EUROPOS KOMISIJA Briuselis, 2022 03 22 COM(2022) 119 final 2022/0084(COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl informacijos saugumo Sąjungos institucijose, įstaigose, organuose ir agentūrose {SWD(2022) 65 final} - {SWD(2022) 66 final}



AIŠKINAMASIS MEMORANDUMAS 1.PASIŪLYMO APLINKYBĖS •Pasiūlymo pagrindimas ir tikslai Šis pasiūlymas yra dalis 2020 m. liepos 24 d. Komisijos priimtos ES saugumo sąjungos strategijos, kurioje yra nustatytas jos įsipareigojimas suteikti nacionalinėms pastangoms saugumo srityje Europos Sąjungos pridėtinę vertę. Šio įsipareigojimo dalis – iniciatyva racionalizuoti informacijos saugumo vidaus teisines sistemas visose Sąjungos institucijose ir įstaigose. Viena iš pagrindinių 2019 m. birželio mėn. Europos Vadovų Tarybos priimtos 2019–2024 m. strateginės darbotvarkės savybių – siekis apsaugoti mūsų visuomenę nuo nuolat kintančių grėsmių institucijų ir įstaigų tvarkomai informacijai. Išvadose Europos Vadovų Taryba visų pirma paprašė „ES institucijų kartu su valstybėmis narėmis rengti priemones, kuriomis siekiama didinti ES atsparumą ir stiprinti jos saugumo kultūrą kibernetinių ir hibridinių grėsmių, kylančių už ES ribų, atžvilgiu ir geriau apsaugoti ES informacijos bei ryšių tinklus ir jos sprendimų priėmimo procesus nuo visų rūšių kenkimo veiklos“. Be to, per 2019 m. gruodžio mėn. posėdį Bendrųjų reikalų taryba padarė išvadą, kad ES institucijos ir įstaigos, remiamos valstybių narių, turėtų parengti ir įgyvendinti išsamų priemonių rinkinį savo saugumui užtikrinti. Tai atspindi ilgalaikį Tarybos saugumo komiteto prašymą ištirti bendras pagrindines Tarybos, Komisijos ir Europos išorės veiksmų tarnybos saugumo taisykles. Šiuo metu Sąjungos institucijos ir įstaigos turi savo informacijos saugumo taisykles, pagrįstas jų darbo tvarkos taisyklėmis arba steigimo aktu, arba jų visai neturi. Jų dažniausiai neturi kai kurie maži subjektai, neturintys jokios oficialios informacijos saugumo politikos. Dėl nuolat didėjančio neskelbtinos neįslaptintos ir Europos Sąjungos įslaptintos informacijos (toliau – ESĮI), kuria Sąjungos institucijos ir įstaigos turi dalytis tarpusavyje, kiekio ir atsižvelgiant į dramatišką grėsmių padėties raidą, Europos administracijai gresia išpuoliai visose jos veiklos srityse. Mūsų institucijų ir įstaigų tvarkoma informacija yra labai patraukli grėsmę keliantiems subjektams, tad ji turi būti tinkamai apsaugota. Jos apsaugai sustiprinti reikia imtis skubių veiksmų. Todėl, siekiant padidinti Europos administracijos tvarkomos informacijos apsaugą, šia iniciatyva siekiama racionalizuoti įvairias šios srities Sąjungos institucijų ir įstaigų teisines sistemas: •nustatant suderintas ir išsamias informacijos kategorijas, taip pat bendras visoms Sąjungos institucijoms ir įstaigoms taikytinas tvarkymo taisykles, •sukuriant racionalią Sąjungos institucijų ir įstaigų bendradarbiavimo informacijos saugumo srityje sistemą, galinčią padėti skatinti darnią informacijos saugumo kultūrą visoje Europos administracijoje, •modernizuojant visų Sąjungos institucijų ir įstaigų informacijos saugumo politiką visais slaptumo lygiais ir (arba) skirstymo į kategorijas lygmenimis, atsižvelgiant į skaitmeninę pertvarką ir nuotolinio darbo, kaip struktūrinės praktikos, plėtojimą. •Suderinamumas su toje pačioje politikos srityje galiojančiomis nuostatomis Ši iniciatyva atitinka įvairias ES politikos kryptis saugumo ir informacijos saugumo srityje. Dar 2016 m. Europos Parlamentas ir Taryba priėmė Direktyvą dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti. Ši direktyva buvo pirmoji ES masto teisėkūros priemonė, kuria siekta sustiprinti valstybių narių bendradarbiavimą kibernetinio saugumo srityje. Nors 2020 m. gruodžio mėn. Komisija priėmė pasiūlymą dėl šios priemonės peržiūros, kuriuo nustatomos priežiūros priemonės nacionalinėms institucijoms, Sąjungos administracijai ši priemonė ir toliau nėra taikoma. Be to, siekiant papildyti valstybių narių pastangas saugumo srityje, labai svarbu, kad Sąjungos institucijos ir įstaigos pasiektų aukštą savo informacijos ir susijusių informacinių ir ryšių sistemų apsaugos lygį ir taip užtikrintų informacijos saugumą. 2020 m. liepos mėn. Komisija priėmė Saugumo sąjungos strategiją, kurioje ES visapusiškai įsipareigojo papildyti valstybių narių pastangas visose saugumo srityse. Ši strategija įgyvendinama 2020–2025 m. ir joje išdėstyti keturi pagrindiniai veiksmų ramsčiai: ateities iššūkiams atspari saugumo aplinka, kova su kintančiomis grėsmėmis, Europos piliečių apsauga nuo terorizmo ir organizuoto nusikalstamumo ir stipri Europos saugumo ekosistema. Kai kurios temos, kuriuos šie ramsčiai apima, yra susijusios su informacijos saugumu, kibernetiniu saugumu, bendradarbiavimu ir keitimusi informacija, taip pat ypatingos svarbos infrastruktūros objektais. Atsižvelgdama į saugumo sąjungos strategiją, Europos Komisija siūlo visose Sąjungos institucijose ir įstaigose parengti būtiniausias informacijos saugumo taisykles, kuriomis bus pradėti taikyti privalomi aukšto lygio bendri saugaus keitimosi informacija standartai. Ši iniciatyva – institucijų ir įstaigų įsipareigojimas Europos administracijoje nustatyti tokio paties užmojo reikalavimus saugumo srityje, kokio reikalaujama iš valstybių narių. 2020 m. gruodžio 16 d. Komisija ir vyriausiasis įgaliotinis užsienio reikalams ir saugumo politikai pristatė naują ES kibernetinio saugumo strategiją. Joje nustatyti prioritetai ir pagrindiniai veiksmai, kuriais siekiama didinti Europos atsparumą, savarankiškumą, lyderystę ir veiklos pajėgumus, atsižvelgiant į didėjančias ir sudėtingas grėsmes jos tinklų ir informacinėms sistemoms, ir plėtoti pasaulinę ir atvirą kibernetinę erdvę bei jos tarptautinius partnerystės ryšius šioje srityje. Taip pat svarbu, kad Sąjungos institucijos ir įstaigos prisidėtų prie šių prioritetų įgyvendinimo, nustatydamos lygiaverčius reikalavimus informacijos saugumo ir kibernetinio saugumo srityse.

Šiuo pasiūlymu kartu su pasiūlymu dėl Reglamento, kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, siekiama saugumo sąjungos strategijoje nustatytą reguliavimo modelį papildyti specialiais reikalavimais Europos administracijai. Atsižvelgiant į informacijos saugumo ir kibernetinio saugumo sąsajas, šiuose dviejuose pasiūlymuose turėtų būti užtikrintas nuoseklus požiūris į neįslaptintos informacijos apsaugą. •Suderinamumas su kitomis Sąjungos politikos sritimis Šia iniciatyva taip pat atsižvelgiama į kitas Sąjungos politikos sritis, susijusias su informacijos saugumu. Duomenų apsaugos srityje ir kiek tai sietina su Europos Sąjungos ir Europos atominės energijos bendrijos (toliau – Euratomas) administravimu, taikomas Reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo. Taip pat turime paminėti, kad kai kurių Sąjungos institucijų ir įstaigų atveju ES teisės aktų leidėjai yra priėmę konkrečių atitinkamų asmens duomenų apsaugos taisyklių. Kalbant apie skaidrumo klausimus, šis pasiūlymas grindžiamas Reglamente (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su Europos Parlamento, Tarybos ir Komisijos dokumentais įtvirtintais principais ir atsižvelgiama į kitas atitinkamas taisykles. 2.TEISINIS PAGRINDAS, SUBSIDIARUMO IR PROPORCINGUMO PRINCIPAI •Teisinis pagrindas Atsižvelgiant į šio pasiūlymo tikslą ir turinį, jo tinkamiausias teisinis pagrindas yra Sutarties dėl Europos Sąjungos veikimo (SESV) 298 straipsnis ir Europos atominės energijos bendrijos steigimo sutarties 106a straipsnis. SESV 298 straipsnis buvo įtrauktas Lisabonos sutartimi ir pagal jį teisės aktų leidėjai gali priimti nuostatas, kuriomis siekiama sukurti veiksmingą ir nepriklausomą administraciją, kuri padėtų institucijoms, įstaigoms, organams ir agentūroms vykdyti savo užduotis. Veiksminga ir nepriklausoma administracija priklauso nuo savo informacijos saugumo. Siekdamos įgyvendinti savo misiją, Sąjungos institucijos ir įstaigos naudojasi saugia kasdien tvarkomos ir saugomos informacijos aplinka. Nustačius visiems privalomus bendrus pagrindinius standartus, taip pat būtų užtikrintas aukštas saugumo lygis, sumažinta silpnų sąsajų rizika, kartu remiamas institucijų ir įstaigų sąveikumas ir pasinaudota sinergija – taip didinamas administracijos atsparumas kintančioms grėsmėms. Be to, siekiant bendro tikslo užtikrinti aukštą bendrą ESĮI ir neįslaptintos informacijos, kurią tvarko ir saugo Sąjungos institucijos ir įstaigos, saugumo lygį, šiuo pasiūlymu Europos administracijai suteikiama galimybė geriau apsisaugoti nuo išorės kišimosi ir šnipinėjimo veiklos. Siekiant užtikrinti, kad visos Sąjungos institucijos ir įstaigos vienodai tvarkytų ESĮI ir neįslaptintą informaciją, SESV 298 straipsniu Sąjungai suteikiama galimybė nustatyti bendras visai Europos administracijai taikomas taisykles. Todėl šiuo reglamentu nustatomos administracijai taikomos taisyklės ir gali būti netiesiogiai nustatomi įpareigojimai tik asmenims, vykdantiems užduotis šios administracijos vardu arba pagal sutartį (neįskaitant Komisijos narių, Taryboje veikiančių valstybių narių atstovų, Europos Parlamento narių, Sąjungos teismų teisėjų ar Europos Audito Rūmų narių). Pagal SESV 298 straipsnį Europos Parlamentas ir Taryba veikia priimdami reglamentus pagal įprastą teisėkūros procedūrą. Šiam pasiūlymui reikia papildomo teisinio pagrindo, nes jis taip pat apima informaciją, susijusią su tam tikra Europos atominės energijos bendrijos veikla. Tokia informacija nėra Euratomo įslaptinta informacija, tačiau Sąjungos institucijos ir įstaigos ją tvarko pagal bendrą ESĮI taikomą tvarką. Šis papildomas teisinis pagrindas yra Europos atominės energijos bendrijos steigimo sutarties 106a straipsnis, pagal kurį SESV 298 straipsnis taikomas ir pirmiau minėtai Euratomo veiklai. •Subsidiarumo principas (neišimtinės kompetencijos atveju) Pagal Europos Sąjungos sutarties 5 straipsnio 3 dalyje nustatytą subsidiarumo principą veiksmų ES lygmeniu turėtų būti imamasi tik tada, kai numatytų tikslų valstybės narės vienos negali deramai pasiekti ir todėl dėl siūlomo veiksmo masto arba poveikio tų tikslų būtų geriau siekti ES lygmeniu. Kadangi tik Sąjunga gali priimti taisykles, kuriomis reglamentuojama ESĮI ir neskelbtina neįslaptinta informacija, kurią tvarko ir saugo Sąjungos institucijos ir įstaigos, subsidiarumo principas netaikomas. •Proporcingumo principas Siekiant prisidėti prie nepriklausomo ir veiksmingo administravimo, būtina visoms Sąjungos institucijoms ir įstaigoms nustatyti bendrus pagrindinius informacijos saugumo standartus.

Pagal ES sutarties 5 straipsnio 4 dalyje nustatytą proporcingumo principą reglamento nuostatos nėra pernelyg griežtos ir palieka galimybę imtis skirtingų lygmenų konkrečių veiksmų, atsižvelgiant į kiekvienos Sąjungos institucijos ir įstaigos saugumo brandos lygį. Be to, sprendimas turi ribotą poveikį asmenų pagrindinėms teisėms. Taigi pasiūlymu neviršijama to, kas būtina siekiant išspręsti problemą, kad nėra visoms Sąjungos institucijoms ir įstaigoms bendrų informacijos saugumo taisyklių. •Priemonės pasirinkimas SESV 298 straipsniu grindžiamas reglamentas laikomas tinkama teisine priemone. Tai pagrindžiama tuo, kad vyrauja elementai, kuriuos reikia taikyti vienodai ir dėl kurių Sąjungos institucijoms ir įstaigoms nepaliekama įgyvendinimo laisvės ir sukuriama minimali horizontalioji sistema. 3.EX POST VERTINIMO, KONSULTACIJŲ SU SUINTERESUOTOSIOMIS ŠALIMIS IR POVEIKIO VERTINIMO REZULTATAI •Galiojančių teisės aktų ex post vertinimas / tinkamumo patikrinimas Netaikoma •Konsultacijos su suinteresuotosiomis šalimis Komisija plačiai konsultavosi su pagrindiniais suinteresuotaisiais subjektais dėl įvairių aspektų, susijusių su Sąjungos institucijų ir įstaigų informacijos saugumo taisyklėmis. Bendras konsultacijų tikslas – surinkti atitinkamą informaciją rengiant teisėkūros iniciatyvą dėl visoms Sąjungos institucijoms ir įstaigoms bendrų informacijos saugumo taisyklių. Konsultacijų tikslas – surinkti nuomones dėl: •problemų, susijusių su esama informacijos saugumo sistema Sąjungos institucijose ir įstaigose, kurias, suinteresuotųjų subjektų nuomone, reikėtų spręsti iniciatyva; •iniciatyvos aktualumo, veiksmingumo, efektyvumo ir pridėtinės vertės; •numatomo iniciatyvos poveikio ir galimų kitų padarinių suinteresuotiesiems subjektams. Rengdama šį pasiūlymą dėl teisėkūros procedūra priimamo akto, Komisija konsultavosi su šių kategorijų suinteresuotaisiais subjektais: 1.Sąjungos institucijomis, įstaigomis, organais ir agentūromis; 2.valstybių narių nacionalinėmis saugumo institucijomis; 3.mokslinių tyrimų ekspertais iš JRC. Atsižvelgdamos į šios iniciatyvos ypatumus: ji taikoma tik Sąjungos institucijoms ir įstaigoms, o jos poveikis Europos piliečiams ir įmonėms bus nedidelis, Komisijos tarnybos nusprendė teikti pirmenybę atitinkamų suinteresuotųjų subjektų grupių nuomonių rinkimui. Dėl šios teisėkūros iniciatyvos viešos konsultacijos nebuvo surengtos. Per konsultacijas Komisijos tarnybos taikė šiuos konsultavimosi metodus ir formas: 1.galimybę visoms suinteresuotosioms šalims per Komisijos platformą „Išsakykite savo nuomonę“ pateikti atsiliepimus apie įžanginį poveikio vertinimą;

2.tikslinį klausimyną, skirtą Sąjungos institucijų ir įstaigų informacijos apsaugos ekspertams, internetu atliekant ES apklausą; 3.tikslinį klausimyną, skirtą valstybių narių nacionalinėms saugumo institucijoms, internetu atliekant ES apklausą; 4.prašymą atlikti pritaikytą pagrindinių informacijos saugumo priemonių rizikos vertinimą ir 5.daugybę susitikimų ir mainų su partneriais iš institucijų, įstaigų, organų ir agentūrų, taip pat iš valstybių narių nacionalinių saugumo institucijų. Komisija atkreipia dėmesį į šias nuomones, gautas vykdant konsultacinę veiklą: •mūsų institucijų ir įstaigų teisinės sistemos skiriasi, todėl labai dubliuojamos pastangos kurti ir išlaikyti vidaus taisykles, o informacijos tvarkymo praktika yra nesąveiki. Valstybėms narėms dėl šių taisyklių įvairovės didėja nesusipratimų, klaidingo aiškinimo ir reikalavimų nesilaikymo rizika; •nustatant informacijos saugumo pagrindą visoms Sąjungos institucijoms ir įstaigoms, būtų sukurta ekosistema su standartizuotomis saugumo taisyklėmis ir taikoma geriausia patirtimi, atsižvelgiama į kiekvienos Sąjungos institucijos ir įstaigos skirtingumą ir skirtingą veiklos aplinką ir turėtų būti leidžiama priimti vietos sprendimus; •įgyvendinant šią iniciatyvą turi būti atsižvelgiama į kiekvienos Sąjungos institucijos ir įstaigos, kuri ir toliau bus visiškai atsakinga už savo informacijos saugumo organizavimą, savarankiškumą ir skirtingus saugumo brandos lygius. •Tiriamųjų duomenų rinkimas ir naudojimas Konsultacijoms su suinteresuotaisiais subjektais vykdyti Komisija naudojo savo išteklius. Žmogiškųjų išteklių GD Saugumo direktoratas atliko susijusį darbą rengiant apklausas, vaizdo konferencijas ir kitus praktinius seminarus. Ši užduotis apėmė dalyvių atranką ir renginių organizavimą, taip pat gautų atsiliepimų tvarkymą. Jungtinis tyrimų centras (JRC) atliko pagrindinių informacijos saugumo priemonių, kuriomis remiantis atlikta poveikio analizė, rizikos vertinimą. •Poveikio vertinimas Ši iniciatyva skirta tik Sąjungos institucijoms ir įstaigoms ir turi ribotą poveikį valstybėms narėms ir asmenims. Todėl išsamaus poveikio vertinimo atlikti nereikėjo, nes nėra aiškiai nustatyto ar reikšmingo poveikio piliečiams ir įmonėms. Interneto svetainėje „Europa“ paskelbtas išsamus veiksmų planas ir gauta grįžtamoji informacija iš atitinkamų suinteresuotųjų subjektų. •Reglamentavimo tinkamumas ir supaprastinimas Netaikoma •Pagrindinės teisės ES yra įsipareigojusi užtikrinti, kad būtų laikomasi aukštų pagrindinių teisių apsaugos standartų. Šia iniciatyva užtikrinama, kad būtų visapusiškai laikomasi pagrindinių teisių, įtvirtintų Europos Sąjungos pagrindinių teisių chartijoje. Tai: •Teisė į gerą administravimą Sąjungos institucijos ir įstaigos, didindamos informacijos, kurią jos tvarko spręsdamos Europos piliečių reikalus, saugumą, prisideda prie gero administravimo principo įgyvendinimo. •Asmens duomenų apsauga

Visi asmens duomenys pagal šį pasiūlymą būtų tvarkomi patikimoje aplinkoje ir visapusiškai laikantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725. •Teisė susipažinti su dokumentais Galimybė visuomenei susipažinti su ESĮI ir neskelbtinais neįslaptintais dokumentais ir toliau visapusiškai reglamentuojama Europos Parlamento ir Tarybos reglamentu (EB) Nr. 1049/2001. •Teisė į intelektinę nuosavybę Tvarkydamos ir saugodamos neįslaptintą informaciją ir ESĮI, Sąjungos institucijos ir įstaigos saugo intelektinę nuosavybę pagal Europos Parlamento ir Tarybos direktyvą 2001/29/EB. •Saviraiškos ir informacijos laisvė Nors kiekvienas turi laisvę susipažinti su informacija ir idėjomis ir jomis dalytis nesikišant valdžios institucijoms, tai netrukdo Sąjungai, atsižvelgiant į informacijos slaptumo lygį, nustatyti prieigos prie tam tikrų rūšių informacijos, jos tvarkymo ir saugojimo sąlygas. Kad būtų užkirstas kelias konfidencialiai gautos informacijos atskleidimui ir ES saugumo sumetimais, naudojimuisi šiomis laisvėmis gali būti taikomos teisės aktuose nustatytos ir demokratinėje visuomenėje būtinos sąlygos ir apribojimai. 4.POVEIKIS BIUDŽETUI Pagal šį pasiūlymą Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktorate turi būti paskirtas vienas AD pareigūnas ir vienas AST padėjėjas dirbti Komisijos sukurtos Koordinavimo grupės nuolatiniame sekretoriate. Numatoma, kad institucijos ir įstaigos sutaupys lėšų, nes užduotis bus vykdomos dalijantis ir bendradarbiaujant, o dėl padidėjusio informacijos saugumo bus užkertamas kelias galimai ekonominei žalai, kurią gali sukelti saugumo incidentai. Kita vertus, finansinės pastangos, kurių reikia naujiems teisės aktams įgyvendinti, gali būti įtrauktos į kiekvienoje Sąjungos institucijoje ir įstaigoje vykdomas informacijos saugumo didinimo programas. 5.KITI ELEMENTAI •Įgyvendinimo planai ir stebėsena, vertinimas ir ataskaitų teikimo tvarka Pasiūlyme numatyta Komisijos pareiga kas trejus metus teikti Europos Parlamentui ir Tarybai šio reglamento įgyvendinimo, įskaitant šiuo reglamentu nustatyto valdymo modelio veikimą, ataskaitą. Be to, siekdama nustatyti faktinius reglamento įgyvendinimo rezultatus ir jais remdamasi nuspręsti, ar jį būtina keisti, kas penkerius metus Komisija šį reglamentą įvertina. •Išsamus konkrečių pasiūlymo nuostatų paaiškinimas Šio pasiūlymo struktūra grindžiama neįslaptintos informacijos ir ESĮI, kuri yra pagrindinis iniciatyvos dalykas ir kurios sustiprinta apsauga yra pagrindinis jos tikslas, tvarkymo ir saugojimo reikalavimais. Dalykas ir taikymo sritis (1 ir 2 straipsniai) Šiuo reglamentu siekiama sukurti visoms Sąjungos institucijoms ir įstaigoms taikytinas būtiniausias informacijos saugumo taisykles. Jis taikomas visai Sąjungos institucijų ir įstaigų tvarkomai ir saugomai informacijai, įskaitant informaciją, susijusią su Europos atominės energijos bendrijos veikla, išskyrus Euratomo įslaptintą informaciją. Šis reglamentas taikomas ir neįslaptintai informacijai, ir ESĮI.

Apibrėžtys ir bendrieji principai (3–5 straipsniai) 3 straipsnyje pateiktos apibrėžtys grindžiamos dabartinėmis informacijos saugumo taisyklėmis, kurias Sąjungos institucijos ir įstaigos priima atskirai. Be bendrųjų Sąjungos teisės aktų principų, t. y. skaidrumo, proporcingumo, veiksmingumo ir atskaitomybės, šiuo reglamentu nustatomos pagrindinės privalomos gairės, pavyzdžiui, atskiras informacijos saugumo rizikos valdymo procesas, kurį taiko kiekviena Sąjungos institucija ir įstaiga, ir jų informacijos vertinimas, kad ją būtų galima tinkamai suskirstyti į kategorijas. Saugumo valdymas ir organizavimas (6–8 straipsniai) Visos Sąjungos institucijos ir įstaigos bendradarbiauja Tarpinstitucinėje informacijos saugumo koordinavimo grupėje, kuri veikia bendru sutarimu ir dėl bendrų Sąjungos institucijų ir įstaigų interesų. Koordinavimo grupė suburia visų institucijų ir įstaigų saugumo institucijas ir rengia šio reglamento įgyvendinimo rekomendacinius dokumentus. Ji palaiko nuolatinius ryšius su valstybių narių nacionalinėmis saugumo institucijomis, kurios suburiamos informacijos saugumo komitete. Siekiant supaprastinti procedūras ir kitus praktinius aspektus, susijusius su informacijos saugumu, įsteigiami penki pogrupiai, kuriuos sudaro įvairioms institucijoms ir įstaigoms atstovaujantys ekspertai. Kiekviena Sąjungos institucija ir įstaiga privalo paskirti saugumo instituciją, kuri būtų atsakinga už informacijos saugumo vidaus politikos apibrėžimą ir jos įgyvendinimą. Saugumo institucija nustato konkrečias funkcijas, pavyzdžiui, informacijos saugumo užtikrinimo instituciją, informacijos saugumo užtikrinimo operacinę instituciją, saugumo akreditavimo instituciją, TEMPEST instituciją, kriptografijos patvirtinimo instituciją ir kriptografijos platinimo instituciją, kurios dėl su veiksmingumu ar ištekliais susijusių priežasčių gali būti perduotos kitai institucijai arba įstaigai. Informacijos saugumo užtikrinimas ir ryšių bei informacinės sistemos (9–11 straipsniai) Reglamentu įsteigiamas informacijos saugumo užtikrinimo pogrupis, kurio tikslas – didinti informacijos saugumo taisyklių ir pagrindinių kibernetinio saugumo standartų, kaip apibrėžta Reglamente, kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti. Sąjungos institucijos ir įstaigos privalo laikytis šiuose straipsniuose nurodytų principų ir priimti atskiras vidaus taisykles dėl konkrečių saugumo priemonių, pritaikytų prie jų pačių saugumo aplinkos. Neįslaptinta informacija (12–17 straipsniai ir I priedas) Reglamente numatytos trys neįslaptintos informacijos kategorijos: viešo naudojimo informacija, įprasta informacija ir neskelbtina neįslaptinta informacija. Apibrėžiamos visos kategorijos, o tokiai informacijai apsaugoti nustatytos žymos ir tvarkymo sąlygos. Siekiant koordinuoti veiklą, susijusią su tam tikrų kategorijų, kurias nustatė kai kurios Sąjungos institucijos ir įstaigos, ir reglamente numatytų bendrų kategorijų lygiavertiškumu, pasiūlymu įsteigiamas neįslaptintos informacijos pogrupis. ESĮI (18–58 straipsniai ir II–VI priedai) Kadangi šis pasiūlymo skyrius yra didžiausias, jis suskirstytas į septynis skirsnius: „Bendrosios nuostatos“, „Personalo patikimumas“, „Fizinis saugumas“, „ESĮI valdymas“, „Apsauga ryšių ir informacinėse sistemose“, „Pramoninis saugumas“ ir „Dalijimasis ESĮI ir keitimasis įslaptinta informacija“. Skirsnyje „Bendrosios nuostatos“ numatytos keturių lygių ESĮI slaptumo žymos, t. y. TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED, ir Sąjungos institucijų bei įstaigų pareiga imtis būtinų saugumo priemonių, atsižvelgiant į informacijos saugumo rizikos valdymo proceso rezultatus. Kiekviename iš likusių skirsnių daugiausia dėmesio skiriama ESĮI apsaugos standartams, susijusiems su konkrečia jų sritimi. Išsami informacija apie šią ESĮI apsaugą pateikta II–V prieduose. VI priede pateikta ESĮI atitikmenų valstybių narių ir Europos atominės energijos bendrijos slaptumo žymoms lentelė. Siekiant racionalizuoti atitinkamus šios srities procesus ir išvengti pastangų dubliavimo, reglamentu įsteigiami pogrupiai: informacijos saugumo užtikrinimo, neįslaptintos informacijos, fizinio saugumo, ryšių ir informacinių sistemų, kuriose tvarkoma ir saugoma ESĮI, akreditavimo, taip pat dalijimosi ESĮI ir keitimosi įslaptinta informacija pogrupiai. Baigiamosios nuostatos (59–62 straipsniai)

Baigiamosiomis nuostatomis užtikrinamas perėjimas nuo dabartinių taisyklių ir procedūrų prie šiuo reglamentu nustatytos naujos teisinės sistemos. Jie susiję su informacijos saugumo vidaus taisyklėmis, kurios šiuo metu taikomos Sąjungos institucijose ir įstaigose, vertinimo vizitų, atliktų prieš pradedant taikyti reglamentą, pripažinimu, anksčiau sudarytų administracinių susitarimų traktavimu ir konkrečių saugumo sistemų, taikomų dotacijų susitarimams, tęsimu. Šis reglamentas turi būti pradėtas taikyti praėjus dvejiems metams nuo jo įsigaliojimo dienos. 2022/0084 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS dėl informacijos saugumo Sąjungos institucijose, įstaigose, organuose ir agentūrose EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA, atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 298 straipsnį, atsižvelgdami į Europos atominės energijos bendrijos steigimo sutartį, ypač į jos 106a straipsnį, atsižvelgdami į Europos Komisijos pasiūlymą, teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams, laikydamiesi įprastos teisėkūros procedūros, kadangi: (1)šiuo metu Sąjungos institucijos ir įstaigos turi savo informacijos saugumo taisykles, pagrįstas jų darbo tvarkos taisyklėmis arba steigimo aktu, arba tokių taisyklių visai neturi. Šiomis aplinkybėmis kiekviena Sąjungos institucija ir įstaiga labai stengiasi laikytis savo požiūrio, kuris skiriasi nuo kitų institucijų ir įstaigų taikomų požiūrių, todėl keitimasis informacija ne visada yra patikimas. Tai, kad nėra bendro požiūrio, trukdo diegti bendras priemones, grindžiamas sutartomis taisyklėmis, kurios priklauso nuo saugotinos informacijos saugumo poreikių; (2)nors siekiant nustatyti nuoseklesnes Europos Sąjungos įslaptintos informacijos (ESĮI) ir neįslaptintos informacijos apsaugos taisykles padaryta pažanga, atitinkamų sistemų sąveikumas tebėra ribotas, o dėl to įvairios Sąjungos institucijos ir įstaigos negali sklandžiai keistis informacija. Todėl reikėtų dėti daugiau pastangų, kad būtų galima laikytis tarpinstitucinio požiūrio į dalijimąsi ESĮI ir neskelbtina neįslaptinta informacija – nustatyti bendras informacijos kategorijas ir taikyti bendrus pagrindinius tvarkymo principus. Taip pat reikėtų numatyti pagrindinius procedūrų, pagal kurias Sąjungos institucijos ir įstaigos tarpusavyje ir su valstybėmis narėmis dalijasi ESĮI ir neskelbtina neįslaptinta informacija, paprastinimo standartus; (3)todėl reikėtų nustatyti atitinkamas taisykles, kuriomis užtikrinamas bendras informacijos saugumo lygis visose Sąjungos institucijose ir įstaigose. Jos turėtų sudaryti išsamią ir nuoseklią bendrą ESĮI ir neįslaptintos informacijos apsaugos sistemą ir turėtų padėti užtikrinti pagrindinių principų ir būtiniausių standartų lygiavertiškumą; (4)dėl pastarojo meto pandemijos labai pasikeitė darbo praktika, o nuotolinio ryšio priemonių naudojimas tapo norma. Todėl daugelis procedūrų, kurios vis dar buvo bent iš dalies grindžiamos popieriniais dokumentais, buvo greitai pakoreguotos, kad būtų galima elektroniniu būdu apdoroti informaciją ir ja keistis. Dėl šių pokyčių reikia pakeitimų informacijos tvarkymo ir apsaugos srityje. Šiame reglamente atsižvelgiama į naują darbo praktiką; (5)nustatant minimalų bendrą ESĮI ir neįslaptintos informacijos apsaugos lygį, šiuo reglamentu padedama užtikrinti, kad, vykdydamos savo užduotis, Sąjungos institucijos ir įstaigos gautų veiksmingos ir nepriklausomos administracijos paramą. Be to, kiekviena Sąjungos institucija ir įstaiga, atsižvelgdamos į savo poreikius saugumo srityje, išlaiko savarankiškumą sprendžiant, kaip įgyvendinti šiame reglamente nustatytas taisykles. Šiuo reglamentu jokiu būdu neužkertamas kelias Sąjungos institucijoms ir įstaigoms vykdyti savo misiją, kuri pavesta ES teisės aktais, arba nesikėsinama į jų institucinę autonomiją; (6)šiuo reglamentu nedaromas poveikis Reglamentui (Euratomas) Nr. 3/1958, Reglamentui Nr. 31 (EEB), 11 (EAEB), nustatančiam Europos ekonominės bendrijos ir Europos atominės energijos bendrijos pareigūnų tarnybos nuostatus ir kitų tarnautojų įdarbinimo sąlygas, Europos Parlamento ir Tarybos reglamentui (EB) Nr. 1049/2001, Europos Parlamento ir Tarybos reglamentui (ES) 2018/1725, Tarybos reglamentui (EEB, EURATOMAS) Nr. 354/83, Europos Parlamento ir Tarybos reglamentui (ES, Euratomas) 2018/1046, Europos Parlamento ir Tarybos reglamentui (ES) 2021/697, Europos Parlamento ir Tarybos reglamentui (ES) [...] kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, kurį numatoma priimti; (7)siekiant išsaugoti ypatingą Europos atominės energijos bendrijos veiklos, reglamentuojamos Europos atominės energijos bendrijos Tarybos reglamentu Nr. 3/1958, pobūdį, šis reglamentas neturėtų būti taikomas Euratomo įslaptintai informacijai. Tačiau visa informacija, susijusi su kita Euratomo veikla, kuriai netaikomas Reglamentas Nr. 3/1958, turėtų patekti į šio reglamento taikymo sritį;

(8)siekiant sukurti oficialią Sąjungos institucijų ir įstaigų bendradarbiavimo informacijos saugumo srityje struktūrą, būtina įsteigti Tarpinstitucinę koordinavimo grupę (toliau – Koordinavimo grupė), kurioje būtų atstovaujama visų Sąjungos institucijų ir įstaigų saugumo institucijoms. Neturėdama sprendimų priėmimo įgaliojimų, Koordinavimo grupė turėtų didinti informacijos saugumo srities politikos nuoseklumą ir turėtų prisidėti prie informacijos saugumo procedūrų ir priemonių suderinimo Sąjungos institucijose ir įstaigose; (9)Koordinavimo grupės darbui reikalinga įvairių informacijos saugumo sričių, kaip antai skirstymo į kategorijas ir žymėjimo, ryšių ir informacinių sistemų, akreditavimo, fizinio saugumo, keitimosi ESĮI ir įslaptinta informacija, ekspertų parama. Todėl, siekiant išvengti Sąjungos institucijų ir įstaigų pastangų dubliavimo, turėtų būti įsteigti teminiai pogrupiai. Be to, prireikus Koordinavimo grupė turėtų galėti sudaryti kitus pogrupius, kuriems būtų pavestos konkrečios užduotys; (10)Koordinavimo grupė turėtų glaudžiai bendradarbiauti su valstybių narių nacionalinėmis saugumo institucijomis, kad būtų padidintas informacijos saugumas Sąjungoje. Todėl reikėtų įsteigti Valstybių narių informacijos saugumo komitetą, kuris teiktų konsultacijas Koordinavimo grupei; (11)nors bendri organai, atstovaujantys visoms Sąjungos institucijoms ir įstaigoms, steigiami remiantis bendradarbiavimo principu, kiekviena institucija ir įstaiga turėtų likti visiškai atsakinga už informacijos saugumą savo organizacijoje. Kiekviena Sąjungos institucija ir įstaiga turėtų turėti saugumo instituciją ir prireikus kitas institucijas, vykdančias konkrečias su informacijos saugumu susijusias pareigas; (12)informacijos saugumo rizikos valdymo principas turėtų būti politikos, kurią šioje srityje turi parengti kiekviena Sąjungos institucija ir įstaiga, pagrindas. Nors šiame reglamente nustatyti būtiniausi reikalavimai turi būti įvykdyti, kiekviena Sąjungos institucija ir įstaiga turėtų patvirtinti specialias informacijos apsaugos saugumo priemones, atsižvelgdamos į vidaus rizikos vertinimo rezultatus. Lygiai taip pat techninės informacijos apsaugos priemonės turėtų būti pritaikytos prie konkrečios kiekvienos institucijos ir įstaigos padėties; (13)atsižvelgiant į neįslaptintos informacijos kategorijų, kurias Sąjungos institucijos ir įstaigos sukūrė remdamosi savo saugumo informacijos taisyklėmis, įvairovę ir siekiant išvengti vėlavimo įgyvendinant šį reglamentą, Sąjungos institucijoms ir įstaigoms turėtų būti suteikta galimybė vidaus tikslais arba keičiantis informacija su savo konkrečiais partneriais iš kitų institucijų ir įstaigų arba iš valstybių narių turėti savo žymų sistemą; (14)siekiant prisitaikyti prie naujos nuotolinio darbo praktikos, tinklai, naudojami jungiantis prie Sąjungos institucijos arba įstaigos nuotolinės prieigos paslaugų, turėtų būti apsaugoti tinkamomis saugumo priemonėmis; (15)kadangi Sąjungos institucijos ir įstaigos dažnai naudojasi rangovų paslaugomis ir užsakomosiomis paslaugomis, svarbu nustatyti bendras nuostatas, susijusias su rangovų darbuotojais, atliekančiais su informacijos saugumu susijusias užduotis; (16)šiuo metu įvairių Sąjungos institucijų ir įstaigų vidaus taisyklėse nustatytos esminės taisyklės dėl galimybės susipažinti su ESĮI yra suderintos, tačiau esama didelių skirtumų, susijusių su pavadinimais ir reikiamomis procedūromis. Dėl to užkraunama našta valstybių narių nacionalinėms saugumo institucijoms, kurios turi prisitaikyti prie skirtingų reikalavimų. Todėl būtina numatyti bendrą terminų žodyną ir bendras procedūras personalo patikimumo srityje, taip supaprastinant bendradarbiavimą su valstybių narių nacionalinėmis saugumo institucijomis ir sumažinant pavojų ESĮI; (17)atsižvelgiant į Sąjungos institucijų ir įstaigų išteklių skirtumus ir siekiant supaprastinti atitinkamas jų procedūras ir praktiką, patikimumo patikrinimo užduotys gali būti pavestos Komisijai, kad būtų tęsiama ilgalaikė praktika patikimumo patikrinimo srityje ir prisidėta prie kiekvienai saugumo institucijai paskirtų užduočių centralizavimo; (18)ESĮI apsauga taip pat užtikrinama techninėmis ir organizacinėmis priemonėmis, kurios taikomos Sąjungos institucijų ir įstaigų patalpoms, pastatams, salėms, biurams ar infrastruktūrai, kuriuose ESĮI aptariama, tvarkoma arba saugoma. Šiuo reglamentu numatoma įgyvendinti informacijos saugumo valdymo procesą fizinio saugumo srityje, kad Sąjungos institucijos ir įstaigos galėtų pasirinkti tinkamas saugumo priemones savo veiklos vietoms; (19)visos Sąjungos institucijos ir įstaigos, tvarkančios ir saugančios ESĮI, savo veiklos vietose turėtų nustatyti fiziškai saugomas zonas, kad būtų užtikrintas toks pat jose tvarkomos ir saugomos atitinkamų slaptumo lygių ESĮI apsaugos lygis. Tos zonos turėtų būti žymimos kaip administracinės zonos ir saugios zonos ir jose turėtų būti laikomasi bendrų būtiniausių ESĮI apsaugos standartų; (20)informacijos rengėjo kontrolė yra svarbus ESĮI valdymo principas, todėl ji turi būti aiškiai apibrėžta ir išplėtota. Šiuo atžvilgiu ESĮI parengimu rengėjui nustatoma atsakomybė, kuri turėtų apimti visą atitinkamo ESĮI dokumento gyvavimo ciklą; (21)Sąjungos institucijos ir įstaigos tradiciškai savarankiškai plėtojo savo ryšių ir informacines sistemas, nepakankamai dėmesio skirdamos jų sąveikumui visose Sąjungos institucijose ir įstaigose. Todėl, siekiant užtikrinti sklandų keitimąsi informacija su atitinkamais suinteresuotaisiais subjektais, būtina nustatyti būtiniausius saugumo reikalavimus, susijusius su ryšių ir informacinėmis sistemomis (RIS), kuriose tvarkoma ir saugoma ESĮI ir neįslaptinta informacija; (22)siekiant sukurti bendrą RIS, kuriose tvarkoma ir saugoma ESĮI, akreditavimo standartą, Sąjungos institucijos ir įstaigos turėtų dirbti kartu šiuo tikslu sukurtoje grupėje. Rekomenduojama, kad visos jos taikytų tą standartą ir taip prisidėtų prie bendro ESĮI apsaugos lygio. Kalbant apie organizacinį savarankiškumą, sprendimą vis dėlto priima kiekvienos institucijos arba įstaigos kompetentinga institucija; (23)visos Sąjungos institucijos ir įstaigos, sudarydamos ir įgyvendindamos įslaptintas sutartis arba įslaptintus dotacijų susitarimus, turėtų laikytis tų pačių procedūrų ir taikyti tas pačias priemones. Todėl būtina aiškiai apibrėžti tiek privalomuosius, tiek neprivalomus įslaptintų sutarčių ir įslaptintų dotacijų susitarimų elementus. Tačiau nustatant su įslaptintomis sutartimis ir įslaptintais dotacijų susitarimais susijusias ESĮI apsaugos priemones turėtų būti atsižvelgiama į taisykles, kurias šioje srityje atskirai parengė Sąjungos institucijos ir įstaigos kartu su valstybėmis narėmis; (24)glaudus Sąjungos institucijų ir įstaigų bendradarbiavimas ir jų tarpusavio sąveikos įvairovė apima dalijimąsi gausybe informacijos. Siekiant užtikrinti įslaptintos informacijos saugumą, prieš tvarkant ir saugant tam tikro slaptumo lygio ESĮI turėtų būti įvertintas Sąjungos institucijos arba įstaigos patikimumas; (25)be to, Sąjungos institucijų ir įstaigų keitimasis ESĮI ir įslaptinta informacija su tarptautinėmis organizacijomis ir trečiosiomis valstybėmis taip pat turėtų būti reguliuojamas atitinkamomis saugumo priemonėmis tai informacijai apsaugoti. Tais atvejais, kai numatomi susitarimai dėl informacijos saugumo, turėtų būti taikomos Sutarties 218 straipsnio nuostatos; (26)susitarimais dėl informacijos saugumo siekiama užtikrinti bendrą Sąjungos keitimosi įslaptinta informacija su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis teisinę sistemą, taip pat būtina numatyti galimybę Sąjungos institucijoms ir įstaigoms sudaryti administracinius susitarimus su konkrečiu partneriu iš trečiosios valstybės arba tarptautinės organizacijos keitimosi ESĮI tikslu; (27)šiuo reglamentu nustatoma visoms Sąjungos institucijoms ir įstaigoms bendra sistema. Siekiant išvengti pernelyg didelės administracinės naštos Sąjungos institucijoms ir įstaigoms pritaikant savo vidaus saugumo taisykles prie šiame reglamente nustatytų taisyklių, šį reglamentą reikėtų pradėti taikyti praėjus dvejiems metams nuo jo įsigaliojimo;

(28)pagal 2016 m. balandžio 13 d. Tarpinstitucinio susitarimo dėl geresnės teisėkūros 22 ir 23 dalis Komisija turėtų įvertinti šį reglamentą, kad nustatytų jo faktinį poveikį ir poreikį imtis tolesnių veiksmų. Ne vėliau kaip praėjus trejiems metams nuo šio reglamento taikymo pradžios dienos Komisija turėtų pateikti Europos Parlamentui ir Tarybai jo įgyvendinimo ataskaitą; (29)vadovaujantis Europos Parlamento ir Tarybos reglamento (ES) 2018/1725 42 straipsniu buvo konsultuojamasi su Europos duomenų apsaugos priežiūros pareigūnu, kuris ... pateikė nuomonę, PRIĖMĖ ŠĮ REGLAMENTĄ: 1 skyrius

Bendrosios nuostatos 1 straipsnis Dalykas 1.Šiuo reglamentu nustatomos visų Sąjungos institucijų ir įstaigų informacijos saugumo taisyklės. 2 straipsnis Taikymo sritis 1.Šis reglamentas taikomas visai Sąjungos institucijų ir įstaigų tvarkomai ir saugomai informacijai, įskaitant informaciją, susijusią su Europos atominės energijos bendrijos veikla, išskyrus Euratomo įslaptintą informaciją. 2.Jis taikomas šių slaptumo lygių informacijai: a)trijų neįslaptintos informacijos lygių informacijai: viešo naudojimo, įprastai ir neskelbtinai neįslaptintai; b)keturių ES įslaptintos informacijos lygių informacijai, žymimai slaptumo žymomis: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Kad būtų galima taikyti tinkamas apsaugos priemones, šie lygiai grindžiami žala, kurią neteisėtas atskleidimas gali padaryti teisėtiems privatiesiems ir viešiesiems interesams, įskaitant Sąjungos, jos institucijų bei įstaigų ir valstybių narių ar kitų suinteresuotųjų subjektų interesus. 3 straipsnis Terminų apibrėžtys Šiame reglamente vartojamų terminų apibrėžtys: a)informacija – žodžiu, vaizdu, elektronine, magnetine ar fizine forma arba daiktine, įrangos ar technologijos forma pateikiami duomenys, įskaitant kopijas, vertimus ir dar tik kuriamą medžiagą; b)informacijos saugumas – informacijos autentiškumas, prieinamumas, konfidencialumas, vientisumas ir negalėjimas jos išsižadėti; c)informacijos tvarkymas – visi veiksmai, kurie gali būti atliekami su informacija per visą jos gyvavimo ciklą. Tai apima jos parengimą, surinkimą, registravimą, slaptumo lygio nustatymą, apdorojimą, pateikimą, naudojimąsi ja, gabenimą, perdavimą, slaptumo lygio sumažinimą, išslaptinimą, archyvavimą ir sunaikinimą;

d)saugojimas – informacijos laikymo bet kokioje laikmenoje veiksmas, siekiant užtikrinti, kad ją būtų galima naudoti ateityje; e)Sąjungos institucijos ir įstaigos – Sąjungos institucijos, įstaigos, organai ir agentūros, įsteigti Europos Sąjungos sutartimi, Sutartimi dėl Europos Sąjungos veikimo, Europos atominės energijos bendrijos steigimo sutartimi ar teisėkūros procedūra priimamu aktu arba šiais dokumentais remiantis; f)Euratomo įslaptinta informacija – įslaptinta informacija, kaip ji suprantama Europos atominės energijos bendrijos tarybos reglamente Nr. 3/1958; g)saugumo institucija – kiekvienos Sąjungos institucijos ir įstaigos pagal jos darbo tvarkos taisykles arba steigimo aktą paskirta saugumo tarnyba; h)informacijos saugumo rizikos valdymo procesas – visas atsitiktinių įvykių, kurie gali paveikti organizacijos arba jos naudojamų sistemų saugumą, nustatymo, kontrolės ir padarinių mažinimo procesas. Jis apima visą su rizika susijusią veiklą, įskaitant jos vertinimą, valdymą, pripažinimą ir informavimą apie ją; i)turtas – viskas, kas turi tam tikrą vertę Sąjungos institucijai ar įstaigai, jos veiklos operacijoms bei jų tęstinumui, įskaitant informacijos išteklius, padedančius vykdyti organizacijos misiją; j)saugios eksploatacijos taisyklės – III priede nurodytos dokumentais grindžiamos saugumo zonos ir ryšių ir informacinės sistemos veikimo arba naudojimosi kitu su saugumu susijusiu turtu ar paslaugomis procedūros, kuriomis siekiama užtikrinti jų veiksmingumą; k)ryšių ir informacinė sistema (RIS) – sistema, sudaranti sąlygas tvarkyti ir saugoti informaciją elektroniniu būdu, įskaitant visą turtą, kurio reikia jos veikimui užtikrinti; l)informacijos saugumo užtikrinimas – garantavimas, kad ryšių ir informacinėmis sistemomis bus apsaugota jų tvarkoma ir saugoma informacija ir kad, valdant teisėtiems naudotojams, jos veiks taip, kaip turi veikti, ir tada, kada turi veikti, kartu užtikrinant tinkamą autentiškumo, prieinamumo, konfidencialumo, vientisumo ir negalėjimo išsižadėti lygį; m)akreditacija – oficialus saugumo akreditavimo institucijos leidimas, patvirtinantis, kad ryšių ir informacinėje sistemoje leidžiama apdoroti, o saugumo zonoje – saugoti iš anksto nustatyto slaptumo lygio ESĮI; n)akreditavimo procesas – veiksmai ir užduotys, kurių reikia imtis prieš akreditaciją; o)TEMPEST saugumo priemonės – priemonės, skirtos RIS, kurioje tvarkoma ir saugoma slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio slaptumo žyma pažymėta informacija, apsaugoti nuo tokios informacijos neteisėto atskleidimo dėl netyčinio elektromagnetinio spinduliavimo; p)CERT-ES – Sąjungos institucijų ir įstaigų kibernetinio saugumo centras, apibrėžtas Europos Parlamento ir Tarybos reglamente (ES) [...], kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti; q)informacijos saugumo incidentas – įvykis, dėl kurio gali kilti pavojus saugomos, perduodamos ar apdorojamos informacijos autentiškumui, prieinamumui, konfidencialumui, vientisumui arba negalėjimo išsižadėti užtikrinimui; r)būtinybės žinoti principas – būtinybė asmeniui susipažinti su tam tikra informacija, kurią Sąjungos institucija arba įstaiga tvarko ar saugo, kad galėtų vykdyti savo užduotis; s)nulinis pasitikėjimas – saugumo modelis, sistemos projektavimo principų rinkinys ir koordinuota kibernetinio saugumo ir sistemos valdymo strategija, pagrįsta pripažinimu, kad grėsmės galimos tiek įprastame tinkle, tie už jo ribų; t)žyma – ženklas, kuriuo ženklinama informacija siekiant užtikrinti, kad jai būtų taikomos tinkamos saugumo priemonės; u)slaptumo žyma – žyma, nurodanti informacijos slaptumo lygį; v)platinimo žyma – žyma, nurodanti numatomus informacijos adresatus informaciją parengusioje Sąjungos institucijoje arba įstaigoje; w)leidimo suteikti informaciją žyma – žyma, nurodanti leidžiamus informacijos adresatus už informaciją parengusios Sąjungos institucijos arba įstaigos ribų;

x)sistemos savininkas – asmuo, atsakingas už bendrą ryšių ir informacinės sistemos pirkimą, kūrimą, integravimą, keitimą, veikimą, techninę priežiūrą ir nurašymą; y)grėsmė informacijos saugumui – įvykis arba veiksnys, kurie pagrįstai tikėtina gali neigiamai paveikti informacijos saugumą, jei į juos nebus reaguojama ir jie nebus kontroliuojami; z)pažeidžiamumas – turto, sistemos, proceso ar kontrolės priemonės spraga, silpnoji vieta ar trūkumas, kuriuo gali būti naudojamasi iškilus vienai ar daugiau grėsmių; aa)rizika – neigiamas tam tikros grėsmės poveikis, galintis kilti naudojantis Sąjungos institucijos arba įstaigos ar jos naudojamų sistemų vidaus ir išorės pažeidžiamumu, galintis daryti žalą teisėtiems viešiesiems ir privatiesiems interesams ir būti vertinamas kaip grėsmių atsiradimo tikimybė ir jų poveikis; ab)likutinė rizika – rizika, kuri lieka įgyvendinus saugumo priemones; ac)rizikos vertinimas – grėsmių ir pažeidžiamumų nustatymas ir susijusios rizikos analizės, t. y. tikimybės ir poveikio analizės, atlikimas; ad)veiksmai su rizika – rizikos švelninimas, šalinimas, mažinimas (taikant tinkamas technines, fizines, organizacines arba procedūrines priemones), perkėlimas arba stebėjimas; ae)Europos kibernetinio saugumo sertifikatas – sertifikatas, apibrėžtas Reglamento (ES) 2019/881 2 straipsnio 11 punkte; af)turėtojas – tinkamą leidimą turintis asmuo, kuriam, kaip nustatyta, būtina žinoti ir kuris turi saugotiną informacijos vienetą, todėl yra atsakingas už jo apsaugą; ag)medžiaga – dokumentas, duomenų laikmena arba bet kokie pagaminti ar gaminami įrenginiai ar įranga; ah)Europos Sąjungos įslaptinta informacija (ESĮI) – informacija arba medžiaga, kuriai suteikta ES slaptumo žyma ir kurią neteisėtai atskleidus galėtų būti padaryta įvairaus dydžio žala Sąjungos arba vienos ar kelių valstybių narių interesams; ai)leidimas susipažinti su ESĮI – saugumo institucijos sprendimas Sąjungos institucijos arba įstaigos pareigūnui, kitam tarnautojui ar deleguotajam nacionaliniam ekspertui tam tikrą laikotarpį leisti susipažinti su ne aukštesnio nei nurodyto konfidencialumo lygio ESĮI; aj)nacionalinė saugumo institucija (NSI) – valstybės narės vykdomosios valdžios institucija, kuriai tenka galutinė atsakomybė už įslaptintos informacijos apsaugą toje valstybėje narėje; ak)paskirtoji saugumo institucija (PSI) – valstybės narės institucija (NSI arba kita kompetentinga institucija), kuri atsako už gairių ir pagalbos teikimą įgyvendinant pramoninio saugumo ar patikimumo patikrinimo tvarką arba abiem atvejais; al)patikimumo tyrimas – tyrimo procedūros, kurias, vadovaudamasi valstybėje narėje galiojančiais įstatymais ir kitais teisės aktais, kompetentinga institucija atlieka siekdama gauti užtikrinimą, kad nėra jokios nepalankios informacijos, kuri neleistų asmeniui išduoti jo patikimumo pažymėjimo, suteikiančio galimybę susipažinti su ne aukštesnio nei nurodyto konfidencialumo (CONFIDENTIEL UE/ES CONFIDENTIAL arba aukštesnės slaptumo žymos) informacija; am)fizinis saugumas – fizinių, techninių ir organizacinių priemonių taikymas Sąjungos institucijos arba įstaigos patalpoms, pastatams, salėms, biurams ar infrastruktūrai, kuriems reikalinga apsauga nuo neteisėtos prieigos prie juose tvarkomos, saugomos ar aptariamos informacijos; an)vietos – Sąjungos institucijos arba įstaigos patalpos, pastatai, salės, biurai ar infrastruktūra; ao)pakopinė apsauga – apsauga, grindžiama kelių viena nuo kitos nepriklausančių pakopų saugumo patikrinimais, kuriais užtikrinama kad, jei viena pakopa būtų neveiksminga, veiksminga būtų kita (-os); ap)kriptografinė medžiaga (kriptomedžiaga) – kriptografiniai algoritmai, techninės ir programinės kriptografinės įrangos moduliai ir priemonės, apimančios vykdymo informaciją bei susijusius dokumentus ir raktų duomenis; aq)kriptografinė priemonė – priemonė, kurios pradinė ir pagrindinė paskirtis yra saugumo funkcijų (autentiškumo, prieinamumo, konfidencialumo, vientisumo ir negalėjimo išsižadėti) užtikrinimas taikant vieną ar kelis kriptografinius mechanizmus;

ar)rengėjas – Sąjungos institucija arba įstaiga, valstybė narė, trečioji valstybė arba tarptautinė organizacija, kurios atsakomybe įslaptinta informacija buvo parengta arba pateikta naudoti Sąjungos struktūrose; as)dokumentas – bet kuria forma (popieriuje, elektroninėje, magnetinėje arba kitoje laikmenoje) raštu, vaizdo ar garso ir vaizdo įrašu pateiktas turinys; at)registravimas saugumo tikslais – procedūrų, kuriomis registruojamas dokumento gyvavimo ciklas, įskaitant jo platinimą ir sunaikinimą, taikymas; au)išslaptinimas – bet kokios slaptumo žymos panaikinimas; av)slaptumo lygio sumažinimas – slaptumo lygio pakeitimas sumažinant apsaugos lygį; aw)įslaptinta sutartis – Sąjungos institucijos arba įstaigos su rangovu sudaryta Europos Parlamento ir Tarybos reglamente (ES, Euratomas) 2018/1046 nurodyta kilnojamojo arba nekilnojamojo turto tiekimo, darbų vykdymo arba paslaugų teikimo preliminarioji sutartis arba sutartis, kurią vykdant reikia tvarkyti, be kita ko, rengti, ar saugoti ESĮI arba kuri yra su tuo susijusi; ax)įslaptintas dotacijos susitarimas – susitarimas, kuriuo Sąjungos institucija arba įstaiga skiria Reglamento (ES, Euratomas) 2018/1046 VIII antraštinėje dalyje nurodytą dotaciją ir kurį vykdant reikia tvarkyti, be kita ko, rengti, ar saugoti ESĮI arba kuris yra su tuo susijęs; ay)įslaptinta subrangos sutartis – Sąjungos institucijos arba įstaigos rangovo arba gavėjo su subrangovu sudaryta kilnojamojo arba nekilnojamojo turto tiekimo, darbų vykdymo arba paslaugų teikimo sutartis, kurią vykdant reikia tvarkyti, be kita ko, rengti, ar saugoti ESĮI arba kuri yra su tuo susijusi; az)programos arba projekto saugumo instrukcijos (PSI) – saugumo procedūrų, kurios yra taikomos konkrečiai programai arba projektui siekiant standartizuoti saugumo procedūras, sąrašas; ba)saugumo aspektų paaiškinimas (SAP) – tam tikrų sutartinių sąlygų rinkinys, kurį parengia perkančioji arba dotaciją skiriančioji institucija ir kuris yra įslaptintos sutarties arba įslaptinto dotacijos susitarimo, pagal kuriuos gali būti susipažįstama su ESĮI arba tokia informacija gali būti rengiama; jame nurodomi saugumo reikalavimai ir tos sutarties ar dotacijos susitarimo dalys, kurių saugumą būtina užtikrinti; bb)slaptumo žymų vadovas (SŽV) – dokumentas, kuriame aprašomi programos, projekto, sutarties arba dotacijos susitarimo įslaptinti elementai, nurodant taikomus slaptumo lygius. 4 straipsnis Bendrieji principai 1.Kiekviena Sąjungos institucija ir įstaiga yra atsakingos už šio reglamento nuostatų įgyvendinimą savo organizacijoje, atsižvelgiant į savo informacijos saugumo rizikos valdymo procesą. 2. Šio reglamento nesilaikymas, visų pirma neteisėtas 2 straipsnio 2 dalyje nurodytų slaptumo lygių informacijos, išskyrus viešo naudojimo informaciją, atskleidimas, turi būti tiriamas ir dėl jo darbuotojams gali tekti atsakomybė pagal Sutartis arba atitinkamas jų tarnybos taisykles. 3.Sąjungos institucijos ir įstaigos įvertina visą savo tvarkomą ir saugomą informaciją, kad galėtų ją suskirstyti į kategorijas laikydamosi 2 straipsnio 2 dalyje nurodytų slaptumo lygių. 4.Sąjungos institucijos ir įstaigos nustato visos savo tvarkomos ir saugomos informacijos saugumo poreikius, atsižvelgdamos į šiuos aspektus: a)autentiškumą: užtikrinama, kad informacija yra tikra ir gauta iš bona fide šaltinių; b)prieinamumą: leidimą turintis subjektas, pateikęs prašymą, gali gauti informaciją ir ja naudotis; c)konfidencialumą: informacija neatskleidžiama neturintiems leidimo asmenims, subjektams ar procesams;

d)vientisumą: informacija išsami, o jos išsamumas nekinta; e)negalėjimą išsižadėti: gebama įrodyti, kad veiksmas buvo atliktas ar įvykis įvyko, kad to įvykio ar veiksmo vėliau nebūtų galima paneigti. 5.Sąjungos institucijos ir įstaigos nustato aukščiausią kiekvienos ryšių ir informacinės sistemos, už kurią jos yra atsakingos, slaptumo lygį, kokiu tokia ryšių ir informacinė sistema gali tvarkyti ir saugoti informaciją, atlieka informacijos saugumo rizikos vertinimą ir reguliariai stebi saugumo poreikius ir nustatytų apsaugos priemonių tinkamą įgyvendinimą. 6.Visos Sąjungos institucijos ir įstaigos rengia neįslaptintai informacijai ir ESĮI tvarkyti ir saugoti skirtus mokymus ir vykdo atitinkamą sąmoningumo ugdymo veiklą. Sąjungos institucijos ir įstaigos, tvarkančios ir saugančios ESĮI, bent kartą per penkerius metus rengia privalomus mokymus visiems asmenims, turintiems leidimą susipažinti su ESĮI. Tokios Sąjungos institucijos ir įstaigos organizuoja specialius mokymus, skirtus tam tikras pareigas einantiems asmenims, kuriems pavestos informacijos saugumo užduotys. Sąjungos institucija arba įstaiga gali koordinuoti tokią mokymo ir sąmoningumo ugdymo veiklą su kitomis Sąjungos institucijomis ir įstaigomis. 5 straipsnis Informacijos saugumo rizikos valdymo procesas 1.Kiekviena Sąjungos institucija ir įstaiga nustato informacijos saugumo rizikos valdymo procesą, skirtą jų tvarkomai ir saugomai informacijai apsaugoti. 2.Informacijos saugumo rizikos valdymo procesą sudaro šie etapai: a)grėsmės ir pažeidžiamumo nustatymas; b)rizikos vertinimas; c)veiksmai su rizika; d)rizikos pripažinimas; e)pranešimas apie riziką. 3.Informacijos saugumo rizikos valdymo procese atsižvelgiama į visus atitinkamai institucijai arba įstaigai svarbius veiksnius, visų pirma į: a)informacijos slaptumo lygį ir susijusius teisinius įsipareigojimus; b)informacijos formą, kiekį ir patalpas arba RIS, kuriose informacija tvarkoma ir saugoma; c)asmenis, turinčius prieigą prie informacijos vietose arba nuotoliniu būdu; d)pastatus arba zonas, kuriuose informacija saugoma, supančią aplinką ir jų struktūrą;

e)Sąjungai, jos institucijoms ir įstaigoms arba valstybėms narėms dėl kibernetinių išpuolių, išpuolių prieš tiekimo grandines, šnipinėjimo, sabotažo, terorizmo, ardomosios ar kitos nusikalstamos veiklos kylančias grėsmes; f)veiklos tęstinumą ir atkūrimą po ekstremaliųjų įvykių; g)kai taikoma, patikrinimų, audito ar vertinimo vizitų rezultatus. 2 skyrius

Saugumo valdymas ir organizavimas 6 straipsnis Tarpinstitucinė informacijos saugumo koordinavimo grupė 1.Įsteigiama Tarpinstitucinė informacijos saugumo koordinavimo grupė (toliau – Koordinavimo grupė). Ją sudaro visos Sąjungos institucijų ir įstaigų saugumo institucijos ir ji turi įgaliojimus nustatyti jų bendrą politiką informacijos saugumo srityje. 2.Veikdama visų Sąjungos institucijų ir įstaigų sutikimu ir bendrų interesų labui, Koordinavimo grupė: a)priima savo darbo tvarkos taisykles ir nustato metinius bendrus tikslus bei prioritetus; b)priima sprendimus dėl teminių pogrupių sudarymo ir jų įgaliojimų; c)bendradarbiaudama su Reglamento (ES) [...], kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, 9 straipsnyje nurodyta Tarpinstitucine kibernetinio saugumo taryba, parengia šio reglamento įgyvendinimo rekomendacinius dokumentus; d)sukuria specialias platformas, skirtas keistis geriausios patirties pavyzdžiais ir žiniomis bendrais klausimais, susijusiais su informacijos saugumu, taip pat pagalbai informacijos saugumo incidentų atveju teikti; e)užtikrina, kad saugumo priemonės ESĮI apsaugos tikslais prireikus būtų derinamos su kompetentingomis nacionalinėmis saugumo institucijomis. 3.Koordinavimo grupė iš savo narių trejų metų laikotarpiui paskiria pirmininką ir du pirmininko pavaduotojus. 4.Koordinavimo grupė susirenka bent kartą per metus pirmininko iniciatyva arba Sąjungos institucijos arba įstaigos prašymu. 5.Koordinavimo grupei administracinę paramą teikia nuolatinis sekretoriatas, o jo paslaugas – Komisija. 6.Koordinavimo grupėje ir, kai taikytina, teminiuose pogrupiuose tinkamai atstovaujama kiekvienai Sąjungos institucijai arba įstaigai. 7.Sąjungos institucijos ir įstaigos atkreipia Koordinavimo grupės dėmesį į visus reikšmingus savo organizacijos informacijos saugumo politikos pokyčius. 8.Koordinavimo grupei vykdyti 2 dalies e punkte nurodytas užduotis padeda Informacijos saugumo komitetas. Tą komitetą sudaro po vieną kiekvienos nacionalinės saugumo institucijos atstovą, o jam pirmininkauja 5 dalyje nurodytas Koordinavimo grupės sekretoriatas. Informacijos saugumo komitetas atlieka patariamąjį vaidmenį.

7 straipsnis Teminiai pogrupiai 1.Kad palengvintų šio reglamento įgyvendinimą, Koordinavimo grupė įsteigia šiuos nuolatinius teminius pogrupius: a)informacijos saugumo užtikrinimo pogrupį; b)neįslaptintos informacijos pogrupį; c)fizinio saugumo pogrupį; d)ryšių ir informacinių sistemų, kuriose tvarkoma ir saugoma ESĮI, akreditavimo pogrupį; e)dalijimosi ESĮI ir keitimosi įslaptinta informacija pogrupį. 2.Prireikus Koordinavimo grupė gali sudaryti ad hoc pogrupius konkrečiai užduočiai per ribotą laikotarpį įvykdyti. 3.Išskyrus atvejus, kai pogrupių įgaliojimuose numatyta kitaip, pogrupiai sudaromi remiantis atviros narystės atstovaujant Sąjungos institucijai arba įstaigai principu. Pogrupių nariai yra atitinkamos kompetencijos srities ekspertai. 4.5 straipsnio 5 dalyje nurodytas Koordinavimo grupės sekretoriatas remia visų pogrupių darbą ir užtikrina jų narių tarpusavio bendravimą. 8 straipsnis Saugumo organizavimas 1.Kiekviena Sąjungos institucija ir įstaiga paskiria saugumo instituciją, kuri prisiima šiuo reglamentu ir, kai taikytina, jos vidaus saugumo taisyklėmis pavestas pareigas. Vykdydama savo užduotis, kiekviena saugumo institucija naudojasi departamento arba pareigūno, kuriems pavestos informacijos saugumo užduotys, pagalba. 2.Prireikus kiekvienos Sąjungos institucijos ir įstaigos saugumo institucija, atsižvelgdama į savo konkrečią misiją, kuri pavesta pagal ES teisę, ir remdamasi savo institucine autonomija, priima informacijos apsaugos vidaus įgyvendinimo taisykles. 3.Atitinkamais atvejais kiekviena saugumo institucija taip pat atlieka šias funkcijas: a)informacijos saugumo užtikrinimo institucija: atsako už informacijos saugumo užtikrinimo politikos ir saugumo gairių rengimą ir jų veiksmingumo bei tinkamumo stebėseną; b)informacijos saugumo užtikrinimo operacinė institucija: atsako už saugumo dokumentų, visų pirma saugios eksploatacijos taisyklių ir šifravimo plano, reikalingų vykdant ryšių ir informacinių sistemų akreditavimo procesą, rengimą; c)saugumo akreditavimo institucija: atsako už saugumo zonų ir RIS, kurioje tvarkoma ir saugoma ESĮI, akreditavimą; d)TEMPEST institucija: atsako už priemonių, skirtų ESĮI apsaugoti nuo neteisėto atskleidimo dėl netyčinio elektromagnetinio spinduliavimo, patvirtinimą;

e)kriptografijos patvirtinimo institucija: atsako už šifravimo technologijų naudojimo patvirtinimą sistemos savininko prašymu; f)kriptografijos platinimo institucija: atsako už kriptografinės medžiagos, naudojamos ESĮI (šifravimo įrangos, kriptografinių raktų, sertifikatų ir susijusių autentiškumo patvirtinimo priemonių) apsaugai, platinimą atitinkamiems naudotojams. 4.Vienos ar kelių 3 dalyje nurodytų funkcijų vykdymo pareigos gali būti perduodamos kitai Sąjungos institucijai arba įstaigai, kai decentralizuotas saugumo užtikrinimas yra daug veiksmingesnis ir padeda sutaupyti daug išteklių arba laiko. 3 skyrius

Informacijos saugumo užtikrinimas ir ryšių bei informacinės sistemos (RIS) 9 straipsnis Informacijos saugumo užtikrinimo principai 1.Į informacijos saugumo poreikių vertinimą atsižvelgiama nuo visų RIS, įskaitant vidaus, užsakomąsias ir mišrias RIS, sukūrimo pradžios arba viešųjų pirkimų etape. 2.Visos RIS, kuriose tvarkoma ir saugoma ESĮI, akredituojamos pagal 5 skyriaus 5 skirsnį. Visos RIS, kuriose tvarkoma ir saugoma neskelbtina neįslaptinta informacija, turi atitikti 4 skyriuje nustatytus būtiniausius RIS esančios neskelbtinos neįslaptintos informacijos reikalavimus. 10 straipsnis Informacijos saugumo užtikrinimo pogrupis 1.7 straipsnio 1 dalies a punkte nurodyto informacijos saugumo užtikrinimo pogrupio funkcijos ir pareigos: a)glaudžiai bendradarbiaujant su Reglamento (ES) [XXX], kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, 9 straipsnyje nurodyta Tarpinstitucine kibernetinio saugumo taryba, teikti rekomendacijas ir geriausios patirties pavyzdžius, susijusius su informacijos žymėjimu, tvarkymu ir saugojimu RIS; b)siekiant prisidėti prie sąveikaus ir sklandaus keitimosi informacija tarp Sąjungos institucijų ir įstaigų, kai sujungiamos atitinkamos jų RIS, kurti žymoms ir visai būtinai techninei informacijai skirtą metaduomenų sistemą; c)prisidėti prie visų Sąjungos institucijų ir įstaigų informacijos saugumo taisyklių ir pagrindinių kibernetinio saugumo standartų, nurodytų Reglamento (ES) [XXX], kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, 5 straipsnyje, derėjimo. 11 straipsnis Ryšių ir informacinėms sistemoms taikomi reikalavimai 1.Sąjungos institucijos ir įstaigos informuoja naudotojus apie informacijos, kuri gali būti tvarkoma ir saugoma RIS, slaptumo lygius. Jei ryšių ir informacinėje sistemoje tvarkoma ir saugoma daugelio slaptumo lygių informacija, siekiant užtikrinti, kad skirtingus lygius būtų galima atskirti, naudojami metaduomenys ir vaizdinės žymos. 2.Sąjungos institucijos ir įstaigos nustato RIS naudotojų tapatybę, prieš jiems suteikdamos prieigą prie bet kokio slaptumo lygio, išskyrus viešo naudojimo, informacijos. Naudotojų tapatybė patvirtinama tokiu saugumo lygiu, kuris atitinka slaptumo lygį. Kai tinkama, naudojama saugi bendra tapatybės nustatymo schema. 3.Siekiant užtikrinti, kad informacijos saugumo pažeidimų arba jos nutekėjimo atveju būtų galima atlikti skubius tyrimus, saugomi tinkamai pildomų visų RIS registracijos žurnalų įrašai. Tokie žurnalų įrašai saugomi tiek laiko, kiek nustatyta poveikio veiklai vertinime arba atitinkamoje saugumo politikoje, negalint jų išsižadėti. Jei ryšių ir informacinėje sistemoje tvarkoma ir saugoma ESĮI, žurnalų įrašai, laikantis būtinybės žinoti principo ir užtikrinant galimybę susipažinti su informacija, saugomi tol, kol informacija išslaptinama. Registracijos žurnalai turi būti pildomi taip, kad juose būtų galima atlikti paiešką ir kad jie būtų prieinami saugumo institucijai.

4.Sąjungos institucijos ir įstaigos priima RIS saugumo vidaus taisykles, kad nustatytų tinkamas saugumo priemones, remdamosi tvarkytinos ir saugotinos informacijos saugumo poreikiais ir atsižvelgdamos į jurisdikciją turinčius subjektus, kuriuose informacija saugoma, perduodama ir tvarkoma. Kai taikoma, tos priemonės apima: a)geografinei padėčiai taikomus apribojimus; b)galimų interesų konfliktų, boikotų ar sankcijų, susijusių su rangovais, apsvarstymą; c)sutartines nuostatas, skirtas informacijos saugumui užtikrinti; d)informacijos šifravimą nenaudojimo ir perdavimo metu; e)rangovų darbuotojų galimybės susipažinti su Sąjungos institucijų ir įstaigų informacija apribojimus; f)asmens duomenų apsaugą pagal taikytinus duomenų apsaugos teisės aktus. 5.Sąjungos institucijos ir įstaigos valdo savo RIS laikydamosi šių principų: a)kiekviena RIS turi sistemos savininką arba už jos saugumą atsakingą informacijos saugumo užtikrinimo operacinę instituciją; b)vykdomas informacijos saugumo rizikos valdymo procesas, apimantis informacijos saugumo aspektus; c)saugumo reikalavimai ir saugios eksploatacijos taisyklės oficialiai nustatomi, įgyvendinami, tikrinami ir peržiūrimi; d)pagal Reglamentą (ES) [XXX], kuriuo nustatomos priemonės aukštam bendram kibernetinio saugumo lygiui Sąjungos institucijose, įstaigose, organuose ir agentūrose užtikrinti, informacijos saugumo incidentai oficialiai registruojami ir dėl jų imamasi tolesnių veiksmų. 4 skyrius

Neįslaptinta informacija 12 straipsnis Viešo naudojimo informacija 1.Viešai naudoti arba oficialiai skelbti skirta arba jau atskleista informacija, kuria galima be apribojimų dalytis Sąjungos institucijose ir įstaigose ar už jų ribų, suskirstoma į kategorijas, tvarkoma ir saugoma kaip viešo naudojimo informacija. 2.Sąjungos institucijos ir įstaigos 1 dalyje nurodytą informaciją gali žymėti žyma PUBLIC USE. 3.Visos Sąjungos institucijos ir įstaigos tinkamomis priemonėmis, pagrįstomis jų saugumo poreikiais, užtikrina informacijos vientisumą ir prieinamumą viešo naudojimo reikmėms. 13 straipsnis Įprasta informacija

1.Informacija, skirta Sąjungos institucijai arba įstaigai naudoti vykdant savo funkcijas, kuri nėra nei neskelbtina neįslaptinta, nei viešo naudojimo, suskirstoma į kategorijas, tvarkoma ir saugoma kaip įprasta informacija. Ši kategorija apima visą atitinkamoje Sąjungos institucijoje arba įstaigoje tvarkomą įprasto darbinio lygmens informaciją. 2.Įprasta informacija gali būti žymima vizualiai arba metaduomenimis, kai tai būtina jos saugumui užtikrinti, ypač kai ja dalijamasi už Sąjungos institucijų ir įstaigų ribų. Tokiu atveju naudojama žyma EU NORMAL arba „[Sąjungos institucijos arba įstaigos pavadinimas arba santrumpa] NORMAL“ (priklausomai nuo atvejo). 3.Atsižvelgdamos į neįslaptintos informacijos pogrupio rekomendacijas ir į bet kokią konkrečią riziką, susijusią su savo užduotimis ir veikla, Sąjungos institucijos ir įstaigos nustato standartines įprastos informacijos apsaugos priemones. 4.Už Sąjungos institucijų ir įstaigų ribų įprasta informacija keičiamasi tik su fiziniais ar juridiniais asmenimis, kuriems būtina su ja susipažinti. 14 straipsnis Neskelbtina neįslaptinta informacija 1.Sąjungos institucijos ir įstaigos visą informaciją, kuri nėra įslaptinta, tačiau kurią jos privalo apsaugoti vykdydamos teisines pareigas arba nuo žalos, kuri dėl neteisėto jos atskleidimo gali būti padaryta teisėtiems privatiesiems ir viešiesiems interesams, įskaitant Sąjungos institucijų ir įstaigų, valstybių narių ar asmenų interesus, suskirsto į kategorijas, tvarko ir saugo kaip neskelbtiną neįslaptintą informaciją. 2.Kiekviena Sąjungos institucija ir įstaiga identifikuoja neskelbtiną neįslaptintą informaciją, pažymėdamos ją matoma saugumo žyma, ir parengia atitinkamus tvarkymo nurodymus pagal I priedą. 3.Sąjungos institucijos ir įstaigos neskelbtiną neįslaptintą informaciją saugo taikydamos tinkamas priemones, susijusias su jos tvarkymu ir saugojimu. Tokia informacija Sąjungos institucijose ir įstaigose gali būti prieinama tik asmenims, kuriems būtina su ja susipažinti, kad jie galėtų vykdyti jiems pavestas užduotis. 4.Už Sąjungos institucijų ir įstaigų ribų neskelbtina neįslaptinta informacija keičiamasi tik su fiziniais ar juridiniais asmenimis, kuriems būtina su ja susipažinti, laikantis kartu su informacija pateiktų tvarkymo nurodymų. Apie atitinkamus tvarkymo nurodymus informuojamos visos susijusios šalys. 15 straipsnis Neįslaptintos informacijos apsauga ir sąveikumas 1.Sąjungos institucijos ir įstaigos nustato pranešimo apie bet kokį incidentą arba įtariamą incidentą, dėl kurio gali kilti pavojus neįslaptintos informacijos saugumui, ir jo valdymo procedūras. 2.Prireikus Sąjungos institucijos ir įstaigos naudoja 12, 13 ir 14 straipsniuose numatytas žymas. Išimtiniais atvejais, kai visos šalys sutinka, viduje ir kitų konkrečių Sąjungos institucijų ir įstaigų arba valstybių narių partnerių atžvilgiu gali būti naudojamos kitos lygiavertės žymos. Apie tokią išimtį pranešama 7 straipsnio 1 dalies b punkte nurodytam neįslaptintos informacijos pogrupiui. 3.Siekiant užtikrinti užsakovų tvarkomos įprastos ir neskelbtinos neįslaptintos informacijos, tvarkomos naudojantis užsakomosiomis paslaugomis, apsaugą, nustatomos sutartinės apsaugos priemonės. Apsaugos priemonės parengiamos taip, kad užtikrintų bent tokį apsaugos lygį, kuris yra lygiavertis šiame reglamente nustatytam apsaugos lygiui, ir apima informacijos konfidencialumo ir neatskleidimo įsipareigojimus, kuriuos turi pasirašyti visi atitinkami paslaugų teikėjai, dalyvaujantys teikiant užsakomąsias sistemas. 16 straipsnis Neįslaptintos informacijos pogrupis 1.7 straipsnio 1 dalies b punkte nurodyto neįslaptintos informacijos pogrupio funkcijos ir pareigos: a)supaprastinti procedūras, susijusias su neįslaptintos informacijos tvarkymu ir saugojimu, ir parengti atitinkamas rekomendacijas; b)klausimus, susijusius su sistemomis, kuriose tvarkoma ir saugoma neįslaptinta informacija, koordinuoti su 7 straipsnio 1 dalies a punkte nurodytu informacijos saugumo užtikrinimo pogrupiu;

c)rengti įvairių slaptumo lygių neįslaptintos informacijos tvarkymo nurodymus; d)padėti Sąjungos institucijoms ir įstaigoms nustatyti jų konkrečių neįslaptintos informacijos kategorijų ir 12, 13 ir 14 straipsniuose numatytų kategorijų lygiavertiškumą; e)teikiant pagalbą ir rekomendacijas, sudaryti palankesnes sąlygas Sąjungos institucijoms ir įstaigoms keistis neįslaptinta informacija. 17 straipsnis Neskelbtinos neįslaptintos informacijos tvarkymas ir saugojimas RIS 1.Sąjungos institucijos ir įstaigos užtikrina, kad tvarkant ir saugant neskelbtiną neįslaptintą informaciją ryšių ir informacinės sistemos atitiktų šiuos būtiniausius reikalavimus: a)įdiegia patikimą tapatybės nustatymo tvarką, taikomą norint gauti neskelbtiną neįslaptintą informaciją, o neskelbtina neįslaptinta informacija užšifruojama perdavimo ir saugojimo metu; b)už RIS veikimą atsakinga Sąjungos institucija arba įstaiga atsako už saugojimui naudojamus kriptografinius raktus; c)neskelbtina neįslaptinta informacija saugoma ir tvarkoma Sąjungoje; d)į visas užsakomųjų paslaugų sutartis įtraukiamos sutartinės nuostatos, susijusios su darbuotojų, turto ir informacijos saugumu; e)elektroninių dokumentų slaptumo lygiui registruoti ir saugumo priemonių automatizavimui palengvinti naudojami sąveikūs metaduomenys; f)kad apsaugotų neskelbtiną neįslaptintą informaciją, Sąjungos institucijos ir įstaigos įgyvendina duomenų nutekėjimo prevencijos ir aptikimo priemones; g)naudojama Europos kibernetinio saugumo sertifikatą turinti saugumo įranga, jei tokia yra; h)siekiant kuo labiau sumažinti paslaugų teikėjų ir rangovų prieigą prie neskelbtinos neįslaptintos informacijos, įgyvendinamos saugumo priemonės, grindžiamos būtinybės žinoti ir nulinio pasitikėjimo principais. 2.Bet kokią nuo 1 dalyje nustatytų būtiniausių reikalavimų nukrypti leidžiančią nuostatą turi patvirtinti atitinkamos Sąjungos institucijos arba įstaigos atitinkamo lygio vadovybė, remdamasi rizikos vertinimu, apimančiu teisinę ir techninę riziką neskelbtinos neįslaptintos informacijos saugumui. 3.Atitinkamos Sąjungos institucijos arba įstaigos informacijos saugumo užtikrinimo institucija gali bet kuriuo RIS gyvavimo ciklo metu patikrinti, ar laikomasi 1 dalyje nustatytų principų. 5 skyrius

ESĮI 1 skirsnis

Bendrosios nuostatos 18 straipsnis Slaptumo lygiai ir žymos

1.ESĮI žymima vieno iš šių slaptumo lygių žyma: a)TRES SECRET UE/ES TOP SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta ypač didelė žala Sąjungos arba vienos ar kelių valstybių narių esminiams interesams; b)SECRET UE/EU SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti smarkiai pakenkta Sąjungos arba vienos ar kelių valstybių narių esminiams interesams; c)CONFIDENTIEL UE/EU CONFIDENTIAL: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti pakenkta Sąjungos arba vienos ar kelių valstybių narių esminiams interesams; d)RESTREINT UE/EU RESTRICTED: informacija ir medžiaga, kurios neteisėtas atskleidimas galėtų būti nepalankus Sąjungos arba vienos ar kelių valstybių narių interesams. 2.Koordinavimo grupė priima rekomendacinius dokumentus dėl ESĮI rengimo ir įslaptinimo. 19 straipsnis Tinkamumas tvarkyti ir saugoti ESĮI 1.Sąjungos institucija ir įstaiga gali tvarkyti ir saugoti ESĮI, jei tenkinamos šios sąlygos: a)ji pagal šį reglamentą nustato taisykles ir procedūras, kuriomis užtikrinama tam tikro slaptumo žymos lygio informacijos apsauga, ir b)joje įvyko vertinimo vizitas pagal 53 straipsnį ir vėliau patvirtinta, kad ji gali apsaugoti ESĮI pagal šį reglamentą ir, kai taikoma, kitas atitinkamas taisykles ir procedūras. 2.Laikoma, kad 1 dalyje nustatytas sąlygas automatiškai tenkina 7 straipsnio 1 dalies e punkte nurodyto dalijimosi ESĮI ir keitimosi įslaptinta informacija pogrupio nariai. 20 straipsnis ESĮI apsauga 1.Bet kokio ESĮI vieneto turėtojas yra atsakingas už jo apsaugą. 2.Valstybei narei nacionaline slaptumo žyma pažymėtą įslaptintą informaciją perdavus Sąjungos institucijos arba įstaigos struktūroms ar tinklams, ta institucija arba įstaiga tą informaciją saugo laikydamasi atitinkamų slaptumo žymos lygių, nustatytų Taryboje posėdžiavusių Europos Sąjungos valstybių narių susitarime dėl įslaptintos informacijos, kuria keičiamasi Europos Sąjungos interesais, apsaugos. Atitinkama lygiavertiškumo lentelė pateikta šio reglamento VI priede. 3.ESĮI visumos atveju gali būti reikalaujama užtikrinti apsaugos lygį, atitinkantį aukštesnio lygio slaptumo žymą nei jos atskirų komponentų slaptumo žymos. 21 straipsnis ESĮI saugumo rizikos valdymo procesas 1.Kiekvienos Sąjungos institucijos ir įstaigos saugumo institucija, remdamasi atitinkamos Sąjungos institucijos arba įstaigos atlikto rizikos vertinimo rezultatais, patvirtina ESĮI apsaugai per visą jos gyvavimo ciklą užtikrinti skirtas saugumo priemones.

2.Saugumo priemonės, kurių imasi kiekviena Sąjungos institucija ir įstaiga, atitinka tvarkomos ir saugomos informacijos slaptumo žymos lygį, formą ir kiekį, patalpų, kuriose ESĮI tvarkoma ir saugoma, vietos bei apsaugos priemones ir vietos lygiu įvertintą piktavališkos ir (arba) nusikalstamos veiklos keliamą grėsmę. 3.Visos Sąjungos institucijos ir įstaigos sudaro: a)nenumatytų atvejų planus, skirtus ESĮI saugumui ekstremaliųjų situacijų atveju užtikrinti; b)veiklos tęstinumo planus, įskaitant prevencines ir atkūrimo priemones, kuriais siekiama kuo labiau sumažinti didelių trikdžių ar saugumo incidentų poveikį ESĮI tvarkymui ir saugojimui. 22 straipsnis ESĮI saugumo pažeidimai ir neteisėtas atskleidimas 1.Saugumo pažeidimu laikomas Sąjungos institucijos arba įstaigos ar asmens veiksmas ar neveikimas, kuriuo pažeidžiamas šis reglamentas. 2.Laikoma, kad ESĮI buvo neteisėtai atskleista, jei dėl pažeidimo ji buvo visiškai arba iš dalies atskleista vienam ar keliems asmenims, neturintiems leidimo susipažinti su ta informacija. 3.Apie bet kokį ESĮI neteisėtą ar įtariamą neteisėtą atskleidimą nedelsiant pranešama atitinkamos Sąjungos institucijos arba įstaigos saugumo institucijai, o ši atlieka saugumo tyrimą ir imasi bent šių priemonių: a)informuoja įslaptintos informacijos rengėją; b)užtikrina, kad siekiant nustatyti faktus tokį atvejį nagrinėtų su pažeidimu tiesiogiai nesusijęs personalas; c)įvertina galimą žalą Sąjungai ar valstybių narių interesams; d)imasi tinkamų priemonių, kad būtų užkirstas kelias pažeidimui pasikartoti; e)praneša kompetentingoms institucijoms apie faktinį ar įtariamą neteisėtą informacijos atskleidimą ir veiksmus, kurių imtasi. 2 skirsnis

Personalo patikimumas 23 straipsnis Pagrindiniai principai 1.Sąjungos institucijos arba įstaigos saugumo institucija gali leisti asmenims susipažinti su ESĮI, jei tenkinamos visos šios sąlygos: a)asmenims būtina su ja susipažinti; b)asmenys buvo informuoti apie ESĮI apsaugai užtikrinti skirtas saugumo taisykles bei procedūras, taip pat apie atitinkamus saugumo standartus ir gaires, ir raštu patvirtino savo pareigą saugoti tokią informaciją;

c)kad asmenys galėtų susipažinti su informacija, pažymėta CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio saugumo žyma, jų patikimumas buvo patikrintas ir jiems išduotas atitinkamo slaptumo žymos lygio leidimas. 2.Sąjungos institucijos ir įstaigos atsižvelgia į asmens lojalumą ir patikimumą, nustatytą valstybės narės, kurios pilietis yra prašytojas, kompetentingoms institucijoms atlikus jo patikimumo patikrinimą. 3.Sąjungos institucijos ir įstaigos gali pripažinti trečiųjų valstybių ir tarptautinių organizacijų, su kuriomis Sąjunga yra sudariusi susitarimą dėl informacijos saugumo, patikimumo pažymėjimus. 4.Sąjungos institucijos ir įstaigos patikimumo patikrinimo tikslais gali savarankiškai valdyti patikimumo patikrinimo procesus arba siekti su Komisija sudaryti susitarimą dėl paslaugų lygio. Kai sudaromas susitarimas dėl paslaugų lygio, Komisijos saugumo institucija yra atitinkamos Sąjungos institucijos ir įstaigos saugumo tarnybų ir valstybių narių nacionalinių kompetentingų institucijų kontaktinis asmuo patikimumo patikrinimo klausimais. 5.Kiekvienos Sąjungos institucijos ir įstaigos saugumo institucija registruoja savo patikimumo pažymėjimus, informacinius susirinkimus, rašytinius patvirtinimus ir leidimus susipažinti su ESĮI. 6.Sąjungos institucijos ir įstaigos, su Komisija sudariusios susitarimą dėl paslaugų lygio, Komisijos saugumo institucijai pateikia atitinkamus įrašus, susijusius bent su ESĮI, su kuria asmeniui gali būti leista susipažinti, slaptumo žymos lygiu, leidimo susipažinti su ESĮI išdavimo data ir jo galiojimo laikotarpiu. Pagrįstais atvejais su tais įrašais leidžiama susipažinti kitoms Sąjungos institucijoms ir įstaigoms, sudariusioms susitarimą dėl paslaugų lygio. 24 straipsnis Leidimas susipažinti su ESĮI 1.Kiekviena Sąjungos institucija ir įstaiga savo organizacijoje nustato pareigas, kurias einant reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, kad jos turėtojas galėtų tas pareigas vykdyti. 2.Kai asmeniui reikia leidimo susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, atitinkama institucija arba įstaiga informuoja kompetentingą saugumo instituciją, o ši atlieka II priedo 1 punkte nustatytus formalumus. 3.Kiekvienos Sąjungos institucijos ir įstaigos saugumo institucija yra atsakinga už leidimų savo darbuotojams susipažinti su ESĮI išdavimą, galiojimo sustabdymą, panaikinimą ir atnaujinimą. 4.Išskirtinėmis aplinkybėmis, kai tai tinkamai pagrindžiama tarnybos interesais ir kai laukiama išsamaus patikimumo patikrinimo pabaigos, Sąjungos institucijos arba įstaigos saugumo institucija, nepažeisdama leidimo susipažinti su ESĮI atnaujinimo nuostatų ir atsižvelgdama į atitinkamos nacionalinės saugumo institucijos atliktą patikrą, gali išduoti asmenims laikiną leidimą susipažinti su ESĮI konkrečioms pareigoms atlikti. 5.Sąjungos institucijos ir įstaigos laikosi II priede nustatytų leidimų susipažinti su ESĮI valdymo procedūrų. 25 straipsnis Leidimų susipažinti su ESĮI pripažinimas 1.Leidimas susipažinti su tam tikro lygio slaptumo žyma pažymėta ESĮI galioja bet kurioje Sąjungos institucijoje arba įstaigoje, į kurią asmuo yra paskirtas. 2.Sąjungos institucijos ir įstaigos pripažįsta viena kitos išduotus leidimus susipažinti su ESĮI. 3.Jei leidimo susipažinti su ESĮI turėtojas pradeda dirbti kitoje Sąjungos institucijoje arba įstaigoje, ta Sąjungos institucija arba įstaiga per kompetentingą saugumo instituciją praneša atitinkamai NSI apie darbdavio pasikeitimą. 26 straipsnis

ESĮI informaciniai susirinkimai 1.Sąjungos institucijos arba įstaigos saugumo institucija visiems asmenims, kuriems reikia susipažinti su ESĮI, surengia informacinį susirinkimą apie visas grėsmes saugumui ir apie jų pareigą pranešti apie bet kokią įtartiną veiklą. Informacinis susirinkimas rengiamas prieš suteikiant galimybę susipažinti su ESĮI, o vėliau – bent kas penkerius metus. 2.Po 1 dalyje nurodyto informacinio susirinkimo visi susiję asmenys raštu patvirtina, kad jie suprato įsipareigojimus saugoti ESĮI ir jos neteisėto atskleidimo padarinius. 3.1 dalyje nurodytame informaciniame susirinkime pateikiama ši informacija: a)vadovaujantis taikytinomis taisyklėmis ir nuostatomis, asmeniui, kuris pažeidė šiame reglamente nustatytas saugumo taisykles, gali būti taikomos drausminės priemonės; b)vadovaujantis taikytinomis teisės normomis, taisyklėmis ir nuostatomis, asmeniui, kuris neteisėtai atskleidė ar pametė ESĮI, taikomos drausminės arba teisinės priemonės. 4.Jei asmenims, kuriems buvo išduotas leidimas susipažinti su ESĮI, nebereikia su ja susipažinti, Sąjungos institucijos ir įstaigos užtikrina, kad tie asmenys būtų informuoti apie jų įsipareigojimus toliau saugoti ESĮI ir atitinkamais atvejais jie tai patvirtina raštu. 5.Sąjungos institucijos ir įstaigos gali dalytis ESĮI informacinių susirinkimų rengimo ir valdymo užduotimi, jei atsižvelgiama į jų konkrečius poreikius. 3 skirsnis

Fizinis saugumas 27 straipsnis Pagrindiniai principai 1.Kiekviena Sąjungos institucija ir įstaiga, remdamasi savo saugumo institucijos atliktu rizikos vertinimu, pagal III priedą ir pakopinės apsaugos principą nustato savo vietoms tinkamas fizinio saugumo priemones. Priemonėmis siekiama šių tikslų: a)neleisti susipažinti su ESĮI ar sutrukdyti įsibrovėliui įsiveržti jėga; b)kuo greičiau atgrasyti nuo neteisėtų veiksmų, jiems trukdyti bei juos nustatyti ir reaguoti į saugumo incidentus; c)sudaryti sąlygas skirstyti personalą pagal tai, kas gali susipažinti su ESĮI, laikantis būtinybės žinoti principo ir atitinkamais atvejais – remiantis jų patikimumo pažymėjimais; 2.Sąjungos institucijos ir įstaigos taiko fizinio saugumo priemones visose vietose, kuriose aptariama, saugoma ar tvarkoma ESĮI, įskaitant zonas, kuriose įrengtos ryšių ir informacinės sistemos, nurodytos šio skyriaus 5 skirsnyje. 3.CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėtai informacijai fiziškai apsaugoti naudojama tik Sąjungos institucijos arba įstaigos saugumo institucijos patvirtinta saugumo įranga. 4.Sudariusios susitarimą, Sąjungos institucijos ir įstaigos gali dalytis III priede nurodytomis saugumo zonomis ESĮI tvarkyti ir saugoti. 28 straipsnis Fizinio saugumo pogrupis

1.7 straipsnio 1 dalies c punkte nurodyto fizinio saugumo pogrupio funkcijos ir pareigos: a)rengti rekomendacinius dokumentus, susijusius su fizinio saugumo klausimais; b)apibrėžti bendruosius saugumo kriterijus, taikomus norint įsigyti įrangą, pvz., apsaugines talpyklas, naikiklius, durų užraktus, elektronines patekimo kontrolės sistemas, įsibrovimo aptikimo sistemas ir signalizacijos sistemas, skirtus ESĮI fizinei apsaugai užtikrinti; c)padėti Sąjungos institucijoms ir įstaigoms nustatyti tinkamas saugumo priemones jų vietose; d)siūlyti kompensacinių priemonių ESĮI apsaugai, kai ESĮI tvarkoma už Sąjungos institucijos ir įstaigos fiziškai saugomų zonų ribų, užtikrinti. 29 straipsnis ESĮI fizinė apsauga 1.Siekdamos užtikrinti fizinę ESĮI apsaugą, Sąjungos institucijos ir įstaigos nustato šias fiziškai saugomas zonas: a)administracines zonas, nurodytas III priede; b)kai tinkama, saugumo zonas, įskaitant I klasės, II klasės ir techniniu požiūriu saugias saugumo zonas, nurodytas III priede. 2.Atitinkamos Sąjungos institucijos ir įstaigos saugumo institucija rengia vidaus patikrinimą, kad išsiaiškintų, ar laikomasi III priede nustatytų sąlygų, pagal kurias zona nustatoma kaip administracinė ar saugumo zona. Jeigu patikrinimo ataskaitoje nurodoma, kad sąlygų laikomasi, saugumo institucija gali akredituoti saugumo zoną nustatyto lygio saugumo žyma pažymėtai ESĮI saugoti ne ilgesnį kaip penkerių metų laikotarpį. Atitinkamos Sąjungos institucijos arba įstaigos saugumo institucija yra atsakinga už savo saugumo zonų pakartotinio akreditavimo proceso vykdymą iki akreditacijos galiojimo pabaigos arba visais atvejais, kai akredituotoje zonoje buvo padaryti pakeitimai. 3.Kiekviena Sąjungos institucija ir įstaiga patvirtina CONFIDENTIEL UE/EU-CONFIDENTIAL ir aukštesnio lygio biurų, salių, saugyklų ir apsauginių talpyklų raktų ir jų kodų valdymo procedūras. 4.Saugumo institucija gali leisti apieškoti įeinančius ir išeinančius asmenis siekdama atgrasyti nuo to, kad į vietas be leidimo būtų įnešama medžiaga arba iš jos be leidimo būtų išnešama ESĮI, ir siekdama tai aptikti. 5.Sąjungos institucijos ir įstaigos nustato ESĮI fizinės apsaugos priemones pagal III priedą. 4 skirsnis

ESĮI valdymas 30 straipsnis Pagrindiniai principai 1.Sąjungos institucijos ir įstaigos registruoja, kataloguoja, saugo ir galiausiai pašalina, atrenka ESĮI dokumentus arba perduoda juos į atitinkamus archyvus, laikydamosi saugojimo politikos ir taisyklių, taikomų kiekvienos Sąjungos institucijos ir įstaigos byloms. 2.Sąjungos institucija ir įstaiga, kuri yra ESĮI rengėja, ją parengusi, nustato tos informacijos slaptumo žymą pagal 18 straipsnio 1 dalį.

3.Sąjungos institucijos ir įstaigos, nurodydamos slaptumo žymą arba paskelbdamos, jei informacija pateikiama žodžiu, aiškiai nurodo slaptumo žymos lygį gavėjams. 4.Dokumento projektams, kopijoms ir vertimams taikomos tokios pat saugumo priemonės kaip ir dokumento originalui. 5.Sąjungos institucijos ir įstaigos nustato ESĮI valdymo priemones pagal IV priedą. 31 straipsnis ESĮI rengimas 2. Sąjungos institucijos ir įstaigos, kurių atsakomybe rengiama ESĮI, užtikrina, kad būtų laikomasi šių reikalavimų: a)kiekvienas puslapis aiškiai pažymimas tam tikro lygio slaptumo žyma; b)kiekvienas puslapis numeruojamas; c)dokumente nurodomas jo numeris, kai taikoma, – registracijos numeris, ir dalykas, kuris pats nėra ESĮI, išskyrus tuo atveju, kai jis pažymėtas kaip įslaptinta informacija; d)dokumente nurodoma jo parengimo data; e)visi priedai ir priedėliai išvardijami, jeigu įmanoma, pirmame puslapyje; f)jei platinamos kelios dokumentų, pažymėtų SECRET UE/EU SECRET ar aukštesnio lygio slaptumo žyma, kopijos, kiekviename kiekvienos iš jų puslapyje nurodomas kopijos numeris. Elektroninės kopijos, platinamos už laikymo sistemos ribų, žymimos unikaliu identifikatoriumi, grindžiamu elektroniniu parašu. 32 straipsnis Rengėjo vykdoma kontrolė 1.Sąjungos institucija arba įstaiga, kurios atsakomybe rengiamas ESĮI dokumentas, atlieka to dokumento rengėjo kontrolę. Rengėjas nustato dokumento slaptumo žymos lygį ir atsako už jo pirminį platinimą. Nedarant poveikio Reglamentui 1049/2001, išankstinis raštiškas rengėjo sutikimas gaunamas prieš informaciją: a)išslaptinant arba sumažinant jos slaptumo lygį; b)naudojant kitais nei rengėjo nustatytais tikslais; c)persiunčiant bet kuriam subjektui, nepriklausančiam informaciją turinčiai Sąjungos institucijai arba įstaigai, įskaitant trečiąją valstybę ar tarptautinę organizaciją, kitą Sąjungos instituciją ar įstaigą, valstybes nares, rangovą arba potencialų rangovą, gavėją arba būsimą gavėją; d)kopijuojant ir verčiant, jei slaptumo žymos lygis yra TRES SECRET-UE/EU-TOP SECRET. 2.Jei ESĮI dokumento rengėjo neįmanoma nustatyti, tą įslaptintą informaciją turinti Sąjungos institucija arba įstaiga atlieka rengėjo kontrolę.

3.ESĮI dokumento rengėjai registruoja visus įslaptintus šaltinius, naudotus rengiant įslaptintus dokumentus, įskaitant išsamią informaciją apie valstybių narių, tarptautinių organizacijų ar trečiųjų valstybių kilmės šaltinius. Prireikus įslaptintos informacijos visuma žymima taip, kad būtų galima apsaugoti naudotos įslaptintos pradinės medžiagos rengėjų tapatybę. 33 straipsnis Slaptumo žymos 1.Atitinkamais atvejais, be vienos iš slaptumo žymų, ESĮI dokumentai gali būti žymimi papildomomis žymomis, pavyzdžiui, platinimo ar leidimo suteikti informaciją žymomis, arba žymomis, nurodančiomis rengėją. 2.Atskiroms ESĮI dokumento dalims gali būti suteikiamos skirtingos slaptumo žymos ir jos atitinkamai pažymimos. Dokumento ar dokumentų bylos bendras slaptumo žymos lygis turi būti ne žemesnis už aukščiausią slaptumo žymos lygį turinčią jo dalį. 3.Dokumentams, kurių dalys pažymėtos skirtingo lygio slaptumo žymomis, suteikiama tokia struktūra, kad skirtingo lygio slaptumo žymomis pažymėtas dalis būtų galima lengvai nustatyti ir prireikus atskirti. 34 straipsnis ESĮI registrų sistema 1.Visos Sąjungos institucijos ir įstaigos, kurios tvarko ir saugo CONFIDENTIEL UE/EU CONFIDENTIEL arba aukštesnio lygio slaptumo žyma pažymėtą informaciją, sukuria vieną ar daugiau ESĮI registrų, kad būtų užtikrintas tos informacijos registravimas saugumo tikslais jai patekus į Sąjungos instituciją arba įstaigą arba jas palikus. 2.Visi ESĮI registrai įkuriami saugumo zonose, kaip nurodyta III priede. 3.Sąjungos institucijos ir įstaigos paskiria registrų kontrolės pareigūną (toliau – RKP), kuris tvarko kiekvieną ESĮI registrą. RKP turi atitinkamą patikimumo pažymėjimą ir leidimą pagal 24 straipsnį. Sąjungos institucijos ir įstaigos užtikrina tinkamą savo RKP mokymą. 35 straipsnis Slaptumo lygio sumažinimas ir išslaptinimas 1.Informacija lieka įslaptinta tik tol, kol ją būtina apsaugoti. ESĮI, kuriai nebereikia pirminės slaptumo žymos, slaptumo lygis sumažinamas iki žemesnio lygio. ESĮI, kurios nebereikia laikyti įslaptinta, išslaptinama. 2.ESĮI rengėjas, kai įmanoma, rengdamas ESĮI, ypač RESTREINT UE/EU RESTRICTED slaptumo žyma žymimą informaciją, nurodo, ar tam tikrą dieną arba po tam tikro įvykio galima sumažinti ESĮI slaptumo lygį arba ją išslaptinti. 3.Dokumentą parengusi Sąjungos institucija arba įstaiga atsako už sprendimą, ar ESĮI dokumento slaptumo lygis gali būti sumažintas arba dokumentas gali būti išslaptintas. Ji reguliariai ir bent kas penkerius metus peržiūri informaciją ir įvertina riziką, kad nustatytų, ar pradinės slaptumo žymos lygis tebėra pagrįstas. 4.Sąjungos institucijos ir įstaigos, turinčios ESĮI, bet nesančios jos rengėjos, be išankstinio rašytinio rengėjo sutikimo negali sumažinti to dokumento slaptumo lygio ar to dokumento išslaptinti, taip pat negali keisti ar pašalinti 18 straipsnio 1 dalyje nurodytų žymų. 5.Sąjungos institucijos ir įstaigos savo parengtos ESĮI slaptumo lygį gali iš dalies sumažinti arba informaciją išslaptinti. Tokiais atvejais parengiama ištrauka, kurios slaptumo lygis sumažintas arba ji išslaptinta. 6.Sąjungos institucijos ir įstaigos informuoja ESĮI gaunančią organizaciją apie jos slaptumo lygio sumažinimą arba informacijos išslaptinimą. 36 straipsnis

Dokumentų, kurių slaptumo lygis sumažintas ir kurie išslaptinti, žymėjimas 1.Kai Sąjungos institucijos ir įstaigos nusprendžia išslaptinti ESĮI dokumentą, apsvarstoma, ar jis turi būti žymimas neskelbtinos neįslaptintos informacijos platinimo žyma. 2.Kiekvieno puslapio viršuje ir apačioje esanti pradinė slaptumo žyma matomai perbraukiama: naudojama perbraukimo funkcija elektroninėje formoje arba perbraukiama ranka popierinėje kopijoje. Pradinė slaptumo žyma nepašalinama. 3.Pirmasis puslapis arba viršelis užantspauduojamas kaip sumažinto slaptumo ar išslaptintas, ir užrašomi už slaptumo lygio sumažinimą ar išslaptinimą atsakingos institucijos duomenys ir atitinkama data. Rengėjo atsakomybe elektroninių ESĮI dokumentų slaptumo lygio sumažinimas arba dokumento išslaptinimas patvirtinamas elektroniniu parašu. 37 straipsnis ESĮI sunaikinimas ir ištrynimas 1.Sąjungos institucijos ir įstaigos bent kas penkerius metus peržiūri ESĮI popieriuje ir RIS, kad nustatytų, ar ji turi būti sunaikinta arba ištrinta. Kai ESĮI sunaikinama arba ištrinama, jos duoda nurodymus visiems anksčiau tą ESĮI gavusiems asmenims. 2.Atsižvelgdamos į atitinkamas dokumentų originalų tvarkymo taisykles, Sąjungos institucijos ir įstaigos gali sunaikinti ESĮI dublikatus, kurių nebereikia. 3.Sąjungos institucijos ir įstaigos sunaikina tik popierines jų registrų kontrolės pareigūno CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėtos informacijos kopijas. RKP atitinkamai atnaujina registracijos žurnalus ir kitą registracijos informaciją, išsaugodamas pagrindinius sunaikinto dokumento metaduomenis. Dokumentai, pažymėti SECRET UE/EU SECRET arba aukštesnio lygio slaptumo žyma, RKP naikinami tik dalyvaujant liudytojui, kuris turi patikimumo pažymėjimą, leidžiantį susipažinti su ne žemesnio už naikinamo dokumento slaptumo žymos lygio įslaptinta informacija. 4.RKP ir, kai taikoma, liudytojas, pasirašo sunaikinimo aktą, o šis registruojamas atitinkamame registre. CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET-UE/EU-SECRET lygių slaptumo žyma pažymėtos informacijos atveju aktas saugomas bent penkerius metus, o TRES SECRET-UE/EU-TOP SECRET lygio slaptumo žyma pažymėta informacija – ne trumpiau kaip 10 metų. 38 straipsnis ESĮI evakuacija ir sunaikinimas ekstremaliosios padėties atveju 1.Kiekviena Sąjungos institucija ir įstaiga parengia vietos sąlygomis pagrįstus evakuacijos ir naikinimo ekstremaliosios padėties atveju planus, kuriais siekiama apsaugoti ESĮI, kuriai gresia didelis pavojus patekti į leidimo neturinčias rankas. Patys operatyviniai duomenys apie evakuacijos ir sunaikinimo ekstremaliosios padėties atveju planus įslaptinami kaip RESTREINT UE/EU RESTRICTED. 2.Ekstremaliosios padėties atveju, kai kyla neišvengiama neteisėto ESĮI atskleidimo rizika, Sąjungos institucijos ir įstaigos evakuoja ESĮI. Kai evakuacija neįmanoma, ESĮI sunaikinama taip, kad nebūtų galima atkurti visos ESĮI ar jos dalies. 3.Rengėjas ir ESĮI parengęs registras informuojami apie įregistruotos ESĮI evakuaciją ar sunaikinimą ekstremaliosios padėties atveju. 4.Aktyvavus ekstremaliosios padėties planus, pirmenybė visų pirma teikiama aukštesnio lygio ESĮI, įskaitant šifravimo įrangą, evakavimui arba sunaikinimui. 39 straipsnis

Archyvavimas 1.Laikydamosi dokumentų tvarkymo politikos, Sąjungos institucijos ir įstaigos sprendžia, ar ir kada archyvuoti ESĮI ir kokių praktinių priemonių imtis. 2.ESĮI dokumentai į Europos Sąjungos istorinį archyvą neperduodami. 5 skirsnis

Ryšių ir informacinėse sistemose (RIS) esančios ESĮI apsauga 40 straipsnis Ryšių ir informacinių sistemų, kuriose tvarkoma ir saugoma ESĮI, akreditavimo pogrupis 7 straipsnio 1 dalies d punkte nurodyto ryšių ir informacinių sistemų, kuriose tvarkoma ir saugoma ESĮI, akreditavimo pogrupio funkcijos ir pareigos: a)padėti Sąjungos institucijoms ir įstaigoms vykdyti akreditavimo procesus; b)rekomenduoti akreditavimo standartą, kurio turi laikytis visos Sąjungos institucijos ir įstaigos; c)skleisti geriausią RIS akreditavimo patirtį bei gaires ir jomis dalytis. 41 straipsnis Ryšių ir informacinės sistemos Sąjungos institucijos ir įstaigos laikosi šių reikalavimų dėl ryšių ir informacinių sistemų, kuriose bus tvarkoma ir saugoma ESĮI: a)kad apibrėžtų akreditavimo reikalavimus, sistemos savininkas arba informacijos saugumo užtikrinimo operacinė institucija, prieš kurdami, pirkdami RIS arba sudarydami sąlygas joje tvarkyti ir saugoti ESĮI, konsultuojasi su saugumo akreditavimo institucija; b)siekiant užtikrinti informacijos saugumo rizikos valdymą ir atsižvelgiant į būtinybės žinoti, minimalaus funkcionalumo, pakopinės apsaugos, būtinųjų privilegijų, pareigų atskyrimo ir keturių akių principus, nuo pat projekto pradžios ryšių ir informacinės sistemos, kuriose bus tvarkoma ir saugoma ESĮI, kuriamos vadovaujantis pagrindiniais saugumo principais; c)ryšių ir informacinių sistemų, kuriose tvarkoma ir saugoma ESĮI, saugojimo, centrinio apdorojimo ir tinklo valdymo komponentai įrengiami III priede nurodytoje saugumo zonoje; d)įgyvendina TEMPEST saugumo priemones, kurios yra proporcingos neteisėto naudojimosi informacija rizikai ir informacijos slaptumo žymos lygiui; e)visi darbuotojai, dalyvaujantys ryšių ir informacinėje sistemoje tvarkant ir saugant ESĮI, praneša saugumo institucijai ir atitinkamam sistemos savininkui arba informacijos saugumo užtikrinimo operacinei institucijai apie bet kokias galimas saugumo spragas, incidentus, saugumo pažeidimus ar pavojus sistemai, kurie gali daryti poveikį RIS arba joje esančios ESĮI apsaugai; f)atitinkamais atvejais saugumo institucija praneša visų kitų susijusių Sąjungos institucijų ir įstaigų saugumo institucijoms apie galimas saugumo spragas ar incidentus, kurie galėtų daryti poveikį jų RIS, kuriose tvarkoma ir saugoma ESĮI. 42 straipsnis

Kriptografinės priemonės 1.Perduodant ir saugant ESĮI elektroninėmis priemonėmis naudojamos patvirtintos kriptografinės priemonės. Patvirtintų kriptografinių priemonių sąrašą tvarko Taryba, remdamasi nacionalinių saugumo institucijų informacija. 2.Jei į 1 dalyje nurodytą sąrašą neįtraukta jokia pagal numatytą paskirtį tinkama priemonė, atitinkamos Sąjungos institucijos arba įstaigos kriptografijos patvirtinimo institucija prašo Tarybos laikino patvirtinimo. Jei įmanoma, atrenkama kriptografinė priemonė, kurią patvirtina valstybės narės nacionalinė saugumo institucija. Taryba imasi būtinų priemonių siekdama užtikrinti, kad į sąrašą būtų įtraukta tinkama priemonė. 3.Kriptografinių priemonių patvirtinimas galioja ne ilgiau kaip penkerius metus ir vėliau peržiūrimas kasmet. 4.Iš patvirtintų kriptografinių priemonių sąrašo Taryba išbraukia visas kriptografines priemones, kurių nacionalinis patvirtinimas panaikintas arba kurių nacionalinio patvirtinimo galiojimas yra pasibaigęs. 5.Koordinavimo grupė kasmet informuoja Tarybą apie visas kriptografines priemones, kurias, remdamasi Sąjungos institucijose ir įstaigose atlikta apklausa, ji rekomenduoja valstybės narės kriptografijos patvirtinimo institucijai įvertinti. 43 straipsnis RIS, kuriose tvarkoma ir saugoma ESĮI, akreditacija 1.Akredituodamos RIS, kuriose tvarkoma ir saugoma ESĮI, Sąjungos institucijos ir įstaigos patvirtina, kad įgyvendintos visos atitinkamos saugumo priemonės ir kad pasiektas pakankamas ESĮI ir RIS apsaugos lygis pagal šį reglamentą. 2.RIS savininkas arba informacijos saugumo užtikrinimo operacinė institucija atsako už akreditavimo bylų ir dokumentų, įskaitant įvairių tipų naudotojams skirtus vadovus, parengimą. 3.Kiekvienos Sąjungos institucijos ir įstaigos saugumo akreditavimo institucija yra atsakinga už visų jai priklausančių RIS akreditavimo proceso ir aiškių sąlygų, kurias reikia patvirtinti, nustatymą. 4.Kai RIS, kurioje tvarkoma ir saugoma ESĮI, yra susijusi tiek su Sąjungos institucijomis ir įstaigomis, tiek su nacionalinėmis saugumo institucijomis, atitinkamos Sąjungos institucijos ir įstaigos, priimdamos papildomas įgyvendinimo taisykles pagal 8 straipsnio 2 dalį, įsteigia bendrą saugumo akreditavimo valdybą, atsakingą už sistemos akreditaciją. Tą valdybą sudaro susijusių šalių saugumo akreditavimo institucijos atstovai, o jai pirmininkauja Sąjungos institucijos arba įstaigos, kuriai priklauso RIS, saugumo akreditavimo institucija. 44 straipsnis RIS, kuriose tvarkoma ir saugoma ESĮI, akreditavimo procesas 1.Visos RIS, kuriose tvarkoma ir saugoma ESĮI, akredituojamos remiantis informacijos saugumo užtikrinimo principais, kurių išsamumo lygis turi atitikti reikalaujamą apsaugos lygį. 2.Pasibaigus akreditavimo procesui parengiamas akreditacijos pareiškimas, kuriame nurodomas aukščiausias informacijos, kuri gali būti tvarkoma ir saugoma RIS, slaptumo žymos lygis ir atitinkami reikalavimai bei sąlygos. Akreditacijos pareiškimas grindžiamas oficialiu rizikos vertinimo ir atitinkamoms RIS įgyvendintų saugumo priemonių patvirtinimu, kuriame pateikiamas patikinimas dėl šių elementų: a)informacijos saugumo rizikos valdymo procesas atliktas tinkamai; b)sistemos arba rizikos valdytojas žino apie likutinę riziką ir sutinka ją prisiimti; c)laikantis šio reglamento pasiektas pakankamas RIS ir joje tvarkomos ir saugomos ESĮI apsaugos lygis.

3.Akreditacijos pareiškimą oficialiai patvirtina Sąjungos institucijos arba įstaigos saugumo akreditavimo institucija. Sėkmingai patvirtinusi pareiškimą, saugumo akreditavimo institucija išduoda naudojimo leidimą, kuriuo nustatomas aukščiausias ESĮI, kuri gali būti tvarkoma RIS, slaptumo žymos lygis ir atitinkami naudojimo reikalavimai bei sąlygos. Patvirtinimas išduodamas nustatytam laikotarpiui. Jei neįdiegta viena ar daugiau būtinų saugumo priemonių, tačiau tai neturi didelio poveikio bendram saugumui, gali būti išduodamas laikinas naudojimo leidimas, kuriame nurodomi taisytini dalykai. 4.Bet kuriuo RIS gyvavimo ciklo momentu atitinkamos Sąjungos institucijos arba įstaigos saugumo akreditavimo institucija gali imtis šių veiksmų: a)taikyti akreditavimo procesą; b)atlikti RIS auditą arba patikrą; c)kai nebetenkinamos naudojimo sąlygos, pavyzdžiui, kai saugumo incidentas atskleidė didelį RIS pažeidžiamumą, turi per aiškiai nustatytą laikotarpį parengti ir veiksmingai įgyvendinti saugumo gerinimo planą, galbūt panaikinant RIS naudojimo leidimą, kol veikimo sąlygos bus įvykdytos. 5.Naudojimo leidimo galiojimo laikotarpiu sistemos savininkas arba informacijos saugumo užtikrinimo operacinė institucija kasmet saugumo akreditavimo institucijai pateikia oficialią ataskaitą, įskaitant visų reikšmingų incidentų, pokyčių ir rizikos veiksnių santrauką. 45 straipsnis Nepaprastosios aplinkybės 1.Sąjungos institucijos ir įstaigos, gavusios kriptografijos patvirtinimo institucijos patvirtinimą, gali taikyti specialias įslaptintos ESĮI perdavimo ar saugojimo procedūras nepaprastosios padėties, pavyzdžiui, gresiančių ar faktinių krizių, konfliktų, karo situacijų arba išimtinių operacinių aplinkybių, atvejais. 2.1 dalyje nurodytomis aplinkybėmis ESĮI gali būti perduodama kriptografinėmis priemonėmis, kurios, kompetentingai institucijai pritarus, buvo patvirtintos žemesnio slaptumo lygio arba nešifruotai informacijai, jei bet koks vėlavimas padarytų aiškiai didesnę žalą nei įslaptintos medžiagos atskleidimas ir esant tokioms sąlygoms: a)siuntė