Pašlaik Savienības iestādēm un struktūrām ir vai nu savi informācijas drošības noteikumi, kuru pamatā ir to reglaments vai dibināšanas akts, vai arī to nav vispār. Tas galvenokārt attiecas uz vairākām mazām struktūrām, kurām nav oficiālas informācijas drošības politikas.

5.Vairākas sanāksmes un viedokļu apmaiņa ar kolēģiem no iestādēm, struktūrām, birojiem un aģentūrām, kā arī no dalībvalstu valsts drošības iestādēm.

Turklāt ik pēc pieciem gadiem Komisija izvērtē šo regulu no tās faktiskās darbības viedokļa un, pamatojoties uz to, lemj, vai tiesību aktos ir nepieciešami grozījumi.

Katrā no pārējām iedaļām galvenā uzmanība pievērsta ESKI aizsardzības standartiem, kas saistīti ar to konkrēto jomu. Sīkāka informācija par ESKI aizsardzību ir norādīta II–V pielikumā. VI pielikumā ir tabula par ESKI atbilstību dalībvalstu un Eiropas Atomenerģijas kopienas drošības klasifikācijai.

(1)Savienības iestādēm un struktūrām pašlaik ir savi informācijas drošības noteikumi, kuru pamatā ir to reglaments vai dibināšanas akts, vai to nav vispār. Šādā situācijā katra Savienības iestāde un struktūra iegulda ievērojamas pūles, lai pieņemtu dažādas pieejas, tādējādi radot situāciju, kad informācijas apmaiņa ne vienmēr ir uzticama. Kopīgas pieejas trūkums kavē tādu kopīgu rīku ieviešanu, kuru pamatā ir saskaņots noteikumu kopums atkarībā no aizsargājamās informācijas drošības vajadzībām.

(8)Lai radītu oficiālu struktūru sadarbībai starp Savienības iestādēm un struktūrām informācijas drošības jomā, nepieciešams izveidot Iestāžu koordinācijas grupu (“Koordinācijas grupa”), kurā ir pārstāvētas visas Savienības iestāžu un struktūru drošības iestādes. Koordinācijas grupai, kurai nebūtu lēmumu pieņemšanas pilnvaru, būtu jāuzlabo politikas saskaņotība informācijas drošības jomā un jāveicina informācijas drošības procedūru un rīku saskaņošana visās Savienības iestādēs un struktūrās.

(9)Koordinācijas grupas darbam nepieciešams ekspertu atbalsts dažādās informācijas drošības jomās: kategorizēšana un marķēšana, komunikācijas un informācijas sistēmas, akreditācija, fiziskā drošība un dalīšanās ar ESKI un klasificētas informācijas apmaiņa. Tāpēc, lai novērstu centienu dublēšanos Savienības iestādēs un struktūrās, būtu jāizveido tematiskās apakšgrupas. Turklāt nepieciešamības gadījumā Koordinācijas grupai vajadzētu būt iespējai izveidot citas apakšgrupas ar konkrētiem uzdevumiem.

(10)Koordinācijas grupai būtu cieši jāsadarbojas ar dalībvalstu valsts drošības iestādēm, lai uzlabotu informācijas drošību Savienībā. Tādēļ būtu jāizveido dalībvalstu informācijas drošības komiteja, kas sniegtu konsultācijas Koordinācijas grupai.

(11)Lai gan, pamatojoties uz sadarbības principu, ir izveidotas kopīgās struktūras, kas pārstāv visas Savienības iestādes un struktūras, katrai iestādei un struktūrai arī turpmāk vajadzētu būt pilnībā atbildīgai par informācijas drošību savā organizācijā. Katrai Savienības iestādei un struktūrai vajadzētu būt drošības iestādei un vajadzības gadījumā citām iestādēm, kas atbild par konkrētiem pienākumiem saistībā ar informācijas drošību.

(12)Informācijas drošības riska pārvaldības principam vajadzētu būt tās politikas pamatā, ko šajā jomā izstrādā katra Savienības iestāde un struktūra. Šajā regulā noteiktās minimālās prasības ir jāievēro, taču katrai Savienības iestādei un struktūrai būtu jāpieņem īpaši drošības pasākumi informācijas aizsardzībai saskaņā ar iekšējā riska novērtējuma rezultātiem. Tāpat informācijas aizsardzības tehniskie līdzekļi būtu jāpielāgo katras iestādes un struktūras konkrētajai situācijai.

(13)Ņemot vērā to, cik dažādas ir neklasificētas informācijas kategorijas, ko Savienības iestādes un struktūras ir ieviesušas, pamatojoties uz saviem drošības informācijas noteikumiem, un lai izvairītos no kavēšanās šīs regulas īstenošanā, Savienības iestādēm vai struktūrām vajadzētu būt iespējai saglabāt savu marķēšanas sistēmu iekšējām vajadzībām vai informācijas apmaiņai ar saviem konkrētajiem partneriem no citām iestādēm un struktūrām vai no dalībvalstīm.

(14)Tīkli, ko izmanto, lai pieslēgtos Savienības iestādes vai struktūras attālinātas piekļuves pakalpojumiem, būtu jāaizsargā ar atbilstošiem drošības pasākumiem ar mērķi pielāgoties jaunajai tāldarba praksei.

(15)Tā kā Savienības iestādes un struktūras bieži izmanto darbuzņēmējus un ārpakalpojumus, ir svarīgi izstrādāt kopīgus noteikumus par līgumslēdzēju personālu, kas veic ar informācijas drošību saistītus uzdevumus.

(16)Dažādu Savienības iestāžu un struktūru iekšējos noteikumos pašlaik ir saskaņotas materiālo tiesību normas par piekļuvi ESKI, taču pastāv būtiskas atšķirības attiecībā uz apzīmējumiem un nepieciešamajām procedūrām. Tas rada slogu dalībvalstu valsts drošības iestādēm, kurām jāpielāgojas dažādām prasībām. Tādēļ nepieciešams paredzēt kopēju glosāriju un kopējas procedūras personāla drošības jomā, tādējādi vienkāršojot sadarbību ar dalībvalstu valsts drošības iestādēm un ierobežojot risku apdraudēt ESKI.

(17)Ņemot vērā resursu atšķirības starp Savienības iestādēm un struktūrām un lai racionalizētu to attiecīgās procedūras un praksi, drošības pārbaudes uzdevumus var uzticēt Komisijai, lai nodrošinātu ilglaicīgas prakses turpināšanu drošības pārbaudes jomā un veicinātu katrai drošības iestādei uzticēto uzdevumu centralizāciju.

(18)ESKI aizsardzību nodrošina arī ar tehniskiem un organizatoriskiem pasākumiem, kas attiecas uz to Savienības iestāžu un struktūru celtnēm, ēkām, telpām, birojiem vai objektiem, kurās ESKI apspriež, apstrādā vai glabā. Šī regula paredz īstenot informācijas drošības pārvaldības procesu fiziskās drošības jomā, kurš ļautu Savienības iestādēm un struktūrām izvēlēties savām atrašanās vietām piemērotus drošības pasākumus.

(19)Visām Savienības iestādēm un struktūrām, kas apstrādā un glabā ESKI, savās atrašanās vietās būtu jāizveido fiziski aizsargātas zonas, lai nodrošinātu vienādu aizsardzības līmeni attiecīgo klasifikācijas līmeņu ESKI, ko tur apstrādā un glabā. Minētās zonas būtu jāapzīmē kā administratīvās zonas un drošības zonas, un tajās būtu jāievēro kopīgi minimālie ESKI aizsardzības standarti.

(20)Autora kontrole ir svarīgs princips ESKI pārvaldībā, tāpēc nepieciešams to skaidri noteikt un pilnveidot. Šajā ziņā ESKI izveide uzliek autoram atbildību, kurai būtu jāaptver viss attiecīgā ESKI dokumenta aprites cikls.

(21)Savienības iestādes un struktūras tradicionāli ir attīstījušas savas sakaru un informācijas sistēmas autonomi un nav pievērušas pietiekamu uzmanību to sadarbspējai ar visām Savienības iestādēm un struktūrām. Tādēļ nepieciešams noteikt minimālās drošības prasības attiecībā uz sakaru un informācijas sistēmām (SIS), kurās apstrādā un glabā gan ESKI, gan neklasificētu informāciju, lai garantētu netraucētu informācijas apmaiņu ar attiecīgajām ieinteresētajām personām.

(22)Lai panāktu vienotu akreditācijas standartu SIS, kurās apstrādā un glabā ESKI, Savienības iestādēm un struktūrām būtu jāsadarbojas šim nolūkam izveidotā grupā. Tām visām ir ieteicams izmantot šo standartu, lai veicinātu vispārēja ESKI aizsardzības līmeņa sasniegšanu. Tomēr attiecībā uz organizatorisko autonomiju lēmums paliek katras iestādes vai struktūras kompetentās iestādes ziņā.

(23)Piešķirot un īstenojot klasificētus līgumus vai dotāciju nolīgumus, visām Savienības iestādēm un struktūrām būtu jāievēro vienas un tās pašas procedūras un jāpiemēro vieni un tie paši pasākumi. Tādējādi nepieciešams skaidri noteikt klasificēto līgumu un dotāciju nolīgumu obligātos un fakultatīvos elementus. Tomēr ESKI aizsardzības pasākumos saistībā ar klasificētiem līgumiem un dotāciju nolīgumiem būtu jāņem vērā noteikumi, ko Savienības iestādes un struktūras kopā ar dalībvalstīm jau ir izstrādājušas atsevišķi šajā jomā.

(24)Ciešā sadarbība starp Savienības iestādēm un struktūrām, kā arī augstais sinerģijas līmenis to starpā nozīmē liela informācijas apjoma apmaiņu. Klasificētas informācijas drošības labad būtu jānovērtē Savienības iestādes vai struktūras uzticamība, pirms tā apstrādā un glabā noteikta līmeņa ESKI.

(25)Turklāt ESKI apmaiņa starp Savienības iestādēm un struktūrām un klasificētas informācijas apmaiņa ar starptautiskām organizācijām un trešām valstīm arī būtu jāreglamentē ar atbilstīgiem drošības pasākumiem minētās informācijas aizsardzībai. Ja ir iecerēti nolīgumi par informācijas drošību, būtu jāpiemēro Līguma 218. panta noteikumi.

(26)Nolīgumi par informācijas drošību ir paredzēti, lai nodrošinātu vispārējo tiesisko regulējumu Savienības klasificētas informācijas apmaiņai ar trešām valstīm un starptautiskām organizācijām; ir jāparedz arī iespēja Savienības iestādēm un struktūrām noslēgt administratīvas vienošanās ar konkrētu partneri no trešās valsts vai starptautiskas organizācijas, lai apmainītos ar ESKI.

(27)Ar šo regulu izveido visām Savienības iestādēm un struktūrām kopīgu sistēmu. Lai izvairītos no pārmērīga administratīvā sloga radīšanas Savienības iestādēm un struktūrām, kamēr tās pielāgo savus iekšējās drošības noteikumus šajā regulā paredzētajiem noteikumiem, šī regula būtu jāsāk piemērot divus gadus pēc tās stāšanās spēkā.