EUROOPAN KOMISSIO Bryssel 22.3.2022 COM(2022) 119 final 2022/0084(COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS tietoturvallisuudesta unionin toimielimissä, elimissä ja laitoksissa {SWD(2022) 65 final} - {SWD(2022) 66 final}



PERUSTELUT 1.EHDOTUKSEN TAUSTA •Ehdotuksen perustelut ja tavoitteet Tämä ehdotus on osa komission 24. heinäkuuta 2020 hyväksymää EU:n turvallisuusunionistrategiaa, jossa vahvistetaan komission sitoutuminen Euroopan unionin lisäarvon tuomiseen kansallisiin toimiin turvallisuuden alalla. Yksi osa tätä sitoutumista on aloite, jonka tavoitteena on yhdenmukaistaa kaikkien unionin toimielinten ja elinten tietoturvallisuutta koskevia sisäisiä oikeudellisia kehyksiä. Yksi Eurooppa-neuvoston kesäkuussa 2019 hyväksymän strategisen ohjelman 2019–2024 keskeisistä piirteistä on yhteiskuntiemme suojeleminen koko ajan kehittyviltä uhkilta, jotka kohdistuvat toimielinten ja elinten käsittelemään tietoon. Eurooppa-neuvosto kehotti päätelmissään ”EU:n toimielimiä yhdessä jäsenvaltioiden kanssa kehittämään toimenpiteitä, joilla voidaan parantaa EU:n sietokykyä ja turvallisuuskulttuuria EU:n ulkopuolelta tulevia kyber- ja hybridiuhkia vastaan, sekä suojaamaan paremmin EU:n tieto- ja viestintäverkkoja ja sen päätöksentekoprosessia kaikenlaisilta haitallisilta toimilta”. Joulukuussa 2019 pidetyn yleisten asioiden neuvoston päätelmissä todettiin samansuuntaisesti, että toimielinten, elinten ja virastojen olisi jäsenvaltioiden tukemana kehitettävä ja pantava täytäntöön kattava toimenpidekokonaisuus turvallisuutensa varmistamiseksi. Tämä vastaa neuvoston turvallisuuskomitean pitkäaikaista pyyntöä siitä, että selvitettäisiin yhteistä turvallisuussääntöjen keskeistä joukkoa neuvostolle, komissiolle ja Euroopan ulkosuhdehallinnolle. Tällä hetkellä unionin toimielimillä ja elimillä joko on niiden omaan työjärjestykseen tai perustamissäädökseen perustuvat tietoturvallisuussäännöt tai ei ole lainkaan tietoturvallisuussääntöjä. Jälkimmäinen koskee enimmäkseen eräitä pieniä yhteisöjä, joilla ei ole virallisia tietoturvallisuuskäytäntöjä. Koska unionin toimielinten ja elinten on jaettava keskenään yhä enemmän arkaluonteista turvallisuusluokittelematonta tietoa ja EU:n turvallisuusluokiteltuja tietoja ja koska uhkaympäristön kehitys on huolestuttavaa, EU:n hallinto on alttiina hyökkäykselle kaikilla toiminta-aloillaan. Unionin toimielinten ja elinten käsittelemät tiedot ovat erittäin houkuttelevia uhkatoimijoille, ja nämä tiedot on suojattava asianmukaisesti. Tämä edellyttää nopeita toimia tietojen suojaamisen parantamiseksi. Tästä syystä sekä EU:n hallinnon käsittelemien tietojen suojaamisen lisäämiseksi tämän aloitteen tavoitteena on yhdenmukaistaa unionin toimielinten ja elinten eri oikeudellisia kehyksiä tällä alalla •määrittämällä yhdenmukaiset ja kattavat tietoluokat sekä yhteiset käsittelysäännöt kaikille unionin toimielimille ja elimille •perustamalla kevyt unionin toimielinten ja elinten välinen tietoturvallisuuden yhteistyöjärjestely, jolla voidaan edistää yhdenmukaista tietoturvallisuuskulttuuria EU:n hallinnossa •nykyaikaistamalla tietoturvallisuuskäytäntöjä kaikilla luokitus- ja luokittelutasoilla kaikissa unionin toimielimissä ja elimissä siten, että otetaan huomioon digitalisaatio ja etätyön kehittyminen rakenteelliseksi käytännöksi. •Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa Tämä aloite on useiden turvallisuutta ja tietoturvallisuutta koskevien EU:n toimintapolitiikkojen mukainen. Euroopan parlamentti ja neuvosto antoivat jo vuonna 2016 direktiivin toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa. Edellä mainittu direktiivi oli ensimmäinen EU:n laajuinen lainsäädäntötoimenpide, jonka tarkoituksena oli lisätä kyberturvallisuusyhteistyötä jäsenvaltioiden välillä. Komissio hyväksyi joulukuussa 2020 kyseisen direktiivin uudelleentarkastelua koskevan ehdotuksen, jolla otetaan käyttöön kansallisia viranomaisia koskevia valvontatoimenpiteitä, mutta unionin hallinto pysyi edelleen direktiivin soveltamisalan ulkopuolella. Samasta syystä ja jäsenvaltioiden toimien täydentämiseksi turvallisuuden alalla on erittäin tärkeää, että unionin toimielimet ja elimet varmistavat tietojensa sekä niihin liittyvien tieto- ja viestintäjärjestelmiensä korkeatasoisen suojelun tietoturvallisuuden turvaamista silmällä pitäen. Komissio hyväksyi heinäkuussa 2020 turvallisuusunionistrategian, jossa EU sitoutuu kattavasti täydentämään jäsenvaltioiden toimia kaikilla turvallisuuden aloilla. Strategia kattaa vuodet 2020–2025, ja siinä määritetään neljä keskeistä toimintapilaria: tulevaisuudenkestävä turvallisuusympäristö, muuttuvien uhkien torjuminen, eurooppalaisten suojeleminen terrorismilta ja järjestäytyneeltä rikollisuudelta ja vahva eurooppalainen turvallisuusekosysteemi. Useat näiden pilarien mukaisesti käsiteltävät aiheet liittyvät tieto- ja kyberturvallisuuteen, yhteistyöhön ja tietojen vaihtoon sekä kriittiseen infrastruktuuriin. Komissio ehdottaa turvallisuusunionistrategian mukaisesti tietoturvallisuutta koskevien vähimmäissääntöjen laatimista kaikille unionin toimielimille ja elimille. Näillä säännöillä otettaisiin käyttöön velvoittavat ja tiukat suojattua tietojenvaihtoa koskevat yhteiset vaatimukset. Tämä aloite kuvastaa toimielinten ja elinten sitoutumista siihen, että EU:n hallinnossa määritetään samantasoiset tavoitteet turvallisuuden alalla kuin mitä jäsenvaltioilta edellytetään. Komissio ja EU:n ulkoasioiden ja turvallisuuspolitiikan korkea edustaja esittivät 16. joulukuuta 2020 uuden EU:n kyberturvallisuusstrategian. Siinä vahvistetaan tavoitteita ja keskeisiä toimia, joilla lisätään EU:n häiriönsietokykyä, riippumattomuutta, johtajuutta ja operatiivisia valmiuksia sen verkko- ja tietojärjestelmiin kohdistuvien yhä suurempien ja monimutkaisten uhkien varalta ja edistetään maailmanlaajuista ja avointa kybertoimintaympäristöä sekä siihen liittyviä kansainvälisiä kumppanuuksia. On yhtä tärkeää, että unionin toimielimet ja elimet edistävät näiden tavoitteiden saavuttamista ottamalla käyttöön vastaavat vaatimukset tieto- ja kyberturvallisuuden alalla.

Tämän ehdotuksen sekä toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetun asetusehdotuksen on tarkoitus täydentää turvallisuusunionistrategian sääntelykehystä erityisillä EU:n hallintoa koskevilla vaatimuksilla. Tieto- ja kyberturvallisuuden välisten yhteyksien vuoksi olisi varmistettava, että näissä kahdessa ehdotuksessa noudatetaan johdonmukaista lähestymistapaa turvallisuusluokittelemattomien tietojen suojaamiseen. •Yhdenmukaisuus unionin muiden politiikkojen kanssa Tässä aloitteessa otetaan myös huomioon muut tietoturvallisuuden kannalta merkitykselliset unionin toimintapolitiikat. Tietosuojan alalla Euroopan unionin ja Euroopan atomienergiayhteisön (Euratom) hallintoon sovelletaan luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta annettua asetusta (EU) 2018/1725. Vastaavasti on huomattava, että EU:n lainsäätäjät ovat hyväksyneet joillekin unionin toimielimille ja elimille erityisiä sääntöjä henkilötietojen suojasta. Avoimuuden alalla tämä ehdotus perustuu Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi annetussa asetuksessa (EY) N:o 1049/2001 vahvistettuihin periaatteisiin, ja ehdotuksessa otetaan huomioon muut asiaan liittyvät säännöt. 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE •Oikeusperusta Tämän ehdotuksen tavoitteen ja sisällön perusteella sen asianmukaisin oikeusperusta on Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä ’SEUT-sopimus’, 298 artikla ja Euroopan atomienergiayhteisön perustamissopimuksen 106 a artikla. SEUT-sopimuksen 298 artikla, joka sisällytettiin sopimukseen Lissabonin sopimuksella, antaa lainsäätäjille mahdollisuuden antaa säännöksiä sellaisen tehokkaan ja riippumattoman hallinnon luomiseksi, joka tukee unionin toimielimiä, elimiä ja laitoksia niiden tehtävien hoitamisessa. Tehokkaan ja riippumattoman hallinnon perustana on sen tietojen turvallisuus. Unionin toimielimillä ja elimillä on tehtävänsä toteuttamiseksi oltava käytössään turvallinen ympäristö sellaisia tietoja varten, joita ne käsittelevät ja säilyttävät päivittäin. Lisäksi kaikille pakollisia sääntöjä koskevan yhteisen perustason määrittäminen takaisi korkean turvatason, vähentäisi heikkojen lenkkien riskiä toimielinten ja elinten välisen yhteentoimivuuden tukemisessa sekä tukisi synergioita, mikä lisäisi hallinnon häiriönsietokykyä muuttuvia uhkia kohtaan. Koska tämän ehdotuksen kokonaistavoitteena on saada aikaan unionin toimielinten ja elinten käsittelemien ja säilyttämien EU:n turvallisuusluokiteltujen tietojen ja turvallisuusluokittelemattomien tietojen yhteinen korkea turvataso, ehdotuksella myös parannetaan EU:n hallinnon mahdollisuuksia suojautua ulkopuolisilta häiriöiltä ja vakoilulta. SEUT-sopimuksen 298 artiklan mukaan unioni voi laatia koko EU:n hallinnolle yhteiset säännöt sen varmistamiseksi, että unionin kaikki toimielimet ja elimet käsittelevät EU:n turvallisuusluokiteltuja tietoja ja turvallisuusluokittelemattomia tietoja samankaltaisesti. Näin ollen tässä asetuksessa vahvistetaan hallintoon sovellettavia sääntöjä, ja siinä voidaan asettaa epäsuorasti velvoitteita vain henkilöille, jotka suorittavat tehtäviä tämän hallinnon puolesta tai sopimusperusteisesti (soveltamisalaan eivät kuulu komission jäsenet, neuvostossa kokoontuvat jäsenvaltioiden edustajat, Euroopan parlamentin jäsenet, unionin tuomioistuinten tuomarit tai Euroopan tilintarkastustuomioistuimen jäsenet). SEUT-sopimuksen 298 artiklan mukaisesti Euroopan parlamentti ja neuvosto antavat asetuksen tavallista lainsäätämisjärjestystä noudattaen. Tälle ehdotukselle tarvitaan toinenkin oikeusperusta, koska se kattaa myös tiedot, jotka liittyvät joihinkin Euroopan atomienergiayhteisön toimiin. Tällaiset tiedot eivät ole Euratomin turvallisuusluokiteltuja tietoja, vaan unionin toimielimet ja elimet käsittelevät niitä EU:n turvallisuusluokiteltuja tietoja koskevien yleisten järjestelyjen mukaisesti. Mainittu toinen oikeusperusta on Euroopan atomienergiayhteisön perustamissopimuksen 106 a artikla, jonka nojalla SEUT-sopimuksen 298 artiklaa sovelletaan myös edellä mainittuun Euratomin toimintaan. •Toissijaisuusperiaate (jaetun toimivallan osalta) Euroopan unionista tehdyn sopimuksen, jäljempänä ’SEU-sopimus’, 5 artiklan 3 kohdassa vahvistetun toissijaisuusperiaatteen mukaisesti EU:n tasolla olisi toteutettava toimia vain, jos jäsenvaltiot eivät voi yksin riittävällä tavalla saavuttaa suunnitellun toiminnan tavoitteita, vaan ne voidaan ehdotetun toiminnan laajuuden tai vaikutusten vuoksi saavuttaa paremmin EU:n tasolla. Koska vain unioni voi antaa sääntöjä unionin toimielinten ja elinten käsittelemistä ja säilyttämistä EU:n turvallisuusluokitelluista tiedoista ja arkaluonteisista turvallisuusluokittelemattomista tiedoista, toissijaisuusperiaatetta ei sovelleta. •Suhteellisuusperiaate Tietoturvallisuuden yhteisen perustason määrittäminen kaikille unionin toimielimille ja elimille on välttämätöntä, jotta voidaan tukea riippumatonta ja tehokasta hallintoa.

SEU-sopimuksen 5 artiklan 4 kohdassa vahvistetun suhteellisuusperiaatteen mukaisesti tämän asetuksen säännökset eivät ole liian ohjailevia ja niissä annetaan mahdollisuus eritasoisten toimien toteuttamiseen unionin kunkin toimielimen ja elimen oman turvallisuutta koskevan kehitystason mukaisesti. Lisäksi ehdotuksella on vähäinen vaikutus yksilöiden perusoikeuksiin. Ehdotus ei näin ollen ylitä sitä, mikä on tarpeen kaikille unionin toimielimille ja elimille tarkoitettujen yhteisten tietoturvallisuussääntöjen puuttumista koskevan ongelman ratkaisemiseksi. •Toimintatavan valinta SEUT-sopimuksen 298 artiklaan perustuvaa asetusta pidetään asianmukaisimpana oikeudellisena välineenä. Se on perusteltu, koska useimmat osatekijät edellyttävät yhtenäistä soveltamista, mikä ei jätä unionin toimielimille ja elimille liikkumavaraa täytäntöönpanossa ja minkä myötä luodaan vähimmäistason horisontaalinen kehys. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET •Jälkiarvioinnit/toimivuustarkastukset Ei sovelleta. •Sidosryhmien kuuleminen Komissio on kuullut laajasti keskeisiä sidosryhmiä unionin toimielinten ja elinten tietoturvallisuussääntöihin liittyvistä eri näkökohdista. Kuulemisen yleistavoitteena oli kerätä olennaista tietoa kaikille unionin toimielimille ja elimille yhteisistä tietoturvallisuussäännöistä tehtävän lainsäädäntöaloitteen valmistelua varten. Kuulemisten tavoitteena oli kerätä tietoa •ongelmista, jotka liittyvät nykyiseen tietoturvallisuutta koskevaan toimintakehykseen unionin toimielimissä ja elimissä ja joihin aloitteessa olisi sidosryhmien mielestä puututtava; •aloitteen merkityksellisyydestä, vaikuttavuudesta, tehokkuudesta ja lisäarvosta; •aloitteen ennakoiduista vaikutuksista ja mahdollisista muista seurauksista sidosryhmille. Komissio on tätä lainsäädäntöehdotusta valmistellessaan kuullut seuraavia sidosryhmiä: 1.unionin toimielimet, elimet ja laitokset; 2.jäsenvaltioiden kansalliset turvallisuusviranomaiset; 3.Yhteisen tutkimuskeskuksen tutkimusasiantuntijat. Tätä aloitetta sovelletaan yksinomaan unionin toimielimiin ja elimiin, ja sen vaikutus EU:n kansalaisiin ja yrityksiin on pieni. Aloitteen erityisluonteen vuoksi komission yksiköt päättivät asettaa etusijalle asianomaisten sidosryhmien näkemysten keräämisen. Siksi tästä lainsäädäntöaloitteesta ei toteutettu julkista kuulemista. Kuulemisen aikana komission yksiköt käyttivät seuraavia kuulemismenetelmiä ja ‑muotoja: 1.Kaikille asianomaisille osapuolille annettiin mahdollisuus antaa palautetta alustavasta vaikutustenarvioinnista komission Kerro mielipiteesi ‑portaalissa.

2.Unionin toimielinten ja elinten tietoturvallisuusasiantuntijoille esitettiin kohdennettu kysely EU Survey ‑verkkoportaalissa. 3.Jäsenvaltioiden kansallisille turvallisuusviranomaisille esitettiin kohdennettu kysely EU Survey ‑verkkoportaalissa. 4.Pyydettiin tekemään räätälöity riskinarviointi keskeisistä tietoturvaresursseista. 5.Yksiköt järjestivät lukuisia kokouksia ja keskusteluja unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden kansallisten turvallisuusviranomaisten vastaavaa tehtävää hoitavien yksiköiden kanssa. Komissio pitää tärkeimpinä kuulemisista saatuina tietoina seuraavia: •Asiaan liittyvien oikeudellisten kehysten sirpaloituminen unionin toimielimissä ja elimissä aiheuttaa sen, että sisäisten sääntöjen laatimista ja ylläpitämistä koskevissa toimissa on merkittävää päällekkäisyyttä ja tietojen käsittelyyn sovelletaan yhteentoimimattomia käytäntöjä. Jäsenvaltioiden kannalta näiden sääntöjen moninaisuus lisää väärinymmärrykseen, vääriin tulkintoihin ja vaatimusten noudattamatta jättämiseen liittyviä riskejä. •Vaikka määrittämällä unionin kaikkia toimielimiä ja elimiä koskeva tietoturvallisuuden perustaso luodaan ekosysteemi, jossa on vahvistettu vakiomuotoiset turvallisuussäännöt ja otettu käyttöön parhaat käytännöt, on otettava huomioon unionin kunkin toimielimen ja elimen moninaisuus ja erilainen toimintaympäristö ja sallittava paikalliset ratkaisut. •Tämän aloitteen on kunnioitettava unionin kunkin toimielimen ja elimen riippumattomuutta ja omaa turvallisuuden kehitystasoa, ja unionin toimielimet ja elimet vastaavat edelleen tietoturvallisuutensa järjestämisestä. •Asiantuntijatiedon keruu ja käyttö Komissio toteutti sidosryhmien kuulemisen omien resurssiensa avulla. Henkilöstöhallinnon ja turvallisuustoiminnan pääosaston turvallisuusosasto on tehnyt kyselytutkimuksia, videokokouksia ja muita työpajoja koskevan asiaan liittyvän työn. Tähän kuului sekä osallistujien valinta että tapahtumien järjestäminen ja saatujen tietojen käsittely. Yhteinen tutkimuskeskus (JRC) teki keskeisistä tietoturvaresursseista riskinarvioinnin, jota käytettiin vaikutustenarvioinnin perustana. •Vaikutustenarviointi Tämä aloite kohdistuu yksinomaan unionin toimielimiin ja elimiin, ja sen vaikutus jäsenvaltioihin ja yksilöihin on vähäinen. Perusteellista vaikutustenarviointia ei siis ollut tarpeen toteuttaa, koska ehdotuksella ei ollut selvästi tunnistettavia tai merkittäviä vaikutuksia kansalaisiin ja yrityksiin. Kattava etenemissuunnitelma julkaistiin Europa-verkkosivustolla, ja sen yhteydessä kerättiin palautetta asiaan liittyviltä sidosryhmiltä. •Sääntelyn toimivuus ja yksinkertaistaminen Ei sovelleta. •Perusoikeudet EU on sitoutunut varmistamaan perusoikeuksien korkeatasoisen suojelun. Tämä aloite takaa Euroopan unionin perusoikeuskirjassa vahvistettujen perusoikeuksien täysimääräisen noudattamisen seuraavasti: •Oikeus hyvään hallintoon Unionin toimielimet ja elimet edistävät hyvän hallinnon periaatteen toteutumista parantamalla niiden tietojen turvallisuutta, joita ne käsittelevät hoitaessaan Euroopan kansalaisten asioita. •Henkilötietojen suoja

Kaikki tämän ehdotuksen puitteissa suoritettava henkilötietojen käsittely toteutettaisiin luotettavissa ympäristöissä ja noudattaen täysimääräisesti Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725. •Oikeus tutustua asiakirjoihin EU:n turvallisuusluokiteltuihin asiakirjoihin ja arkaluonteisiin turvallisuusluokittelemattomiin asiakirjoihin tutustumiseen sovelletaan edelleen täysimääräisesti Euroopan parlamentin ja neuvoston asetusta (EY) N:o 1049/2001. •Teollis- ja tekijänoikeudet Turvallisuusluokittelemattomia tietoja ja EU:n turvallisuusluokiteltuja tietoja käsitellessään ja säilyttäessään unionin toimielimet ja elimet suojaavat henkistä omaisuutta Euroopan parlamentin ja neuvoston direktiivin 2001/29/EY mukaisesti. •Sananvapaus ja tiedonvälityksen vapaus Vaikka kaikilla on vapaus vastaanottaa ja levittää tietoja tai ajatuksia viranomaisten siihen puuttumatta, tämä ei estä unionia ottamasta käyttöön ehtoja, jotka koskevat tietyntyyppisten tietojen saantia, käsittelyä ja säilyttämistä niiden luottamuksellisuustason perusteella. Näiden vapauksien käyttämiseen saatetaan soveltaa lainsäädännössä vahvistettuja ja demokraattisessa yhteiskunnassa välttämättömiä ehtoja ja rajoituksia, jotta voidaan estää luottamuksellisesti ja EU:n turvallisuuteen liittyvistä syistä saatujen tietojen paljastaminen. 4.TALOUSARVIOVAIKUTUKSET Tämä ehdotus edellyttää, että komissio sijoittaa yhden AD-luokan virkamiehen ja yhden AST-luokan hallintoavustajan koordinointiryhmän pysyvään sihteeristöön henkilöstöhallinnon ja turvallisuustoiminnan pääosaston turvallisuusosastossa. Toimielinten ja elinten odotetaan saavan kustannussäästöjä jakamiseen ja yhteistyöhön perustuvien tehtävien ansiosta sekä sen ansiosta, että tietoturvallisuuden parannukset ehkäisevät tietoturvapoikkeamista johtuvia mahdollisia taloudellisia vahinkoja. Toisaalta uuden lainsäädännön täytäntöönpanoon tarvittavat taloudelliset panostukset voidaan kattaa osana unionin kunkin toimielimen ja elimen nykyisiä ohjelmia tietoturvallisuuden parantamiseksi. 5.LISÄTIEDOT •Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt Tällä ehdotuksella velvoitetaan komissio antamaan Euroopan parlamentille ja neuvostolle kolmen vuoden välein kertomus tämän asetuksen täytäntöönpanosta, myös tällä asetuksella perustetun hallinnon toiminnasta. Lisäksi komissio suorittaa tämän asetuksen arvioinnin viiden vuoden välein, jotta voidaan arvioida sen todellista toimivuutta ja sen perusteella tarvetta sille, että lainsäädäntöä muutetaan. •Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset Tämä ehdotus on jäsennelty turvallisuusluokittelemattomien tietojen ja EU:n turvallisuusluokiteltujen tietojen käsittelyä ja säilyttämistä koskevien vaatimusten mukaisesti. Kyseiset tiedot ovat aloitteen pääkohteita, ja aloitteen tarkoituksena on parantaa niiden suojaamista. Kohde ja soveltamisala (1 ja 2 artikla) Tämän asetuksen tarkoituksena on luoda tietoturvallisuutta koskevat vähimmäissäännöt, joita sovelletaan kaikkiin unionin toimielimiin ja elimiin. Asetusta sovelletaan kaikkiin unionin toimielinten ja elinten käsittelemiin ja säilyttämiin tietoihin, mukaan lukien Euroopan atomienergiayhteisön toimintaan liittyvät tiedot Euratomin turvallisuusluokiteltuja tietoja lukuun ottamatta. Asetus kattaa sekä turvallisuusluokittelemattomat tiedot että EU:n turvallisuusluokitellut tiedot.

Määritelmät ja yleiset periaatteet (3–5 artikla) Määritelmät, jotka vahvistetaan 3 artiklassa, perustuvat unionin toimielinten ja elinten erikseen hyväksymiin, voimassa oleviin tietoturvallisuussääntöihin. Unionin lainsäädännön yleisten periaatteiden eli avoimuuden, oikeasuhteisuuden, tehokkuuden ja vastuuvelvollisuuden lisäksi tässä asetuksessa säädetään tärkeimmistä sitovista ohjaavista periaatteista, kuten unionin kunkin toimielimen ja elimen toteuttamasta erillisestä tietoturvallisuusriskien hallintaprosessista sekä toimielinten ja elinten tietojen arvioinnista tietojen asianmukaista luokittelua varten. Hallinto ja turvallisuusjärjestelyt (6–8 artikla) Unionin kaikki toimielimet ja elimet tekevät yhteistyötä toimielinten välisessä tietoturvallisuuden koordinointiryhmässä, joka tekee päätöksensä yksimielisesti ja unionin toimielinten ja elinten yhteisen edun mukaisesti. Koordinointiryhmä kokoaa yhteen kaikkien toimielinten ja elinten turvallisuusviranomaiset ja laatii ohjeasiakirjoja tämän asetuksen täytäntöönpanosta. Se pitää säännöllisesti yhteyttä jäsenvaltioiden kansallisiin turvallisuusviranomaisiin, jotka kokoontuvat tietoturvallisuuskomiteassa. Lisäksi perustetaan viisi alaryhmää, jotka koostuvat eri toimielimiä ja elimiä edustavista asiantuntijoista. Tämän tarkoituksena on yhdenmukaistaa tietoturvallisuuteen liittyviä menettelyjä ja muita käytännön näkökohtia. Unionin kunkin toimielimen ja elimen on nimettävä turvallisuusviranomainen, joka on vastuussa tietoturvallisuutta koskevien sisäisten toimintaperiaatteiden määrittelystä ja toteuttamisesta. Turvallisuusviranomainen perustaa erityistehtäviä, kuten tiedonturvaamisviranomaisen, operatiivisen tiedonturvaamisviranomaisen, turvallisuusjärjestelyjen hyväksyntäviranomaisen, TEMPEST-viranomaisen, salauslaitteiden hyväksyntäviranomaisen ja salatun aineiston jakelusta vastaavan viranomaisen, jotka voidaan siirtää toiselle toimielimelle tai elimelle tehokkuus- tai resurssisyistä. Tietojen turvaaminen ja viestintä- ja tietojärjestelmät (9–11 artikla) Tällä asetuksella perustetaan tietojen turvaamista käsittelevä alaryhmä, jonka tavoitteena on parantaa tietoturvallisuussääntöjen ja toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetussa asetuksessa tarkoitetun kyberturvallisuuden perustason välistä johdonmukaisuutta kaikissa unionin toimielimissä ja elimissä. Unionin toimielinten ja elinten on noudatettava näissä artikloissa vahvistettuja periaatteita ja hyväksyttävä omaan turvallisuusympäristöönsä mukautettuja erillisiä sisäisiä sääntöjä erityisistä turvatoimista. Turvallisuusluokittelemattomat tiedot (12–17 artikla ja liite I) Tässä asetuksessa säädetään kolmesta turvallisuusluokittelemattomien tietojen luokasta: julkiseen käyttöön tarkoitetut tiedot, normaalit tiedot ja arkaluonteiset turvallisuusluokittelemattomat tiedot. Kaikki luokat määritellään, ja tällaisten tietojen suojaamiseksi vahvistetaan merkinnät ja käsittelyehdot. Jotta voidaan koordinoida joidenkin unionin toimielinten ja elinten perustamien omien luokkien ja tässä asetuksessa vahvistettujen yhteisten luokkien välistä vastaavuutta koskevaa työtä, ehdotuksella perustetaan turvallisuusluokittelemattomia tietoja käsittelevä alaryhmä. EU:n turvallisuusluokitellut tiedot (18–58 artikla ja liitteet II–VI) Tämä luku on ehdotuksen laajin luku, ja se on jaettu seitsemään jaksoon seuraavasti: yleiset säännökset, henkilöstöturvallisuus, fyysinen turvallisuus, EU:n turvallisuusluokiteltujen tietojen hallinta, EU:n turvallisuusluokiteltujen tietojen suojaaminen viestintä- ja tietojärjestelmissä, yhteisöturvallisuus sekä EU:n turvallisuusluokiteltujen tietojen jakaminen ja turvallisuusluokiteltujen tietojen vaihtaminen. Yleisiä säännöksiä koskevassa jaksossa säädetään neljästä EU:n turvallisuusluokiteltujen tietojen tasosta (TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL ja RESTREINT UE/EU RESTRICTED) sekä velvoitetaan unionin toimielimet ja elimet toteuttamaan tarvittavat turvatoimet tietoturvallisuusriskien hallintaprosessin tulosten mukaisesti. Muissa jaksoissa käsitellään EU:n turvallisuusluokiteltujen tietojen suojaamista koskevia vaatimuksia kussakin jaksossa käsitellyllä erityisellä osa-alueella. Tätä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat yksityiskohdat määritetään liitteissä II–V. Liitteessä VI on EU:n turvallisuusluokiteltujen tietojen sekä jäsenvaltioiden ja Euroopan atomienergiayhteisön turvallisuusluokkien vastaavuustaulukko. Alalla käytössä olevien asiaan liittyvien prosessien yksinkertaistamista ja toimien päällekkäisyyden välttämistä koskevan tavoitteen mukaisesti asetuksella perustetaan tietojen turvaamista, turvallisuusluokittelemattomia tietoja, fyysistä turvallisuutta, EU:n turvallisuusluokiteltuja tietojen käsittelevien ja säilyttävien viestintä- ja tietojärjestelmien hyväksymistä sekä EU:n turvallisuusluokiteltujen tietojen jakamista ja turvallisuusluokiteltujen tietojen vaihtamista käsittelevät alaryhmät. Loppusäännökset (59–62 artikla)

Loppusäännöksillä varmistetaan siirtyminen nykyisistä säännöistä ja menettelyistä tällä asetuksella määritettävään uuteen oikeudelliseen kehykseen. Säännökset koskevat tällä hetkellä sovellettavia unionin toimielinten ja elinten sisäisiä tietoturvallisuussääntöjä, ennen tämän asetuksen soveltamisen alkamista tehtyjen arviointikäyntien tunnustamista, aiemmin tehtyjen hallinnollisten järjestelyjen kohtelua sekä avustussopimuksiin sovellettavien erityisten turvallisuuskehysten jatkamista. Tätä asetusta on määrä alkaa soveltaa kahden vuoden kuluttua sen voimaantulopäivästä. 2022/0084 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS tietoturvallisuudesta unionin toimielimissä, elimissä ja laitoksissa EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 298 artiklan, ottavat huomioon Euroopan atomienergiayhteisön perustamissopimuksen ja erityisesti sen 106 a artiklan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen, kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1)Unionin toimielimillä ja elimillä on tällä hetkellä omat tietoturvallisuussääntönsä, jotka perustuvat niiden omaan työjärjestykseen tai perustamissäädökseen, tai niillä ei ole lainkaan tällaisia sääntöjä. Näin toimittaessa unionin kukin toimielin ja elin käyttää merkittävästi voimavaroja eri lähestymistapojen laatimiseen, mikä johtaa tilanteeseen, jossa tietojen vaihtaminen ei ole aina luotettavaa. Yhteisen lähestymistavan puute haittaa sovittuihin sääntöihin perustuvien yhteisten välineiden käyttöönottoa sen mukaan, mitkä suojattavien tietojen turvallisuustarpeet ovat. (2)EU:n turvallisuusluokiteltujen tietojen ja turvallisuusluokittelemattomien tietojen suojaamista koskevien sääntöjen yhtenäistämisessä saavutetusta edistymisestä huolimatta asiaan liittyvien järjestelmien yhteentoimivuus on yhä vähäistä, mikä estää sujuvan tiedonsiirron unionin eri toimielinten ja elinten välillä. Sen vuoksi olisi toteutettava lisätoimia, jotka mahdollistavat EU:n turvallisuusluokiteltujen tietojen ja arkaluonteisten turvallisuusluokittelemattomien tietojen jakamista koskevan toimielinten välisen lähestymistavan, jossa on yhteiset tietoluokat ja yhteiset tietojen käsittelyyn sovellettavat pääperiaatteet. Lisäksi olisi määriteltävä perustaso, jotta voidaan yksinkertaistaa menettelyjä EU:n turvallisuusluokiteltujen tietojen ja arkaluonteisten turvallisuusluokittelemattomien tietojen jakamiseksi unionin toimielinten ja elinten välillä sekä jäsenvaltioiden kanssa. (3)Näin ollen olisi määritettävä säännöt, joilla varmistetaan yhteinen tietoturvallisuuden taso kaikissa unionin toimielimissä ja elimissä. Sääntöjen olisi muodostettava kattava ja johdonmukainen yleinen kehys EU:n turvallisuusluokiteltujen tietojen ja turvallisuusluokittelemattomien tietojen suojaamiselle sekä varmistettava perusperiaatteiden ja vähimmäisvaatimusten vastaavuus. (4)Hiljattain koettu pandemia muutti merkittävästi työkäytäntöjä, ja etätyövälineiden käytöstä tuli yleiskäytäntö. Siksi monia menettelyjä, jotka perustuivat yhä ainakin osittain paperimuotoon, muokattiin nopeasti sähköisen käsittelyn ja tietojen vaihdon mahdollistamiseksi. Nämä kehityssuuntaukset edellyttävät tietojen käsittelyn ja suojaamisen muuttamista. Tässä asetuksessa otetaan huomioon uudet työkäytännöt. (5)Tällä asetuksella luodaan yhteinen vähimmäistaso EU:n turvallisuusluokiteltujen tietojen ja turvallisuusluokittelemattomien tietojen suojaamiselle ja edistetään siten sen varmistamista, että unionin toimielimet ja elimet voivat tukeutua tehtäviään hoitaessaan tehokkaaseen ja riippumattomaan hallintoon. Samaan aikaan unionin kukin toimielin ja elin saa yhä määrittää itsenäisesti omien turvallisuustarpeidensa mukaisesti, miten se panee tässä asetuksessa vahvistetut säännöt täytäntöön. Tämä asetus ei missään tapauksessa estä unionin toimielimiä ja elimiä täyttämästä EU:n lainsäädännön mukaista tehtäväänsä tai puutu niiden institutionaaliseen riippumattomuuteen. (6)Tämä asetus ei rajoita asetuksen (Euratom) N:o 3/1958, Euroopan talousyhteisön ja Euroopan atomienergiajärjestön virkamiehiin sovellettavien henkilöstösääntöjen ja näiden yhteisöjen muuta henkilöstöä koskevien palvelussuhteen ehtojen vahvistamisesta annetun asetuksen N:o 31 (ETY) 11 (Euratom), Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1049/2001, Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725, neuvoston asetuksen (ETY, EURATOM) N:o 354/83, Euroopan parlamentin ja neuvoston asetuksen (EU, Euratom) 2018/1046, Euroopan parlamentin ja neuvoston asetuksen (EU) 2021/697 sekä toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetun Euroopan parlamentin ja neuvoston asetuksen (EU) [...] soveltamista. (7)Jotta voidaan säilyttää Euroopan atomienergiayhteisön neuvoston asetuksella N:o 3/1958 säänneltyjen Euroopan atomienergiayhteisön toimintojen erityisluonne, tätä asetusta ei tulisi soveltaa Euratomin turvallisuusluokiteltuihin tietoihin. Kaikkien muihin kuin asetuksen N:o 3/1958 kattamiin Euratomin toimintoihin liittyvien tietojen olisi kuitenkin kuuluttava tämän asetuksen soveltamisalaan.

(8)Jotta voidaan perustaa virallinen yhteistyörakenne unionin toimielinten ja elinten välille tietoturvallisuuden alalla, on tarpeen perustaa toimielinten välinen koordinointiryhmä, jäljempänä ’koordinointiryhmä’, jossa ovat edustettuina kaikki unionin toimielinten ja elinten turvallisuusviranomaiset. Koordinointiryhmällä ei ole päätöksentekovaltaa, vaan sen olisi parannettava toimintapolitiikkojen johdonmukaisuutta tietoturvallisuuden alalla ja edistettävä tietoturvamenettelyjen ja ‑välineiden yhdenmukaistamista kaikissa unionin toimielimissä ja elimissä. (9)Koordinointiryhmä tarvitsee työssään tukea asiantuntijoilta tietoturvallisuuden eri osa-alueilta: luokittelu ja merkinnät, viestintä- ja tietojärjestelmät, hyväksyntä, fyysinen turvallisuus sekä EU:n turvallisuusluokiteltujen tietojen jakaminen ja turvallisuusluokiteltujen tietojen vaihtaminen. Jotta voidaan ehkäistä toimien päällekkäisyyttä unionin toimielimissä ja elimissä, olisi perustettava temaattisia alaryhmiä. Lisäksi koordinointiryhmän olisi tarvittaessa voitava perustaa muita alaryhmiä, joilla on erityistehtäviä. (10)Koordinointiryhmän olisi tehtävä tiivistä yhteistyötä jäsenvaltioiden kansallisten turvallisuusviranomaisten kanssa tietoturvallisuuden parantamiseksi unionissa. Sen vuoksi olisi perustettava jäsenvaltioiden tietoturvallisuuskomitea, joka neuvoo koordinointiryhmää. (11)Vaikka yhteistyöperiaatteen perusteella perustetaan unionin kaikkia toimielimiä ja elimiä edustavat yhteiset elimet, kunkin toimielimen ja elimen olisi oltava edelleen täysimääräisesti vastuussa tietoturvallisuudesta omassa organisaatiossaan. Unionin kullakin toimielimellä ja elimellä olisi oltava turvallisuusviranomainen ja tarvittaessa muita viranomaisia, jotka vastaavat tietyistä tietoturvallisuuteen liittyvistä vastuualueista. (12)Tietoturvallisuuden riskinhallintaa koskevan periaatteen olisi oltava keskeinen siinä toimintapolitiikassa, jota unionin kunkin toimielimen ja elimen on määrä kehittää tällä alalla. Vaikka tässä asetuksessa vahvistetut vähimmäisvaatimukset on täytettävä, unionin kunkin toimielimen ja elimen olisi hyväksyttävä erityisiä turvatoimia tietojen suojaamiseksi sisäisen riskinarvioinnin tulosten perusteella. Samaan tapaan tekniset keinot tietojen suojaamiseksi olisi mukautettava kunkin toimielimen ja elimen erityistilanteeseen. (13)Kun otetaan huomioon unionin toimielinten ja elinten omien tietoturvallisuussääntöjensä perusteella kehittämien turvallisuusluokittelemattomien tietojen luokkien moninaisuus ja jotta vältetään tämän asetuksen täytäntöönpanon viivästyminen, unionin toimielinten tai elinten olisi saatava säilyttää oma merkintäjärjestelmänsä sisäisissä käyttötarkoituksissa tai vaihtaessaan tietoja muissa toimielimissä tai elimissä taikka jäsenvaltioissa vastaavaa tehtävää hoitavien elinten kanssa. (14)Uusiin etätyökäytäntöihin mukautumiseksi kunkin unionin toimielimen tai elimen etäkäyttöpalveluihin yhdistämiseen käytettävät verkot olisi suojattava riittävillä turvatoimilla. (15)Koska unionin toimielimet ja elimet käyttävät usein toimeksisaajia ja ulkoistavat tehtäviä, on tärkeää vahvistaa yhteiset määräykset, joita sovelletaan tietoturvallisuuteen liittyviä tehtäviä suorittavien toimeksisaajien henkilöstöön. (16)Unionin eri toimielinten ja elinten sisäisiin sääntöihin sisältyvät, EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevat aineelliset säännöt ovat tällä hetkellä yhdenmukaisia, mutta luokitteluissa ja vaadituissa menettelyissä on merkittäviä eroja. Tämä aiheuttaa rasitteen jäsenvaltioiden kansallisille turvallisuusviranomaisille, koska niiden on mukauduttava eri vaatimuksiin. Siksi on tarpeen säätää yhteisestä sanastosta ja yhteisistä menettelyistä henkilöstöturvallisuuden alalla ja siten yksinkertaistaa yhteistyötä jäsenvaltioiden kansallisten turvallisuusviranomaisten kanssa ja vähentää EU:n turvallisuusluokiteltujen tietojen vaarantumisen riskiä. (17)Unionin toimielinten ja elinten erilaisten resurssien vuoksi sekä niiden asiaan liittyvien menettelyjen ja käytäntöjen yhdenmukaistamiseksi turvallisuusselvitystehtäviä voidaan antaa komission hoidettavaksi. Näin voidaan jatkaa turvallisuusselvitysten alalla pitkään käytössä ollutta käytäntöä ja edistää kullekin turvallisuusviranomaiselle osoitettujen tehtävien keskittämistä. (18)EU:n turvallisuusluokiteltujen tietojen suojaaminen varmistetaan myös teknisillä ja organisatorisilla toimenpiteillä, joita sovelletaan niihin unionin toimielinten tiloihin, rakennuksiin, huoneisiin, toimistoihin tai toimitiloihin, joissa EU:n turvallisuusluokitelluista tiedoista keskustellaan tai joissa niitä käsitellään tai säilytetään. Tässä asetuksessa säädetään sellaisen tietoturvallisuuden hallintaprosessin täytäntöönpanosta fyysisen turvallisuuden alalla, jonka avulla toimielimet ja elimet voivat valita asianmukaiset turvatoimet omia toimipaikkojaan varten. (19)Kaikkien EU:n turvallisuusluokiteltuja tietoja käsittelevien ja säilyttävien unionin toimielinten ja elinten olisi perustettava toimipaikkoihinsa fyysisesti suojattuja alueita, jotta varmistetaan samantasoinen suoja niissä käsiteltävien ja säilytettävien EU:n turvallisuusluokiteltujen tietojen asiaankuuluvien turvallisuusluokkien osalta. Nämä alueet olisi nimettävä hallinnollisiksi alueiksi ja turva-alueiksi, ja niiden olisi noudatettava EU:n turvallisuusluokiteltujen tietojen suojaamiseen sovellettavia yhteisiä vähimmäisvaatimuksia. (20)Tärkeä EU:n turvallisuusluokiteltujen tietojen hallintaan liittyvä periaate on luovuttajavalvonta, joka on näin ollen tarpeen vahvistaa ja kehittää selkeästi. Tältä osin EU:n turvallisuusluokiteltujen tietojen tuottaminen aikaansaa luovuttajalle vastuun, jonka olisi katettava asiaan liittyvän EU:n turvallisuusluokitellun asiakirjan koko elinkaari. (21)Unionin toimielimet ja elimet ovat perinteisesti kehittäneet viestintä- ja tietojärjestelmiään itsenäisesti, eikä niiden yhteentoimivuuteen kaikissa unionin toimielimissä ja elimissä ole kiinnitetty riittävästi huomiota. Siksi on tarpeen vahvistaa vähimmäisturvallisuusvaatimukset viestintä- ja tietojärjestelmille, joissa käsitellään ja säilytetään sekä EU:n turvallisuusluokiteltuja tietoja että turvallisuusluokittelemattomia tietoja, jotta voidaan taata sujuva tietojenvaihto asiaan liittyvien sidosryhmien kanssa. (22)Jotta EU:n turvallisuusluokiteltuja tietoja käsitteleville ja säilyttäville viestintä- ja tietojärjestelmille voidaan laatia yksi hyväksymisstandardi, unionin toimielinten ja elinten olisi tehtävä yhteistyötä tätä tarkoitusta varten perustetussa ryhmässä. On suositeltavaa, että unionin kaikki toimielimet ja elimet käyttävät kyseistä standardia, jotta voidaan parantaa EU:n turvallisuusluokiteltujen tietojen suojaamisen yleistä tasoa. Organisatorisen riippumattomuuden osalta päätöksen asiasta tekee kuitenkin kunkin toimielimen tai elimen toimivaltainen viranomainen. (23)Kaikkien unionin toimielinten ja elinten olisi noudatettava samoja menettelyjä ja sovellettava samoja toimenpiteitä turvallisuusluokiteltujen sopimusten tai avustussopimusten myöntämiseen ja täytäntöönpanoon. Siksi on tarpeen määrittää selkeästi turvallisuusluokiteltujen sopimusten ja avustussopimusten pakolliset ja valinnaiset osat. Toimenpiteissä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi turvallisuusluokiteltujen sopimusten ja avustussopimusten yhteydessä olisi kuitenkin otettava huomioon säännöt, jotka unionin toimielimet ja elimet ovat jo laatineet erikseen tällä alalla yhdessä jäsenvaltioiden kanssa. (24)Unionin toimielinten ja elinten väliseen tiiviiseen yhteistyöhön sekä niiden keskinäiseen moninaiseen synergiaan liittyy suuren tietomäärän jakaminen. Turvallisuusluokiteltujen tietojen turvallisuuden vuoksi yksittäisen unionin toimielimen tai elimen luotettavuus olisi arvioitava, ennen kuin se käsittelee ja säilyttää määrätyn tasoisia EU:n turvallisuusluokiteltuja tietoja. (25)Lisäksi EU:n turvallisuusluokiteltujen tietojen jakamista unionin toimielinten ja elinten välillä sekä turvallisuusluokiteltujen tietojen vaihtamista kansainvälisten järjestöjen ja kolmansien maiden kanssa olisi säänneltävä asianmukaisilla turvatoimilla näiden tietojen suojaamiseksi. Kun suunnitellaan tietoturvallisuussopimuksia, olisi sovellettava Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan määräyksiä. (26)Tietoturvallisuussopimusten tarkoituksena on varmistaa yleinen oikeudellinen kehys unionin turvallisuusluokiteltujen tietojen vaihtamiselle kolmansien maiden ja kansainvälisten järjestöjen kanssa. Lisäksi on tarpeen säätää unionin toimielinten ja elinten mahdollisuudesta tehdä hallinnollisia järjestelyjä kolmannessa maassa tai kansainvälisessä järjestössä olevan vastaavaa tehtävää hoitavan toimijan kanssa EU:n turvallisuusluokiteltujen tietojen vaihtamista varten. (27)Tällä asetuksella perustetaan kaikille unionin toimielimille ja elimille yhteinen kehys. Jotta vältetään liiallisen hallinnollisen rasitteen asettaminen unionin toimielimille ja elimille prosessissa, jossa ne mukauttavat omia sisäisiä turvallisuussääntöjään tässä asetuksessa vahvistettuihin sääntöihin, tätä asetusta olisi sovellettava kahden vuoden kuluttua sen voimaantulosta.

(28)Komission olisi paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyn toimielinten välisen sopimuksen 22 ja 23 kohdan mukaisesti arvioitava tätä asetusta, jotta voidaan arvioida sen todellisia vaikutuksia ja tarvetta lisätoimille. Komission olisi toimitettava Euroopan parlamentille ja neuvostolle kertomus tämän asetuksen täytäntöönpanosta viimeistään kolmen vuoden kuluttua tämän asetuksen soveltamispäivästä. (29)Euroopan tietosuojavaltuutettua on kuultu Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 42 artiklan mukaisesti, ja hän on antanut lausuntonsa..., OVAT HYVÄKSYNEET TÄMÄN ASETUKSEN: 1 luku

Yleiset säännökset 1 artikla Kohde 1.Tässä asetuksessa säädetään tietoturvallisuussäännöistä unionin kaikkia toimielimiä ja elimiä varten. 2 artikla Soveltamisala 1.Tätä asetusta sovelletaan kaikkiin unionin toimielinten ja elinten käsittelemiin ja säilyttämiin tietoihin, mukaan lukien Euroopan atomienergiayhteisön toimintaan liittyvät tiedot Euratomin turvallisuusluokiteltuja tietoja lukuun ottamatta. 2.Sitä sovelletaan seuraaviin tietojen luottamuksellisuustasoihin: a)kolmeen turvallisuusluokittelemattomien tietojen tasoon: julkiseen käyttöön tarkoitettu, normaali ja arkaluonteinen turvallisuusluokittelematon; b)neljään EU:n turvallisuusluokiteltujen tietojen tasoon: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET ja TRÈS SECRET UE/EU TOP SECRET. 3.Nämä tasot perustuvat vahinkoon, jota tietojen luvaton ilmitulo voi aiheuttaa oikeutetuille yksityisille ja julkisille eduille, myös unionin, unionin toimielinten ja elinten, jäsenvaltioiden tai muiden sidosryhmien eduille, ja niiden tarkoituksena on, että voidaan soveltaa asianmukaisia suojatoimia. 3 artikla Määritelmät Tässä asetuksessa tarkoitetaan: a)’tiedolla’ mitä tahansa dataa, joka on suullisessa, visuaalisessa, sähköisessä, magneettisessa tai fyysisessä muodossa taikka muun aineiston, laitteiden ja teknologian muodossa sekä jäljennöksiä, käännöksiä ja kehitteillä olevaa aineistoa; b)’tietoturvallisuudella’ ja ’tietoturvalla’ tietojen aitouden, saatavuuden, luottamuksellisuuden, eheyden ja kiistämättömyyden varmistamista; c)tietojen ’käsittelyllä’ kaikkia mahdollisia toimia, joita tietoihin voidaan kohdistaa niiden elinkaaren aikana; näitä ovat tietojen tuottaminen, kerääminen, rekisteröinti, luottamuksellisuustason määrittäminen, käsittely, esittäminen, katsominen, kuljetus, siirtäminen, turvallisuusluokan alentaminen ja poistaminen, arkistointi ja hävittäminen;

d)’säilyttämisellä’ tietojen pitämistä millä tahansa tietovälineellä niiden saatavuuden varmistamiseksi tulevaa käyttöä varten; e)’unionin toimielimillä ja elimillä’ Euroopan unionista tehdyllä sopimuksella, Euroopan unionin toiminnasta tehdyllä sopimuksella, Euroopan atomienergiayhteisön perustamissopimuksella tai jollakin säädöksellä taikka niiden nojalla perustettuja unionin toimielimiä, elimiä ja laitoksia; f)’Euratomin turvallisuusluokitelluilla tiedoilla’ Euroopan atomienergiayhteisön neuvoston asetuksessa N:o 3/1958 tarkoitettuja tietoja; g)’turvallisuusviranomaisella’ unionin kunkin toimielimen ja elimen turvallisuustoimintoa, joka on nimetty toimielimen tai elimen työjärjestyksen tai perustamissäädöksen mukaisesti; h)’tietoturvallisuusriskien hallintaprosessilla’ prosessia, jossa yksilöidään, hallitaan ja minimoidaan epävarmoja tapahtumia, jotka saattavat vaikuttaa organisaation tai joidenkin sen käyttämien järjestelmien turvallisuuteen; se kattaa kaikki riskeihin liittyvät toiminnot, myös arvioinnin, käsittelyn, hyväksymisen ja viestinnän; i)’resurssilla’ kaikkea, millä on arvoa unionin toimielimelle tai elimelle, sen toiminnalle ja niiden jatkuvuudelle, sen tehtävää tukevat tietoresurssit mukaan luettuina; j)’turvallisuusmenettelyillä’ liitteessä III tarkoitettuja dokumentoituja menettelyjä turva-alueen, viestintä- ja tietojärjestelmän tai muun turvallisuuteen liittyvän resurssin tai palvelun toimintaa varten sen tehokkuuden varmistamiseksi; k)’viestintä- ja tietojärjestelmällä’ järjestelmää, jolla tietoa käsitellään ja tallennetaan sähköisessä muodossa, mukaan lukien kaikki järjestelmän toiminnan kannalta tarpeelliset resurssit; l)’tietojen turvaamisella’ varmuutta siitä, että viestintä- ja tietojärjestelmät suojaavat niissä käsiteltävät ja säilytettävät tiedot ja toimivat siten kuin ja silloin kun niiden kuuluu toimia oikeutettujen käyttäjien valvonnassa sekä takaavat samalla asianmukaisen tasoisen aitouden, saatavuuden, luottamuksellisuuden, eheyden ja kiistämättömyyden; m)’hyväksynnällä’ turvallisuusjärjestelyjen hyväksyntäviranomaisen antamaa muodollista valtuutusta, jonka perusteella viestintä- ja tietojärjestelmässä saa käsitellä tai turva-alueella saa säilyttää ennalta määriteltyyn turvallisuusluokkaan kuuluvia EU:n turvallisuusluokiteltuja tietoja; n)’hyväksymisprosessilla’ ennen hyväksymistä edellytettyjä vaiheita ja tehtäviä; o)’TEMPEST-turvatoimilla’ toimia viestintä- ja tietojärjestelmissä käsiteltävien luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvien tietojen suojaamiseksi niin, että tahattomat sähkömagneettiset vuodot eivät vaaranna tietoja; p)’CERT-EU:lla’ toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetussa Euroopan parlamentin ja neuvoston asetuksessa (EU) [...] tarkoitettua unionin toimielinten ja elinten kyberturvallisuuskeskusta; q)’tietoturvapoikkeamalla’ mitä tahansa tapahtumaa, joka mahdollisesti vaarantaa tallennettujen, siirrettyjen tai käsiteltyjen tietojen aitouden, saatavuuden, luottamuksellisuuden, eheyden tai kiistämättömyyden; r)’tiedonsaantitarpeella’ (need-to-know) henkilön tarvetta saada tiettyjä unionin toimielimen tai elimen käsittelemiä tai säilyttämiä tietoja kyseisen unionin toimielimen tai elimen tehtävien suorittamiseksi; s)’nollaluottamuksella’ (zero trust) tietoturvamallia, järjestelmäsuunnittelun periaatteita sekä koordinoitua kyberturvallisuus- ja järjestelmänhallintastrategiaa, joka perustuu sen tunnustamiseen, että perinteisten verkon rajojen sisä- ja ulkopuolella on uhkia; t)’merkinnällä’ tunnistetta, jota liitetään tietoon sen varmistamiseksi, että asianmukaisia turvatoimia sovelletaan; u)’turvallisuusmerkinnällä’ merkintää, jossa ilmoitetaan tietojen luottamuksellisuustaso; v)’jakelumerkinnällä’ merkintää, jossa ilmoitetaan tiedon tarkoitetut vastaanottajat luovuttavan unionin toimielimen tai elimen sisällä; w)’luovutettavuutta koskevalla merkinnällä’ merkintää, jossa ilmoitetaan sallitut vastaanottajat luovuttavan unionin toimielimen tai elimen ulkopuolella;

x)’järjestelmän omistajalla’ henkilöä, joka vastaa viestintä- ja tietojärjestelmän yleisestä hankinnasta, kehittämisestä, integroinnista, muokkaamisesta, toiminnasta, ylläpidosta ja käytöstä poistamisesta; y)’tietoturvauhkalla’ tapahtumaa tai toimijaa, jonka voidaan kohtuudella olettaa vaikuttavan haitallisesti tietoturvallisuuteen, jollei siihen reagoida ja jollei sitä hallita; z)’haavoittuvuudella’ resurssin, järjestelmän, prosessin tai valvonnan heikkoutta, herkkyyttä tai vikaa, jota yksi tai useampi uhkan lähde voi hyödyntää; aa)’riskillä’ tietyn uhkan, joka mahdollisesti hyötyy unionin toimielimen tai elimen tai minkä tahansa sen käyttämän järjestelmän sisäisestä ja ulkoisesta haavoittuvuudesta, mahdollista haitallista vaikutusta, joka aiheuttaa vahinkoa oikeutetuille julkisille ja yksityisille eduille ja jonka mittana on uhkien toteutumisen todennäköisyys yhdistettynä niiden vaikutuksiin; ab)’jäännösriskillä’ riskiä, joka jää jäljelle turvatoimien toteuttamisen jälkeen; ac)’riskinarvioinnilla’ uhkien ja haavoittuvuuden tunnistamista ja niihin liittyvän riskianalyysin eli todennäköisyyden ja vaikutusten analyysin tekemistä; ad)’riskin käsittelyllä’ riskin lieventämistä, poistamista, vähentämistä (teknisiä, fyysisiä, organisatorisia tai menettelyyn liittyviä toimenpiteitä tarkoituksenmukaisesti yhdistämällä), siirtämistä ja seuraamista; ae)’eurooppalaisella kyberturvallisuussertifikaatilla’ asetuksen (EU) 2019/881 2 artiklan 11 alakohdassa tarkoitettua sertifikaattia; af)’haltijalla’ asianmukaisesti valtuutettua henkilöä, jonka tiedonsaantitarve on todettu ja jonka hallussa on suojausta edellyttävä tieto, jonka suojaamisesta hän on tämän mukaisesti vastuussa; ag)’aineistolla’ mitä tahansa asiakirjaa, tietovälinettä tai konetta tai laitetta, joka on valmistettu tai jota ollaan valmistamassa; ah)’EU:n turvallisuusluokitelluilla tiedoilla’ mitä tahansa tietoja tai aineistoja, joille on määritelty EU:n turvallisuusluokka ja joiden luvaton ilmitulo saattaisi vaihtelevassa määrin vahingoittaa unionin tai yhden tai useamman jäsenvaltion etuja; ai)’valtuutuksella EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten’ turvallisuusviranomaisen tekemää päätöstä siitä, että unionin toimielimen tai elimen virkamiehelle, muuhun henkilöstöön kuuluvalle taikka kansalliselle asiantuntijalle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn turvallisuusluokkaan asti tietyksi määräajaksi; aj)’kansallisella turvallisuusviranomaisella’ jäsenvaltion viranomaista, jolla on perimmäinen vastuu turvallisuusluokitellun tiedon suojaamisesta kyseisessä jäsenvaltiossa; ak)’nimetyllä turvallisuusviranomaisella’ jäsenvaltion viranomaista (kansallista turvallisuusviranomaista tai mitä tahansa muuta toimivaltaista viranomaista), jonka tehtävänä on antaa ohjausta ja apua yhteisöturvallisuuden täytäntöönpanossa tai selvitysmenettelyissä tai molemmissa; al)’turvallisuustutkinnalla’ tutkintamenettelyjä, jotka jäsenvaltion toimivaltainen viranomainen suorittaa kansallisten lakien ja asetusten mukaisesti varmistaakseen, että tiedossa ei ole mitään sellaista kielteistä seikkaa, joka estäisi turvallisuusselvityksen myöntämisen henkilölle tiettyyn turvallisuusluokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampi) asti; am)’fyysisellä turvallisuudella’ fyysisten, teknisten ja organisatoristen toimenpiteiden soveltamista unionin toimielimen tai elimen tiloihin, rakennuksiin, huoneisiin, toimistoihin tai toimitiloihin, jotka edellyttävät suojelua luvattomalta pääsyltä tietoihin, joita niissä käsitellään tai säilytetään tai joista niissä keskustellaan; an)’toimipaikoilla’ unionin toimielimen tai elimen tiloja, rakennuksia, huoneita, toimistoja tai toimitiloja; ao)’syvyyssuuntaisella turvallisuudella’ turvallisuuden tyyppiä, jossa käytetään useita riippumattomia turvatoimien tasoja sen varmistamiseksi, että jos yksi pettää, toinen on toimintakykyinen; ap)’salausaineistolla’ salausalgoritmeja, salauslaitteistoja ja ‑ohjelmistomoduuleja sekä tuotteita, joihin sisältyy täytäntöönpanoa koskevia yksityiskohtia sekä niihin liittyviä asiakirjoja ja avainnusaineistoa; aq)’salaustuotteella’ tuotetta, jonka ensisijainen ja pääasiallinen tarkoitus on turvallisuuspalvelujen tuottaminen (aitous, saatavuus, luottamuksellisuus, eheys ja kiistämättömyys) yhden tai useamman salausmenetelmän avulla;

ar)’luovuttajalla’ unionin toimielintä tai elintä, jäsenvaltiota, kolmatta maata tai kansainvälistä järjestöä, jonka alaisuudessa turvallisuusluokiteltu tieto on tuotettu tai tuotu unionin rakenteisiin; as)’asiakirjalla’ mitä tahansa kirjallisessa tai kuvatallenteen tai audiovisuaalisen tallenteen muodossa olevaa sisältöä sen tallennusvälineestä (paperi, sähköinen, magneettinen tai muu) riippumatta; at)’rekisteröinnillä turvallisuustarkoituksia varten’ sellaisten menettelyjen soveltamista, joilla kirjataan aineiston elinkaari, myös sen jakelu ja hävittäminen; au)’turvallisuusluokan poistamisella’ minkä tahansa turvallisuusluokituksen poistamista; av)’turvallisuusluokan alentamisella’ salassapitotason alentamisesta johtuvaa turvallisuusluokan muuttamista; aw)’turvallisuusluokitellulla sopimuksella’ Euroopan parlamentin ja neuvoston asetuksessa (EU, Euratom) 2018/1046 tarkoitettua puitesopimusta tai sopimusta, jonka unionin toimielin tai elin tekee toimeksisaajan kanssa irtaimen tai kiinteän omaisuuden, työsuoritusten tai palveluiden hankkimiseksi ja jonka täyttäminen edellyttää tai siihen kuuluu EU:n turvallisuusluokiteltujen tietojen tuottamista, myös niiden käsittelyä tai säilyttämistä; ax)’turvallisuusluokitellulla avustussopimuksella’ sopimusta, jolla unionin toimielin tai elin myöntää asetuksen (EU, Euratom) 2018/1046 VIII osastossa tarkoitetun avustuksen ja jonka täyttäminen edellyttää tai siihen kuuluu EU:n turvallisuusluokiteltujen tietojen tuottamista, myös niiden käsittelyä tai säilyttämistä; ay)’turvallisuusluokitellulla alihankintasopimuksella’ sopimusta, jonka unionin toimielimen tai elimen toimeksisaaja tai avustuksen saaja tekee alihankkijan kanssa irtaimen tai kiinteä omaisuuden, työsuoritusten tai palveluiden hankkimiseksi ja jonka täyttäminen edellyttää tai siihen kuuluu EU:n turvallisuusluokiteltujen tietojen tuottamista, myös niiden käsittelyä tai säilyttämistä; az)’ohjelman tai hankkeen turvallisuusohjeella’ luetteloa turvallisuusmenettelyistä, joita sovelletaan tiettyyn ohjelmaan tai hankkeeseen turvallisuusmenettelyjen yhdenmukaistamiseksi; ba)’turvallisuutta koskevalla lisälausekkeella’ hankintaviranomaisen tai avustuksen myöntävän viranomaisen määräämien erityissopimusehtojen kokonaisuutta, joka on erottamaton osa turvallisuusluokiteltua sopimusta tai avustussopimusta, joka edellyttää pääsyä EU:n turvallisuusluokiteltuihin tietoihin tai niiden tuottamista, ja jossa yksilöidään turvallisuusvaatimukset ja ne sopimuksen tai avustuksen osat, jotka edellyttävät turvallisuuden suojaamista; bb)’turvallisuusluokitusoppaalla’ asiakirjaa, jossa kuvataan turvallisuusluokitellun ohjelman, hankkeen, sopimuksen tai avustussopimuksen osat ja eritellään sovellettavat turvallisuusluokitustasot. 4 artikla Yleiset periaatteet 1.Unionin kunkin toimielimen ja elimen tehtävänä on tämän asetuksen säännösten täytäntöönpano omassa organisaatiossaan oma tietoturvallisuusriskien hallintaprosessinsa huomioon ottaen. 2. Tämän asetuksen noudattamatta jättäminen, erityisesti 2 artiklan 2 kohdassa tarkoitettujen luottamuksellisuustasojen mukaisten tietojen, julkiseen käyttöön tarkoitettuja tietoja lukuun ottamatta, luvaton luovuttaminen johtaa tutkintaan ja voi johtaa siihen, että käyttöön otetaan henkilöstöön kohdistuva vastuu perussopimusten tai toimielimen tai elimen asiaa koskevien henkilöstösääntöjen mukaisesti. 3.Unionin toimielimet ja elimet arvioivat kaikki käsittelemänsä ja säilyttämänsä tiedot, jotta ne voidaan luokitella 2 artiklan 2 kohdassa tarkoitettujen luottamuksellisuustasojen mukaisesti. 4.Unionin toimielimet ja elimet määrittävät kaikkien käsittelemiensä ja säilyttämiensä tietojen turvallisuustarpeet ottaen huomioon seuraavat näkökohdat: a)aitous: tae siitä, että tiedot ovat aitoja ja vilpittömässä mielessä toimivista lähteistä; b)saatavuus: tiedot ovat valtuutetun yksikön pyynnöstä saatavilla ja käytettävissä; c)luottamuksellisuus: tiedot eivät tule ilmi sivullisille henkilöille, yksiköille eivätkä prosesseille;

d)eheys: tiedot ovat täydelliset ja tietojen täydellisyys muuttumaton; e)kiistämättömyys: tietty toimi tai tapahtuma voidaan todistaa tapahtuneeksi niin, ettei sitä voida myöhemmin kiistää. 5.Unionin toimielimet ja elimet määrittävät kunkin vastuullaan olevan viestintä- ja tietojärjestelmän osalta korkeimman luottamuksellisuustason, jolle kuuluvia tietoja kyseisessä viestintä- ja tietojärjestelmässä voidaan käsitellä ja säilyttää, suorittavat tietoturvallisuutta koskevan riskinarvioinnin ja seuraavat säännöllisesti turvallisuustarpeita ja määritettyjen suojatoimien asianmukaista täytäntöönpanoa. 6.Unionin kaikki toimielimet ja elimet järjestävät koulutusta ja tiedotusta siitä, miten turvallisuusluokittelemattomia tietoja ja EU:n turvallisuusluokiteltuja tietoja käsitellään ja säilytetään. EU:n turvallisuusluokiteltuja tietoja käsittelevät ja säilyttävät toimielimet ja elimet järjestävät vähintään joka viides vuosi pakollisen koulutuksen kaikille henkilöille, joille on myönnetty pääsy EU:n turvallisuusluokiteltuihin tietoihin. Unionin asianomaiset toimielimet ja elimet järjestävät erityiskoulutusta niille toimijoille, joilla on tietoturvallisuuteen liittyviä tehtäviä. Unionin toimielin tai elin voi koordinoida näitä koulutus- ja tiedotustoimia muiden unionin toimielinten ja elinten kanssa. 5 artikla Tietoturvallisuusriskien hallintaprosessi 1.Unionin kukin toimielin ja elin määrittelee tietoturvallisuusriskien hallintaprosessin käsittelemiensä ja säilyttämiensä tietojen suojaamiseksi. 2.Tietoturvallisuusriskien hallintaprosessi sisältää seuraavat vaiheet: a)uhkan ja haavoittuvuuden tunnistaminen; b)riskinarviointi; c)riskin käsittely; d)riskin hyväksyminen; e)riskiviestintä. 3.Tietoturvallisuusriskien hallintaprosessissa on otettava huomioon kaikki kyseisen toimielimen tai elimen kannalta merkitykselliset tekijät, erityisesti seuraavat: a)tietojen luottamuksellisuustaso ja siihen liittyvät lakisääteiset velvoitteet; b)tietojen muoto ja määrä sekä toimitilat tai viestintä- ja tietojärjestelmät, joissa tietoja käsitellään ja säilytetään; c)henkilöt, joilla on pääsy tietoihin toimipaikoissa tai etäyhteyden välityksellä; d)niiden rakennusten tai alueiden ympäristö ja rakenne, joissa tietoja säilytetään;

e)unioniin, unionin toimielimiin ja elimiin tai jäsenvaltioihin kohdistuvat uhkat, joiden aiheuttajina ovat kyberhyökkäykset, toimitusketjuhyökkäykset, vakoilu, sabotaasi, terrorismi tai kumouksellinen tai muu rikollinen toiminta; f)toiminnan jatkuvuus ja palautuminen; g)tarkastusten, auditointien tai arviointikäyntien tulokset soveltuvin osin. 2 luku

Hallinto ja turvallisuusjärjestelyt 6 artikla Toimielinten välinen tietoturvallisuuden koordinointiryhmä 1.Perustetaan toimielinten välinen tietoturvallisuuden koordinointiryhmä, jäljempänä ’koordinointiryhmä’. Se koostuu kaikista unionin toimielinten ja elinten turvallisuusviranomaisista, ja sen tehtävänä on määritellä niiden yhteinen toimintapolitiikka tietoturvallisuuden alalla. 2.Koordinointiryhmä, joka tekee päätöksensä yksimielisesti ja kaikkien unionin toimielinten ja elinten yhteisen edun mukaisesti, a)hyväksyy työjärjestyksensä sekä vuotuiset yhteiset tavoitteet ja painopisteet; b)antaa päätöksiä temaattisten alaryhmien perustamisesta ja niiden toimeksiannoista; c)laatii ohjeasiakirjoja tämän asetuksen täytäntöönpanosta tarvittaessa yhteistyössä toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetun asetuksen (EU) [...] 9 artiklassa tarkoitetun toimielinten välisen kyberturvallisuuslautakunnan kanssa; d)perustaa erityisiä alustoja tietoturvallisuuden kannalta merkityksellisiä yleisiä aiheita koskevien parhaiden käytäntöjen ja tiedon jakamista varten sekä tietoturvapoikkeamiin liittyvän avun antamista varten; e)varmistaa, että turvatoimia koordinoidaan tarpeen mukaan toimivaltaisten kansallisten turvallisuusviranomaisten kanssa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi. 3.Koordinointiryhmä nimeää yhden puheenjohtajan ja kaksi varapuheenjohtajaa jäsentensä keskuudesta kolmen vuoden ajaksi. 4.Koordinointiryhmä kokoontuu vähintään kerran vuodessa puheenjohtajansa aloitteesta tai jonkin unionin toimielimen tai elimen pyynnöstä. 5.Koordinointiryhmää tukee hallinnollisesti komission sen käyttöön tarjoama pysyvä sihteeristö. 6.Unionin kukin toimielin tai elin on asianmukaisesti edustettuna koordinointiryhmässä ja soveltuvin osin temaattisissa alaryhmissä. 7.Unionin toimielimet ja elimet ilmoittavat koordinointiryhmälle kaikesta merkittävästä tietoturvallisuutta koskevan toimintapolitiikan kehityksestä omassa organisaatiossaan. 8.Koordinointiryhmää avustaa 2 kohdan e alakohdassa tarkoitettujen tehtävien suorittamisessa tietoturvallisuuskomitea. Komiteassa on yksi edustaja kustakin kansallisesta turvallisuusviranomaisesta, ja sen puheenjohtajana toimii 5 kohdassa tarkoitettu koordinointiryhmän sihteeristö. Tietoturvallisuuskomitealla on neuvoa-antava rooli.

7 artikla Temaattiset alaryhmät 1.Koordinointiryhmä perustaa seuraavat pysyvät temaattiset alaryhmät tämän asetuksen täytäntöönpanon helpottamiseksi: a)tietojen turvaamista käsittelevä alaryhmä; b)turvallisuusluokittelemattomia tietoja käsittelevä alaryhmä; c)fyysistä turvallisuutta käsittelevä alaryhmä; d)EU:n turvallisuusluokiteltuja tietoja käsittelevien ja säilyttävien viestintä- ja tietojärjestelmien hyväksymistä käsittelevä alaryhmä; e)EU:n turvallisuusluokiteltujen tietojen jakamista ja turvallisuusluokiteltujen tietojen vaihtamista käsittelevä alaryhmä. 2.Koordinointiryhmä voi tarvittaessa perustaa tilapäisiä alaryhmiä tiettyä tehtävää varten ja määräajaksi. 3.Jollei alaryhmien toimeksiannoissa toisin säädetä, alaryhmät perustuvat avoimeen jäsenyyteen, jossa jäsenet edustavat unionin asianomaista toimielintä tai elintä. Alaryhmien jäsenet ovat kunkin alaryhmän toimivaltaan kuuluvan alan asiantuntijoita. 4.Edellä 5 artiklan 5 kohdassa tarkoitettu koordinointiryhmän sihteeristö tukee kaikkien alaryhmien työtä ja varmistaa jäsentensä välisen tiedonkulun. 8 artikla Turvallisuusjärjestelyt 1.Unionin kukin toimielin ja elin nimeää turvallisuusviranomaisen, joka ottaa hoitaakseen tässä asetuksessa ja soveltuvissa tapauksissa toimielimen tai elimen sisäisissä turvallisuussäännöissä annetut tehtävät. Kutakin turvallisuusviranomaista tukee sen tehtävien suorittamisessa osasto tai virkamies, jolle on uskottu tietoturvallisuuteen liittyviä tehtäviä. 2.Unionin kunkin toimielimen tai elimen turvallisuusviranomainen hyväksyy tarvittaessa sisäisiä soveltamissääntöjä tietojen suojaamiseksi kyseisen toimielimen tai elimen EU:n lainsäädännön mukaisen erityisen tehtävän mukaisesti ja institutionaalisen riippumattomuuden perusteella. 3.Tarvittaessa kukin turvallisuusviranomainen toimii myös seuraavissa tehtävissä: a)tiedonturvaamisviranomainen, joka vastaa tietojen turvaamista koskevien turvallisuusperiaatteiden ja turvallisuutta koskevien suuntaviivojen laatimisesta sekä niiden toimivuuden ja asianmukaisuuden valvomisesta; b)operatiivinen tiedonturvaamisviranomainen, joka vastaa turvallisuusasiakirjojen laatimisesta, erityisesti turvallisuusmenettelyjen sekä viestintä- ja tietojärjestelmän hyväksymisprosessiin kuuluvan salaussuunnitelman laatimisesta; c)turvallisuusjärjestelyjen hyväksyntäviranomainen, joka vastaa turva-alueiden ja EU:n turvallisuusluokiteltuja tietoja käsittelevien ja säilyttävien viestintä- ja tietojärjestelmien hyväksymisestä; d)TEMPEST-viranomainen, joka vastaa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi tahattoman sähkömagneettisen säteilyn aiheuttamalta vaarantumiselta toteutettavien toimenpiteiden hyväksymisestä;

e)salauslaitteiden hyväksyntäviranomainen, joka vastaa salausteknologian käytön hyväksymisestä järjestelmän omistajan esittämän pyynnön johdosta; f)salatun aineiston jakelusta vastaava viranomainen, joka vastaa EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytettävän salausaineiston (salauslaitteet, salausavaimet, varmenteet ja asiaan liittyvät todennusvälineet) jakelusta asianomaisille käyttäjille. 4.Yhden tai useamman 3 kohdassa tarkoitetun tehtävän vastuut voidaan siirtää toiselle unionin toimielimelle tai elimelle, kun turvallisuusjärjestelyjen hajautettu toteuttaminen parantaa merkittävästi tehokkuutta tai säästää merkittävästi resursseja tai aikaa. 3 luku

Tietojen turvaaminen ja viestintä- ja tietojärjestelmät 9 artikla Tietojen turvaamisen periaatteet 1.Tietoturvallisuustarpeiden arviointi on otettava huomioon järjestelmien kehittämisen alusta alkaen tai niiden hankintavaiheessa kaikkien viestintä- ja tietojärjestelmien osalta, mukaan lukien sisäiset, ulkoistetut ja hybridimuotoiset viestintä- ja tietojärjestelmät. 2.Kukin viestintä- ja tietojärjestelmä, jossa käsitellään ja säilytetään EU:n turvallisuusluokiteltuja tietoja, on hyväksyttävä 5 luvun 5 jakson mukaisesti. Kunkin viestintä- ja tietojärjestelmän, jossa käsitellään ja säilytetään arkaluonteisia turvallisuusluokittelemattomia tietoja, on noudatettava 4 luvussa määritettyjä arkaluonteisiin turvallisuusluokittelemattomiin tietoihin viestintä- ja tietojärjestelmissä sovellettavia vähimmäisvaatimuksia. 10 artikla Tietojen turvaamista käsittelevä alaryhmä 1.Edellä 7 artiklan 1 kohdan a alakohdassa tarkoitetun tietojen turvaamista käsittelevän alaryhmän tehtävänä ja vastuulla on a)antaa ohjeita ja parhaita käytäntöjä tietojen merkinnästä, käsittelystä ja säilyttämisestä viestintä- ja tietojärjestelmissä tiiviissä yhteistyössä toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetun asetuksen (EU) [XXX] 9 artiklassa tarkoitetun toimielinten välisen kyberturvallisuuslautakunnan kanssa; b)laatia metatietojärjestelmä merkintöjä ja kaikkia tarvittavia teknisiä tietoja varten, jotta voidaan edistää yhteentoimivaa ja sujuvaa tietojenvaihtoa unionin toimielimissä ja elimissä, kun niiden viestintä- ja tietojärjestelmät liitetään yhteen; c)edistää tietoturvallisuussääntöjen ja toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetun asetuksen (EU) [XXX] 5 artiklassa tarkoitetun kyberturvallisuuden perustason välistä johdonmukaisuutta kaikissa unionin toimielimissä ja elimissä. 11 artikla Viestintä- ja tietojärjestelmiä koskevat vaatimukset 1.Unionin toimielimet ja elimet tiedottavat käyttäjille siitä, minkä luottamuksellisuustasojen tietoja viestintä- ja tietojärjestelmässä voidaan käsitellä ja säilyttää. Kun viestintä- ja tietojärjestelmässä käsitellään ja säilytetään useiden luottamuksellisuustasojen tietoja, on käytettävä metatietoja ja visuaalisia merkintöjä sen varmistamiseksi, että eri tasot voidaan erottaa toisistaan. 2.Unionin toimielimet ja elimet tunnistavat viestintä- ja tietojärjestelmien käyttäjät ennen kuin ne myöntävät käyttäjille pääsyn minkään luottamuksellisuustason tietoihin julkiseen käyttöön tarkoitettuja tietoja lukuun ottamatta. Käyttäjien henkilöllisyys on todennettava luottamuksellisuustasolle asianmukaisen turvaamistason mukaisesti. Tarvittaessa on käytettävä turvallista yhteistä tunnistamisjärjestelmää. 3.Kaikista viestintä- ja tietojärjestelmistä on säilytettävä asianmukaiset turvallisuuslokit sen varmistamiseksi, että tietoturvaloukkaukset tai tietovuodot voidaan tutkia nopeasti. Näitä lokeja on säilytettävä toimintaan kohdistuvien vaikutusten arvioinnissa tai asiaan liittyvissä turvallisuuskäytännöissä määritetty aika kiistämättömällä tavalla. Kun viestintä- ja tietojärjestelmässä käsitellään ja säilytetään EU:n turvallisuusluokiteltuja tietoja, tiedonsaantitarpeeseen ja tietoihin pääsyyn liittyvät lokit on säilytettävä, kunnes tietojen turvallisuusluokka on poistettu. Turvallisuusviranomaisen on kyettävä tekemään hakuja turvallisuuslokeihin ja saatava pääsy niihin.

4.Unionin toimielimet ja elimet antavat sisäisiä sääntöjä viestintä- ja tietojärjestelmien turvallisuudesta asianmukaisten turvatoimien määrittämiseksi käsiteltävien ja säilytettävien tietojen turvallisuustarpeiden mukaisesti ja ottaen huomioon oikeudenkäyttöalueet, joilla tietoja säilytetään ja käsitellään ja joille niitä luovutetaan. Tarvittaessa näihin toimenpiteisiin on sisällyttävä a)maantieteellistä sijaintia koskevat rajoitukset; b)toimeksisaajiin liittyvien mahdollisten eturistiriitojen, boikottien tai rangaistusten huomioon ottaminen; c)sopimusmääräykset tietoturvallisuuden varmistamiseksi; d)lepäävän ja siirrettävän tiedon salaaminen; e)unionin toimielinten ja elinten tietoihin pääsyä koskevat toimeksisaajan henkilöstöön sovellettavat rajoitukset; f)henkilötietojen suoja sovellettavan tietosuojalainsäädännön mukaisesti. 5.Unionin toimielimet ja elimet noudattavat viestintä- ja tietojärjestelmiensä hallinnoinnissa seuraavia periaatteita: a)kullakin viestintä- ja tietojärjestelmällä on oltava sen turvallisuudesta vastaava järjestelmän omistaja tai operatiivinen tiedonturvaamisviranomainen; b)on toteutettava tietoturvallisuusriskien hallintaprosessi, joka kattaa tietoturvallisuuteen liittyvät näkökohdat; c)turvallisuusvaatimukset ja turvamenettelyt on määriteltävä, toteutettava, tarkistettava ja arvioitava uudelleen virallisesti; d)tietoturvapoikkeamat on kirjattava virallisesti ja niihin liittyviä jatkotoimia on toteuttava toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi unionin toimielimissä, elimissä ja laitoksissa annetun asetuksen (EU) [XXX] mukaisesti. 4 luku

Turvallisuusluokittelemattomat tiedot 12 artikla Julkiseen käyttöön tarkoitetut tiedot 1.Sellaiset julkiseen käyttöön tarkoitetut tai virallisesti julkaistavat tai jo luovutetut tiedot, jotka voidaan jakaa ilman rajoituksia unionin toimielinten ja elinten sisä- tai ulkopuolella, on luokiteltava julkiseen käyttöön tarkoitetuiksi tiedoiksi, ja niitä on käsiteltävä ja säilytettävä julkiseen käyttöön tarkoitettuina tietoina. 2.Unionin toimielimet ja elimet voivat merkitä 1 kohdassa tarkoitetut tiedot merkinnällä ”PUBLIC USE”. 3.Unionin kaikki toimielimet ja elimet varmistavat julkiseen käyttöön tarkoitettujen tietojen eheyden ja saatavuuden asianmukaisilla toimilla kyseisten tietojen turvallisuustarpeiden perusteella. 13 artikla Normaalit tiedot

1.Tiedot, jotka on tarkoitettu unionin toimielimen tai elimen käyttöön sen tehtävien suorittamisessa ja jotka eivät ole arkaluonteisia turvallisuusluokittelemattomia eivätkä julkiseen käyttöön tarkoitettuja tietoja, on luokiteltava normaaleiksi tiedoiksi ja niitä on käsiteltävä ja säilytettävä normaaleina tietoina. Tämä luokka kattaa kaikki normaalit valmistelutason tiedot, joita käsitellään unionin asianomaisessa toimielimessä tai elimessä. 2.Normaalit tiedot voidaan merkitä visuaalisesti tai metatiedoissa, kun se on tarpeen niiden suojaamiseksi, erityisesti kun ne jaetaan unionin toimielinten ja elinten ulkopuolelle. Siinä tapauksessa on käytettävä merkintää ”EU NORMAL” tai ”unionin toimielimen tai elimen nimi tai lyhenne NORMAL” (tapauksen mukaan). 3.Unionin toimielimet ja elimet määrittelevät vakiomuotoisia suojatoimia normaaleille tiedoille ottaen huomioon turvallisuusluokittelemattomia tietoja käsittelevän alaryhmän antamat ohjeet sekä tehtäviinsä ja toimintaansa liittyvät mahdolliset erityiset riskit. 4.Normaaleja tietoja vaihdetaan unionin toimielinten ja elinten ulkopuolella ainoastaan sellaisten luonnollisten tai oikeushenkilöiden kanssa, joilla on tiedonsaantitarve. 14 artikla Arkaluonteiset turvallisuusluokittelemattomat tiedot 1.Unionin toimielimet ja elimet luokittelevat arkaluonteisiksi turvallisuusluokittelemattomiksi tiedoiksi ja käsittelevät ja säilyttävät arkaluonteisina turvallisuusluokittelemattomina tietoina kaikkia tietoja, jotka eivät ole turvallisuusluokiteltuja mutta joita niiden on suojattava oikeudellisten velvoitteiden vuoksi tai sen haitan vuoksi, jota niiden luvaton ilmitulo voi aiheuttaa oikeutetuille yksityisille ja julkisille eduille, myös unionin toimielinten ja elinten, jäsenvaltioiden tai yksilöiden eduille. 2.Unionin kukin toimielin ja elin määrittää arkaluonteiset turvallisuusluokittelemattomat tiedot näkyvällä turvallisuusmerkinnällä ja määrittelee niihin liittyvät käsittelyohjeet liitteen I mukaisesti. 3.Unionin toimielimet ja elimet suojaavat arkaluonteiset turvallisuusluokittelemattomat tiedot noudattamalla niiden käsittelyssä ja säilytyksessä asianmukaisia toimenpiteitä. Nämä tiedot voidaan asettaa saataville unionin toimielinten ja elinten sisällä ainoastaan henkilöille, jotka tarvitsevat tiedot heille osoitettujen tehtävien suorittamiseksi. 4.Arkaluonteisia turvallisuusluokittelemattomia tietoja vaihdetaan unionin toimielinten ja elinten ulkopuolella ainoastaan sellaisten luonnollisten ja oikeushenkilöiden kanssa, joilla on tiedonsaantitarve, noudattaen tietoihin liittyviä käsittelyohjeita. Asianmukaiset käsittelyohjeet on saatettava kaikkien osapuolten tietoon. 15 artikla Turvallisuusluokittelemattomien tietojen suojaaminen ja yhteentoimivuus 1.Unionin toimielimet ja elimet määrittelevät menettelyt sellaisen mahdollisen tai epäillyn poikkeaman raportoimista ja hallintaa varten, joka saattaisi vaarantaa turvallisuusluokittelemattomien tietojen turvallisuuden. 2.Silloin kun sitä edellytetään, unionin toimielimet ja elimet käyttävät 12–14 artiklassa tarkoitettuja merkintöjä. Poikkeuksellisesti muita vastaavia merkintöjä voidaan käyttää sisäisesti ja yhteyksissä muissa unionin toimielimissä ja elimissä tai jäsenvaltioissa vastaavaa tehtävää hoitaviin elimiin, kun kaikki osapuolet sen hyväksyvät. Tällaisesta poikkeuksesta on ilmoitettava 7 artiklan 1 kohdan b alakohdassa tarkoitetulle turvallisuusluokittelemattomia tietoja käsittelevälle alaryhmälle. 3.Käyttöön on otettava sopimuksiin perustuvia suojatoimia, jotta varmistetaan ulkoistettujen palvelujen käsittelemien normaalien ja arkaluonteisten turvallisuusluokittelemattomien tietojen suojaaminen. Suojatoimet on laadittava siten, että ne takaavat vähintään samantasoisen suojan kuin tämä asetus, ja niiden on sisällettävä luottamuksellisuutta koskevia ja salassapitosopimuksia, jotka kaikkien asiaan liittyvien, ulkoistettujen järjestelmien tarjoamiseen osallistuvien palveluntarjoajien on allekirjoitettava. 16 artikla Turvallisuusluokittelemattomia tietoja käsittelevä alaryhmä 1.Edellä 7 artiklan 1 kohdan b alakohdassa tarkoitetun turvallisuusluokittelemattomia tietoja käsittelevän alaryhmän tehtävänä ja vastuulla on a)yhdenmukaistaa turvallisuusluokittelemattomien tietojen käsittelyyn ja säilyttämiseen liittyvät menettelyt ja laatia asiaan liittyvät ohjeet; b)koordinoida turvallisuusluokittelemattomia tietoja käsitteleviin ja säilyttäviin järjestelmiin liittyviä asioita 7 artiklan 1 kohdan a alakohdassa tarkoitetun tietojen turvaamista käsittelevän alaryhmän kanssa;

c)laatia käsittelyohjeita turvallisuusluokittelemattomien tietojen eri luottamuksellisuustasoja varten; d)avustaa unionin toimielimiä ja elimiä niiden omien turvallisuusluokittelemattomien tietojen luokkien sekä 12–14 artiklassa vahvistettujen luokkien välisen vastaavuuden määrittämisessä; e)helpottaa turvallisuusluokittelemattomien tietojen jakamista unionin toimielinten ja elinten välillä tarjoamalla apua ja ohjeita. 17 artikla Arkaluonteisten turvallisuusluokittelemattomien tietojen käsitteleminen ja säilyttäminen viestintä- ja tietojärjestelmissä 1.Unionin toimielimet ja elimet varmistavat, että viestintä- ja tietojärjestelmät täyttävät seuraavat vähimmäisvaatimukset, kun niissä käsitellään ja säilytetään arkaluonteisia turvallisuusluokittelemattomia tietoja: a)arkaluonteisiin turvallisuusluokittelemattomiin tietoihin pääsyyn sovelletaan vahvaa todentamista, ja arkaluonteiset turvallisuusluokittelemattomat tiedot salataan siirtämisen ja säilyttämisen aikana; b)viestintä- ja tietojärjestelmän toiminnasta vastaava unionin toimielin tai elin vastaa säilytystä varten käytettävistä salausavaimista; c)arkaluonteiset turvallisuusluokittelemattomat tiedot säilytetään ja käsitellään unionissa, d)ulkoistamissopimuksiin sisällytetään sopimusmääräyksiä, jotka kattavat henkilöstön, resurssien ja tiedon turvallisuuden; e)käytetään yhteentoimivia metatietoja sähköisten asiakirjojen luottamuksellisuustason kirjaamiseksi ja turvatoimien automaation edistämiseksi; f)unionin toimielimet ja elimet toteuttavat toimia tietovuotojen estämiseksi ja havaitsemiseksi, jotta voidaan suojata arkaluonteisia turvallisuusluokittelemattomia tietoja; g)käytetään suojauslaitteita, joilla on eurooppalainen kyberturvallisuussertifikaatti, jos sellaisia on saatavilla; h)toteutetaan turvatoimia tiedonsaantitarvetta ja nollaluottamusta koskevien periaatteiden perusteella, jotta voidaan minimoida palveluntarjoajien ja toimeksisaajien pääsy arkaluonteisiin turvallisuusluokittelemattomiin tietoihin. 2.Mikä tahansa poikkeaminen 1 kohdassa vahvistetuista vähimmäisvaatimuksista edellyttää unionin asianomaisen toimielimen tai elimen asianmukaisen hallintotason hyväksyntää, joka annetaan arkaluonteisten turvallisuusluokittelemattomien tietojen turvallisuuteen kohdistuvat oikeudelliset ja tekniset riskit kattavan riskinarvioinnin perusteella. 3.Unionin asianomaisen toimielimen tai elimen tiedonturvaamisviranomainen voi tarkistaa milloin tahansa viestintä- ja tietojärjestelmän elinkaaren aikana, että edellä 1 kohdassa tarkoitettuja periaatteita noudatetaan. 5 luku

EU:n turvallisuusluokitellut tiedot 1 jakso

Yleiset säännökset 18 artikla Turvallisuusluokat ja merkinnät

1.EU:n turvallisuusluokitellut tiedot luokitellaan seuraaviin turvallisuusluokkiin ja merkitään seuraavasti: a)TRÈS SECRET UE/EU TOP SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa poikkeuksellisen vakavasti unionin tai yhden tai useamman jäsenvaltion olennaisia etuja; b)SECRET UE/EU SECRET: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa vakavasti unionin tai yhden tai useamman jäsenvaltion olennaisia etuja. c)CONFIDENTIEL UE/EU CONFIDENTIAL: tiedot ja aineistot, joiden luvaton ilmitulo saattaisi vahingoittaa unionin tai yhden tai useamman jäsenvaltion olennaisia etuja; d)RESTREINT UE/EU RESTRICTED: tiedot ja aineistot, joiden luvattomasta ilmitulosta saattaisi olla haittaa unionin tai yhden tai useamman jäsenvaltion eduille. 2.Koordinointiryhmä antaa ohjeasiakirjoja EU:n turvallisuusluokiteltujen tietojen tuottamisesta ja luokittelusta. 19 artikla Soveltuvuus EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen 1.Mikä tahansa unionin toimielin ja elin saa käsitellä ja säilyttää EU:n turvallisuusluokiteltuja tietoja, jos seuraavat edellytykset täyttyvät: a)se määrittää tämän asetuksen mukaisesti säännöt ja menettelyt, joilla varmistetaan tietyn turvallisuusluokan tietojen suojaaminen; ja b)siihen on tehty 53 artiklan mukainen arviointikäynti, jonka seurauksena on vahvistettu, että se kykenee suojaamaan EU:n turvallisuusluokitellut tiedot tämän asetuksen ja soveltuvin osin muiden asiaan liittyvien sääntöjen ja menettelyjen mukaisesti. 2.Edellä 7 artiklan 1 kohdan e alakohdassa tarkoitetun EU:n turvallisuusluokiteltujen tietojen jakamista ja turvallisuusluokiteltujen tietojen vaihtamista käsittelevän alaryhmän jäsenten katsotaan täyttävän oletusarvoisesti 1 kohdassa vahvistetut edellytykset. 20 artikla EU:n turvallisuusluokiteltujen tietojen suojaaminen 1.Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on vastuussa sen suojaamisesta. 2.Jäsenvaltioiden tuodessa unionin toimielimen tai elimen rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, kyseinen toimielin tai elin noudattaa kyseisten tietojen suojaamisessa Euroopan unionin edun vuoksi vaihdettujen turvallisuusluokiteltujen tietojen suojaamisesta tehdyssä neuvostossa kokoontuneiden Euroopan unionin jäsenvaltioiden välisessä sopimuksessa vahvistettua vastaavaa turvallisuusluokitusmerkintää. Asiaan liittyvä vastaavuustaulukko määritetään tämän asetuksen liitteessä VI. 3.EU:n turvallisuusluokiteltujen tietojen kooste voi edellyttää korkeampaan turvallisuusluokkaan sovellettavaa suojaa kuin koosteen yksittäisten osien suoja. 21 artikla EU:n turvallisuusluokiteltujen tietojen turvallisuusriskien hallintaprosessi 1.Unionin kunkin toimielimen ja elimen turvallisuusviranomainen hyväksyy turvatoimet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi koko niiden elinkaaren ajan unionin kyseisen toimielimen tai elimen suorittaman riskinarvioinnin tuloksen mukaisesti.

2.Unionin kunkin toimielimen tai elimen toteuttamat turvatoimet on suhteutettava käsiteltävien ja säilytettävien tietojen turvallisuusluokkaan, muotoon ja määrään, niiden toimitilojen, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään ja säilytetään, sijaintiin ja suojausominaisuuksiin sekä paikallisesti arvioituun vihamielisen tai rikollisen toiminnan uhkaan. 3.Unionin kaikki toimielimet ja elimet laativat a)varautumissuunnitelmia EU:n turvallisuusluokiteltujen tietojen turvallisuuden varmistamiseksi hätätilanteissa; b)toiminnan jatkuvuussuunnitelmia, mukaan lukien ennalta ehkäisevät ja korjaavat toimenpiteet, merkittävistä toimintahäiriöistä tai turvapoikkeamista EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen aiheutuvien vaikutusten minimoimiseksi. 22 artikla Tietoturvaloukkaukset ja EU:n turvallisuusluokiteltujen tietojen vaarantuminen 1.Tietoturvaloukkauksena pidetään sellaista unionin toimielimen tai elimen taikka henkilön tekoa tai toimimatta jättämistä, joka rikkoo tätä asetusta. 2.EU:n turvallisuusluokiteltujen tietojen katsotaan vaarantuneen, kun ne ovat tietoturvaloukkauksen seurauksena paljastuneet kokonaisuudessaan tai osittain yhdelle tai useammalle henkilölle, joilla ei ole lupaa päästä kyseisiin tietoihin. 3.Mikä tahansa EU:n turvallisuusluokiteltujen tietojen vaarantuminen tai epäilty vaarantuminen on ilmoitettava välittömästi asiaan liittyvän unionin toimielimen tai elimen turvallisuusviranomaiselle, joka tekee turvallisuustarkastuksen ja toteuttaa vähintään seuraavat toimenpiteet: a)ilmoittaa asiasta luovuttajalle; b)varmistaa, että henkilöstö, joka ei ole välittömästi tekemisissä tietoturvaloukkauksen kanssa, tutkii tapauksen tosiasioiden selvittämiseksi; c)arvioi unionin tai jäsenvaltioiden eduille aiheutuneen mahdollisen vahingon; d)toteuttaa tarvittavat toimenpiteet tapahtuneen toistumisen estämiseksi; e)ilmoittaa toimivaltaisille viranomaisille todellisesta tai mahdollisesta vaarantumisesta ja toteutetuista toimista. 2 jakso

Henkilöstöturvallisuus 23 artikla Perusperiaatteet 1.Unionin toimielimen tai elimen turvallisuusviranomainen voi myöntää henkilöille pääsyn EU:n turvallisuusluokiteltuihin tietoihin, kun kaikki seuraavat ehdot täyttyvät: a)henkilöillä on tiedonsaantitarve; b)henkilöille on selvitetty EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuussäännöt ja ‑menettelyt sekä asiaankuuluvat turvallisuusvaatimukset ja ‑ohjeet ja he ovat vahvistaneet kirjallisesti tällaisten tietojen suojaamista koskevan vastuunsa;

c)luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvien tietojen osalta henkilöille on myönnetty turvallisuusselvitys ja heillä on valtuutus asiaankuuluvalle tasolle. 2.Unionin toimielimet ja elimet ottavat huomioon henkilön lojaaliuden, rehellisyyden ja luotettavuuden, joka määritetään sen jäsenvaltion toimivaltaisten viranomaisten tekemässä turvallisuustutkinnassa, jonka kansalainen hakija on. 3.Unionin toimielimet ja elimet voivat hyväksyä turvallisuusselvityksiä sellaisista kolmansista maista ja kansainvälisistä järjestöistä, joiden kanssa unionilla on tietoturvallisuussopimus. 4.Unionin toimielimet ja elimet voivat hallinnoida selvitysprosesseja itsenäisesti tai tehdä palvelutasosopimuksen komission kanssa turvallisuusselvityksiä varten. Kun palvelutasosopimus tehdään, komission turvallisuusviranomainen toimii yhteyspisteenä kyseisen unionin toimielimen tai elimen turvallisuusyksiköiden ja jäsenvaltioiden kansallisten toimivaltaisten viranomaisten välillä turvallisuusselvitysasioissa. 5.Unionin kunkin toimielimen ja elimen turvallisuusviranomainen pitää kirjaa turvallisuusselvityksistään, ohjeistuksistaan, kirjallisista vakuutuksistaan sekä EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevista valtuutuksistaan. 6.Unionin toimielimet ja elimet, jotka tekevät palvelutasosopimuksen komission kanssa, asettavat komission turvallisuusviranomaisen saataville asianmukaiset tiedot vähintään siitä, mihin luokkaan kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy, sekä EU:n turvallisuusluokiteltuihin tietoihin pääsyn myöntämispäivästä ja voimassaoloajasta. Näiden tietojen on oltava muiden palvelutasosopimuksen tehneiden unionin toimielinten ja elinten saatavilla perustelluissa tapauksissa. 24 artikla Valtuutus EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten 1.Unionin kukin toimielin ja elin määrittää organisaatiossaan ne toimet, joiden haltijoilla on tehtäviensä hoitamiseksi oltava pääsy luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin. 2.Kun henkilö tarvitsee valtuutuksen luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin pääsyä varten, asianomainen toimielin tai elin ilmoittaa siitä toimivaltaiselle turvallisuusviranomaiselle, joka toteuttaa liitteessä II olevassa 1 kohdassa edellytetyt muodollisuudet. 3.Unionin kunkin toimielimen ja elimen turvallisuusviranomainen on vastuussa EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevien valtuutusten myöntämisestä henkilöstölleen sekä niiden keskeyttämisestä, peruuttamisesta ja uusimisesta. 4.Poikkeuksellisissa olosuhteissa, jos se on yksikön etujen vuoksi asianmukaisesti perusteltua ja jos täydellistä turvallisuustutkintaa ei ole vielä saatu päätökseen, unionin toimielimen tai elimen turvallisuusviranomainen voi myöntää henkilöille tiettyä tointa varten tilapäisen valtuutuksen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, sanotun kuitenkaan rajoittamatta EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten myönnetyn valtuutuksen uusimista koskevien säännösten soveltamista, ja saatuaan vahvistuksen asiaan liittyvältä kansalliselta turvallisuusviranomaiselta. 5.Unionin toimielimet ja elimet noudattavat liitteessä II vahvistettuja, EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevan valtuutuksen hallinnointiin sovellettavia menettelyjä. 25 artikla EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevien valtuutusten tunnustaminen 1.Valtuutus määrätyn tasoisiin EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten on voimassa kaikissa unionin toimielimissä ja elimissä, joihin henkilö on osoitettu. 2.Unionin toimielimet ja elimet hyväksyvät toisen unionin toimielimen tai elimen myöntämät valtuutukset EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten. 3.Kun EU:n turvallisuusluokiteltuihin tietoihin pääsyä koskevan valtuutuksen haltija ottaa vastaan työn toisessa unionin toimielimessä tai elimessä, kyseinen unionin toimielin tai elin ilmoittaa asiaankuuluvalle kansalliselle turvallisuusviranomaiselle työnantajan vaihtumisesta toimivaltaisen turvallisuusviranomaisen välityksellä. 26 artikla

EU:n turvallisuusluokiteltuja tietoja koskevat ohjeistukset 1.Unionin toimielimen tai elimen turvallisuusviranomainen järjestää kaikille henkilöille, joiden on päästävä EU:n turvallisuusluokiteltuihin tietoihin, ohjeistuksen mahdollisista turvallisuuteen kohdistuvista uhkista ja heidän velvollisuudestaan ilmoittaa mahdollisesta epäilyttävästä toiminnasta. Ohjeistus on järjestettävä ennen pääsyn myöntämistä EU:n turvallisuusluokiteltuihin tietoihin ja sen jälkeen vähintään joka viides vuosi. 2.Edellä 1 kohdassa tarkoitetun ohjeistuksen jälkeen kaikkien asianomaisten henkilöiden on kirjallisesti vakuutettava ymmärtävänsä velvollisuutensa suojata EU:n turvallisuusluokitellut tiedot sekä seuraukset, joihin EU:n turvallisuusluokiteltujen tietojen vaarantuminen johtaa. 3.Edellä 1 kohdassa tarkoitetussa ohjeistuksessa on annettava seuraavat tiedot: a)henkilölle, joka on vastuussa tässä asetuksessa säädettyjen turvallisuussääntöjen rikkomisesta, voidaan määrätä kurinpitoseuraamus sovellettavien sääntöjen ja määräysten mukaisesti; b)henkilölle, joka on aiheuttanut EU:n turvallisuusluokiteltujen tietojen vaarantumisen tai katoamisen, voidaan määrätä kurinpitoseuraamus tai oikeudellinen seuraamus sovellettavien säädösten, sääntöjen ja määräysten mukaisesti. 4.Kun henkilöt, joille on myönnetty valtuutus EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, eivät enää tarvitse tällaista pääsyä, unionin toimielimet ja elimet varmistavat, että kyseiset henkilöt ovat tietoisia velvollisuudestaan EU:n turvallisuusluokiteltujen tietojen jatkuvan suojaamisen osalta ja antavat tarvittaessa siitä kirjallisen vakuutuksen. 5.Unionin toimielimet ja elimet voivat jakaa keskenään EU:n turvallisuusluokiteltuja tietoja koskevien ohjeistusten laatimista ja hallintaa koskevan tehtävän edellyttäen, että unionin toimielinten ja elinten erityisvaatimukset otetaan huomioon. 3 jakso

Fyysinen turvallisuus 27 artikla Perusperiaatteet 1.Unionin kukin toimielin ja elin määrittää omien toimipaikkojensa kannalta asianmukaiset fyysiset turvatoimet liitteen III ja syvyyssuuntaisen turvallisuuden periaatteen mukaisesti turvallisuusviranomaisensa suorittaman riskinarvioinnin perusteella. Toimien tavoitteena on a)evätä hyökkääjän pääsy tai tunkeutuminen väkisin EU:n turvallisuusluokiteltuihin tietoihin; b)ehkäistä, estää ja havaita luvattomat toimet ja reagoida turvallisuuspoikkeamiin mahdollisimman nopeasti; c)mahdollistaa henkilöstön luokitus ja pääsy EU:n turvallisuusluokiteltuihin tietoihin heidän tiedonsaantitarpeensa ja tarvittaessa turvallisuusselvityksen perusteella. 2.Unionin toimielimet ja elimet ottavat käyttöön fyysisiä turvatoimia kaikissa toimipaikoissa, joissa EU:n turvallisuusluokitelluista tiedoista keskustellaan tai joissa niitä säilytetään tai käsitellään, mukaan lukien tämän luvun 5 jaksossa tarkoitettujen viestintä- ja tietojärjestelmien sijoitusalueet. 3.Luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvien tietojen suojaamiseen saa käyttää vain unionin toimielimen tai elimen turvallisuusviranomaisen hyväksymiä suojauslaitteita. 4.Unionin toimielimet ja elimet voivat käyttää samoja liitteessä III tarkoitettuja turva-alueita turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen tehtyään siitä asianmukaisen sopimuksen. 28 artikla Fyysistä turvallisuutta käsittelevä alaryhmä

1.Edellä 7 artiklan 1 kohdan c alakohdassa tarkoitetun fyysistä turvallisuutta käsittelevän alaryhmän tehtävänä ja vastuulla on a)laatia ohjeasiakirjoja fyysistä turvallisuutta koskevista asioista; b)määritellä yleiset turvallisuusvaatimukset EU:n turvallisuusluokiteltujen tietojen fyysiseen suojeluun tarkoitettujen laitteiden, kuten turvakaappien, paperisilppureiden, ovilukkojen, elektronisten kulunvalvontajärjestelmien, tunkeutumisenhavaitsemisjärjestelmien ja hälytysjärjestelmien, hankintaa varten; c)avustaa unionin toimielimiä ja elimiä niiden toimipaikoille asianmukaisten turvatoimien määrittämisessä; d)ehdottaa täydentäviä toimia EU:n turvallisuusluokiteltujen tietojen suojaamiseksi, kun EU:n turvallisuusluokiteltuja tietoja käsitellään unionin toimielimen tai elimen fyysisesti suojattujen alueiden ulkopuolella. 29 artikla EU:n turvallisuusluokiteltujen tietojen fyysinen suojelu 1.EU:n turvallisuusluokiteltujen tietojen fyysisen suojelun varmistamiseksi unionin toimielimet ja elimet määrittelevät seuraavat fyysisesti suojatut alueet: a)liitteessä III tarkoitetut hallinnolliset alueet; b)tarvittaessa liitteessä III tarkoitetut turva-alueet, mukaan lukien turvallisuusluokkien I ja II turva-alueet sekä teknisesti suojatut turva-alueet. 2.Asianomaisen unionin toimielimen tai elimen turvallisuusviranomainen suorittaa sisäisen tarkastuksen sen tarkistamiseksi, että alue täyttää liitteessä III vahvistetut ehdot, jotka koskevat nimeämistä hallinnolliseksi alueeksi tai turva-alueeksi. Kun tarkastusraportissa vahvistetaan, että ehdot täyttyvät, turvallisuusviranomainen voi antaa hyväksynnän turva-alueelle enintään ilmoitetun turvallisuusluokan EU:n turvallisuusluokiteltujen tietojen suojaamiseksi enintään viiden vuoden ajaksi. Asianomaisen unionin toimielimen tai elimen turvallisuusviranomainen vastaa turva-alueidensa uudelleenhyväksyntäprosessin suorittamisesta ennen hyväksynnän voimassaolon päättymistä tai kun hyväksytyllä alueella on tehty muutoksia. 3.Unionin kukin toimielin ja elin hyväksyy toimistojen, huoneiden, kassaholvien ja turvakaappien avainten ja numeroyhdistelmien hallinnointimenettelyt luokkaa CONFIDENTIEL UE/EU CONFIDENTIAL ja sitä korkeampia luokkia varten. 4.Turvallisuusviranomainen voi sallia sisään- ja ulostulotarkastusten tekemisen aineiston luvattoman tuonnin tai EU:n turvallisuusluokiteltujen tietojen luvattoman toimipaikoista viennin estämiseksi ja havaitsemiseksi. 5.Unionin toimielimet ja elimet määrittävät toimenpiteet EU:n turvallisuusluokiteltujen tietojen fyysistä suojelua varten liitteen III mukaisesti. 4 jakso

EU:n turvallisuusluokiteltujen tietojen hallinta 30 artikla Perusperiaatteet 1.Unionin toimielimet ja elimet kirjaavat, arkistoivat, tallentavat ja lopulta hävittävät tai siirtävät joko sellaisenaan tai osana otantaa EU:n turvallisuusluokitellut asiakirjat asiaankuuluviin arkistoihin unionin kunkin toimielimen ja elimen asiakirjoihin sovellettavien erityisten säilytyskäytäntöjen ja ‑sääntöjen mukaisesti. 2.Mikä tahansa unionin toimielin ja elin, joka on EU:n turvallisuusluokiteltujen tietojen luovuttaja, määrittää kyseisten tietojen turvallisuusluokan niiden tuottamishetkellä ja 18 artiklan 1 kohdan mukaisesti.

3.Unionin toimielimet ja elimet ilmoittavat turvallisuusluokan selkeästi vastaanottajille joko luokitusmerkinnällä tai ilmoituksella, jos tiedot toimitetaan suullisessa muodossa. 4.Alkuperäisen asiakirjan luonnoksiin, jäljennöksiin ja käännöksiin sovelletaan alkuperäiseen asiakirjaan sovellettavia turvatoimia. 5.Unionin toimielimet ja elimet määrittävät toimenpiteet EU:n turvallisuusluokiteltujen tietojen hallintaa varten liitteen IV mukaisesti. 31 artikla EU:n turvallisuusluokiteltujen tietojen tuottaminen 2. Unionin toimielimet ja elimet, joiden alaisuudessa EU:n turvallisuusluokiteltu tieto tuotetaan, varmistavat, että seuraavat vaatimukset täyttyvät: a)turvallisuusluokka on merkittävä selvästi jokaiselle sivulle; b)kukin sivu on numeroitava; c)asiakirjassa on oltava viitenumero, soveltuvissa tapauksissa rekisteröintinumero ja aihe, joka ei ole EU:n turvallisuusluokiteltua tietoa, ellei sitä ole merkitty sellaiseksi; d)asiakirjaan on merkittävä sen tuottamispäivä; e)kaikki liitteet on lueteltava mahdollisuuksien mukaan ensimmäisellä sivulla; f)luokkaan SECRET UE/EU SECRET tai sitä korkeampaan luokkaan kuuluvien asiakirjojen jokaiselle sivulle on merkittävä jäljennöksen numero, jos ne on tarkoitus jakaa useana kappaleena. Hallussapitojärjestelmän ulkopuolelle jaettavissa sähköisissä jäljennöksissä on oltava sähköiseen allekirjoitukseen perustuva yksilöllinen tunniste. 32 artikla Luovuttajavalvonta 1.Unionin toimielin tai elin, jonka alaisuudessa EU:n turvallisuusluokiteltu asiakirja on tuotettu, harjoittaa luovuttajavalvontaa kyseisen asiakirjan osalta. Luovuttaja määrittää asiakirjan turvallisuusluokan ja on vastuussa sen ensimmäisestä jakelusta. Rajoittamatta asetuksen (EY) N:o 1049/2001 soveltamista luovuttajan kirjallinen ennakkosuostumus on hankittava ennen kuin a)tietojen turvallisuusluokkaa alennetaan tai se poistetaan; b)tietoja käytetään muihin kuin luovuttajan määrittämiin tarkoituksiin; c)tiedot luovutetaan sen unionin toimielimen tai elimen ulkopuolella olevalle toimijalle, jonka hallussa tiedot ovat, mukaan lukien unionin muu toimielin tai elin, jäsenvaltiot, toimeksisaaja tai mahdollinen toimeksisaaja, avustuksen saaja tai mahdollinen avustuksen saaja; d)tietoja jäljennetään tai käännetään, jos tiedot kuuluvat luokkaan TRÈS SECRET UE/EU TOP SECRET. 2.Jos EU:n turvallisuusluokitellun asiakirjan luovuttajaa ei voida tunnistaa, luovuttajavalvontaa harjoittaa kyseisen turvallisuusluokitellun tiedon haltijana oleva unionin toimielin tai elin.

3.Minkä tahansa EU:n turvallisuusluokitellun asiakirjan luovuttajien on pidettävä kirjaa turvallisuusluokitelluista lähteistä, joita käytettiin turvallisuusluokiteltujen asiakirjojen tuottamisessa, mukaan lukien alun perin jäsenvaltioista, kansainvälisistä järjestöistä tai kolmansista maista peräisin olevat lähteet. Kootut turvallisuusluokitellut tiedot on tarvittaessa merkittävä siten, että käytetyn turvallisuusluokitellun lähdeaineiston luovuttajien tunnistetiedot säilytetään. 33 artikla Luokitusmerkinnät 1.Tarvittaessa EU:n turvallisuusluokiteltuihin asiakirjoihin voidaan tehdä turvallisuusluokitusmerkinnän lisäksi muita merkintöjä, kuten jakelumerkintä tai luovutettavuutta koskeva merkintä tai merkintä, josta käy ilmi luovuttaja. 2.EU:n turvallisuusluokitellun asiakirjan eri osat saattavat edellyttää eri turvallisuusluokkia, ja ne on merkittävä sen mukaisesti. Koko asiakirjan tai tiedoston turvallisuusluokan on oltava vähintään yhtä korkea kuin sen korkeimpaan turvallisuusluokkaan määritellyn osan turvallisuusluokka. 3.Asiakirjat, jotka sisältävät eri turvallisuusluokkiin kuuluvia osia, on laadittava niin, että eri turvallisuusluokkiin kuuluvat osat voidaan helposti tunnistaa ja tarvittaessa erottaa toisistaan. 34 artikla EU:n turvallisuusluokiteltujen tietojen rekisteröintijärjestelmä 1.Unionin kaikki toimielimet ja elimet, jotka käsittelevät ja säilyttävät luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvia tietoja, perustavat yhden tai useamman EU:n turvallisuusluokiteltujen tietojen rekisterin sen varmistamiseksi, että tiedot rekisteröidään turvallisuustarkoituksia varten, kun ne saapuvat unionin toimielimeen tai elimeen taikka lähtevät siitä. 2.Kaikki EU:n turvallisuusluokiteltujen tietojen rekisterit on perustettava liitteessä III tarkoitetuille turva-alueille. 3.Unionin toimielimet ja elimet nimeävät rekisterin valvontavastaavan hallinnoimaan kutakin EU:n turvallisuusluokiteltujen tietojen rekisteriä. Rekisterin valvontavastaavalla on oltava asianmukainen turvallisuusselvitys ja 24 artiklan mukaisesti myönnetty valtuutus. Unionin toimielimet ja elimet varmistavat, että niiden rekisterin valvontavastaava on asianmukaisesti koulutettu. 35 artikla Turvallisuusluokan alentaminen ja poistaminen 1.Tietojen on oltava turvallisuusluokiteltuja vain niin kauan kuin ne on suojattava. Kun EU:n turvallisuusluokitellut tiedot eivät enää edellytä alkuperäistä turvallisuusluokkaa, niiden turvallisuusluokkaa on alennettava. Kun EU:n turvallisuusluokitellut tiedot eivät enää edellytä turvallisuusluokitusta, niiden turvallisuusluokka on poistettava. 2.Tietoja tuottaessaan luovuttajan on mahdollisuuksien mukaan ja erityisesti luokkaan RESTREINT UE/EU RESTRICTED kuuluvien tietojen osalta ilmoitettava, voidaanko EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa alentaa tai voidaanko se poistaa tiettynä päivänä tai tietyn tapahtuman jälkeen. 3.Tiedot luovuttaneen unionin toimielimen tai elimen vastuulla on päättää, voidaanko EU:n turvallisuusluokitellun asiakirjan turvallisuusluokkaa alentaa tai voidaanko se poistaa. Sen on tarkasteltava tietoja ja arvioitava riskejä säännöllisesti, vähintään joka viides vuosi, sen määrittämiseksi, onko alkuperäinen turvallisuusluokka yhä asianmukainen. 4.Unionin toimielimet ja elimet, jotka pitävät hallussaan sellaisia EU:n turvallisuusluokiteltuja tietoja, joiden luovuttajia ne eivät ole, eivät saa alentaa tai poistaa kyseisen asiakirjan turvallisuusluokkaa eivätkä muokata tai poistaa mitään 18 artiklan 1 kohdassa tarkoitetuista merkinnöistä ilman luovuttajan kirjallista etukäteissuostumusta. 5.Unionin toimielimet ja elimet voivat alentaa tuottamiensa EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa osittain tai poistaa niiden turvallisuusluokan osittain. Siinä tapauksessa on tuotettava alennetun turvallisuusluokan ote tai turvallisuusluokaton ote. 6.Unionin toimielimet ja elimet ilmoittavat EU:n turvallisuusluokitellut tiedot vastaanottaneelle organisaatiolle tietojen turvallisuusluokan alentamisesta tai poistamisesta. 36 artikla

Merkinnät asiakirjoissa, joiden turvallisuusluokkaa on alennettu, ja asiakirjoissa, joiden turvallisuusluokka on poistettu 1.Kun unionin toimielimet ja elimet päättävät poistaa EU:n turvallisuusluokitellun asiakirjan turvallisuusluokan, on harkittava, onko asiakirjaan merkittävä arkaluonteisten turvallisuusluokittelemattomien tietojen jakelumerkintä. 2.Joka sivun ylä- ja alareunassa oleva alkuperäinen turvallisuusluokitusmerkintä on viivattava yli sähköisessä muodossa sähköisellä yliviivauksella ja tulosteissa käsin. Alkuperäistä turvallisuusmerkintää ei saa poistaa. 3.Ensimmäisellä tai kansisivulla on oltava merkintä turvallisuusluokan alentamisesta tai poistamisesta, tiedot turvallisuusluokan alentamisesta tai poistamisesta vastaavasta viranomaisesta ja päiväys.