokiteltuihin tietoihin koskevista valtuutuksista. Rekisteriin on merkittävä vähintään korkein turvallisuusluokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin henkilölle voidaan myöntää pääsy, turvallisuusselvityksen myöntämispäivä ja sen voimassaoloaika.

27. Toimivaltainen turvallisuusviranomainen voi antaa henkilöturvallisuusselvitykseen perustuvan todistuksen, josta käyvät ilmi turvallisuusluokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi), EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten tarvittavan turvallisuusselvityksen tai EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten tarvittavan valtuutuksen voimassaoloaika ja itse todistuksen voimassaolon päättymispäivä.

Vapautukset turvallisuusselvitystä koskevasta vaatimuksesta

28. Jäsenvaltioissa tehtäviensä vuoksi asianmukaisesti valtuutettujen henkilöiden pääsy EU:n turvallisuusluokiteltuihin tietoihin määritellään kansallisten lakien ja asetusten mukaisesti. Kyseisille henkilöille on selvitettävä heidän turvallisuusvelvoitteensa EU:n turvallisuusluokiteltujen tietojen suojaamisen osalta.

IV TURVALLISUUSKOULUTUS JA -TIETOISUUS

29. Kaikkien henkilöiden, joille on myönnetty turvallisuusselvitys, on kirjallisesti vakuutettava ymmärtävänsä velvollisuutensa suojata EU:n turvallisuusluokitellut tiedot sekä seuraukset, joihin EU:n turvallisuusluokiteltujen tietojen vaarantuminen johtaa. Jäsenvaltiot ja tapauksen mukaan pääsihteeristö rekisteröivät tällaiset kirjalliset vakuutukset.

30. Kaikille henkilöille, joille on myönnetty pääsy EU:n turvallisuusluokiteltuihin tietoihin tai joiden edellytetään käsittelevän niitä, on aluksi selvitettävä turvallisuusuhat ja heille on säännöllisin väliajoin tiedotettava niistä, ja heidän on ilmoitettava välittömästi asianomaisille turvallisuusviranomaisille epäilyttävinä tai epätavanomaisina pitämistään yhteydenotoista tai toimista.

31. Kaikille henkilöille, jotka siirtyvät pois tehtävistä, jotka edellyttävät pääsyä EU:n turvallisuusluokiteltuihin tietoihin, on selvitettävä heidän velvollisuutensa EU:n turvallisuusluokiteltujen tietojen jatkuvan suojaamisen osalta, ja heidän on tarvittaessa annettava siitä kirjallinen vakuutus.

V POIKKEUKSELLISET OLOSUHTEET

32. Jäsenvaltion toimivaltaisen kansallisen viranomaisen kansallisiin turvallisuusluokiteltuihin tietoihin pääsyä varten myöntämä turvallisuusselvitys voidaan tilapäisesti siihen saakka, kunnes pääsyä EU:n turvallisuusluokiteltuihin tietoihin koskeva turvallisuusselvitys on myönnetty, sallia kansallisten virkamiesten pääsyn EU:n turvallisuusluokiteltuihin tietoihin lisäyksessä B olevassa vastaavuustaulukossa määriteltyyn vastaavaan turvallisuusluokkaan saakka, jos se on sallittua kansallisten lakien ja asetusten mukaisesti ja jos tällainen tilapäinen pääsy on unionin etujen vuoksi tarpeen. Kansallisten turvallisuusviranomaisten on ilmoitettava turvallisuuskomitealle, jos tällainen tilapäinen pääsy EU:n turvallisuusluokiteltuihin tietoihin ei ole kansallisten lakien ja asetusten mukaan sallittua.

33. Jos se on yksikön etujen vuoksi asianmukaisesti perusteltua ja jos täydellistä turvallisuustutkintaa ei ole vielä saatu päätökseen, pääsihteeristön nimittävä viranomainen voi kiireellisyyssyistä ja kuultuaan sen jäsenvaltion kansallista turvallisuusviranomaista, jonka kansalainen henkilö on, ja riippuen kielteisten seikkojen olemassaoloa koskevien alustavien tarkistusten tuloksista, myöntää pääsihteeristön virkamiehille ja muun henkilöstön jäsenille tilapäisen valtuutuksen ja pääsyn EU:n turvallisuusluokiteltuihin tietoihin tietyn tehtävän suorittamiseksi. Tällaiset tilapäiset valtuutukset ovat voimassa korkeintaan kuusi kuukautta, eivätkä ne oikeuta pääsemään TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tietoihin. Kaikkien henkilöiden, joille on myönnetty tilapäinen valtuutus, on kirjallisesti vakuutettava ymmärtävänsä velvollisuutensa suojata EU:n turvallisuusluokitellut tiedot sekä seuraukset, jos EU:n turvallisuusluokitellut tiedot vaarantuvat. Pääsihteeristö rekisteröi tällaiset kirjalliset vakuutukset.

34. Jos henkilö on määrä asettaa tehtävään, joka edellyttää yhtä tasoa korkeamman tason turvallisuusselvitystä kuin hänellä tuolloin on, tehtävään asettaminen voidaan tehdä väliaikaisesti edellyttäen, että

a) henkilön esimies perustelee kirjallisesti pakottavan tarpeen päästä korkeamman turvallisuusluokan EU:n turvallisuusluokiteltuihin tietoihin;

b) pääsy rajataan koskemaan tiettyjä erikseen määriteltyjä EU:n turvallisuusluokiteltuja tietoja tehtävään asettamisen edellyttämällä tavalla;

c) henkilöllä on voimassa oleva turvallisuusselvitys tai valtuutus EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten;

d) on ryhdytty toimiin valtuutuksen saamiseksi tehtävän edellyttämää tietoihin pääsyn tasoa varten;

e) toimivaltainen viranomainen on riittävin tarkistuksin varmistanut, että henkilö ei ole vakavasti tai toistuvasti rikkonut turvallisuussääntöjä;

f) toimivaltainen viranomainen hyväksyy henkilön nimityksen; ja

g) asiasta vastaavassa keskuskirjaamossa tai alakirjaamossa säilytetään tieto poikkeuksesta ja kuvaus tiedoista, joihin pääsy on hyväksytty.

35. Edellä kuvattua menettelyä on käytettävä myönnettäessä henkilölle kertaluonteisesti pääsy EU:n turvallisuusluokiteltuihin tietoihin, jotka on luokiteltu yhtä turvallisuusluokkaa korkeammalle kuin se, jota hänen turvallisuusselvityksensä koskee. Tätä menettelyä ei saa käyttää toistuvasti.

36. Erittäin poikkeuksellisissa olosuhteissa, kuten toteutettaessa operaatioita vihamielisessä ympäristössä tai kasvavien kansainvälisten jännitteiden aikana, jäsenvaltiot ja pääsihteeri voivat kiireellisten toimenpiteiden niin edellyttäessä ja erityisesti ihmishenkien pelastamiseksi myöntää mahdollisuuksien mukaan kirjallisesti pääsyn CONFIDENTIEL UE/EU CONFIDENTIAL- tai SECRET UE/EU SECRET -turvallisuusluokan tietoihin henkilöille, joilla ei ole vaadittua turvallisuusselvitystä edellyttäen, että tällainen lupa on ehdottoman välttämätön eikä asianomaisen henkilön lojaaliudesta, rehellisyydestä ja luotettavuudesta ole perusteltua epäilystä. Tällaisesta luvasta on säilytettävä rekisterissä tieto ja kuvaus tiedoista, joihin pääsy on hyväksytty.

37. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tietojen osalta kiireellisyyssyistä myönnetty pääsy on rajattava unionin kansalaisiin, joille on myönnetty pääsy joko TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokkaa vastaavan kansallisen turvallisuusluokan tietoihin tai SECRET UE/EU SECRET -turvallisuusluokan tietoihin.

38. Turvallisuuskomitealle on ilmoitettava tapauksista, joissa käytetään 36 ja 37 kohdan mukaista menettelyä.

39. Jos jäsenvaltion laeissa ja asetuksissa säädetään tiukemmista säännöistä tilapäisten valtuutusten osalta, väliaikaisista nimityksistä tai henkilöille myönnettävästä pääsystä turvallisuusluokiteltuihin tietoihin kertaluonteisesti tai kiireellisessä tapauksessa, tässä jaksossa kuvattuja menettelyjä on sovellettava ainoastaan asiaankuuluvissa kansallisissa laeissa ja asetuksissa säädetyissä rajoissa.

40. Turvallisuuskomitealle on toimitettava vuosittain selvitys tässä jaksossa säädettyjen menettelyjen käytöstä.

VI NEUVOSTOSSA PIDETTÄVIIN KOKOUKSIIN OSALLISTUMINEN

41. Jollei 28 kohdasta muuta johdu, henkilöiden, joille on annettu tehtäväksi osallistua neuvoston istuntoihin tai neuvoston valmisteluelinten kokouksiin, joissa käsitellään CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan tietoja, on ensin esitettävä vahvistus turvallisuusselvityksestään. Valtuuskuntien jäsenten osalta asianomaisten viranomaisten on toimitettava turvallisuusselvitykseen perustuva henkilöturvallisuustodistus tai muu todiste turvallisuusselvityksestä pääsihteeristön turvallisuusyksikölle, tai asianomainen valtuuskunnan jäsen voi poikkeuksellisesti esittää sen henkilökohtaisesti. Tarvittaessa voidaan käyttää ajantasaista nimiluetteloa, joka on asianmukainen näyttö turvallisuusselvityksestä.

42. Jos henkilön, jonka tehtävät edellyttävät osallistumista neuvoston tai neuvoston valmisteluelinten kokouksiin, turvallisuusselvitys EU:n turvallisuusluokiteltuihin tietoihin pääsemiseksi perutaan turvallisuussyistä, toimivaltaisen viranomaisen on ilmoitettava asiasta pääsihteeristölle.

VII MAHDOLLINEN PÄÄSY EU:N TURVALLISUUSLUOKITELTUIHIN TIETOIHIN

43. Kuriireilla, vartijoilla ja saattajilla on oltava asiaankuuluvan tason turvallisuusselvitys tai heidän on oltava muulla tavoin asianmukaisesti tutkittuja kansallisten lakien ja asetusten mukaisesti, ja heille on selvitettävä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuusmenettelyt ja annettava ohjeet heille uskottujen tällaisten tietojen suojaamiseen liittyvistä tehtävistään.









LIITE II

FYYSINEN TURVALLISUUS

I JOHDANTO

1. Tässä liitteessä vahvistetaan 8 artiklan täytäntöönpanosäännökset. Siinä vahvistetaan EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen käytettyjen tilojen, rakennusten, toimistojen, huoneiden ja muiden alueiden, viestintä- ja tietojärjestelmien sijoitusalueet mukaan luettuina, fyysistä suojaamista koskevat vähimmäisvaatimukset.

2. Fyysisten turvatoimien tarkoituksena on estää luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin

a) varmistamalla, että EU:n turvallisuusluokiteltuja tietoja käsitellään ja säilytetään asianmukaisesti;

b) mahdollistamalla henkilöstön luokitus ja pääsy EU:n turvallisuusluokiteltuihin tietoihin sen perusteella, mikä heidän tiedonsaantitarpeensa on, ja tarvittaessa henkilöiden turvallisuusselvitysten perusteella;

c) ehkäisemällä, estämällä ja havaitsemalla luvattomat toimet; ja

d) estämällä salaa tai väkisin tapahtuva tunkeutuminen tai viivyttämällä sitä.

II FYYSISET TURVALLISUUSVAATIMUKSET JA TURVATOIMET

3. Fyysisten turvatoimien valinnan on perustuttava toimivaltaisten viranomaisten tekemään uhka-arvioon. Pääsihteeristön ja jäsenvaltioiden on sovellettava riskinhallintaprosessia EU:n turvallisuusluokiteltujen tietojen suojaamiseksi tiloissaan, jotta varmistetaan, että fyysisen suojelun taso vastaa arvioitua riskiä. Riskinhallintaprosessissa on otettava huomioon kaikki asiaankuuluvat tekijät, erityisesti seuraavat:

a) EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka;

b) EU:n turvallisuusluokiteltujen tietojen muoto ja määrä pitäen mielessä, että niiden suuri määrä tai kokoaminen yhteen voi edellyttää tiukempien suojatoimenpiteiden soveltamista;

c) EU:n turvallisuusluokiteltujen tietojen sijoitusrakennusten tai -alueiden ympäristö ja rakenne; ja

d) niiden tiedustelupalvelujen muodostama arvioitu uhka, jotka kohdistavat toimiaan unioniin tai jäsenvaltioihin, ja sabotaasin, terrorismin ja kumouksellisen tai muun rikollisen toiminnan uhka.

4. Toimivaltaisen turvallisuusviranomaisen on syvyyssuuntaisen turvallisuuden käsitettä soveltaen määriteltävä asianmukainen fyysisten turvatoimien yhdistelmä. Ne voivat käsittää yhden tai useampia seuraavista:

a) kehäsuojaus: fyysinen este, jolla suojattava alue rajataan;

b) tunkeutumisenhavaitsemisjärjestelmät: kehäsuojauksen tarjoaman turvallisuustason parantamiseksi voidaan käyttää tunkeutumisenhavaitsemisjärjestelmää. Sellaista voidaan käyttää myös huoneissa ja rakennuksissa turvallisuushenkilöstön sijasta tai sen tueksi;

c) kulunvalvonta: kulunvalvontaa voidaan soveltaa alueeseen, alueen yhteen tai useampaan rakennukseen tai rakennuksen alueisiin tai huoneisiin. Valvonta voidaan toteuttaa sähköisin tai sähkömekaanisin välinein, turvallisuushenkilöstön ja/tai vastaanottovirkailijan toimesta tai muunlaisin fyysisin keinoin;

d) turvallisuushenkilöstö: koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä turvallisuushenkilöstöä voidaan ottaa palvelukseen muun muassa tunkeutumista suunnittelevien henkilöiden aikeiden torjumiseksi;

e) kameravalvonta: turvallisuushenkilöstö voi käyttää kameravalvontaa tilanteiden ja tunkeutumisenhavaitsemisjärjestelmien hälytysten todentamiseksi laajoilla alueilla tai rajatuilla alueilla;

f) turvavalaistus: mahdollisia tunkeutujia voidaan estää käyttämällä turvavalaistusta, jonka ansiosta turvallisuushenkilöstö voi myös valvoa aluetta tehokkaasti joko suoraan tai kameravalvontajärjestelmän välityksellä; ja

g) muut asianmukaiset fyysiset toimenpiteet, joiden tarkoituksena on luvattoman pääsyn estäminen ja havaitseminen tai EU:n turvallisuusluokiteltujen tietojen katoamisen tai vahingoittumisen ehkäiseminen.

5. Toimivaltainen viranomainen voidaan valtuuttaa tekemään sisään- ja ulostulotarkastuksia, millä estetään aineiston luvaton tuonti tai EU:n turvallisuusluokiteltujen tietojen luvaton poisvienti tiloista tai rakennuksista.

6. Jos EU:n turvallisuusluokiteltuihin tietoihin kohdistuu salakatselun riski, vahingossa tapahtuva salakatselu mukaan luettuna, on toteutettava asianmukaiset toimenpiteet tällaisen riskin torjumiseksi.

7. Uusien toimitilojen osalta fyysisten turvallisuusvaatimusten ja niiden toiminnallisten eritelmien määrittelyn on oltava osa toimitilojen suunnittelua ja rakenteita. Jo olemassa olevien toimitilojen osalta fyysiset turvallisuusvaatimukset on pantava täytäntöön mahdollisimman täydellisesti.

III EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN FYYSISEEN SUOJELUUN TARKOITETUT LAITTEET

8. Hankittaessa EU:n turvallisuusluokiteltujen tietojen fyysiseen suojeluun tarkoitettuja laitteita (esimerkiksi turvakaappeja, paperisilppureita, ovilukkoja, elektronisia kulunvalvontajärjestelmiä, tunkeutumisenhavaitsemisjärjestelmiä ja hälytysjärjestelmiä) toimivaltaisen turvallisuusviranomaisen on varmistettava, että laitteet ovat hyväksyttyjen teknisten standardien ja vähimmäisvaatimusten mukaisia.

9. EU:n turvallisuusluokiteltujen tietojen fyysiseen suojeluun käytettyjen laitteiden tekniset eritelmät on esitettävä turvallisuutta koskevissa suuntaviivoissa, jotka turvallisuuskomitea hyväksyy.

10. Turvallisuusjärjestelmät on tarkastettava määräajoin, ja laitteet on huollettava säännöllisin väliajoin. Huolto on tehtävä suoritettujen tarkastusten tulokset huomioon ottaen, jotta varmistetaan laitteiden optimaalinen suoritustaso myös jatkossa.

11. Yksittäisten turvatoimien ja koko turvallisuusjärjestelmän tehokkuus on arvioitava uudelleen kunkin tarkastuksen yhteydessä.

IV FYYSISESTI SUOJATUT ALUEET

12. EU:n turvallisuusluokiteltujen tietojen fyysiseksi suojaamiseksi on perustettava kahdentyyppisiä fyysisesti suojattuja alueita tai vastaavia kansallisia alueita:

a) hallinnollisia alueita; ja

b) turva-alueita (teknisesti suojatut turva-alueet mukaan luettuina).

Kaikkia tässä päätöksessä olevia viittauksia hallinnollisiin alueisiin ja turva-alueisiin, teknisesti suojatut turva-alueet mukaan luettuina, on pidettävä viittauksina myös niitä vastaaviin kansallisiin alueisiin.

13. Toimivaltaisen turvallisuusviranomaisen on todettava, että alue täyttää vaatimukset, jotka koskevat nimeämistä hallinnolliseksi alueeksi, turva-alueeksi tai teknisesti suojatuksi turva-alueeksi.

14. Hallinnollisiin alueisiin sovelletaan seuraavaa:

a) alueella on oltava selkeästi määritellyt näkyvät rajat, joilla henkilöt ja mahdollisuuksien mukaan ajoneuvot voidaan tarkastaa;

b) vain toimivaltaisen viranomaisen asianmukaisesti valtuuttamilla henkilöillä on pääsy alueelle ilman saattajaa; ja

c) kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.

15. Turva-alueisiin sovelletaan seuraavaa:

a) alueella on oltava selkeästi määritellyt ja suojatut rajat, joilla valvotaan kaikkea kulkua sisään ja ulos kulkuluvin tai henkilökohtaisesti tunnistamalla;

b) pääsy alueelle ilman saattajaa on vain henkilöillä, joilla on turvallisuusselvitys ja erityinen lupa tulla alueelle tiedonsaantitarpeensa perusteella; ja

c) kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.

16. Jos turva-alueelle tulo merkitsee käytännössä välitöntä pääsyä sillä oleviin turvallisuusluokiteltuihin tietoihin, sovelletaan lisäksi seuraavia vaatimuksia:

a) alueella tavanomaisesti säilytettyjen tietojen korkein turvallisuusluokka on ilmoitettava selkeästi;

b) kaikilla vierailijoilla on oltava erityinen lupa tulla alueelle, heillä on aina oltava saattaja ja heillä on oltava asianmukainen turvallisuusselvitys, paitsi jos on toteutettu toimia sen varmistamiseksi, ettei EU:n turvallisuusluokiteltuihin tietoihin ole pääsyä.

17. Salakuuntelulta suojatut turva-alueet on nimettävä teknisesti suojatuiksi turva-alueiksi. Lisäksi sovelletaan seuraavia vaatimuksia:

a) alueilla on oltava tunkeutumisenhavaitsemisjärjestelmä, ne on pidettävä lukittuina silloin, kun niitä ei käytetä, ja niitä on vartioitava silloin, kun ne ovat käytössä. Avaimia on valvottava VI jakson mukaisesti;

b) alueille tulevia henkilöitä ja aineistoja on valvottava;

c) alueet on tarkastettava fyysisesti ja/tai teknisesti säännöllisin väliajoin toimivaltaisen turvallisuusviranomaisen vaatimusten mukaisesti. Tällaiset tarkastukset on suoritettava myös mahdollisen luvattoman sisäänpääsyn tai sen epäilyn johdosta; ja

d) alueilla ei saa olla luvattomia tietoliikenneyhteyksiä, luvattomia puhelimia eikä muita luvattomia viestintävälineitä eikä sähkö- tai elektronisia laitteita.

18. Sen estämättä, mitä 17 kohdan d alakohdassa säädetään, toimivaltaisen turvallisuusviranomaisen on tarkastettava kaikki viestintä-, sähkö- tai elektroniset laitteet, ennen kuin niitä käytetään alueilla, joilla pidetään SECRET UE/EU SECRET- tai sitä korkeamman turvallisuusluokan tietoihin liittyviä kokouksia tai tehdään tällaisiin tietoihin liittyvää työtä, silloin kun EU:n turvallisuusluokiteltuihin tietoihin kohdistuva uhka arvioidaan korkeaksi, ja näin varmistettava, ettei niillä voi tahattomasti eikä laittomasti välittää ymmärrettävässä muodossa olevia tietoja turva-alueen rajojen ulkopuolelle.

19. Turva-alueet, joilla ei ole henkilöstöä palveluksessa vuorokauden ympäri, on tarvittaessa tarkastettava normaalin työajan päätteeksi ja satunnaisiin aikoihin sen ulkopuolella, paitsi jos alueelle on asennettu tunkeutumisenhavaitsemisjärjestelmä.

20. Turva-alueita ja teknisesti suojattuja turva-alueita voidaan tilapäisesti perustaa hallinnolliselle alueelle turvallisuusluokiteltua kokousta tai muuta vastaavaa tarkoitusta varten.

21. Kullekin turva-alueelle on laadittava turvallisuusmenettelyt, joissa on määräykset seuraavista:

a) EU:n turvallisuusluokiteltujen tietojen, joita alueella voidaan käsitellä ja säilyttää, turvallisuusluokka;

b) sovellettavat valvonta- ja suojatoimenpiteet;

c) henkilöt, joilla on pääsy alueelle ilman saattajaa tiedonsaantitarpeensa ja turvallisuusselvityksensä perusteella;

d) tarvittaessa menettelyt saattajien käyttämiseksi tai EU:n turvallisuusluokiteltujen tietojen suojaamiseksi silloin, kun muille henkilöille myönnetään pääsy alueelle; ja

e) muut asiaankuuluvat toimenpiteet ja menettelyt.

22. Turva-alueille on rakennettava kassaholveja. Toimivaltaisen turvallisuusviranomaisen on hyväksyttävä seinät, lattiat, katot, ikkunat ja lukittavat ovet, joiden on tarjottava sama turvallisuustaso kuin sen, jonka saman turvallisuusluokan EU:n turvallisuusluokiteltujen tietojen säilyttämiseen hyväksytyt turvakaapit tarjoavat.

V EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN KÄSITTELYSSÄ JA SÄILYTTÄMISESSÄ NOUDATETTAVAT FYYSISET SUOJATOIMENPITEET

23. EU:n turvallisuusluokiteltuja tietoja, jotka kuuluvat RESTREINT UE/EU RESTRICTED -turvallisuusluokkaan, voidaan käsitellä

a) turva-alueella;

b) hallinnollisella alueella, jos pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; tai

c) turva-alueen tai hallinnollisen alueen ulkopuolella, jos tietojen haltija kuljettaa EU:n turvaluokiteltuja tietoja liitteessä III olevan 28–41 kohdan mukaisesti ja hän on sitoutunut noudattamaan toimivaltaisen turvallisuusviranomaisen antamissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvaluokiteltuihin tietoihin on suojattu sivullisilta.

24. EU:n turvallisuusluokitellut tiedot, jotka kuuluvat RESTREINT UE/EU RESTRICTED -turvallisuusluokkaan, on säilytettävä soveltuvissa lukituissa toimistokalusteissa hallinnollisella alueella tai turva-alueella. Niitä voidaan tilapäisesti säilyttää turva-alueen tai hallinnollisen alueen ulkopuolella, jos tietojen haltija on sitoutunut noudattamaan toimivaltaisen turvallisuusviranomaisen antamissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä.

25. EU:n turvallisuusluokiteltuja tietoja, jotka kuuluvat CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET -turvallisuusluokkaan, voidaan käsitellä

a) turva-alueella;

b) hallinnollisella alueella, jos pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; tai

c) turva-alueen tai hallinnollisen alueen ulkopuolella, jos tietojen haltija i) kuljettaa EU:n turvallisuusluokiteltuja tietoja liitteessä III olevan 28–41 kohdan mukaisesti; ii) on sitoutunut noudattamaan toimivaltaisen turvallisuusviranomaisen antamissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; iii) pitää EU:n turvallisuusluokitellut tiedot kaikkina aikoina henkilökohtaisessa valvonnassaan; ja iv) on ilmoittanut asiasta asiaankuuluvalle kirjaamolle, jos kyseessä ovat paperimuodossa olevat asiakirjat.

26. EU:n turvallisuusluokiteltuja tietoja, jotka kuuluvat CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusluokkaan, on säilytettävä turva-alueella joko turvakaapissa tai kassaholvissa.

27. EU:n turvallisuusluokiteltuja tietoja, jotka kuuluvat TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokkaan, on käsiteltävä turva-alueella.

28. EU:n turvallisuusluokitellut tiedot, jotka kuuluvat TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokkaan, on säilytettävä turva-alueella noudattaen toista seuraavista ehdoista:

a) turvakaapissa 8 kohdan mukaisesti soveltaen ainakin yhtä seuraavista lisävalvonnoista: i) jatkuva suojaus tai turvallisuusselvitetyn turvallisuushenkilöstön tai päivystyshenkilöstön säännölliset tarkastukset; ii) hyväksytty tunkeutumisenhavaitsemisjärjestelmä ja hälytyksiin vastaava turvallisuushenkilöstö;

b) tunkeutumisenhavaitsemisjärjestelmällä varustetussa kassaholvissa, minkä lisäksi on oltava hälytyksiin vastaava turvallisuushenkilöstö.

29. EU:n turvallisuusluokiteltujen tietojen kuljettamista fyysisesti suojattujen alueiden ulkopuolella koskevat säännöt vahvistetaan liitteessä III.

VI EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMISEEN KÄYTETTYJEN AVAINTEN JA NUMEROYHDISTELMIEN VALVONTA

30. Toimivaltaisen turvallisuusviranomaisen on määriteltävä toimistojen, huoneiden, kassaholvien ja turvakaappien avainten ja numeroyhdistelmien hallinnointimenettelyt. Näillä menettelyillä ne suojataan luvattomalta pääsyltä.

31. Numeroyhdistelmät on annettava mahdollisimman harvoille sellaisille henkilöille, joiden on tarpeen tietää ne, ja heidän on osattava ne ulkoa. EU:n turvallisuusluokiteltuja tietoja sisältävien turvakaappien ja kassaholvien numeroyhdistelmät on vaihdettava

a) uuden turvallisen säilytyspaikan vastaanoton yhteydessä;

b) aina kun numeroyhdistelmän tuntevassa henkilöstössä tapahtuu muutos;

c) aina kun tiedot ovat vaarantuneet tai kun niiden epäillään vaarantuneen;

d) kun jokin lukoista on huollettu tai korjattu; ja

e) vähintään 12 kuukauden välein.









LIITE III

TURVALLISUUSLUOKITELTUJEN TIETOJEN HALLINNOINTI

I JOHDANTO

1. Tässä liitteessä vahvistetaan 9 artiklan täytäntöönpanosäännökset. Siinä vahvistetaan hallinnolliset toimenpiteet, jotka koskevat EU:n turvallisuusluokiteltujen tietojen valvomista koko niiden elinkaaren ajan, jotta autetaan estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen.

II TURVALLISUUSLUOKITTELUN HALLINNOINTI

Turvallisuusluokat ja merkinnät

2. Tiedot turvallisuusluokitellaan, jos niiden luottamuksellisuus on suojattava.

3. EU:n turvallisuusluokiteltujen tietojen luovuttaja vastaa tietojen turvallisuusluokan määrittelystä turvallisuusluokittelua koskevien asiaankuuluvien ohjeiden mukaisesti, sekä niiden alustavasta jakelusta.

4. EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka määritellään 2 artiklan 2 kohdan mukaisesti ja soveltaen turvallisuusperiaatteita, jotka hyväksytään 3 artiklan 3 kohdan mukaisesti.

5. Turvallisuusluokka on merkittävä selkeästi ja oikein riippumatta siitä, ovatko EU:n turvallisuusluokitellut tiedot paperi-, suullisessa, sähköisessä vai jossakin muussa muodossa.

6. Tietyn asiakirjan yksittäiset osat (sivut, kohdat, jaksot, liitteet, lisäykset, saatteet ja oheistukset) saattavat edellyttää eri turvallisuusluokkia, ja ne on merkittävä sen mukaisesti, myös silloin, kun ne tallennetaan sähköisesti.

7. Koko asiakirjan tai tiedoston turvallisuusluokan on oltava vähintään yhtä korkea kuin sen korkeimpaan turvallisuusluokkaan määritellyn osan turvallisuusluokka. Jos eri lähteistä peräisin olevia tietoja yhdistetään, lopputuote on tarkistettava sen kokonaisturvallisuusluokan määrittämiseksi, koska asiakirja voi edellyttää korkeampaa turvallisuusluokkaa kuin sen muodostavat osat.

8. Asiakirjat, jotka sisältävät eri turvallisuusluokkiin kuuluvia osia, on mahdollisuuksien mukaan laadittava niin, että eri turvallisuusluokkiin kuuluvat osat voidaan helposti tunnistaa ja tarvittaessa poistaa.

9. Liitteitä sisältävän kirjeen tai ilmoituksen turvallisuusluokan on oltava yhtä korkea kuin sen liitteiden korkein turvallisuusluokka. Luovuttajan on ilmoitettava selvästi tällaisen asiakirjan turvallisuusluokka ilman liitteitä asianmukaisella merkinnällä esimerkiksi seuraavasti:

CONFIDENTIEL UE/EU CONFIDENTIAL

Ilman liitteitä RESTREINT UE/EU RESTRICTED

Merkinnät

10. 2 artiklan 2 kohdassa säädettyjen turvallisuusluokitusmerkintöjen lisäksi EU:n turvallisuusluokitelluissa tiedoissa voi olla muita merkintöjä, esimerkiksi

a) tunniste, joka osoittaa tietojen luovuttajan;

b) varoitusmerkintöjä, koodisanoja tai lyhenteitä, joilla tarkennetaan asiakirjan aihealue, erityisjakelu tiedonsaantitarpeen perusteella tai käytön rajoitukset;

c) luovutettavuutta koskevia merkintöjä; tai

d) tarvittaessa ajankohta tai tietty tapahtuma, jonka jälkeen tietojen turvallisuusluokka voidaan alentaa tai poistaa.

Turvallisuusluokitusmerkintöjen lyhenteet

11. Tekstiin kuuluvien yksittäisten kappaleiden turvallisuusluokan merkitsemiseen voidaan käyttää vakiomuotoisia turvallisuusluokitusmerkintöjen lyhenteitä. Täydellisiä turvallisuusluokitusmerkintöjä ei saa korvata lyhenteillä.

12. EU:n turvallisuusluokitelluissa asiakirjoissa voidaan käyttää seuraavia vakiomuotoisia lyhenteitä, joilla ilmoitetaan alle yhden sivun mittaisten jaksojen tai tekstin osien turvallisuusluokka:







TRÈS SECRET UE/EU TOP SECRET TS-UE/EU-TS SECRET UE/EU SECRET S-UE/EU-S CONFIDENTIEL UE/EU CONFIDENTIAL C-UE/EU-C RESTREINT UE/EU RESTRICTED R-UE/EU-R

EU:n turvallisuusluokiteltujen tietojen tuottaminen

13. Tuotettaessa EU:n turvallisuusluokiteltua asiakirjaa

a) turvallisuusluokka on merkittävä selvästi kullekin sivulle;

b) kukin sivu on numeroitava;

c) asiakirjassa on oltava viitenumero ja asiakohta, joka ei ole turvallisuusluokiteltua tietoa, ellei sitä ole merkitty sellaiseksi;

d) asiakirja on päivättävä; ja

e) SECRET UE/EU SECRET- ja sitä korkeamman turvallisuusluokan asiakirjojen jokaiselle sivulle on merkittävä jäljennöksen numero, jos ne on tarkoitus jakaa useampana kappaleena.

14. Jos EU:n turvallisuusluokiteltuihin tietoihin ei voida soveltaa 13 kohtaa, on toteutettava muita asianmukaisia toimenpiteitä 6 artiklan 2 kohdan nojalla laadittavien turvallisuutta koskevien suuntaviivojen mukaisesti.

EU:n turvallisuusluokiteltujen tietojen turvallisuusluokan alentaminen ja poistaminen

15. Tietoja tuottaessaan luovuttajan on mahdollisuuksien mukaan ja erityisesti RESTREINT UE/EU RESTRICTED -turvallisuusluokan tietojen osalta ilmoitettava, voidaanko EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa alentaa tai turvallisuusluokitus poistaa tiettynä päivänä tai tietyn tapahtuman jälkeen.

16. Pääsihteeristön on tarkistettava hallussaan olevat EU:n turvallisuusluokitellut tiedot säännöllisin väliajoin sen selvittämiseksi, onko turvallisuusluokka edelleen asianmukainen. Pääsihteeristön on perustettava järjestelmä sen luovuttamien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokan tarkistamiseksi vähintään joka viides vuosi. Tarkistaminen ei ole tarpeen, jos tietojen luovuttaja on alun perin ilmoittanut, että tietojen turvallisuusluokkaa alennetaan tai että se poistetaan ilman eri toimenpiteitä, ja jos tiedot on merkitty tämän mukaisesti.

III TURVALLISUUSTARKOITUKSIA VARTEN TAPAHTUVA EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN KIRJAAMINEN

17. Kaikille pääsihteeristön ja jäsenvaltioiden kansallisten hallintojen organisaatioyksiköille, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään, on määriteltävä vastaava kirjaamo sen varmistamiseksi, että tietoja käsitellään tämän päätöksen mukaisesti. Kirjaamot on perustettava liitteessä II määritellyn mukaisiksi turva-alueiksi.

18. Turvallisuustarkoituksia varten tapahtuvalla kirjaamisella, jäljempänä ’kirjaaminen’, tarkoitetaan tässä päätöksessä sellaisten menettelyjen soveltamista, joilla rekisteröidään aineiston elinkaari, myös sen jakelu ja hävittäminen.

19. Kaikki CONFIDENTIEL UE/EU CONFIDENTIAL- tai sitä korkeamman turvallisuusluokan aineisto on kirjattava sille tarkoitetuissa kirjaamoissa, kun aineisto saapuu organisaatioyksikköön tai lähtee siitä.

20. Pääsihteeristön keskuskirjaamo rekisteröi kaikki neuvoston ja pääsihteeristön kolmansille valtioille ja kansainvälisille järjestöille luovuttamat turvallisuusluokitellut tiedot sekä kaikki kolmansilta valtioilta tai kansainvälisiltä järjestöiltä vastaanotetut turvallisuusluokitellut tiedot.

21. Jos kyseessä on viestintä- ja tietojärjestelmä, kirjaamismenettelyt voidaan suorittaa tämän järjestelmän omien prosessien avulla.

22. Neuvosto turvallisuustarkoituksia varten kirjattavia EU:n turvallisuusluokiteltuja tietoja koskevat turvallisuusperiaatteet.

TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tietojen kirjaamot

23. Jäsenvaltioihin ja pääsihteeristöön on nimettävä kirjaamo, joka toimii TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tietojen keskitettynä vastaanottaja- ja lähettäjäviranomaisena. Tarvittaessa voidaan nimetä alakirjaamoja tällaisten tietojen käsittelemiseksi kirjaamistarkoituksiin.

24. TRÈS SECRET UE/EU TOP SECRET -asiakirjoja ei saa toimittaa suoraan saman TRÈS SECRET UE /EU TOP SECRET -keskuskirjaamon alakirjaamosta toiseen tai niiden ulkopuolelle ilman keskuskirjaamon nimenomaista kirjallista hyväksyntää.

IV EU:N TURVALLISUUSLUOKITELTUJEN ASIAKIRJOJEN JÄLJENTÄMINEN JA KÄÄNTÄMINEN

25. TRÈS SECRET UE/EU TOP SECRET -asiakirjoja ei saa jäljentää eikä kääntää ilman niiden luovuttajan kirjallista etukäteissuostumusta.

26. Jos SECRET UE/EU SECRET- ja sitä alemman turvallisuusluokan asiakirjojen luovuttaja ei ole kieltänyt jäljentämästä tai kääntämästä asiakirjoja, ne voidaan jäljentää tai kääntää niiden haltijan pyynnöstä.

27. Jäljennöksiin ja käännöksiin sovelletaan alkuperäistä asiakirjaa koskevia turvatoimia.

V EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN KULJETTAMINEN

28. EU:n turvallisuusluokiteltujen tietojen fyysiseen kuljettamiseen sovelletaan 30–41 kohdassa esitettyjä suojatoimenpiteitä. Jos EU:n turvallisuusluokiteltuja tietoja siirretään sähköisillä tallennusvälineillä ja sen estämättä, mitä 9 artiklan 4 kohdassa säädetään, jäljempänä esitettyjä suojatoimenpiteitä voidaan täydentää toimivaltaisen turvallisuusviranomaisen määräämillä asianmukaisilla teknisillä vastatoimenpiteillä, jotta minimoidaan katoamisen tai vaarantumisen riski.

29. Pääsihteeristön ja jäsenvaltioiden toimivaltaisten turvallisuusviranomaisten on annettava ohjeet EU:n turvallisuusluokiteltujen tietojen kuljettamisesta tämän päätöksen mukaisesti.

Rakennuksen tai suljetun rakennusryhmän sisällä

30. Rakennuksen tai suljetun rakennusryhmän sisällä kuljetettavat EU:n turvallisuusluokitellut tiedot on peitettävä niin, ettei niiden sisältö ole näkyvissä.

31. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tiedot on kuljetettava rakennuksen tai suljetun rakennusryhmän sisällä sinetöidyssä kirjekuoressa, johon on merkitty vain vastaanottajan nimi.

Unionin alueella

32. Unionin alueella rakennusten tai tilojen välillä kuljetettavat EU:n turvallisuusluokitellut tiedot on pakattava niin, että ne on suojattu luvattomalta ilmitulolta.

33. CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusluokan tiedot on kuljetettava unionin alueella jollakin seuraavista tavoista:

a) tapauksen mukaan sotilaskuriirilla, valtion kuriirilla tai diplomaattikuriirilla;

b) henkilökohtaisesti, jos i) EU:n turvallisuusluokitellut tiedot ovat koko ajan kuljettajansa hallussa, paitsi jos ne on tallennettu liitteessä II säädettyjen vaatimusten mukaisesti; ii) EU:n turvallisuusluokiteltuja tietoja ei avata matkalla eikä lueta julkisilla paikoilla; iii) henkilöille selvitetään heidän turvallisuutta koskeva vastuunsa; ja iv) henkilöille annetaan tarvittaessa kuriiritodistus;

c) postipalvelujen tai kaupallisten kuriiripalvelujen välityksellä, jos i) asiaankuuluva kansallinen turvallisuusviranomainen on hyväksynyt ne kansallisten lakien ja asetusten mukaisesti; ja ii) ne soveltavat asianmukaisia suojatoimenpiteitä 6 artiklan 2 kohdan nojalla laadittavissa turvallisuutta koskevissa suuntaviivoissa asetettavien vähimmäisvaatimusten mukaisesti.

Kuljetettaessa tietoja jäsenvaltiosta toiseen c alakohdan säännökset koskevat korkeintaan CONFIDENTIEL UE/EU CONDIFENTIAL -turvallisuusluokan tietoja.

34. RESTREINT UE/EU RESTRICTED -turvallisuusluokan tietoja voidaan kuljettaa myös postipalvelujen tai kaupallisten kuriiripalvelujen välityksellä. Tällaisten tietojen kuljettamiseen ei vaadita kuriiritodistusta.

35. CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusluokkiin kuuluva aineisto (esimerkiksi laitteet tai koneet), joita ei voida kuljettaa 33 kohdassa tarkoitetuilla tavoilla, on kuljetettava rahtina kaupallisten rahdinkuljettajien välityksellä liitteen V mukaisesti.

36. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tiedot on kuljetettava rakennusten tai tilojen välillä unionin alueella tapauksen mukaan sotilaskuriirilla, valtion kuriirilla tai diplomaattikuriirilla.

Unionista kolmannen valtion alueelle

37. Unionista kolmannen valtion alueelle kuljetettavat EU:n turvallisuusluokitellut tiedot on pakattava niin, että ne on suojattu luvattomalta ilmitulolta.

38. CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusluokkien tiedot on kuljetettava unionista kolmannen valtion alueelle jollakin seuraavista tavoista:

a) sotilas- tai diplomaattikuriirilla;

b) henkilökohtaisesti, jos i) pakkauksessa on virallinen sinetti tai siitä käy ilmi, että kyseessä on virallinen lähetys, jolle ei olisi tehtävä tulli- tai turvallisuustarkastusta; ii) henkilöillä on kuriiritodistus, jossa yksilöidään pakkaus ja valtuutetaan henkilöt kuljettamaan sitä; iii) EU:n turvallisuusluokitellut tiedot ovat koko ajan kuljettajansa hallussa, paitsi jos ne on tallennettu liitteessä II säädettyjen vaatimusten mukaisesti; iv) EU:n turvallisuusluokiteltuja tietoja ei avata matkalla eikä lueta julkisilla paikoilla; ja v) henkilöille selvitetään heidän turvallisuutta koskeva vastuunsa.

39. Kuljetettaessa unionin kolmannelle valtiolle tai kansainväliselle järjestölle luovuttamia CONFIDENTIEL UE/EU CONFIDENTIAL- ja SECRET UE/EU SECRET -turvallisuusluokkien tietoja on noudatettava 13 artiklan 2 kohdan a alakohdan mukaisen tietoturvallisuussopimuksen tai b alakohdan mukaisen hallinnollisen järjestelyn asiaankuuluvia määräyksiä.

40. RESTREINT UE/EU RESTRICTED -turvallisuusluokan tietoja voidaan kuljettaa myös postipalvelujen tai kaupallisten kuriiripalvelujen välityksellä.

41. TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan tiedot on kuljetettava unionista kolmannen valtion alueelle sotilas- tai diplomaattikuriirilla.

VI EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN HÄVITTÄMINEN

42. EU:n turvallisuusluokitellut tiedot, joita ei enää tarvita, voidaan hävittää, sanotun kuitenkaan rajoittamatta arkistointia koskevien sääntöjen ja määräysten soveltamista.

43. Asiakirjat, jotka on kirjattava 9 artiklan 2 kohdan mukaisesti, on hävitettävä niistä vastaavassa kirjaamossa niiden haltijan tai toimivaltaisen viranomaisen määräyksestä. Päiväkirjat ja muut kirjaustiedot on päivitettävä vastaavasti.

44. SECRET UE/EU SECRET- tai TRÈS SECRET UE/EU TOP SECRET -turvallisuusluokan asiakirjojen hävittäminen on suoritettava todistajan läsnä ollessa. Todistajalla on oltava vähintään hävitettävän asiakirjan turvallisuusluokkaa vastaava turvallisuusselvitys.

45. Sekä kirjaajan että todistajan, jos jälkimmäisen läsnäoloa vaaditaan, on allekirjoitettava hävittämistodistus, joka tallennetaan kirjaamoon. Kirjaamon on säilytettävä TRÈS SECRET UE/EU TOP SECRET -asiakirjojen hävittämistodistukset vähintään kymmenen vuoden ajan sekä CONFIDENTIEL UE/EU CONFIDENTIAL ja SECRET UE/EU SECRET -asiakirjojen hävittämistodistukset vähintään viiden vuoden ajan.

46. Turvallisuusluokiteltujen asiakirjojen, myös RESTREINT UE/EU RESTRICTED -turvallisuusluokan asiakirjojen, hävittämisessä on käytettävä menetelmiä, jotka vastaavat asiaankuuluvia unionin tai vastaavia standardeja tai jotka jäsenvaltiot ovat hyväksyneet kansallisten teknisten standardien mukaisesti, jotta estetään tietojen kokoaminen uudelleen kokonaan tai osittain.

47. EU:n turvallisuusluokiteltujen tietojen tallentamiseen käytetyt atk-tallennevälineet on hävitettävä liitteessä IV olevan 37 kohdan mukaisesti.

48. Hätätapauksessa, jos on olemassa EU:n turvallisuusluokiteltujen tietojen luvattoman ilmitulon välitön vaara, haltijan on tuhottava tiedot niin, että niitä ei voida palauttaa ennalleen kokonaan eikä osittain. Tietojen luovuttajalle ja rekisterin ylläpitäjälle on ilmoitettava rekisteröityjen EU:n turvallisuusluokiteltujen tietojen hävittämisestä hätätapauksessa.

VII ARVIOINTIKÄYNNIT

49. ’Arviointikäynnillä’ tarkoitetaan jäljempänä

a) 9 artiklan 3 kohdan ja 16 artiklan 2 kohdan e, f ja g alakohdan mukaista tarkastusta tai arviointikäyntiä; tai

b) 13 artiklan 5 kohdan mukaista arviointikäyntiä,

jossa arvioidaan EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen toimenpiteiden tehokkuutta.

50. Arviointikäyntejä tehdään muun muassa

a) sen varmistamiseksi, että tässä päätöksessä säädettyjä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevia vähimmäisvaatimuksia noudatetaan;

b) turvallisuuden ja tehokkaan riskinhallinnan merkityksen korostamiseksi tarkastetuissa yksiköissä;

c) vastatoimien suosittelemiseksi niiden erityisten vaikutusten lieventämiseksi, joita turvallisuusluokiteltujen tietojen luottamuksellisuuden, eheyden tai käytettävyyden menetyksellä on; ja

d) turvallisuusviranomaisten jatkuvan turvallisuuskoulutuksen ja tiedotusohjelmien tehostamiseksi.

51. Neuvosto hyväksyy ennen kunkin kalenterivuoden loppua 16 artiklan 1 kohdan c alakohdassa tarkoitetun arviointikäyntiohjelman seuraavaksi vuodeksi. Kunkin arviointikäynnin ajankohdasta sovitaan kyseisen unionin elimen tai laitoksen, jäsenvaltion, kolmannen valtion tai kansainvälisen järjestön kanssa.

Arviointikäyntien suorittaminen

52. Arviointikäynneillä on käytävä läpi käynnin kohteena olevan yksikön asiaankuuluvat säännöt, määräykset ja menettelyt sekä tarkistettava, ovatko yksikön toimintatavat tässä päätöksessä ja turvallisuusluokiteltujen tietojen vaihtoa kyseisen yksikön kanssa koskevissa säännöksissä säädettyjen perusperiaatteiden ja vähimmäisvaatimusten mukaisia.

53. Arviointikäynnit on suoritettava kahdessa vaiheessa. Ennen varsinaista käyntiä asianomaisen yksikön kanssa on tarvittaessa pidettävä valmistelukokous. Valmistelukokouksen jälkeen arviointiryhmän on laadittava yhteisymmärryksessä kyseisen yksikön kanssa yksityiskohtainen arviointikäyntiohjelma, joka kattaa kaikki turvallisuuden alat. Arviointiryhmän olisi päästävä kaikkiin paikkoihin, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään, erityisesti kirjaamoihin sekä viestintä- ja tietojärjestelmien sijoituspaikkoihin.

54. Jäsenvaltioiden kansallisiin hallintoihin, kolmansiin valtioihin ja kansainvälisiin järjestöihin tehtävät arviointikäynnit tehdään täydessä yhteistyössä käynnin kohteena olevan yksikön, kolmannen valtion tai kansainvälisen järjestön virkamiesten kanssa.

55. Unionin elimiin, laitoksiin ja yksiköihin, jotka soveltavat tätä päätöstä tai sen periaatteita, tehtävät arviointikäynnit tehdään käyttäen elimen, laitoksen tai yksikön sijaintijäsenvaltion kansallisen turvallisuusviranomaisen asiantuntija-apua.

56. Kun arviointikäyntejä tehdään unionin elimiin, laitoksiin ja yksiköihin, jotka soveltavat tätä päätöstä tai sen periaatteita, sekä kolmansiin valtioihin ja kansainvälisiin järjestöihin, kansallisilta turvallisuusviranomaisilta voidaan pyytää asiantuntija-apua turvallisuuskomitean sopimien yksityiskohtaisten järjestelyjen mukaisesti.

Raportit

57. Arviointikäynnin päätteeksi yksikölle, jossa käytiin, on esitettävä tärkeimmät päätelmät ja suositukset. Tämän jälkeen arviointikäynnistä on laadittava raportti. Jos on ehdotettu korjaavia toimia tai annettu suosituksia, niistä on annettava raportissa riittävästi yksityiskohtaisia tietoja tehtyjen päätelmien tueksi. Raportti on toimitettava sen yksikön asianmukaiselle vastuuhenkilölle, jonne vierailu tehtiin.

58. Jäsenvaltioiden kansallisissa hallinnoissa suoritettavien arviointikäyntien osalta

a) arvioinnista laadittu raporttiluonnos toimitetaan asianomaiselle kansalliselle turvallisuusviranomaiselle, joka tarkistaa, että sen sisältämät tiedot ovat oikeita ja että siinä on korkeintaan RESTREINT UE/EU RESTRICTED -turvallisuusluokkaan kuuluvia tietoja; ja

b) jos asianomaisen jäsenvaltion kansallinen turvallisuusviranomainen ei ole vaatinut yleisestä jakelusta pidättymistä, arviointiraportit jaetaan turvallisuuskomitealle. Raportin turvallisuusluokan on oltava RESTREINT UE/EU RESTRICTED.

Pääsihteeristön turvallisuusviranomaisen (turvallisuusyksikön) vastuulla laaditaan säännöllisin väliajoin raportti, jossa selostetaan tietyn jakson aikana jäsenvaltioissa tehdyistä arviointikäynneistä saadut kokemukset. Turvallisuuskomitea tarkastelee raporttia.

59. Arviointikäynneistä kolmansiin valtioihin ja kansainvälisiin järjestöihin laadittu raportti jaetaan turvallisuuskomitealle. Raportin turvallisuusluokan on oltava vähintään RESTREINT UE/EU RESTRICTED. Mahdollisten korjaavien toimien toteuttaminen tarkistetaan seurantakäynnillä, ja siitä raportoidaan turvallisuuskomitealle.

60. Kun arviointikäyntejä tehdään unionin elimiin, laitoksiin ja yksiköihin, jotka soveltavat tätä päätöstä tai sen periaatteita, arviointikäynnistä laadittu raportti jaetaan turvallisuuskomitealle. Arviointikäynnistä laadittu raporttiluonnos toimitetaan asianomaiselle virastolle tai elimelle, joka tarkistaa, että sen sisältämät tiedot ovat oikeita ja että siinä on korkeintaan RESTREINT UE/EU RESTRICTED -turvallisuusluokkaan kuuluvia tietoja. Mahdollisten korjaavien toimien toteuttaminen tarkistetaan seurantakäynnillä, ja siitä raportoidaan turvallisuuskomitealle.

61. Pääsihteeristön turvallisuusviranomainen suorittaa säännöllisin väliajoin pääsihteeristön organisaatioyksiköiden tarkastuksia 50 kohdan soveltamiseksi.

Tarkastusluettelo

62. Pääsihteeristön turvallisuusviranomainen (turvallisuusyksikkö) laatii ja pitää ajan tasalla luettelon kohteista, jotka on tarkastettava arviointikäynnin yhteydessä. Tarkastusluettelo on toimitettava turvallisuuskomitealle.

63. Luettelon täydentämiseen tarvittavat tiedot on varsinkin käynnin aikana hankittava tarkastettavan yksikön turvallisuushallinnolta. Kun tarkastusluetteloon on lisätty yksityiskohtaiset vastaukset, sille on määriteltävä turvallisuusluokka tarkastetun yksikön suostumuksella. Luetteloa ei liitetä osaksi tarkastusraporttia.









LIITE IV

VIESTINTÄ- JA TIETOJÄRJESTELMISSÄ KÄSITELTÄVIEN EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMINEN

I JOHDANTO

1. Tässä liitteessä vahvistetaan 10 artiklan täytäntöönpanosäännökset.

2. Seuraavat tietojen turvaamisen ominaisuudet ja periaatteet ovat olennaisia operaatioiden turvallisuuden ja toimivuuden kannalta viestintä- ja tietojärjestelmissä:

Aitous : tae siitä, että tiedot ovat aitoja ja vilpittömässä mielessä toimivista lähteistä peräisin;

Käytettävyys : ominaisuus, jonka mukaan tiedot ovat pyynnöstä valtuutetun yksikön saatavilla ja käytettävissä;

Luottamuksellisuus : ominaisuus, jonka mukaan tiedot eivät paljastu sivullisille henkilöille, yksiköille eikä prosesseille;

Eheys : ominaisuus, jonka mukaan tietojen ja resurssien oikeellisuus ja täydellisyys turvataan;

Kiistämättömyys : kyky todistaa tietty toimi tai tapahtuma tapahtuneeksi niin, ettei tapahtumaa tai toimea voida myöhemmin kiistää.

II TIEDON TURVAAMISEN PERIAATTEET

3. Jäljempänä esitetyt säännökset muodostavat kaikkien EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien turvallisuuden lähtökohdan. Näiden säännösten täytäntöönpanoa koskevat yksityiskohtaiset vaatimukset määritellään tietojen turvaamista koskevissa turvallisuusperiaatteissa ja turvallisuutta koskevissa suuntaviivoissa.

Turvallisuusriskien hallinta

4. Turvallisuusriskien hallinnan on oltava erottamaton osa viestintä- ja tietojärjestelmän määrittelyä, kehittämistä, käyttöä ja ylläpitoa. Riskinhallinta (arviointi, käsittely, hyväksyminen ja viestintä) on toteutettava iteroivana prosessina, jossa järjestelmän omistajien edustajien, hankkeesta vastaavien viranomaisten, toiminnasta vastaavien viranomaisten ja turvallisuusjärjestelyt hyväksyvien viranomaisten on osallistuttava toteuttamiseen, ja siinä on käytettävä vakiintunutta, avointa ja täysin ymmärrettävää riskinarviointiprosessia. Viestintä- ja tietojärjestelmän laajuus ja resurssit on määriteltävä selkeästi riskinhallintaprosessin alusta alkaen.

5. Toimivaltaisten viranomaisten on tarkasteltava viestintä- ja tietojärjestelmiin mahdollisesti kohdistuvia uhkia ja pidettävä yllä ajantasaisia ja tarkkoja uhka-arvioita, jotka perustuvat ajankohtaiseen toimintaympäristöön. Niiden on jatkuvasti päivitettävä haavoittuvuuteen liittyviä kysymyksiä koskevia tietojaan ja tarkistettava säännöllisin väliajoin haavoittuvuusarviota mukautuakseen muuttuvaan tietotekniikkaympäristöön.

6. Turvallisuusriskin käsittelyllä on pyrittävä toteuttamaan turvatoimien yhdistelmä, jolla saadaan aikaan tyydyttävä tasapaino käyttäjien vaatimusten, kustannusten ja turvallisuuteen kohdistuvan jäännösriskin välillä.

7. Asiaankuuluvan turvallisuusjärjestelyjen hyväksyntäviranomaisen viestintä- ja tietojärjestelmän hyväksymistä varten määrittämät erityiset vaatimukset, laajuus ja yksityiskohtaisuus on suhteutettava arvioituun riskiin ottaen huomioon kaikki asiaankuuluvat tekijät, myös viestintä- ja tietojärjestelmässä käsiteltyjen EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka. Hyväksyntään on liitettävä vastuuviranomaisen virallinen lausunto jäännösriskistä ja sen hyväksymisestä.

Viestintä- ja tietojärjestelmän turvallisuus koko elinkaaren ajan

8. Turvallisuuden varmistamista on pidettävä vaatimuksena koko viestintä- ja tietojärjestelmän elinkaaren ajan sen alullepanosta käytöstä poistamiseen.

9. Käyttöajan kussakin vaiheessa on määriteltävä kunkin viestintä- ja tietojärjestelmään osallistuvan toimijan tehtävät ja toimijoiden vuorovaikutus järjestelmän turvallisuuden kannalta.

10. Viestintä- ja tietojärjestelmien turvallisuus, myös niiden tekniset ja muut kuin tekniset turvatoimet, on testattava hyväksymisprosessin aikana sen varmistamiseksi, että asianmukainen turvaamistaso saavutetaan, ja sen tarkistamiseksi, että ne on moitteettomasti toteutettu, integroitu ja konfiguroitu.

11. Turvallisuutta koskevat arvioinnit, tarkastukset ja uudelleentarkastelut on suoritettava määräajoin viestintä- ja tietojärjestelmän toiminnan ja huollon aikana sekä poikkeuksellisten tilanteiden ilmetessä.

12. Viestintä- ja tietojärjestelmän turvallisuusasiakirjoja on kehitettävä sen elinkaaren aikana erottamattomana osana muutosten ja asetusten hallintaprosessia.

Parhaat toimintatavat

13. Pääsihteeristön ja jäsenvaltioiden on tehtävä yhteistyötä parhaiden toimintatapojen kehittämiseksi viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaamista varten. Parhaita toimintatapoja koskevissa suuntaviivoissa on vahvistettava viestintä- ja tietojärjestelmiä koskevat tekniset, fyysiset, organisatoriset ja menettelyyn liittyvät turvatoimet, joiden tehokkuus tiettyjen uhkien ja haavoittuvuuden torjumisessa on todistettu.

14. Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaamisessa on hyödynnettävä tietojen turvaamiseen unionissa ja sen ulkopuolella osallistuvien yksiköiden kokemuksia.

15. Parhaiden toimintatapojen levittämisen ja niiden myöhemmän täytäntöönpanon on edesautettava yhtäläisen turvaamistason aikaansaamista pääsihteeristössä ja jäsenvaltioissa käytettävissä eri viestintä- ja tietojärjestelmissä, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja.

Syvyyssuuntainen turvallisuus

16. Viestintä- ja tietojärjestelmiin kohdistuvan riskin vähentämiseksi on toteutettava joukko teknisiä ja muita kuin teknisiä turvatoimia, joilla järjestetään monitasoinen puolustus. Tasoja ovat

a) ennaltaehkäisy : turvatoimet, joilla pyritään torjumaan mahdolliset vihamieliset suunnitelmat hyökätä viestintä- ja tietojärjestelmään;

b) estäminen : turvatoimet, joilla pyritään vaikeuttamaan hyökkäystä viestintä- ja tietojärjestelmää vastaan tai estämään se;

c) havaitseminen : turvatoimet, joilla pyritään paljastamaan hyökkäys viestintä- ja tietojärjestelmää vastaan;

d) vastustuskyky : turvatoimet, joilla pyritään rajoittamaan hyökkäyksen vaikutukset mahdollisimman pieneen os