2000Q3614 — NL — 01.12.2001 — 001.001 — 1
Dit document vormt slechts een documentatiehulpmiddel en verschijnt buiten de verantwoordelijkheid van de instellingen
►B REGLEMENT VAN ORDE VAN DE COMMISSIE
(C(2000) 3614)
(PB L 308 van 8.12.2000, blz. 26)
Gewijzigd bij:
Publicatieblad
nr. blz. datum
►M1 Besluit2001/844/EG, EGKS, Eurat om van de Commissie van 29
november 2001L 317 1 3.12.2001
▼B
REGLEMENT VAN ORDE VAN DE COMMISSIE
(C(2000) 3614)
DE COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap
voor Kolen en Staal, en met name op artikel 16,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, en
metname op art ikel 218, lid 2,
Gelet op het Verdrag tot oprichting van de Europese Gemeenschap
voor Atoomenergie, en met name op artikel 131,
Geletop hetVerdrag bet reffende de Europese Unie, en metname op
artikel 28, lid 1, en artikel 41, lid 1,
STELT HET VOLGENDE REGLEMENT VAN ORDE VAST:
HOOFDSTUK I
DE COMMISSIE
Artikel 1
De Commissie handeltovereenkomst ig de bepalingen van ditreglement
van orde en met inachtneming van de door haar voorzitter vastgesteldepolitieke richtsnoeren als college.
Artikel 2
Met inachtneming van de door haar voorzitter vastgestelde politieke
richtsnoeren stelt de Commissie haar prioriteiten vast en stelt zij elkjaar haar werkprogramma vast.
Artikel 3
De voorzitter kan aan de leden van de Commissie een speciaal arbeids-
terrein toewijzen waarop zij voor de voorbereiding van de
werkzaamheden van de Commissie en de uitvoering van haar besluiten
in het bijzonder verantwoordelijk zijn. Ook kan hij de aldus toege-wezen taken te allen tijde wijzigen.
De voorzitter kan uit de leden van de Commissie werkgroepen vormen
waarvan de voorzitter door hem wordt aangewezen.
De voorzitter treedt op als vertegenwoordiger van de Commissie. Hij
wijstde leden van de Commissie aan die t otopdrachthebben hem in
deze functie bij te staan.
Artikel 4
De besluiten van de Commissie worden genomen:
a) in vergadering,
of
b) via de schriftelijke procedure overeenkomstig de bepalingen van
artikel 12,
of
c) via de machtigingsprocedure overeenkomstig de bepalingen van
artikel 13,
of
d) via de delegatieprocedure overeenkomstig de bepalingen van artikel
14.2000Q3614 — NL — 01.12.2001 — 001.001 — 2
▼B
Afdeling I
De vergaderingen van de Commissie
Artikel 5
De Commissie wordt in vergadering bijeengeroepen door de voorzitter.De Commissie vergadert in de regel ten minste eenmaal per week en
voorts telkens wanneer zulks noodzakelijk is.
De leden van de Commissie zijn gehouden alle vergaderingen bij te
wonen. De voorzitter beoordeelt elke situatie die voor hen aanleidingzou kunnen zijn deze verplichting niet op te volgen.
Artikel 6
De voorzitter stelt de agenda van elke vergadering van de Commissie
vast ; hij houdtdaarbij metname rekening methetin art ikel 2genoemde werkprogramma.
Onverminderd de bevoegdheid van de voorzitter om de agenda vast te
stellen, is voor de indiening van elk voorstel waarmee aanzienlijkeuitgaven zijn gemoeid, de instemming van het voor de begrotingverantwoordelijke lid van de Commissie vereist.
Elk puntwaarvan een lid van de Commissie plaat sing op de agenda
voorstelt, moet, behoudens in uitzonderlijke gevallen, ten minste negendagen van tevoren aan de voorzitter worden meegedeeld.
De agenda en de noodzakelijke werkdocumenten worden binnen de
termijnen en in de werktalen die de Commissie overeenkomstig artikel25 vaststelt, aan haar leden verstrekt.
Elk puntt en aanzien waarvan een lid van de Commissie verzoekthet
van de agenda af te voeren, wordt tot de volgende vergadering uitge-steld indien de voorzitter hiermee instemt.
De Commissie kan op voorstel van haar voorzitter beraadslagen over
een punt dat niet op de agenda is geplaatst of ten aanzien waarvan de
noodzakelijke werkdocumenten laattijdig zijn verstrekt. Zij kan met
meerderheid van stemmen besluiten over een agendapunt niet teberaadslagen.
Artikel 7
Voor de geldigheid van de besluiten van de Commissie is de aanwezig-
heid van de meerderheid van het in het Verdrag vastgestelde aantal
leden vereist.
Artikel 8
De Commissie besluitop voorst el van een of meer van haar leden.De Commissie gaat op verzoek van een van haar leden tot stemming
over. Deze stemming betreft het oorspronkelijke voorstel of een voor-stel dat door het verantwoordelijke lid, respectievelijk deverantwoordelijke leden, of door de voorzitter werd gewijzigd.
De besluiten van de Commissie worden genomen wanneer zij de
stemmen van de meerderheid van het in het Verdrag vastgestelde aantalleden hebben verkregen. Deze meerderheid is vereist, ongeacht deinhoud en de aard van hetbesluitvan de Commissie.
Artikel 9
De vergaderingen van de Commissie zijn nietopenbaar. De beraadsla-
gingen zijn vertrouwelijk.
Artikel 10
De secretaris-generaal woont de vergaderingen bij, tenzij de Commissie
anders besluit. De toepassingsbepalingen van dit reglement van orde2000Q3614 — NL — 01.12.2001 — 001.001 — 3
▼B
behelzen de voorwaarden waaronder aan andere personen toestemming
tot bijwoning van de vergaderingen wordt verleend.
Bij afwezigheid van een lid van de Commissie mag zijn kabinetschef
de vergadering bijwonen en, op verzoek van de voorzitter, het stand-
punt van het afwezige lid uiteenzetten.
De Commissie kan besluiten ieder ander persoon te horen.
Artikel 11
Van elke vergadering van de Commissie worden notulen opgemaakt.De ontwerp-notulen worden tijdens een volgende vergadering ter goed-
keuring aan de Commissie voorgelegd. De goedgekeurde notulenworden gewaarmerkt door de handtekening van de voorzitter en vande secretaris-generaal.
Afdeling II
De andere besluitvormingsprocedures
Artikel 12
De instemming van de leden van de Commissie met een door één of
meer van haar leden gedaan voorstel kan via een schriftelijke procedureworden verkregen, mits dat voorstel de instemming van de rechtstreeks
daarbij betrokken directoraten-generaal heeft verkregen en daarover
door de Juridische dienst een gunstig advies werd uitgebracht.
Te dien einde wordt de tekst van het voorstel schriftelijk aan alle leden
van de Commissie in de door haar overeenkomstig artikel 25 vastge-stelde talen overgelegd, onder mededeling van de gestelde termijnwaarbinnen de voorbehouden of amendementen waartoe het voorstel
eventueel aanleiding geeft, ter kennis moeten worden gebracht.
In de loop van de schriftelijke procedure kan elk lid van de Commissie
verzoeken om het voorstel ter vergadering te bespreken. Daartoe moeteen met redenen omkleed verzoek tot de voorzitter worden gericht.
Een voorstel ten aanzien waarvan geen enkel lid van de Commissie
binnen de voor een schriftelijke procedure vastgestelde termijn eenvoorbehoud heeftgemaaktof gehandhaafd, wordtgeachtdoor de
Commissie te zijn aangenomen. Van de goedgekeurde voorstellen
wordt aantekening gedaan in een dagregister; hiervan wordt in denotulen van de eerstvolgende vergadering van de Commissie meldinggemaakt.
Artikel 13
De Commissie kan, op voorwaarde dathetbeginsel van haar collegiale
verantwoordelijkheid ten volle wordt geëerbiedigd, één of meer vanhaar leden machtigen in haar naam en met inachtneming van de door
haar vastgestelde grenzen en voorwaarden maatregelen van beheer of
bestuur te nemen.
De Commissie kan eveneens in overleg met de voorzitter één of meer
van haar leden opdragen de definitieve tekst van een besluit of van eenvoorstel dat aan de andere instellingen moet worden voorgelegd enwaarvan zij de hoofdinhoud tijdens haar beraadslagingen heeft vastge-steld, goed te keuren.
De aldus verleende bevoegdheden mogen worden gesubdelegeerd aan
de directeuren-generaal en de diensthoofden, tenzij zulks in het machti-gingsbesluituit drukkelijk is verboden.
Het bepaalde in de eerste tot en met de derde alinea laat de regels voor
de delegaties op financieel gebied en voor de aan het tot aanstellingbevoegde gezag en aan hetgezagsorgaan datbevoegd is om aanst el-lingsovereenkomsten aan te gaan, toegekende bevoegdheden onverlet.2000Q3614 — NL — 01.12.2001 — 001.001 — 4
▼B
Artikel 14
De Commissie kan, op voorwaarde dathetbeginsel van haar collegiale
verantwoordelijkheid ten volle wordt geëerbiedigd, aan de directeuren-generaal en de diensthoofden de bevoegdheid delegeren om in haarnaam en met inachtneming van de door haar vastgestelde grenzen envoorwaarden maatregelen van beheer of bestuur te nemen.
Artikel 15
Van de besluiten die via de machtigingsprocedure of de delegatieproce-
dure zijn goedgekeurd, wordt aantekening gedaan in een dagregister;
hiervan wordt melding gemaakt in de notulen van de eerstvolgendevergadering van de Commissie.
Afdeling III
Voorbereiding en uitvoering van de besluiten van de Commissie
Artikel 16
De leden van de Commissie kunnen kabinetten vormen die tot opdracht
hebben hen bij de vervulling van hun taken en bij de voorbereiding vande besluiten van de Commissie bij te staan.
Voor de uitvoering van de hem toegewezen taken geeft het verantwoor-
delijke lid van de Commissie zijn instructies aan de betrokken diensten.
Artikel 17
De secretaris-generaal staat bij de voorbereiding van de werkzaam-
heden en van de vergaderingen van de Commissie de voorzitter bij.Hij staat tevens de voorzitters bij van de overeenkomstig artikel 3,tweede alinea, gevormde werkgroepen bij het voorbereiden en beleggenvan de vergaderingen van deze werkgroepen.
Hij draagtzorg voor hetgoede verloop van de besluit vormingsproce-
dures en ziet toe op de uitvoering van de in artikel 4 bedoeldebesluiten.
Hij draagt zorg voor de nodige coördinatie tussen de diensten tijdens de
voorbereidende werkzaamheden en zieterop t oe datde voor de indie-ning van de aan de Commissie voorgelegde documenten geldenderegels in achtworden genomen.
Hij treft de nodige maatregelen voor de kennisgeving van de besluiten
van de Commissie en voor de bekendmaking van die besluiten in hetPublicatieblad van de Europese Gemeenschappen alsmede voor de
toezending van de documenten van de Commissie en van die van haar
diensten aan de andere instellingen van de Europese Gemeenschappen.
Hij onderhoudt de officiële contacten met de andere instellingen van de
Europese Gemeenschappen, onverminderd de bevoegdheden die de
Commissie besluit zelf uit te oefenen of aan haar leden of haar diensten
te verlenen. Hij volgt de werkzaamheden van de andere instellingenvan de Europese Gemeenschappen en lichtde Commissie daarover in.
Artikel 18
De ter vergadering goedgekeurde besluiten worden, in de taal of talen
waarin zij authentiek zijn, op onscheidbare wijze als bijlage gevoegdbij een korte samenvatting van de inhoud die wordt opgesteld na afloopvan de vergadering van de Commissie waarop zij zijn aangenomen.
Deze besluiten worden gewaarmerkt door de handtekeningen van de
voorzitter en van de secretaris-generaal, die op de laatste bladzijdevan de korte samenvatting van de inhoud worden geplaatst.
De via de schriftelijke procedure goedgekeurde besluiten worden, in de
taal of talen waarin zij authentiek zijn, op onscheidbare wijze alsbijlage gevoegd bij het in artikel 12 bedoelde dagregister. Dezebesluiten worden gewaarmerkt door de handtekening van de secre-taris-generaal, die op de laatste bladzijde van het dagregister wordtgeplaatst.2000Q3614 — NL — 01.12.2001 — 001.001 — 5
▼B
De via de machtigingsprocedure goedgekeurde besluiten worden, in de
taal of talen waarin zij authentiek zijn, op onscheidbare wijze alsbijlage gevoegd bij het in artikel 15 bedoelde dagregister. Deze
besluiten worden gewaarmerkt door de handtekening van de secre-
taris-generaal, die op de laatste bladzijde van het dagregister wordtgeplaatst.
De via de delegatieprocedure of in het kader van subdelegatie overeen-
komstig artikel 13, derde alinea, goedgekeurde besluiten worden, in detaal of talen waarin zij authentiek zijn, op onscheidbare wijze alsbijlage gevoegd bij het in artikel 15 bedoelde dagregister. Deze
besluiten worden gewaarmerkt door een door de directeur-generaal of
het diensthoofd ondertekende akkoordverklaring.
In de zin van dit reglement van orde wordt onder „besluit” verstaan de
besluiten die een van de vormen hebben als bedoeld in artikel 14 van
hetEGKS-Verdrag, art ikel 249 van hetEG-Verdrag en art ikel 161 vanhetEGA-Verdrag.
In de zin van dit reglement van orde wordt onder „talen die authentiek
zijn” verstaan alle officiële talen van de Gemeenschappen wanneer hetgaat om besluiten met een algemene strekking en, wat de anderebesluiten betreft, de taal of de talen van degenen tot wie zij zijn
gericht.
HOOFDSTUK II
DE DIENSTEN VAN DE COMMISSIE
Artikel 19
Voor de voorbereiding en uitvoering van haar ambtsbezigheden
beschikt de Commissie over een samenstel van diensten, bestaande uitdirectoraten-generaal en daarmee gelijkgestelde diensten.
In beginsel zijn de directoraten-generaal en de daarmee gelijkgestelde
diensten onderverdeeld in directoraten, en de directoraten in admini-stratieve eenheden.
Artikel 20
Om in bijzondere behoeften te voorzien, kan de Commissie overgaan
tot de oprichting van specifieke structuren die met welomschrevenopdrachten worden belast en waarvan de Commissie de bevoegdhedenen de werkwijzen vaststelt.
Artikel 21
Teneinde de doeltreffendheid van het optreden van de Commissie te
waarborgen, werken de diensten bij de uitwerking en de uitvoeringvan de besluiten nauw en op gecoördineerde wijze met elkaar samen.
Alvorens een documentaan de Commissie wordtvoorgelegd, raad-
pleegt de verantwoordelijke dienst tijdig alle diensten die krachtenstaakgebieden, bevoegdheden of uit hoofde van te behandelen onder-werpen daarbij betrokken of daarin geïnteresseerd zijn, en stelt hij het
secretariaat-generaal op de hoogte van elk overleg indien dit zelf niet
tot de geraadpleegde diensten behoort. De Juridische dienst wordtgeraadpleegd over alle ontwerpen van en voorstellen voor besluiten,alsmede over alle documenten die juridische implicaties kunnenhebben. De directoraten-generaal die met de begrotingen, met perso-neelszaken en methetalgemeen beheer zijn belast , worden
geraadpleegd over alle documenten die een weerslag zouden kunnen
hebben op, respectievelijk, de begroting, de financiën, het personeelen hetalgemeen beheer. Ditgeldteveneens, indien nodig, voor hetdirectoraat-generaal dat met de financiële controle is belast.
De verantwoordelijke dienst tracht een voorstel te formuleren waarmee
de geraadpleegde diensten akkoord gaan. Indien geen overeenstemmingkan worden bereikt, voegt hij bij zijn voorstel, onverminderd hetbepaalde in artikel 12, de afwijkende adviezen van deze diensten.2000Q3614 — NL — 01.12.2001 — 001.001 — 6
▼B
HOOFDSTUK III
PLAATSVERVANGING
Artikel 22
De taak van de voorzitter wordt, indien hij is verhinderd, in de door de
Commissie vastgestelde volgorde waargenomen door een vice-voor-
zitter of door een lid.
Artikel 23
De taak van de secretaris-generaal wordt, indien hij is verhinderd, door
de adjunct-secretaris-generaal of, indien dit niet mogelijk is, door eendoor de Commissie aangewezen ambtenaar waargenomen.
Artikel 24
De directeur-generaal wordt bij diens verhindering vervangen door de
aanwezige adjunct-directeur-generaal die de oudste in dienstjaren of,bij een gelijk aantal dienstjaren, de oudste in leeftijd is, of, indiendeze functie niet bestaat, door een door de Commissie aangewezen
ambtenaar. Indien een dergelijke aanwijzing achterwege blijft, wordt
hij vervangen door de aanwezige ondergeschikte van de hoogste cate-gorie en rang die de oudste in dienstjaren of, bij een gelijk aantaldienstjaren, de oudste in leeftijd is.
Het hoofd van een administratieve eenheid wordt, indien hij is verhin-
derd, vervangen door hetadjunct -hoofd van de eenheid, wanneer eendergelijke functie bestaat.
Elke andere hiërarchisch meerdere wordtbij diens verhindering
vervangen door een ambtenaar die door de directeur-generaal in
overleg methetverant woordelijke lid van de Commissie wordtaange-wezen. Indien een dergelijke aanwijzing achterwege blijft, wordt hijvervangen door de aanwezige ondergeschikte van de hoogste categorieen rang die de oudste in dienstjaren of, bij een gelijk aantal dienstjaren,
de oudste in leeftijd is.
SLOTBEPALINGEN
Artikel 25
De Commissie bepaalt, voorzover noodzakelijk, de wijze van toepas-
sing van ditreglement .
De Commissie kan aanvullende maatregelen betreffende de werkwijze
van de Commissie en haar diensten nemen, die als bijlage aan ditreglementvan orde worden gehecht .
Artikel 26
Hetreglementvan orde van 18 sept ember 1999, gewijzigd bij Besluit
2000/633/EG, EGKS, Euratom, wordt ingetrokken.
Artikel 27
Ditreglementvan orde t reedtin werking op 1 januari 2001.
Artikel 28
Ditreglementvan orde wordtbekendgemaaktin het Publicatieblad van
de Europese Gemeenschappen .2000Q3614 — NL — 01.12.2001 — 001.001 — 7
▼B
BIJLAGE
BESTUURLIJKE GEDRAGSCODE VOOR HET PERSONEEL VAN DE
EUROPESE COMMISSIE BIJ DE CONTACTEN MET HET PUBLIEK
Goede dienstverlening
De Commissie en haar personeel zijn verplichtt e handelen in hetbelang van de
Gemeenschap, en daarmee in hetopenbaar belang.
De burgers verwachten terecht een goede dienstverlening en een open, toeganke-
lijk en goed geleid bestuur.
Om een goede dienstverlening te garanderen moeten de Commissie en haar
personeel hoffelijk, objectief en onpartijdig zijn.
Doel
Om te voldoen aan haar verplichtingen inzake goed bestuurlijk gedrag, in het
bijzonder in de contacten met het publiek, verplicht de Commissie zich ertoe
de in deze code vervatte bestuurlijke gedragsnormen na te leven en deze als
leidraad te nemen in haar dagelijkse werkzaamheden.
Werkingssfeer
De gedragscode is bindend voor alle personeelsleden die vallen onder het
Statuut van de ambtenaren van de Europese Gemeenschappen en de regeling
welke van toepassing is op de andere personeelsleden van de Europese Gemeen-
schappen, hierna „het Statuut” genoemd, of onder de andere regelingen inzake
de betrekkingen tussen de Commissie en haar personeel die van toepassing zijn
op de ambtenaren en de andere personeelsleden van de Europese Gemeen-
schappen. Personeelsleden met een privaatrechtelijk contract, door de nationale
overheid gedetacheerde deskundigen en stagiaires e.d. die voor de Commissie
werken, dienen de code echter ook als leidraad te nemen in hun dagelijkse
werkzaamheden.
De betrekkingen tussen de Commissie en haar personeel worden uitsluitend
geregeld door het Statuut.
1. ALGEMENE BEGINSELEN VAN GOED BESTUUR
De Commissie neemt in haar contacten met het publiek de volgende alge-
mene beginselen in acht:
RechtmatigheidDe Commissie handeltin overeenst emming methetrechten pastde in de
Gemeenschapswetgeving neergelegde regels en procedures toe.
Discriminatieverbod en gelijke behandeling
De Commissie leefthetdiscriminat ieverbod na en garandeertdatalle burgers
gelijk worden behandeld, ongeacht hun nationaliteit, geslacht, ras of etnische
afkomst, godsdienst of geloofsovertuiging, handicap, leeftijd of seksuele
geaardheid. Verschillen in de behandeling van vergelijkbare gevallen moeten
gerechtvaardigd zijn op grond van de kenmerken van het betrokken geval.
Evenredigheid
De Commissie ziet erop toe dat de getroffen maatregelen in verhouding staan
tot het nagestreefde doel.
De Commissie zal er met name op toezien dat de toepassing van deze code
nimmer administratieve of budgettaire lasten met zich brengt die niet in
verhouding staan tot het verwachte voordeel.
Consequentie
De Commissie stelt zich in haar bestuurlijke optreden consequent op en volgt
haar normale werkwijze. Afwijkingen van deze regel moeten met redenen
worden omkleed.
2. BESTUURLIJKE RICHTSNOEREN
Objectiviteit en onpartijdigheid
Het personeel van de Commissie stelt zich altijd objectief en onpartijdig op,
zowel in hetbelang van de Gemeenschap als in hetalgemeen belang. Het
personeel handeltonafhankelijk in hetkader van hetbeleid van de2000Q3614 — NL — 01.12.2001 — 001.001 — 8
▼B
Commissie en zal zich nooit laten leiden door persoonlijke of nationale
belangen of door politieke druk.
Informatie over administratieve procedures
Wanneer iemand om informatie vraagt over een administratieve procedure
van de Commissie, verstrekt het personeel deze informatie binnen de voor
de betrokken procedure vastgestelde termijn.
3. INFORMATIE OVER DE RECHTEN VAN BELANGHEBBENDEN
Horen van alle rechtstreeks betrokkenen
Indien de belanghebbenden krachtens het Gemeenschapsrecht moeten worden
gehoord, zorgthetpersoneel van de Commissie ervoor datzij in de gelegen-
heid worden gesteld hun standpunt kenbaar te maken.
Motiveringsplicht
Ieder besluit van de Commissie dient duidelijk te worden gemotiveerd en aan
de betrokkenen te worden medegedeeld.
Als algemene regel geldt dat elk besluit omstandig dient te worden gemoti-
veerd. Indien het echter niet mogelijk is ieder afzonderlijk besluit uitvoerig
met redenen te omkleden, bijvoorbeeld omdat ten aanzien van een groot
aantal personen vergelijkbare besluiten worden genomen, kunnen standaard-
antwoorden worden gegeven. In deze standaardantwoorden moeten de
voornaamste gronden voor het besluit worden vermeld. Bovendien moet aan
iedere belanghebbende die daarom verzoekt een omstandige motivering
worden verstrekt.
Verplichte vermelding van beroepsmogelijkheden
Indien hetGemeenschapsrechtberoepsmogelijkheden biedt , moetin de
besluiten waarvan kennisgeving wordt gedaan duidelijk worden aangegeven
datberoep mogelijk is en hoe datmoetworden ingest eld (naam en kant oor-
adres van de persoon bij wie of de dienstwaarbij hetberoep moetworden
ingesteld en de termijn waarbinnen dat dient te gebeuren).
Indien van toepassing moet in de besluiten worden gewezen op de mogelijk-
heid om een gerechtelijke procedure te beginnen en/of een klacht bij de
Europese ombudsman in te dienen overeenkomstig artikel 230 of artikel 195
van het Verdrag tot oprichting van de Europese Gemeenschap.
4. BEHANDELING VAN VERZOEKEN OM INFORMATIE
De Commissie verplicht zicht ertoe verzoeken om informatie zo goed en zo
snel mogelijk te behandelen.
Verzoeken om documenten
Indien heteen documentbet reftdatal is gepubliceerd, dientdegene die om
het document vraagt, te worden doorverwezen naar de verkooppunten van het
Bureau voor officiële publicaties der Europese Gemeenschappen of naar de
documentatie- en informatiecentra die gratis toegang bieden tot documenten,
zoals de Info-points, Europese documentatiecentra, enz. Veel documenten
zijn ook gemakkelijk toegankelijk in elektronische vorm.
De regels inzake de toegang tot documenten worden in een specifieke rege-
ling neergelegd.
Correspondentie
Overeenkomstig artikel 21 van het Verdrag tot oprichting van de Europese
Gemeenschap beantwoordt de Commissie brieven in de taal waarin deze
zijn gesteld, mits het een van de officiële talen van de Gemeenschap betreft.
Hetant woord op een brief aan de Commissie wordtverzonden binnen vijf-
tien werkdagen na ontvangst van de brief door de verantwoordelijke dienst
van de Commissie. In hetant woord moetworden aangegeven door wie de
brief wordtbehandeld en hoe metdeze persoon cont actkan worden opge-
nomen.2000Q3614 — NL — 01.12.2001 — 001.001 — 9
▼B
Indien binnen deze termijn van vijftien werkdagen geen antwoord kan
worden verzonden, en in alle gevallen waarin hetant woord de nodige werk-
zaamheden met zich brengt, zoals overleg tussen de diensten of vertaling,
dientdegene die hetdossier behandeltde afzender een berichtt e zenden
waarin wordtaangegeven wanneer geletop deze bijkomende werkzaamheden
een antwoord kan worden verwacht, waarbij rekening wordt gehouden met
het relatief spoedeisende en complexe karakter van het dossier.
Indien het antwoord moet worden opgesteld door een andere dienst dan de
dienstwaaraan hetschrijven oorspronkelijk was gericht , moetde afzender
in kennis worden gesteld van de naam en het kantooradres van degene aan
wie zijn brief is doorgegeven.
Deze regels zijn niet van toepassing op correspondentie die als misplaatst kan
worden beschouwd, bijvoorbeeld omdat het steeds hetzelfde onderwerp
betreft, het aantal brieven buitensporig groot of de correspondentie onge-
grond is. In die gevallen behoudtde Commissie zich hetrechtvoor brieven
niet te beantwoorden.
Telefoongesprekken
Bij hetopnemen van de t elefoon noemen de personeelsleden hun naam of die
van hun dienst. Terugbellen gebeurt altijd zo snel mogelijk.
Personeelsleden die verzoeken om informatie behandelen, verstrekken infor-
matie over onderwerpen waarvoor zij verantwoordelijk zijn, en dienen de
beller in andere gevallen door te verwijzen. Indien nodig verwijzen zij de
beller door naar hun meerdere of raadplegen zij die voordatzij de informat ie
verstrekken.
Wanneer het gaat om een onderwerp dat rechtstreeks onder de verantwoorde-
lijkheid valt van degene die het gesprek voert, stelt deze de identiteit van de
beller vast en gaat, alvorens de informatie te verstrekken, na of die infor-
mat ie al is bekendgemaakt . Indien datniethetgeval is, kan hetbet rokken
personeelslid besluit en dathetnietin hetbelang van de Gemeenschap is om
deze informatie te verstrekken. In dergelijke gevallen wordt aan de beller
uitgelegd waarom de informatie niet kan worden verstrekt en wordt zo nodig
de in artikel 17 van het Statuut vervatte geheimhoudingsplicht ingeroepen.
Waar nodig dient het personeel om een schriftelijke bevestiging van de tele-
fonisch gevraagde informatie te vragen.
E-mail
E-mail wordt zo snel mogelijk en volgens de richtsnoeren voor telefoonge-
sprekken beantwoord.
Omdate-mail echt er vergelijkbaar is metbrieven, gelden voor e-mail
dezelfde richtsnoeren en termijnen als voor de behandeling van correspon-
dentie.
Verzoeken om informatie van de media
De Dienst pers en communicatie is verantwoordelijk voor contacten met de
media. Verzoeken om informatie over vaktechnische onderwerpen die onder
de verantwoordelijkheid van het betrokken personeelslid vallen, kunnen wel
worden beantwoord.
5. BESCHERMING VAN PERSOONSGEGEVENS EN VERTROUWELIJKE
INFORMATIE
De Commissie en haar personeel houden zich metname aan:
— de regels inzake de bescherming van de persoonlijke levenssfeer en van
persoonsgegevens;
— de in artikel 287 van het Verdrag tot oprichting van de Europese
Gemeenschappen genoemde verplichtingen en in het bijzonder de
geheimhoudingsplicht;
— de regels inzake de geheimhouding van strafrechtelijke onderzoeken;— de vertrouwelijkheid van de zaken die worden behandeld door de in
artikel 9 en de bijlagen II en III van het Statuut bedoelde organen.2000Q3614 — NL — 01.12.2001 — 001.001 — 10
▼B
6. KLACHTEN
De Europese Commissie
Klachten naar aanleiding van de eventuele niet-naleving van de in deze
gedragscode vervatte beginselen kunnen rechtstreeks worden ingediend bij
het secretariaat-generaal (1) van de Europese Commissie, datde klachtdoor-
geeft aan de betrokken dienst.
De directeur-generaal of het hoofd van de dienst dient de klager binnen twee
maanden te antwoorden. Vervolgens beschikt de klager over een termijn van
een maand om de secretaris-generaal van de Europese Commissie te
verzoeken het antwoord op de klacht te herzien. De secretaris-generaal beant-
woordtditherzieningsverzoek binnen een maand.
De Europese ombudsman
Tevens kunnen overeenkomstig artikel 195 van het Verdrag tot oprichting
van de Europese Gemeenschap en het Statuut van de Europese ombudsman
klachten worden ingediend bij de Europese ombudsman.2000Q3614 — NL — 01.12.2001 — 001.001 — 11
(1) Secretariaat-generaal van de Europese Commissie — SG/B/2: „Transparantie, toegang
tot documenten, betrekkingen met de burgerlijke samenleving”, Wetstraat 200, B-1049Brussel (fax (32-2) 296 72 42).
E-mail : SG-Code-de-bonne-conduite@cec.eu.int
▼M1
VEILIGHEIDSVOORSCHRIFTEN VAN DE COMMISSIE
Overwegende hetgeen volgt:
(1) Methetoog op de ont wikkeling van de werkzaamheden van de
Commissie op gebieden die een zekere mate van vertrouwelijke behan-
deling vereisen, moet een integraal veiligheidssysteem worden opgezet
datgeldtvoor de Commissie, de kracht ens of op basis van hetEG-
Verdrag of het Verdrag van de Europese Unie opgerichte andere instel-
lingen, instanties, bureaus en agentschappen, de lidstaten en eventuele
andere ontvangers van gerubriceerde informatie van de Europese Unie,
hierna „gerubriceerde EU-gegevens” genoemd.
(2) Om de doeltreffendheid van het aldus opgezette veiligheidssysteem te
waarborgen zal de Commissie gerubriceerde EU-gegevens uitsluitend
ter beschikking stellen van die externe instanties die garanderen dat zij
al het nodige hebben gedaan om bepalingen toe te passen die volstrekt
gelijkwaardig zijn aan deze voorschriften.
(3) Deze voorschriften worden vastgesteld onverminderd Verordening nr. 3
van 31 juli 1958 ter toepassing van artikel 24 van het Verdrag tot oprich-
ting van de Europese Gemeenschap voor Atoomenergie (1), Verordening
(EEG) nr. 1588/90 van de Raad van 11 juni 1990 betreffende de toezen-
ding van onder de statistische geheimhoudingsplicht vallende gegevens
aan het Bureau voor de Statistiek van de Europese Gemeenschappen (2)
en BesluitC (95) 1510 def. van de Commissie van 23 november 1995
betreffende de bescherming van informatiesystemen.
(4) Methetoog op een vlotverloop van hetbesluit vormingsproces van de
Unie wordt bij het opzetten van het veiligheidssysteem van de
Commissie uitgegaan van de beginselen van Besluit 2001/264/EG van
de Raad van 19 maart 2001 tot vaststelling van beveiligingsvoorschriften
van de Raad (3).
(5) De Commissie onderst reeptdathetvan belang is datde andere inst el-
lingen zo nodig worden betrokken bij de voorschriften en normen
inzake vertrouwelijke behandeling die voor de bescherming van de
belangen van de Unie en haar lidstaten nodig zijn.
(6) De Commissie erkentdatzij behoeft e heeftaan een eigen veiligheidssys-
teem, rekening houdend met alle veiligheidsaspecten en het specifieke
karakter van de Commissie als instelling.
(7) Deze voorschriften worden vastgesteld onverminderd artikel 255 van het
Verdrag en Verordening (EG) nr. 1049/2001 van hetEuropees Parlement
en de Raad van 30 mei 2001 inzake de toegang van het publiek tot docu-
menten van het Europees Parlement, de Raad en de Commissie (4).
Artikel 1
De veiligheidsvoorschriften van de Commissie worden vastgesteld in de bijlage.
Artikel 2
1. Hetvoor veiligheid bevoegde Commissielid neemtpassende maat regelen
om ervoor te zorgen dat de in artikel 1 bedoelde voorschriften bij de behande-
ling van gerubriceerde EU-gegevens worden nageleefd, zowel in de Commissie,
door de ambtenaren en andere personeelsleden van de Commissie en het bij de
Commissie gedetacheerde personeel, als in alle locaties van de Commissie,
inclusief haar Vertegenwoordigingen en Bureaus in de Unie en haar Delegaties
in derde landen, alsmede door de externe contractanten van de Commissie.
2. De lidstaten en de krachtens of op basis van de Verdragen opgerichte
andere instellingen, instanties, bureaus en agentschappen worden gemachtigd
gerubriceerde EU-gegevens te ontvangen op voorwaarde dat zij ervoor zorgen
dat, wanneer gerubriceerde EU-gegevens worden behandeld, in hun diensten en
locaties voorschriften worden toegepast die volstrekt gelijkwaardig zijn aan die
als bedoeld in artikel 1, en met name door:
a) de leden van de permanente vertegenwoordigingen van de lidstaten bij de
Europese Unie en de leden van de nationale delegaties die bijeenkomsten
van de Commissie of van onder haar ressorterende instanties bijwonen, of
deelnemen aan andere werkzaamheden van de Commissie,2000Q3614 — NL — 01.12.2001 — 001.001 — 12
(1) PB 17 van 6.10.1958, blz. 406/58.
(2) PB L 151 van 15.6.1990, blz. 1.
(3) PB L 101 van 11.4.2001, blz. 1.
(4) PB L 145 van 31.5.2001, blz. 43.
▼M1
b) de andere leden van de nationale overheden van de lidstaten die gerubri-
ceerde EU-gegevens verwerken, hetzij op het grondgebied van de betrokken
lidstaat hetzij daarbuiten,
c) de externe contractanten en gedetacheerde personeelsleden die gerubriceerde
EU-gegevens verwerken.
Artikel 3
Derde landen, internationale organisaties en andere instanties worden gemach-
tigd gerubriceerde EU-gegevens te ontvangen op voorwaarde dat zij ervoor
zorgen datbij de behandeling van dergelijke gegevens, voorschrift en worden
nageleefd die volstrekt gelijkwaardig zijn aan die als bedoeld in artikel 1.
Artikel 4
In overeenstemming met de in deel I van de bijlage bedoelde grondbeginselen
en minimumnormen inzake veiligheid kan hetvoor veiligheid bevoegde
Commissielid maatregelen nemen overeenkomstig deel II van de bijlage.
Artikel 5
Deze voorschriften vervangen vanaf de dag van hun toepassing:
a) Besluit C (94) 3282 van 30 november 1994 betreffende de veiligheidsmaat-
regelen van toepassing op de gerubriceerde informatie die in het kader van
de werkzaamheden van de Europese Unie wordt samengesteld of uitgewis-
seld;
b) BesluitC (99) 423 van 25 februari 1999 bet reffende de regeling inzake de
machtiging van ambtenaren en andere personeelsleden van de Europese
Commissie tot raadpleging van gerubriceerde informatie die de Commissie
in haar bezitheeft .
Artikel 6
Vanaf de datum van de toepassing van deze voorschriften geldt voor alle geru-
briceerde gegevens die tot die datum in het bezit van de Commissie zijn, met
uitzondering van de gerubriceerde gegevens van Euratom, het volgende:
a) als zij door de Commissie zijn gecreëerd, worden zij geacht automatisch te
worden heringedeeld in de rubriek „EU RESTRICTED”, tenzij de auteur
uiterlijk op 31 januari 2002 besluit ze in een andere rubriek in te delen. In
dit geval informeert de auteur alle geadresseerden van het betrokken docu-
ment;
b) als zij door auteurs buiten de Commissie zijn gecreëerd, behouden zij hun
oorspronkelijke rubricering en worden zij behandeld als gerubriceerde EU-
gegevens van het overeenkomstige niveau, tenzij de auteur ermee instemt
de gegevens in een lagere rubriek in te delen of de rubricering op te heffen.2000Q3614 — NL — 01.12.2001 — 001.001 — 13
▼M1
BIJLAGE
VEILIGHEIDSVOORSCHRIFTEN
Inhoud
DEEL I: GRONDBEGINSELEN EN MINIMUMNORMEN INZAKE
VEILIGHEID
1. INLEIDING
2. ALGEMENE BEGINSELEN
3. GRONDBEGINSELEN
4. BEGINSELEN VAN DE GEGEVENSBEVEILIGING4.1.Doelstellingen
4.2.Definities
4.3.Rubricering
4.4.Doel van de veiligheidsmaatregelen
5. ORGANISATIE VAN DE BEVEILIGING
5.1.Gemeenschappelijke minimumnormen
5.2.Organisatie
6. VEILIGHEID VAN HET PERSONEEL
6.1.Veiligheidsonderzoek van het personeel
6.2.Machtigingsgegevens van het personneel
6.3.Veiligheidsinstructies voor het personeel
6.4.Beheersverantwoordelijkheden
6.5.Veiligheidsstatus van het personeel
7. FYSIEKE BEVEILIGING
7.1.De noodzaak van bescherming
7.2.Controle
7.3.Beveiliging van gebouwen
7.4.Calamiteitenplannen
8. INFORMATIEBEVEILIGING
9. BEVEILIGING TEGEN SABOTAGE EN BESTRIJDING VAN ANDERE
VORMEN VAN KWAADWILLIGE BESCHADIGING12
10. VRIJGAVE VAN GERUBRICEERDE GEGEVENS AAN DERDE
STATEN OF INTERNATIONALE ORGANISATIES
DEEL II: ORGANISATIE VAN DE BEVEILIGING IN DE COMMISSIE11. HET VOOR VEILIGHEID BEVOEGDE COMMISSIELID
12. DE ADVIESGROEP VEILIGHEIDSBELEID VAN DE COMMISSIE
13. DE ADVIESRAAD VEILIGHEIDSBELEID VAN DE COMMISSIE
14. HET VEILIGHEIDSBUREAU VAN DE COMMISSIE
15. VEILIGHEIDSINSPECTIES
16. RUBRICERINGEN, BEVEILIGINGSINDICATOREN EN MARKE-
RINGEN
16.1.Rubriceringsniveaus
16.2.Beveiligingsindicator
16.3.Markeringen
16.4.Aanbrengen van een rubricering
16.5.Aanbrengen van beveiligingsindicatoren
17. RUBRICERINGSBEHEER2000Q3614 — NL — 01.12.2001 — 001.001 — 14
▼M1
17.1.Algemeen
17.2.Rubricering
17.3.Lagere rubricering en derubricering
18. FYSIEKE BEVEILIGING
18.1.Algemeen
18.2.Veiligheidseisen 16
18.3.Fysieke beveiligingsmaatregelen
18.3.1.Veiligheidszones
18.3.2.Administratieve zone
18.3.3.Controles bij in- en uitgaan
18.3.4.Bewakingspatrouilles
18.3.5.Beveiligingsopbergmiddelen en braakwerende ruimten
18.3.6.Sloten
18.3.7.Controle van sleutels en codecombinaties
18.3.8.Indringerdetectie-/signaleringssystemen
18.3.9.Goedgekeurde uitrusting
18.3.10.Fysieke bescherming van kopieermachines en faxapparaten
18.4.Bescherming tegen waarneming van buitenaf en afluisteren
18.4.1.Waarneming van buitenaf 18
18.4.2.Afluisteren
18.4.3.Binnenbrengen van elektronische registratieapparatuur
18.5.Technisch veilige zones
19. ALGEMENE VOORSCHRIFTEN BETREFFENDE HET NEED-TO-
KNOW-BEGINSEL EN HET VEILIGHEIDSONDERZOEK
19.1.Algemeen
19.2.Specifieke voorschriften inzake de toegang tot als EU TOP SECRET
gerubriceerde gegevens
19.3.Specifieke voorschriften inzake de toegang tot als EU SECRET of EU
CONFIDENTIAL gerubriceerde gegevens
19.4.Specifieke voorschriften inzake de toegang tot als EU RESTRICTED
gerubriceerde gegevens
19.5.Overdracht
19.6.Speciale instructies
20. PROCEDURE MET BETREKKING TOT HET VEILIGHEIDSONDER-
ZOEK VOOR AMBTENAREN EN ANDERE PERSONEELSLEDEN VAN
DE COMMISSIE
21. VERVAARDIGING, VERSPREIDING, OVERDRACHT, BEVEILIGING
VAN KOERIERS, EXTRA KOPIEËN, VERTALINGEN EN UITTREKSEL
VAN GERUBRICEERD EU-MATERIAAL
21.1.Vervaardiging
21.2.Verspreiding
21.3.Overdracht van gerubriceerde EU-documenten
21.3.1.Verpakking, ontvangstbewijzen
21.3.2.Overdracht binnen een gebouw of een groep gebouwen
21.3.3.Overdracht binnen een land
21.3.4.Overdracht van de ene staat naar de andere
21.3.5.Overdracht van EU RESTRICTED documenten
21.4.Veiligheidsonderzoek van koeriers
21.5.Elektronische en andere middelen van technische overdracht2000Q3614 — NL — 01.12.2001 — 001.001 — 15
▼M1
21.6.Extra kopieën, vertalingen en uittreksels van gerubriceerde EU-docu-
menten
22. EUCI-REGISTERS, CONTROLES, ARCHIVERING EN VERNIETIGING
VAN GERUBRICEERDE EU-GEGEVENS
22.1.Plaatselijke registers van gerubriceerde EU-gegevens (EUCI-registers)
22.2.Het EU TOP SECRET-register
22.2.1.Algemeen
22.2.2.Het Centraal EU TOP SECRET-register
22.2.3.EU TOP SECRET-subregisters
22.3.Inventarisatie en controle van gerubriceerde EU-documenten
22.4.Archivering van gerubriceerde EU-gegevens
22.5.Vernietiging van gerubriceerde EU-gegevens
22.6.Vernietiging in noodgevallen
23. VEILIGHEIDSMAATREGELEN VOOR SPECIFIEKE VERGADE-
RINGEN DIE BUITEN DE COMMISSIE WORDEN GEHOUDEN EN
WAARBIJ GERUBRICEERDE EU-GEGEVENS ZIJN BETROKKEN
23.1.Algemeen
23.2.Verantwoordelijkheid
23.2.1.Het Veiligheidsbureau van de Commissie
23.2.2.Beveiligingsfunctionaris van de vergadering (Meeting Security Officer —
MSO)
23.3Veiligheidsmaatregelen
23.3.1.Veiligheidszones
23.3.2..Pasjes
23.3.3.Controle van foto- en audioapparatuur
23.3.4.Controle van aktetassen, draagbare computers en pakjes
23.3.5.Technische beveiliging
23.3.6.Documenten van delegaties
23.3.7.Veilig opbergen van documenten
23.3.8.Controle van ruimten
23.3.9.Verwijdering van afval van gerubriceerd EU-materiaal
24 INBREUKEN OP DE VEILIGHEIDSVOORSCHRIFTEN EN COMPRO-
MITTERING VAN GERUBRICEERDE EU-GEGEVENS
24.1.Definities
24.2.Melding van inbreuken op veiligheidsvoorschriften
24.3.Gerechtelijke actie
25. BESCHERMING VAN GERUBRICEERDE EU-GEGEVENS DIE
VERWERKT WORDEN IN IT- EN COMMUNICATIESYSTEMEN
25.1.Inleiding
25.1.1.Algemeen
25.1.2.Bedreigingen en kwetsbaarheden van systemen 31
25.1.3.Voornaamste doel van veiligheidsmaatregelen
25.1.4.Systeemgebonden specificatie van beveiligseisen (SSRS)
25.1.5.Beveiligingsmodi
25.2.Definities
25.3.Verantwoordelijkheden in verband met beveiliging
25.3.1.Algemeen
25.3.2.De Autoriteit voor veiligheidsaccreditatie (SAA)
25.3.3.De Infosec-autoriteit (IA)2000Q3614 — NL — 01.12.2001 — 001.001 — 16
▼M1
25.3.4.Eigenaar technisch systeem (TSO)
25.3.5.De Informatie-eigenaar (IO)
25.3.6.Gebruikers
25.3.7.Infosec-opleiding
25.4.Niet-technische beveiligingsmaatregelen
25.4.1.Personeelsgerelateerde beveiliging
25.4.2.Fysieke beveiliging
25.4.3.Controle op de toegang tot een systeem
25.5.Technische beveiligingsmaatregelen
25.5.1.Beveiliging van informatie
25.5.2.Controle van en verantwoordelijkheid voor gegevens
25.5.3.Behandeling en controle van verwijderbare digitale opslagmedia
25.5.4.Derubricering en vernietiging van digitale opslagmedia
25.5.5.Communicatiebeveiliging
25.5.6.Installatie- en stralingsbeveiliging
25.6.Beveiliging tijdens verwerking
25.6.1.Operationele beveiligingsprocedures (SecOP's)
25.6.2.Bescherming van software/configuratiebeheer
25.6.3.Controle op de aanwezigheid van kwaadaardige software/computervi-
russen
25.6.4.Onderhoud
25.7.Aankopen
25.7.1.Algemeen
25.7.2.Accreditatie
25.7.3.Beoordeling en certificatie
25.7.4.Routinecontrole van beveiligingsvoorzieningen met het oog op verlen-
ging van de accreditatie
25.8.Tijdelijk of occasioneel gebruik 40
25.8.1.Beveiliging van microcomputers/personal computers
25.8.2.Gebruik van privé IT-apparatuur voor officiële Commissiewerkzaam-
heden
25.8.3.Gebruik van IT-apparatuur van een contractant of van een lidstaat voor
officiële Commissiewerkzaamheden
26. VRIJGAVE VAN GERUBRICEERDE EU-GEGEVENS AAN DERDE
LANDEN OF INTERNATIONALE ORGANISATIES
26.1.1.Principes van de vrijgave van gerubriceerde EU-gegevens
26.1.2.Graden
26.1.3.Veiligheidsovereenkomsten
AANHANGSEL 1: VERGELIJKING VAN DE NATIONALE BEVEILI-
GINGSRUBRICERINGEN
AANHANGSEL 2: PRAKTISCHE RUBRICERINGSGIDSAANHANGSEL 3: RICHTSNOEREN VOOR VRIJGAVE VAN GERU-
BRICEERDE EU-GEGEVENS AAN DERDE STATEN OF
INTERNATIONALE ORGANISATIES: EERSTEGRAADSSAMENWER-
KING
AANHANGSEL 4: RICHTSNOEREN VOOR VRIJGAVE VAN GERU-
BRICEERDE EU-GEGEVENS AAN DERDE STATEN OF
INTERNATIONALE ORGANISATIES: TWEEDEGRAADSSAMENWER-
KING2000Q3614 — NL — 01.12.2001 — 001.001 — 17
▼M1
AANHANGSEL 5: RICHTSNOEREN VOOR VRIJAVE VAN GERUBRI-
CEERDE EU-GEGEVENS AAN DERDE STATEN OF
INTERNATIONELE ORGANISATIES: DERDEGRAADSSAMENWER-KING
AANHANGSEL 6: LIJST VAN AFKORTINGEN2000Q3614 — NL — 01.12.2001 — 001.001 — 18
▼M1
DEEL I: GRONDBEGINSELEN EN MINIMUMNORMEN INZAKE
VEILIGHEID
1. INLEIDING
Deze voorschriften bevatten de grondbeginselen en minimumnormen inzake
veiligheid die door de Commissie in al haar standplaatsen en door alle ontvan-
gers van gerubriceerde EU-gegevens (EUCI) op passende wijze moeten worden
nageleefd om de veiligheid te garanderen en ervoor te zorgen dat iedereen er
zeker van kan zijn dater een gemeenschappelijke norm voor de bescherming
geldt.
2. ALGEMENE BEGINSELEN
Hetveiligheidsbeleid van de Commissie maaktint egraal deel uitvan haar alge-
meen beleid inzake intern beheer en is dus gebaseerd op de beginselen van haar
algemeen beleid.
Deze beginselen zijn: wettigheid, transparantie,verantwoordingsplicht en subsidi-
ariteit (proportionaliteit).
Wettigheid houdt in dat de veiligheidsfuncties strikt binnen het geldende rechts-
kader moeten worden uitgeoefend en dat de regelgeving moet worden nageleefd.
Voorts betekent dit beginsel dat de verantwoordelijkheden inzake veiligheid op
adequate rechtsvoorschriften moeten worden gebaseerd. Het personeelsstatuut is
volledig van toepassing, en met name artikel 17 inzake de verplichting van de
personeelsleden om discretie in acht te nemen ten aanzien van de informatie van
de Commissie, en titel VI inzake tuchtmaatregelen. Ten slotte houdt dit beginsel
in datinbreuken op de veiligheid waarvoor de Commissie bevoegd is, moet en
worden behandeld op een wijze die strookt met het beleid van de Commissie
inzake tuchtmaatregelen en met haar beleid inzake samenwerking met de
lidstaten op strafrechtelijk gebied.
Transparantie houdt in dat alle veiligheidsvoorschriften en -bepalingen duidelijk
moeten zijn, dat er een evenwicht moet zijn tussen de verschillende diensten en
de verschillende gebieden (fysieke veiligheid versus bescherming van de gege-
vens, enz.) en dat een coherent en gestructureerd beleid inzake
veiligheidsbewustzijn moet worden gevoerd. Voorts wijst dit beginsel op de
behoefte aan duidelijke schriftelijke richtsnoeren voor de uitvoering van de
veiligheidsmaatregelen.
Verantwoordingsplicht houdt in dat de verantwoordelijkheden op het gebied van
de veiligheid duidelijk worden vastgesteld. Voorts wijst dit beginsel erop dat
regelmatig moet worden nagegaan of deze verantwoordelijkheden correct
worden uitgeoefend.
Subsidiariteit (of proportionaliteit) betekent dat de beveiliging op het laagst
mogelijke niveau moetworden georganiseerd en zo dichtmogelijk bij de Direc-
toraten-generaal en de diensten van de Commissie. Voorts houdt dit beginsel in
dat de beveiligingsactiviteiten worden beperkt tot die gebieden waarvoor het
werkelijk nodig is. Ten slotte betekent dit beginsel dat de veiligheidsmaatre-
gelen in verhouding moeten staan tot de te beschermen belangen en tot defeitelijke of mogelijke bedreiging van deze belangen, zodat de bescherming
van die aard is dat zij zo weinig mogelijk ontwrichting veroorzaakt.
3. GRONDBEGINSELEN
De fundamenten voor een goede beveiliging zijn:
a) de aanwezigheid in iedere lidstaat van een nationale veiligheidsinstantie die
verantwoordelijk is voor:
1. het verzamelen en registreren van inlichtingen over spionage, sabotage,
terrorisme en andere subversieve activiteiten, en
2. hetinformeren en adviseren van haar regeringen, en via hen de
Commissie, over de aard van de bedreigingen voor de veiligheid en de
middelen om zich daartegen te beschermen;
b) de aanwezigheid in iedere lidstaat en in de Commissie van een technische
Infosec-autoriteit (IA) die met de betrokken veiligheidsautoriteit samenwerkt
om informatie en advies te verschaffen over technische bedreigingen voor de
veiligheid en de middelen om zich daartegen te beschermen;
c) regelmatige samenwerking tussen de regeringsdiensten en de betrokken dien-
sten van de Europese instellingen om, naar gelang van het geval, besluiten te
nemen of aanbevelingen te doen inzake:
1. de personen, gegevens en middelen die beschermd moeten worden, en
2. gemeenschappelijke normen voor de bescherming;2000Q3614 — NL — 01.12.2001 — 001.001 — 19
▼M1
d) nauwe samenwerking tussen het Veiligheidsbureau van de Commissie (CSO)
en de veiligheidsdiensten van de andere Europese instellingen, alsmede het
Veiligheidsbureau van de NAVO (NOS).
4. BEGINSELEN VAN DE GEGEVENSBEVEILIGING
4.1.Doelstellingen
Metde beveiliging worden de volgende hoofddoelst ellingen beoogd:
a) beveiliging van gerubriceerde EU-gegevens (EUCI) tegen spionage, compro-
mittering of openbaarmaking zonder machtiging;
b) bescherming van EU-gegevens die in communicatie- en informatiesystemen
en -netwerken worden verwerkt, tegen gevaren wat betreft het vertrouwelijke
karakter, de integriteit en de beschikbaarheid ervan;
c) beveiliging van de locaties van de Commissie waarin EU-gegevens zijn
ondergebracht, tegen sabotage en kwaadwillige beschadiging;
d) in geval van mislukking: beoordeling van de aangerichte schade, beperking
van de consequenties daarvan en vaststelling van herstelmaatregelen.
4.2.Definities
In deze voorschriften wordt verstaan onder:
a) „gerubriceerde EU-gegevens” (EUCI): gegevens en materiaal waarvan open-
baarmaking zonder machtiging de belangen van de EU of van een of meer
van haar lidstaten in meerdere of mindere mate zou kunnen schaden, onge-
acht of dergelijke gegevens afkomstig zijn van de EU, de lidstaten, derde
staten of internationale organisaties;
b) „document”: brief, nota, notulen, verslag, memorandum, signaal/boodschap,
schets, foto, dia, film, kaart, grafische voorstelling, plattegrond, notitieboek,
stencil, carbonpapier, schrijfmachine- of printerlint, tape, cassette, computer-
schijf, CD-ROM of enig ander fysiek medium waarop gegevens zijn
opgeslagen;
c) „materiaal”: een document als bedoeld onder b), alsook enig uitrustingson-
derdeel datgefabriceerd is of wordt ;
d) „need to know”: de noodzaak voor een beambte om, met het oog op de
uitoefening van zijn functie of de vervulling van zijn taak, toegang te krijgen
tot gerubriceerde EU-gegevens;
e) „machtiging”: een besluit van de Voorzitter van de Commissie om een
persoon tot op een bepaald niveau toegang tot EUCI te verlenen op basis
van een positief resultaat van een veiligheidsonderzoek (doorlichting) dat
door een nationale veiligheidsinstantie overeenkomstig nationale rechtsvoor-
schriften is uitgevoerd;
f) „rubricering”: de toekenning van een passend beveiligingsniveau aan gege-
vens waarvan de openbaarmaking zonder machtiging in mindere of
meerdere mate nadelig zou kunnen zijn voor de belangen van de Commissie
of de lidstaten;
g) „lagere rubricering” (downgrading): verlaging van hetrubriceringsniveau;h) „derubricering” (declassification): opheffing van een rubricering;
i) „opsteller”: gemachtigd auteur van een gerubriceerd document. In de
Commissie kunnen afdelingshoofden hun personeelsleden machtigen om
EUCI op te stellen;
j) „afdelingen van de Commissie”: afdelingen en diensten van de Commissie,
met inbegrip van de kabinetten, in alle standplaatsen, inclusief het Gemeen-
schappelijk Centrum voor Onderzoek, de Vertegenwoordigingen en Bureaus
in de Unie en de Delegaties in derde landen.
4.3.Rubricering
a) Op hetgebied van geheimhouding zijn aandachten ervaring vereistbij de
selectie van te beschermen gegevens en materiaal en bij de beoordeling van
de mate van bescherming die noodzakelijk is. Het is van fundamenteel
belang dat de mate van bescherming overeenstemt met de veiligheidsgevoe-
ligheid van de betrokken gegevens of het betrokken materiaal. Om te zorgen
dat de informatiestroom soepel verloopt, moet het nodige worden gedaan om
zowel te hoge als te lage rubricering te voorkomen.
b) Het rubriceringssysteem is het instrument waarmee aan deze beginselen
gevolg wordt gegeven; een soortgelijk rubriceringssysteem moet worden
gebruiktvoor hetplannen en organiseren van de best rijding van spionage,
sabotage, terrorisme en andere bedreigingen, zodat de grootste mate van2000Q3614 — NL — 01.12.2001 — 001.001 — 20
▼M1
bescherming wordt geboden aan de belangrijkste locaties die gerubriceerde
gegevens bevatten, en binnen die locaties aan de gevoeligste elementen.
c) Voor de rubricering is alleen de opsteller van de gegevens verantwoordelijk.
d) Het rubriceringsniveau mag uitsluitend worden bepaald op basis van de
inhoud van de gegevens.
e) Als verschillende reeksen gegevens worden bijeengebracht, moet op het
geheel een rubriceringsniveau worden toegepast dat minstens even hoog is
als de hoogste rubricering. Een gegevensverzameling kan evenwel een
hogere rubricering krijgen dan de afzonderlijke bestanddelen.
f) De rubriceringen worden alleen toegekend als dit nodig is, en zolang als dit
nodig is.
4.4.Doel van de veiligheidsmaatregelen
De veiligheidsmaatregelen moeten:
a) betrekking hebben op alle personen die toegang hebben tot gerubriceerde
gegevens, alle dragers van gerubriceerde informatie en alle locaties waar
zich dergelijke gegevens en belangrijke installaties bevinden;
b) zodanig zijn ontworpen dat gedetecteerd wordt wanneer iemand de veiligheid
van gerubriceerde gegevens en van belangrijke installaties die gerubriceerde
gegevens bevatten, in gevaar kan brengen, en moeten in de uitsluiting of
verwijdering van een dergelijke persoon voorzien;
c) voorkomen dat een niet-gemachtigde persoon toegang krijgt tot gerubriceerde
gegevens of installaties die deze gegevens bevatten;
d) ervoor zorgen datgerubriceerde gegevens alleen verspreid worden op basis
van het „need to know”-beginsel, dat fundamenteel is voor alle aspecten
van de veiligheid;
e) waarborgen bieden voor de integriteit (d.w.z. het voorkomen van schending
of van wijziging of verwijdering van gegevens zonder machtiging) en de
beschikbaarheid (d.w.z. datde t oegang nietgeweigerd wordtaan degene die
de gegevens nodig heeft en tot toegang gemachtigd is) van alle gegevens, al
dan nietgerubriceerd, en in hetbijzonder van gegevens die in elekt romagne-
tische vorm worden opgeslagen, verwerkt of verzonden.
5. ORGANISATIE VAN DE BEVEILIGING
5.1.Gemeenschappelijke minimumnormen
De Commissie zorgtervoor datde gemeenschappelijke minimumnormen inzake
veiligheid in achtworden genomen door alle EUCI-ont vangers, zowel in de
instelling als in de onder haar ressorterende instanties, bijv. alle afdelingen en
contractanten, zodat gerubriceerde EU-gegevens kunnen worden doorgegeven
in hetvert rouwen datzij elders metdezelfde zorg verwerktzullen worden.
Deze minimumnormen omvatten criteria voor het veiligheidsonderzoek van het
personeel en procedures voor de bescherming van gerubriceerde EU-gegevens.
De Commissie verleent externe instanties alleen toegang tot EUCI op voor-
waarde datzij ervoor zorgen datbij de behandeling van EUCI wordtvoldaan
aan voorschriften die minstens volstrekt gelijkwaardig zijn aan deze minimum-
normen.
5.2.Organisatie
Binnen de Commissie is de beveiliging op twee niveaus georganiseerd:
a) op hetniveau van de Commissie als geheel is er hetVeiligheidsbureau van
de Commissie, met een autoriteit voor veiligheidsaccreditatie (SAA), die ook
optreedt als Crypto-autoriteit (CrA) en TEMPEST-autoriteit (TA), en met
een INFOSEC-autoriteit (IA) en één of meer centrale EUCI-registers, elk
met één of meer functionarissen voor de registercontrole (RCO);
b) op hetniveau van de afdelingen van de Commissie valtde veiligheid onder
de bevoegdheid van één of meer plaatselijke veiligheidsfunctionarissen
(LSO), één of meer centrale informatiebeveiligingsfunctionarissen (CISO),
plaatselijke informatiebeveiligingsfunctionarissen (LISO) en plaatselijke
EUCI-registers met één of meer functionarissen voor de registercontrole;
c) De centrale veiligheidsinstanties geven de plaatselijke veiligheidsinstanties
praktische richtsnoeren.2000Q3614 — NL — 01.12.2001 — 001.001 — 21
▼M1
6. VEILIGHEID VAN HET PERSONEEL
6.1.Veiligheidsonderzoek van het personeel
Alle personen die toegang moeten hebben tot als EU CONFIDENTIAL of hoger
gerubriceerde gegevens, moeten een passend onderzoek ondergaan alvorens die
toegang wordt verleend. Een soortgelijk onderzoek is vereist voor personen die
taken hebben op het gebied van de technische bediening of het onderhoud van
communicatie- en informatiesystemen die gerubriceerde gegevens bevatten. Dit
onderzoek is erop gerichtt e bepalen of deze personen:
a) van onbetwiste loyaliteit zijn;
b) een zodanig karakter en een zodanige discretie bezitten dat hun betrouwbaar-
heid op het stuk van het verwerken van gerubriceerde gegevens buiten kijf
staat;
c) kwetsbaar zijn voor druk van externe of andere bronnen.
Bij hetonderzoek moetbijzondere aandachtworden geschonken aan personen
die:
d) toegang zullen krijgen tot als EU TOP SECRET gerubriceerde gegevens;
e) functies bekleden waarbij zij regelmatig toegang krijgen tot een aanzienlijke
hoeveelheid als EU SECRET gerubriceerde gegevens;
f) door hun functie speciale toegang hebben tot beveiligde communicatie- of
informatiesystemen en daardoor de mogelijkheid hebben om zonder machti-
ging toegang te krijgen tot grote hoeveelheden gerubriceerde EU-gegevens of
om door technische sabotage ernstige schade te berokkenen.
In de onder d), e) en f) bedoelde omstandigheden wordt zo veel mogelijk
gebruik gemaakt van de techniek van het antecedentenonderzoek.
Wanneer personen van wie de „need to know” niet is vastgesteld, moeten
werken in omstandigheden waarin zij toegang kunnen hebben tot gerubriceerde
EU-gegevens (bv. bodes, veiligheidspersoneel, onderhouds- en schoonmaakper-
soneel, enz.) moeten zij eerst een passend veiligheidsonderzoek ondergaan.
6.2.Machtigingsgegevens van het personeel
Alle afdelingen van de Commissie die gerubriceerde EU-gegevens verwerken of
beveiligde communicatie- of informatiesystemen huisvesten, houden de machti-
gingsgegevens bij van het daartoe aangewezen personeel. Elke machtiging wordt
geverifieerd telkens als moet worden gegarandeerd dat die passend is voor de
vigerende taakomschrijving van die persoon; dit nieuwe onderzoek is prioritair
wanneer nieuwe informatie wordt ontvangen die erop wijst dat de voortzetting
van de taak bij gerubriceerde werkzaamheden niet langer strookt met de veilig-
heidsbelangen. De plaatselijke veiligheidsfunctionaris van de betrokken afdeling
van de Commissie houdt de machtigingsgegevens bij die op zijn activiteiten-
sector betrekking hebben.
6.3.Veiligheidsinstructies voor het personeel
Alle personeelsleden die werkzaam zijn in omstandigheden waarin zij toegang
zouden kunnen krijgen tot gerubriceerde gegevens, moeten bij het opnemen
van hun taak en vervolgens met regelmatige tussenpozen grondige instructies
krijgen over de noodzaak van beveiliging en de procedures om die beveiliging
door te voeren. Dergelijke personeelsleden moeten schriftelijk bevestigen dat zij
onderhavige veiligheidsvoorschriften hebben gelezen en volledig hebben
begrepen.
6.4.Beheersverantwoordelijkheden
Leidinggevenden zijn ertoe verplicht de leden van hun personeel die bij gerubri-
ceerde werkzaamheden betrokken zijn of toegang hebben tot beveiligde
communicatie- of informatiesystemen, te kennen en incidenten of manifeste
zwakke plekken die op de veiligheid van invloed kunnen zijn, te registreren en
te rapporteren.
6.5.Veiligheidsstatus van het personeel
Er worden procedures ingesteld om ervoor te zorgen dat, wanneer over een
persoon negatieve informatie bekend wordt, wordt nagegaan of hij of zij
betrokken is bij gerubriceerde werkzaamheden of toegang heeft tot beveiligde
communicatie- of informatiesystemen, en dat het Veiligheidsbureau van de
Commissie wordt ingelicht. Als wordt geconstateerd dat genoemde persoon een
veiligheidsrisico met zich meebrengt, wordt hij of zij uitgesloten of verwijderd
van taken waar hij of zij de veiligheid in gevaar zou kunnen brengen.2000Q3614 — NL — 01.12.2001 — 001.001 — 22
▼M1
7. FYSIEKE BEVEILIGING
7.1.De noodzaak van bescherming
De fysieke beveiligingsmaatregelen die worden toegepast om de bescherming
van gerubriceerde EU-gegevens te waarborgen, moeten in verhouding staan tot
hetrubriceringsniveau, de omvang van en de bedreiging voor de aanwezige
gegevens en hetaanwezige mat eriaal. Alle houders van gerubriceerde EU-gege-
vens moeten voor de rubricering van die gegevens uniforme praktijken volgen
en voldoen aan gemeenschappelijke normen voor de bescherming watbet reft
bewaring, overdracht en verwijdering van te beschermen gegevens en materiaal.
7.2.Controle
Alvorens zones die gerubriceerde EU-gegevens bevatten onbemand achter te
laten, moeten personen die met de bewaring zijn belast, ervoor zorgen dat de
gegevens veilig zijn opgeborgen en datalle beveiligingsmiddelen (slot en, alarm
enz.) geactiveerd zijn. Ook na afloop van de werktijden worden onafhankelijke
controles uitgevoerd.
7.3.Beveiliging van gebouwen
Gebouwen waarin gerubriceerde EU-gegevens of beveiligde communicatie- en
informatiesystemen zijn gehuisvest, moeten tegen ongeoorloofde toegang
worden beschermd. De aard van de bescherming die voor de gerubriceerde
EU-gegevens wordt gebruikt, zoals bijvoorbeeld tralies voor vensters, deur-
sloten, bewakers bij de ingangen, automatische toegangscontrolesystemen,
beveiligingscontroles en -patrouilles, alarmsystemen, indringerdetectiesystemen
en waakhonden hangtaf van:
a) rubricering, volume en locatie binnen het gebouw, van te beschermen gege-
vens en materiaal;
b) de kwaliteit van de beveiligingsopbergmiddelen voor gegevens en materiaal;
en
c) de fysieke aard en locatie van het gebouw.
De aard van de bescherming voor communicatie- en informatiesystemen is m.m.
afhankelijk van de beoordeling van de waarde van deze systemen en de poten-
tiële schade als zij gecompromitteerd worden, de fysieke aard en locatie van het
gebouw waarin het systeem is gehuisvest en de locatie van het systeem binnen
hetgebouw.
7.4.Calamiteitenplannen
Er worden vooraf gedetailleerde plannen opgesteld voor de bescherming van
gerubriceerde gegevens in plaatselijke of nationale noodsituaties.
8. INFORMATIEBEVEILIGING
Informatiebeveiliging (Infosec) heeft betrekking op de keuze en de toepassing
van beveiligingsmaatregelen die gerubriceerde EU-gegevens die in communi-
catie-, informatie- en andere elektronische systemen worden verwerkt,
opgeslagen of overgedragen, moeten beschermen tegen accidenteel of met opzet
veroorzaakt verlies van het vertrouwelijke karakter, de integriteit of de beschik-baarheid ervan. Er moeten passende tegenmaatregelen worden genomen om te
voorkomen dat niet-gemachtigde gebruikers toegang krijgen tot gerubriceerde
EU-gegevens of dat gemachtigde gebruikers de toegang tot gerubriceerde EU-
gegevens onmogelijk wordt gemaakt, en om te zorgen dat corruptie, ongeoor-
loofde wijziging of verwijdering van gerubriceerde EU-gegevens wordt
voorkomen.
9. BEVEILIGING TEGEN SABOTAGE EN BESTRIJDING VAN ANDERE
VORMEN VAN KWAADWILLIGE BESCHADIGING
Fysieke voorzorgen voor de bescherming van belangrijke installaties waarin zich
gerubriceerde gegevens bevinden, bieden als veiligheidsmaatregel de beste
bescherming tegen sabotage en kwaadwillige beschadiging; het veiligheidson-
derzoek van hetpersoneel alleen is daarvoor geen afdoend vervangmiddel. De
bevoegde nationale instantie wordt verzocht inlichtingen te verstrekken over
spionage, sabotage, terrorisme en andere subversieve activiteiten.
10. VRIJGAVE VAN GERUBRICEERDE GEGEVENS AAN DERDE
STATEN OF INTERNATIONALE ORGANISATIES
Het besluit om van de Commissie afkomstige gerubriceerde EU-gegevens vrij te
geven aan een derde staat of een internationale organisatie wordt door de
Commissie als college genomen. Als de Commissie nietde opst eller is van de2000Q3614 — NL — 01.12.2001 — 001.001 — 23
▼M1
gegevens waarvan de vrijgave wordtgewenst , vraagtde Commissie vóór vrij-
gave toestemming aan de opsteller. Als niet kan worden achterhaald wie de
opsteller is, neemt de Commissie de verantwoordelijkheid van de opsteller over.
Wanneer de Commissie van derde staten, internationale organisaties of andere
derden gerubriceerde gegevens ontvangt, krijgen deze gegevens de bescherming
die pastbij de rubricering en overeenkomtmetde normen die in de onderhavige
veiligheidsvoorschriften voor gerubriceerde EU-gegevens worden vastgesteld, of
met strengere normen als de derde die de gegevens vrijgeeft, daarom vraagt. Er
kan een regeling worden getroffen voor wederzijdse controle.
Bovenstaande beginselen worden uitgevoerd overeenkomstig de bepalingen van
deel II, afdeling 26, en de aanhangsels 3, 4 en 5.
DEEL II: ORGANISATIE VAN DE BEVEILIGING IN DE COMMISSIE
11. HET VOOR VEILIGHEID BEVOEGDE COMMISSIELID
Hetvoor veiligheid bevoegde Commissielid:
a) voerthetveiligheidsbeleid van de Commissie uit ;
b) bestudeert de veiligheidsproblemen die de Commissie of de onder haar
ressorterende bevoegde instanties hem of haar voorleggen;
c) onderzoekt in nauwe samenwerking met de nationale veiligheidsinstanties (of
andere relevante instanties) van de lidstaten (hierna NSA genoemd) vraag-
stukken die veranderingen in het veiligheidsbeleid van de Commissie met
zich meebrengen.
Hetvoor veiligheid bevoegde Commissielid is meer bepaald verant woordelijk
voor:
a) de coördinatie van alle veiligheidskwesties die verband houden met de werk-
zaamheden van de Commissie;
b) het richten van verzoeken tot de daartoe aangewezen instanties van de
lidstaten om de NSA overeenkomstig afdeling 20 beveiligingsmachtigingen
te laten verstrekken voor personeel dat bij de Commissie werkzaam is;
c) hetonderzoeken of lat en onderzoeken van lekken van gerubriceerde EU-
gegevens die zich, tot bewijs van het tegendeel, bij de Commissie hebben
voorgedaan;
d) het richten van een verzoek tot de betrokken veiligheidsinstanties om een
onderzoek in te leiden wanneer er buiten de Commissie gerubriceerde EU-
gegevens uitgelekt zijn, en het coördineren van de onderzoeken wanneer er
verschillende veiligheidsinstanties bij zijn betrokken;
e) hetperiodiek onderzoeken van beveiligingsregelingen voor de bescherming
van gerubriceerde EU-gegevens;
f) het onderhouden van nauwe contacten met alle betrokken veiligheidsinstan-
ties om te komen tot een volledige coördinatie op het gebied van de
veiligheid;
g) hetvoort durend in hetoog houden van hetbeleid en de procedures van de
Commissie inzake veiligheid en, zo nodig, hetdoen van passende aanbeve-
lingen. Daart oe legthetvoor veiligheid bevoegde Commissielid hetdoor het
Veiligheidsbureau van de Commissie opgestelde jaarlijkse inspectieplan aan
de Commissie voor.
12. DE ADVIESGROEP VEILIGHEIDSBELEID VAN DE COMMISSIE
Er wordteen Adviesgroep Veiligheidsbeleid van de Commissie opgericht , die
bestaat uit het voor veiligheid bevoegde Commissielid of zijn afgevaardigde,
die het voorzitterschap waarneemt, en uit vertegenwoordigers van de NSA van
elke lidstaat. Er kunnen ook vertegenwoordigers van andere Europese instel-
lingen worden uitgenodigd. Voorts kunnen vertegenwoordigers van relevante
gedecentraliseerde EG- en EU-instanties worden uitgenodigd wanneer er aange-
legenheden worden besproken die hen aanbelangen.
De Adviesgroep Veiligheidsbeleid van de Commissie komtbijeeen op verzoek
van de voorzitter of een van haar leden. De opdracht van de groep bestaat erin
alle relevante veiligheidskwesties te onderzoeken en te evalueren, en zo nodig
aanbevelingen te doen aan de Commissie.
13. DE ADVIESRAAD VEILIGHEID VAN DE COMMISSIE
Er wordt een Adviesraad Veiligheid van de Commissie opgericht, die bestaat uit
de Secretaris-generaal, die het voorzitterschap waarneemt, de Directeuren-gene-
raal van de Juridische Dienst, Personeelzaken en administratie, Buitenlandse
betrekkingen, Justitie en binnenlandse zaken en het Gemeenschappelijk centrum2000Q3614 — NL — 01.12.2001 — 001.001 — 24
▼M1
voor onderzoek, en de hoofden van de Dienstint erne auditen van hetVeilig-
heidsbureau van de Commissie. Er kunnen ook andere ambtenaren van de
Commissie worden uitgenodigd. De opdracht van deze adviesraad bestaat erin
de veiligheidsmaatregelen in de Commissie te evalueren en terzake aanbeve-
lingen te doen aan het voor veiligheid bevoegde Commissielid.
14. HET VEILIGHEIDSBUREAU VAN DE COMMISSIE
Met het oog op de uitoefening van zijn in afdeling 11 vermelde verantwoorde-
lijkheden kan hetvoor veiligheid bevoegde Commissielid een beroep doen op
hetVeiligheidsbureau van de Commissie voor hetcoördineren van, t oezicht
houden op en uitvoeren van de veiligheidsmaatregelen.
Hethoofd van hetVeiligheidsbureau van de Commissie is de belangrijkst e advi-
seur van het voor veiligheid bevoegde Commissielid; hij treedt op als secretaris
van de Adviesgroep Veiligheidsbeleid. In ditverband leidthij de act ualisering
van de veiligheidsvoorschriften en coördineert hij de veiligheidsmaatregelen
met de bevoegde instanties van de lidstaten en, indien van toepassing, de inter-
nationale organisaties waarmee de Commissie veiligheidsovereenkomsten heeft
gesloten. Met het oog daarop treedt hij op als verbindingsambtenaar.
Hethoofd van hetVeiligheidsbureau van de Commissie is verant woordelijk
voor de accreditatie van IT-systemen en -netwerken in de Commissie en besluit,
in overleg met de betrokken NSA, over de accreditatie van IT-systemen en -
netwerken waarbij enerzijds de Commissie en anderzijds andere ontvangers van
gerubriceerde EU-gegevens zijn betrokken.
15. VEILIGHEIDSINSPECTIES
HetVeiligheidsbureau van de Commissie verrichtperiodieke inspect ies van de
beveiligingsregelingen voor de bescherming van gerubriceerde EU-gegevens.
Het Veiligheidsbureau van de Commissie kan bij deze taak worden bijgestaan
door de veiligheidsdiensten van andere EU-instellingen die EUCI in hun bezit
hebben, of door de nationale veiligheidsinstanties van de lidstaten (1).
Op verzoek van een lidstaat kan de NSA van die lidstaat, samen met het Veilig-
heidsbureau van de Commissie en metwederzijdse inst emming, binnen de
Commissie inspecties van EUCI verrichten.
16. RUBRICERINGEN, BEVEILIGINGSINDICATOREN EN MARKE-
RINGEN
16.1.Rubriceringsniveaus (2)
De volgende rubriceringsniveaus worden gehanteerd (zie ook aanhangsel 2):
EU TOP SECRET: deze rubricering wordtalleen t oegepastop gegevens en
materiaal waarvan de openbaarmaking zonder machtiging uitzonderlijk nadelig
zou kunnen zijn voor de wezenlijke belangen van de Europese Unie of van één
of meer van haar lidstaten.
EU SECRET: deze rubricering wordt alleen toegepast op gegevens en materiaal
waarvan de openbaarmaking zonder machtiging ernstige gevolgen zou kunnen
hebben voor de wezenlijke belangen van de Europese Unie of van één of meer
van haar lidstaten.
EU CONFIDENTIAL: deze rubricering wordt toegepast op gegevens en mate-
riaal waarvan de openbaarmaking zonder machtiging nadelige gevolgen zou
kunnen hebben voor de wezenlijke belangen van de Europese Unie of van één
of meer van haar lidstaten.
EU RESTRICTED: deze rubricering wordt toegepast op gegevens en materiaal
waarvan de openbaarmaking zonder machtiging nadelig zou kunnen zijn voor de
belangen van de Europese Unie of van één of meer van haar lidstaten.
Andere rubriceringen zijn niet toegestaan.
16.2.Beveiligingsindicator
Om de geldigheidsduur van een rubricering te beperken (wat voor gerubriceerde
gegevens inhoudt dat zij automatisch lager worden gerubriceerd of worden2000Q3614 — NL — 01.12.2001 — 001.001 — 25
(1) Onverminderd hetVerdrag van Wenen inzake diplomat iek verkeer van 1961 en het
Protocol betreffende de voorrechten en immuniteiten van de Europese Gemeenschappenvan 8 april 1965.
(
2) Aanhangsel 1 bevateen vergelijkend overzichtvan de beveiligingsniveaus van EU,
NAVO, WEU en de lidstaten.
▼M1
gederubriceerd) kan een overeengekomen beveiligingsindicator worden gebruikt.
Deze indicator is „TOT… (uur/datum)” of „TOT… (feit)”.
Zijn een beperkte verspreiding en een bijzondere verwerking nodig (ter aanvul-
ling van die op grond van de rubricering), dan worden extra
beveiligingsindicatoren gebruikt, zoals Crypto of andere door de EU erkende
beveiligingsindicatoren.
Beveiligingsindicatoren mogen alleen worden gebruikt in combinatie met een
rubricering.
16.3.Markeringen
Er kan een markering worden gebruiktwaarmee hetvolgende wordtaange-
geven: hetdomein waarop hetdocumentbet rekking heeft , een speciale
verspreiding op „need to know”-basis of, voor niet-gerubriceerde gegevens, het
einde van een publicatieverbod.
Een markering is geen rubricering en mag nietin plaat s daarvan worden
gebruikt.
De markering ESDP wordtaangebrachtop document en en kopieën daarvan die
betrekking hebben op de veiligheid en defensie van de Europese Unie of van
één of meer van haar lidstaten, of die betrekking hebben op militair of niet-mili-
tair crisisbeheer.
16.4.Aanbrengen van een rubricering
De rubricering zal als volgtworden aangebracht :
a) op EU RESTRICTED-documenten, met mechanische of elektronische
middelen,
b) op EU CONFIDENTIAL-document en, metmechanische middelen en metde
hand of door het drukken op voorgemerkt, geregistreerd papier,
c) op EU SECRET- en EU TOP SECRET-documenten, met mechanische
middelen en metde hand.
16.5.Aanbrengen van beveiligingsindicatoren
De beveiligingsindicatoren worden onmiddellijk onder de rubricering aange-
bracht, met dezelfde middelen als die waarmee de rubricering is aangebracht.
17. RUBRICERINGSBEHEER
17.1.Algemeen
Gegevens worden alleen gerubriceerd wanneer datnoodzakelijk is. De rubrice-
ring moetduidelijk en correctworden aangegeven en mag slecht s gehandhaafd
worden zolang de gegevens beschermd moeten worden.
De verantwoordelijkheid voor het rubriceren van de gegevens en een eventuele
lagere rubricering of derubricering berust uitsluitend bij de bron.
Rubricering, lagere rubricering of derubricering worden uitgevoerd door ambte-
naren of andere personeelsleden van de Commissie, volgens de instructies ofmet de instemming van het hoofd van de dienst.
De gedetailleerde procedures voor de behandeling van gerubriceerde docu-
menten moeten zo zijn opgezet dat een aan de inhoud aangepaste bescherming
is gegarandeerd.
Het aantal personen dat gemachtigd is om EU TOP SECRET-documenten op te
stellen wordt tot een minimum beperkt, en hun namen worden op een lijst
geplaatst die door het Veiligheidsbureau wordt bijgehouden.
17.2.Rubricering
De rubriceringsgraad van een documentwordtbepaald naar gelang van het
niveau van gevoeligheid van de inhoud, overeenkomstig de definities die in
afdeling 16 zijn gegeven. Hetis van belang datop correct e en zuinige wijze
metrubricering wordtomgesprongen. Ditgeldtin hetbijzonder voor de rubrice-
ringsgraad EU TOP SECRET.
De opsteller van een te rubriceren document moet rekening houden met de hier-
boven bedoelde voorschriften en moet over- of onderrubricering vermijden.
In aanhangsel 2 is een praktische rubriceringsgids opgenomen.Afzonderlijke bladzijden, punten, afdelingen, bijlagen, aanhangsels, aanhechtsels
en bijvoegsels van een bepaald documentkunnen verschillende rubriceringen2000Q3614 — NL — 01.12.2001 — 001.001 — 26
▼M1
vereisen en moeten dienovereenkomstig gemarkeerd worden. De rubricering die
voor hetgehele documentgeldt , is in datgeval die van hethoogstgerubriceerde
gedeelte.
De rubricering van een brief of een nota die bijvoegsels vergezelt is van
dezelfde graad als hethoogstgerubriceerde bijvoegsel. Aan de bron dientduide-
lijk te worden aangegeven welke rubricering op die brief of nota moet worden
toegepast indien deze gescheiden wordt van de bijvoegsels.
Voor de toegang van het publiek tot de documenten, blijft Verordening (EG) nr.
1049/2001 van toepassing.
17.3.Lagere rubricering en derubricering
Gerubriceerde EU-documenten kunnen alleen lager gerubriceerd of gederubri-
ceerd worden met de toestemming van de opsteller en, zonodig, na bespreking
met de betrokken partijen. Lagere rubricering en derubricering moeten schrifte-
lijk bevestigd worden. De opsteller van het document is er verantwoordelijk
voor dat de geadresseerden van de wijziging op de hoogte worden gebracht;
deze geadresseerden zijn er op hun beurtverant woordelijk voor datde daarop-
volgende geadresseerden, aan wie zij hetdocumenthebben gezonden of voor
wie zij het gekopieerd hebben, van de wijziging op de hoogte worden gebracht.
Zo mogelijk vermelden de opstellers op gerubriceerde documenten een datum
waarop of een periode waarna de inhoud lager gerubriceerd of gederubriceerd
kan worden. Zo niet verifiëren zij de documenten uiterlijk om de vijf jaar om
zich ervan te vergewissen of de oorspronkelijke rubricering moet worden
gehandhaafd.
18. FYSIEKE BEVEILIGING
18.1.Algemeen
De belangrijkste doelstelling van de fysieke beveiligingsmaatregelen bestaat erin
te verhinderen dat een niet-gemachtigde persoon toegang krijgt tot gerubriceerde
EU-gegevens en/of gerubriceerd EU-materiaal, te voorkomen dat materieel of
andere eigendommen worden gestolen of beschadigd, en ervoor te zorgen dat
zich geen ongewenste intimiteiten of enige andere vorm van agressie voordoen
onder ambtenaren, andere werknemers of bezoekers.
18.2.Veiligheidseisen
Alle gebouwen, zones, ruimten, bureaus, communicatie- en informatiesystemen,
enz., waar gerubriceerde EU-gegevens en gerubriceerd EU-materiaal worden
bewaard en/of verwerkt, moeten met passende fysieke beveiligingsmaatregelen
worden beschermd.
Om te bepalen in welke mate bescherming met fysieke beveiligingsmaatregelen
noodzakelijk is, worden alle relevante factoren in aanmerking genomen, zoals:
a) de rubriceringsgraad van de gegevens en/of hetmat eriaal;
b) de hoeveelheid en de vorm (bijvoorbeeld niet-elektronisch document, digitaal
opslagmedium) van de gegevens;
c) de plaatselijk beoordeelde bedreiging die uitgaat van inlichtingendiensten die
zich toeleggen op de EU, de lidstaten en/of instellingen of derde partijen die
gerubriceerde EU-gegevens bewaren, metname in de vorm van sabot age,
terrorisme of andere subversieve en/of criminele activiteiten.
Metde fysieke beveiligingsmaat regelen wordtbeoogd:
a) hetbinnendringen metlistof geweld t e verhinderen;
b) acties van malafide personeelsleden te ontmoedigen, te verhinderen en op te
sporen;
c) de toegang tot gerubriceerde EU-gegevens te ontzeggen aan personen die
niet beantwoorden aan het „need-to-know”-criterium.
18.3.Fysieke beveiligingsmaatregelen
18.3.1.Veiligheidszones
Zones waar als EU CONFIDENTIAL of hoger gerubriceerde gegevens worden
verwerkt en opgeslagen worden zodanig opgezet en gestructureerd dat zij aan de
onderstaande voorwaarden voldoen:
a) Veiligheidszone van klasse I: een zone waar als EU CONFIDENTIAL of
hoger gerubriceerde gegevens zodanig worden verwerkten opgeslagen dat2000Q3614 — NL — 01.12.2001 — 001.001 — 27
▼M1
toegang tot de zone in de praktijk neerkomt op toegang tot gerubriceerde
gegevens. Voor een dergelijke zone is hetvolgende vereist :
i) een duidelijk omschreven, beschermde afscheiding waar elk in- en
uitgaan wordt gecontroleerd,
ii) een zodanig toegangscontrolesysteem dat uitsluitend diegenen die naar
behoren zijn gescreend en speciaal gemachtigd zijn, de zone kunnen
betreden,
iii) specificatie van de rubriceringsgraad van de gegevens die normaliter in
de zone worden bewaard, datwil zeggen van de gegevens waart oe men
na binnenkomst toegang heeft;
b) Veiligheidszone van klasse II: een zone waar als EU CONFIDENTIAL of
hoger gerubriceerde gegevens zodanig worden verwerkten opgeslagen dat
zij tegen toegang door niet gemachtigden kan worden beschermd via intern
opgezette controles, bijvoorbeeld een ruimte waar kantoren zijn onderge-
brachtwaar als EU CONFIDENTIAL of hoger gerubriceerde gegevens
regelmatig worden verwerkt en opgeslagen. Voor een dergelijke zone is het
volgende vereist:
i) een duidelijk omschreven, beschermde afscheiding waar elk in- en
uitgaan wordt gecontroleerd,
ii) een zodanig toegangscontrolesysteem dat uitsluitend diegene, die naar
behoren zijn gescreend en speciaal gemachtigd zijn, de zone onbegeleid
kunnen betreden. Voor alle andere personen zal worden voorzien in bege-
leiding of gelijkwaardige controles, om te voorkomen dat niet-
gemachtigden toegang krijgen tot gerubriceerde EU-gegevens, en dat
zonder controle zones kunnen worden betreden die zijn onderworpen aan
technische veiligheidsinspecties.
Zones waar nietop 24-uursbasis personeel aanwezig is, worden onmiddellijk
na de normale werkuren geïnspecteerd, om na te gaan of de gerubriceerde
EU-gegevens veilig zijn weggeborgen.
18.3.2.Administratieve zone
Nabij of vóór de veiligheidszones van klasse I of klasse II kan een administra-
tieve zone met een lager veiligheidsniveau worden geïnstalleerd. Voor een
dergelijke zone is een duidelijk omschreven afscheiding nodig, waar personeel
en voertuigen kunnen worden gecontroleerd. Binnen administratieve zones
kunnen alleen als EU RESTRICTED gerubriceerde gegevens en niet-gerubri-
ceerde gegevens worden verwerkten opgeslagen.
18.3.3.Controles bij in- en uitgaan
Het betreden van veiligheidszones van klasse I en klasse II wordt gecontroleerd
aan de hand van een pasje of een persoonsherkenningssysteem voor het vaste
personeel. Tevens moet een controlesysteem voor bezoekers worden opgezet
om de toegang tot gerubriceerde EU-gegevens door niet-gemachtigden te
verhinderen. Het pasjessysteem kan worden ondersteund door geautomatiseerde
identificatie, die moet worden beschouwd als een aanvulling op, maar niet
geheel in de plaats mag komen van, bewakers. Een wijziging in de dreigingsbe-
oordeling kan een versterking meebrengen van de maatregelen op het gebied
van controle bij in- en uitgaan, bijv. tijdens het bezoek van prominenten.
18.3.4.Bewakingspatrouilles
Buiten de normale werkuren moet in de veiligheidszones van klasse I en klasse
II worden gepatrouilleerd om EU-materiaal te beschermen tegen compromitte-
ring, beschadiging of verlies. De frequentie waarmee wordt gepatrouilleerd
wordt bepaald naar gelang van de plaatselijke omstandigheden; een vuistregel
is echter om de twee uur te patrouilleren.
18.3.5.Beveiligingsopbergmiddelen en braakwerende ruimten
Voor de opslag van gerubriceerde EU-gegevens worden drie klassen opbergmid-
delen gebruikt:
— klasse A: opbergmiddelen die op nationaal niveau zijn goedgekeurd voor de
opslag van als EU TOP SECRET gerubriceerde gegevens in veiligheids-
zones van klasse I of klasse II;
— klasse B: opbergmiddelen die op nationaal niveau zijn goedgekeurd voor de
opslag van als EU SECRET en EU CONFIDENTIAL gerubriceerde gege-
vens in veiligheidszones van klasse I of klasse II;
— klasse C: kantoormeubilair dat zich uitsluitend leent voor de opslag van als
EU RESTRICTED gerubriceerde gegevens.
In braakwerende ruimten die zijn ingericht binnen een veiligheidszone van
klasse I of klasse II, en voor alle veiligheidszones van klasse I waar als EU2000Q3614 — NL — 01.12.2001 — 001.001 — 28
▼M1
CONFIDENTIAL en hoger gerubriceerde gegevens in rekken zijn opgeslagen of
kunnen worden afgelezen van grafieken, kaarten, enz., moeten muren, vloeren
en plafonds, en deuren met sloten door een nationale veiligheidsinstantie
(NSA) worden gecertificeerd als zijnde van een gelijkwaardig beschermingsni-
veau als de klasse beveiligingsopbergmiddelen die zijn goedgekeurd voor de
opslag van gegevens metdezelfde rubricering.
18.3.6.Sloten
Sloten op beveiligingsopbergmiddelen en braakwerende ruimten waarin gerubri-
ceerde EU-gegevens zijn opgeslagen, moeten aan de volgende normen voldoen:
— groep A: op nationaal niveau goedgekeurd voor opbergmiddelen van klasse
A;
— groep B: op nationaal niveau goedgekeurd voor opbergmiddelen van klasse
B;
— groep C: alleen geschiktvoor kant oormeubilair van klasse C.
18.3.7.Controle van sleutels en codecombinaties
Sleutels van beveiligde opbergmiddelen mogen niet worden meegenomen buiten
het gebouw. Codecombinaties van beveiligingsopbergmiddelen moeten worden
gememoriseerd door personen die hiervan kennis moeten nemen. De veiligheids-
ambtenaar van de betrokken dienst bewaart reservesleutels en een overzicht op
papier van alle codecombinatie, voor gebruik in noodgevallen; dit overzicht
wordtin afzonderlijke verzegelde ondoorzicht ige enveloppen bewaard. De
gewone sleutel, de extra beveiligingssleutels en de codecombinaties worden in
afzonderlijke beveiligingsopbergmiddelen bewaard. Sleutels en codecombinaties
krijgen ten minste hetzelfde beschermingsniveau als het materiaal waartoe zij
toegang verschaffen.
Zo weinig mogelijk mensen mogen de codecombinaties van beveiligingsopberg-
middelen kennen. De combinaties worden gewijzigd:
a) bij ontvangst van nieuwe opbergmiddelen;
b) bij wijzigingen in de personeelsbezetting;
c) wanneer compromittering heeft plaatsgevonden of wordt vermoed;
d) mett ussenpozen van bij voorkeur zes maanden, maar in ieder geval om de
twaalf maanden.
18.3.8.Indringerdetectie-/signaleringssystemen
Wanneer voor de bescherming van gerubriceerde EU-gegevens alarmsystemen,
een gesloten televisiecircuit of andere elektrische systemen worden gebruikt,
dient er een noodaggregaat beschikbaar te zijn om de continuwerking van het
systeem te waarborgen wanneer de hoofdelektriciteitsvoorziening uitvalt. Een
andere fundamentele vereiste is dat er een alarmsignaal of een andere betrouw-
bare waarschuwing uitgaat naar het bewakingspersoneel als dergelijke systemen
slecht functioneren of gepoogd wordt ze te saboteren.
18.3.9.Goedgekeurde uitrusting
Het Veiligheidbureau houdt bijgewerkte lijsten bij, per type en model, van de
beveiligingsuitrusting die zij hebben goedgekeurd voor de bescherming van
gerubriceerde gegevens onder diverse gespecificeerde omstandigheden en voor-
waarden. Deze lijsten zijn onder meer gebaseerd op informatie van de NSA's.
18.3.10.Fysieke bescherming van kopieermachines en faxapparaten
Kopieermachines en faxapparaten moeten zodanig fysiek worden beschermd dat
zij voor de verwerking van gerubriceerde gegevens alleen door gemachtigde
personen kunnen worden gebruikt, en dat alle gerubriceerde producten op
passende wijze worden gecontroleerd.
18.4.Bescherming tegen waarneming van buitenaf en afluisteren
18.4.1.Waarneming van buitenaf
Overdag en 's nachts dienen alle passende maatregelen te worden genomen om
ervoor te zorgen dat gerubriceerde EU-gegevens niet door onbevoegden kunnen
worden waargenomen, zelfs nietper ongeluk.
18.4.2.Afluisteren
Kantoren of zones waar regelmatig als EU SECRET en hoger gerubriceerde
gegevens worden besproken, moeten worden beschermd tegen passief en actief2000Q3614 — NL — 01.12.2001 — 001.001 — 29
▼M1
afluisteren wanneer het risico dit vereist. De risicoanalyse van dergelijke inci-
denten behoort tot de verantwoordelijkheid van de bevoegde
veiligheidsinstantie, indien nodig na overleg met de NSA's.
18.4.3.Binnenbrengen van elektronische registratieapparatuur
Het is niet toegelaten mobiele telefoons, privé-computers, opnameapparatuur,
camera's of andere elektronische registratieapparatuur in veiligheidszones of in
technisch veilige zones binnen te brengen zonder de voorafgaande toestemming
van hethoofd van hetVeiligheidsbureau.
Bij het bepalen van de beschermende maatregelen die moeten worden genomen
in ruimten die gevoelig zijn voor passief afluisteren (bv. isoleren van muren,
deuren, vloeren en plafonds, meting van compromitterende geluiden) en actiefafluist eren (bv. hetzoeken naar microfoons), kan hethoofd van hetVeiligheids-
bureau van de Commissie om bijstand van deskundigen NSA's verzoeken.
Ook de telecommunicatie-installatie en de elektrische of elektronische bureau-
uitrusting van ongeacht welk type dat gedurende bijeenkomsten van het niveau
EU SECRET en hoger wordtgebruikt , kunnen op verzoek van de bevoegde
beveiligingsfunctionaris door technische-beveiligingsspecialisten van NSA's
worden gecontroleerd wanneer de omstandigheden zulks vereisen.
18.5.Technisch veilige zones
Bepaalde zones kunnen als „technisch veilig” worden aangewezen. Hier wordt
een speciale toegangscontrole uitgevoerd. Dergelijke zones worden via een
goedgekeurde methode afgesloten wanneer zij niet in gebruik zijn, en alle sleu-
tels worden als veiligheidssleutels behandeld. Dergelijke zones worden
onderworpen aan regelmatige fysieke inspecties, ook nadat zij zijn betreden
door een niet-gemachtigde persoon of wanneer daarvan het vermoeden bestaat.
Voor controledoeleinden zal een uitvoerige lijst van installaties en meubilair
worden bijgehouden. Meubelstukken of apparatuur mogen niet in een dergelijke
zone worden binnengebrachtzolang zij nietdoor speciaal opgeleid veiligheids-
personeel aan een zorgvuldige inspectie zijn onderworpen om mogelijke
afluisterapparatuur op te sporen. Als algemene regel geldt dat in technisch
veilige zones geen communicatielijnen mogen worden geïnstalleerd zonder
voorafgaande machtiging door de bevoegde instantie.
19. ALGEMENE VOORSCHRIFTEN BETREFFENDE HET NEED-TO-
KNOW-BEGINSEL EN HET VEILIGHEIDSONDERZOEK
19.1.Algemeen
Toegang tot gerubriceerde EU-gegevens mag slechts worden verleend aan
personen die een „need-to-know” hebben, d.w.z. personen die in verband met
de uitvoering van hun opdrachten of missies kennis moeten nemen van gerubri-
ceerde EU-gegevens. Toegang tot als EU TOP SECRET, EU SECRET of EU
CONFIDENTIAL gerubriceerde gegevens mag alleen worden verleend aan
personen die in hetbezitzijn van een passende veiligheidsmacht iging.
De verantwoordelijkheid om te bepalen wie een „need-to-know” heeft, berust bij
de afdeling waar de betrokkene in dienst zal worden genomen.
De verantwoordelijkheid voor het veiligheidsonderzoek van het personeel berust
bij de betrokken afdeling.
Dit resulteert in de afgifte van een „veiligheidsattest”, waarop de rubricerings-
graad is vermeld waartoe de gemachtigde toegang heeft, alsook de datum
waarop deze machtiging verstrijkt.
Een veiligheidsmachtiging voor een bepaalde rubricering kan de houder toegang
verlenen tot informatie van een lagere rubriceringsgraad.
Niet-personeelsleden — bijvoorbeeld externe contractanten, deskundigen of
consulenten — met wie noodzakelijkerwijs gerubriceerde EU-gegevens moeten
worden besproken, of aan wie deze moeten worden getoond, moeten over een
veiligheidsmachtiging voor gerubriceerde EU-gegevens beschikken en moeten
instructies krijgen omtrent hun verantwoordelijkheid vanuit veiligheidsoogpunt.
Voor de toegang van het publiek tot de documenten, blijft Verordening (EG) nr.
1049/2001 van toepassing.
19.2.Specifieke voorschriften inzake de toegang tot als EU TOP SECRET
gerubriceerde gegevens
Iedereen die toegang moet krijgen tot als EU TOP SECRET gerubriceerde gege-
vens, moeteersteen veiligheidsonderzoek ondergaan.2000Q3614 — NL — 01.12.2001 — 001.001 — 30
▼M1
De personen die toegang moeten krijgen tot als EU TOP SECRET gerubriceerde
gegevens, worden aangewezen door hetCommissielid datbevoegd is voor
veiligheidsaangelegenheden; hun naam wordtopgenomen in een speciaal „EU-
TOP-SECRET-register”.
Iedereen die toegang moet krijgen tot als EU TOP SECRET gerubriceerde gege-
vens, moet eerst een attest ondertekenen waarin hij/zij verklaart kennis te
hebben genomen van de bij de Commissie geldende procedures inzake beveili-
ging en zich ten volle bewust te zijn van de bijzondere verantwoordelijkheid die
op hem/haar rustom geheimhouding omt rentde als EU TOP SECRET gerubri-
ceerde gegevens te waarborgen, alsook van de gevolgen die krachtens de
voorschriften van de EU en de nationale wettelijke of bestuursrechtelijke bepa-
lingen zijn verbonden aan hetmetopzetof door nalat igheid doorgeven van
gerubriceerde gegevens aan onbevoegden.
Wanneer iemand tijdens een vergadering toegang krijgt tot als EU TOP
SECRET gerubriceerde gegevens, moet de bevoegde controleambtenaar van de
dienst of de instantie waarbij de betrokkene in dienst is, de instantie die de
vergadering organiseert ervan in kennis stellen dat deze persoon hiertoe gemach-
tigd is.
De namen van diegenen die niet langer belast zijn met taken waarvoor toegang
tot als EU TOP SECRET gerubriceerde gegevens vereist is, worden verwijderd
uithetEU TOP SECRET-regist er. Daarbij wordtnogmaals gewezen op de
bijzondere verantwoordelijkheid die op hen rust om geheimhouding omtrent de
als EU TOP SECRET gerubriceerde gegevens te waarborgen. Tevens dienen zij
een verklaring te ondertekenen dat zij de als EU TOP SECRET gerubriceerde
gegevens die in hun bezitzijn, nietzullen gebruiken of doorgeven.
19.3.Specifieke voorschriften inzake de toegang tot als EU SECRET of EU
CONFIDENTIAL gerubriceerde gegevens
Alle personen die toegang hebben tot als EU SECRET of EU CONFIDENTIAL
gerubriceerde gegevens, worden eerstaan een veiligheidsonderzoek voor het
passende niveau onderworpen.
Alle personen die toegang hebben tot als EU SECRET of EU CONFIDENTIAL
gerubriceerde gegevens moeten in kennis worden gesteld van de ter zake strek-
kende veiligheidsvoorschriften en moeten zich bewust zijn van de gevolgen van
nalatigheid.
Wanneer iemand tijdens een vergadering toegang krijgt tot als EU SECRET of
EU CONFIDENTIAL gerubriceerde gegevens, moetde bevoegde cont roleamb-
tenaar van de dienst of de instantie waarbij de betrokkene in dienst is, de
instantie die de vergadering organiseert ervan in kennis stellen dat deze persoon
hiertoe gemachtigd is.
19.4.Specifieke voorschriften inzake de toegang tot als EU RESTRICTED
gerubriceerde gegevens
Personen die toegang hebben tot als EU RESTRICTED gerubriceerde gegevens
moeten in kennis worden gesteld van de ter zake strekkende veiligheidsvoor-
schriften en van de gevolgen van nalatigheid.
19.5.Overdracht
Wanneer een personeelslid een ambtverlaatdatde verwerking van gerubriceerd
EU-materiaal impliceert, ziet het Register erop toe dat dit materiaal op correcte
wijze door de vertrekkende ambtenaar aan zijn opvolger wordt overgedragen.
Wanneer een personeelslid wordtovergeplaat stnaar een ambtdatde verwerking
van gerubriceerd EU-materiaal impliceert, krijgt het de nodige instructies van de
plaatselijke veiligheidsambtenaar.
19.6.Speciale instructies
Personen die metde verwerking van gerubriceerde EU-gegevens worden belast ,
moeten bij het aanvaarden van hun functie en vervolgens op gezette tijden
instructies krijgen betreffende:
a) de veiligheidsrisico's die hetgevolg zijn van loslippigheid;
b) de voorzorgen die zij moeten nemen bij hun contacten met de pers en met
vertegenwoordigers van belangengroepen;
c) de dreiging die uitgaat van de activiteiten van inlichtingendiensten die de EU
en de lidstaten als doelwit zien wat betreft gerubriceerde EU-gegevens en -
activiteiten;
d) de verplichting bij de relevante veiligheidsinstanties onmiddellijk verslag uit
te brengen van elke bejegening of handeling die aanleiding geeft tot een2000Q3614 — NL — 01.12.2001 — 001.001 — 31
▼M1
vermoeden van spionage, of van elke ongebruikelijke situatie op het stuk van
de veiligheid.
Alle personen die normaliter veelvuldig contact hebben met vertegenwoordigers
uit landen wier inlichtingendiensten de EU en lidstaten als doelwit zien voor wat
betreft gerubriceerde EU-gegevens en -activiteiten, moeten instructies krijgen
over de technieken waarvan bekend is dat zij door diverse inlichtingendiensten
worden gebruikt.
Er bestaan bij de Commissie geen speciale veiligheidsmaatregelen voor privé-
reizen, naar welke bestemming ook, van personen die in het bezit zijn van een
veiligheidsmachtiging voor toegang tot gerubriceerde EU-gegevens. Niettemin
zal hetVeiligheidsbureau van de Commissie de ambt enaren en de andere perso-
neelsleden die onder zijn verantwoordelijkheid vallen inlichten over de
reisvoorschriften die voor hen van toepassing kunnen zijn.
20. PROCEDURE MET BETREKKING TOT HET VEILIGHEIDSONDER-
ZOEK VOOR AMBTENAREN EN ANDERE PERSONEELSLEDEN
VAN DE COMMISSIE
a) Alleen ambtenaren en andere personeelsleden van de Commissie en
personen die voor de Commissie werken en die uithoofde van hun funct ie
en het belang van de dienst kennis moeten nemen of gebruik moeten maken
van bij de Commissie bewaarde gerubriceerde gegevens, krijgen toegang tot
deze gegevens.
b) Om toegang te krijgen tot als EU TOP SECRET, EU SECRET of EU
CONFIDENTIAL gerubriceerde gegevens, moeten bovengenoemde
personen gemachtigd zijn overeenkomstig de hierna beschreven procedure.
c) Machtiging wordt alleen verleend aan personen die aan een veiligheidson-
derzoek door de bevoegde nationale instanties van de lidstaten, (NSA's)
zijn onderworpen overeenkomstig de in de punten i) tot en met n) bedoelde
procedure.
d) Hethoofd van hetVeiligheidsbureau is bevoegd om de bovengenoemde
machtiging te verlenen.
e) Hij/zij verleent machtiging nadat het advies van de bevoegde nationale
instanties van de lidstaten is ingewonnen, dat gebaseerd is op het veilig-
heidsonderzoek dat overeenkomstig de punten i) tot en met n) is uitgevoerd.
f) HetVeiligheidsbureau van de Commissie houdteen bijgewerkt e lijstvan
alle gevoelige functies bij op basis van de door de betrokken diensten van
de Commissie verstrekte gegevens, alsmede een lijst van alle personen aan
wie een (tijdelijke) machtiging is afgegeven.
g) De machtiging wordt verleend voor een periode van vijf jaar; zij blijft
evenwel slechts geldig zolang de functie wordt vervuld op grond waarvan
zij is verleend. Zij kan volgens de procedure van punte) worden verlengd
h) Een macht iging kan door hethoofd van hetVeiligheidsbureau worden inge-
trokken, wanneer hij/zij meent dat daarvoor te rechtvaardigen gronden
aanwezig zijn. Van ieder besluit tot intrekking van een machtiging wordt
kennis gegeven aan de betrokkene gebracht, die kan verzoeken door het
hoofd van hetVeiligheidsbureau t e worden gehoord, en aan de bevoegde
nationale instantie.
i) Een veiligheidsonderzoek wordt, met de medewerking van de betrokkene en
op verzoek van hethoofd van hetVeiligheidsbureau, uit gevoerd door de
bevoegde nationale instanties van de lidstaat waarvan de betrokkene onder-
daan is. Wanneer de betrokkene geen onderdaan van een EU-lidstaat is, kan
het hoofd van het Veiligheidsbureau de nationale instanties van de lidstaat
waar de betrokkene zijn woonplaats heeft of geregeld verblijf houdt,
verzoeken een veiligheidsonderzoek uitt e voeren.
j) Een onderdeel van het veiligheidsonderzoek bestaat erin dat door de betrok-
kene een formulier metpersoonlijke gegevens wordtingevuld.
k) Hethoofd van hetVeiligheidsbureau specificeertin zijn verzoek hett ype en
het niveau van de gerubriceerde gegevens waartoe de betrokkene toegang
moet krijgen, zodat de bevoegde nationale instanties het veiligheidsonder-
zoek kunnen uitvoeren, en hun advies kunnen geven rekening houdend met
de machtigingsgraad die aan de betrokkene moet worden toegekend.
l) Voor de gehele procedure en de resultaten van het veiligheidsonderzoek
gelden de in de betrokken lidstaat van toepassing zijnde voorschriften, ook
wat de mogelijkheden tot beroep betreft.
m) Wanneer de bevoegde nationale instanties van de lidstaat een positief advies
uitbrengen, kan het hoofd van het Veiligheidsbureau van de Commissie de
betrokkene machtiging verlenen.
n) Van een negatief advies van de bevoegde nationale instanties wordt kennis
gegeven aan de betrokkene, die mag verzoeken te worden gehoord door het2000Q3614 — NL — 01.12.2001 — 001.001 — 32
▼M1
hoofd van hetVeiligheidsbureau van de Commissie. Wanneer hij hetnodig
acht , kan hethoofd van hetVeiligheidsbureau van de Commissie de
bevoegde nationale instanties vragen om, waar mogelijk, opheldering te
verschaffen. Indien het negatief advies wordt bevestigd, wordt geen machti-
ging verleend.
o) Alle personen aan wie machtiging wordt verleend in de zin van de punten d)
en e) ontvangen op het tijdstip dat de machtiging wordt verleend en vervol-
gens met regelmatige tussenpozen, alle noodzakelijke instructies betreffende
de bescherming van gerubriceerde gegevens en de wijze waarop deze kan
worden gewaarborgd. Zij ondertekenen een verklaring waarin zij erkennen
de instructies te hebben ontvangen, en verbinden zich ertoe deze op te
volgen.
p) Hethoofd van hetVeiligheidsbureau van de Commissie neemtalle noodza-
kelijke maatregelen tot uitvoering van deze afdeling, met name wat betreft
de voorschriften die gelden voor de toegang tot de lijst van gemachtigden.
q) Bij wijze van uitzondering mag het hoofd van het Veiligheidsbureau van de
Commissie wanneer de dienst zulks vereist, nadat hij de nationale bevoegde
instanties heeft geïnformeerd en mits deze niet binnen een maand reageren,
in afwachting van het resultaat van het onderzoek waarnaar in punt i) wordt
verwezen, tijdelijke machtiging verlenen voor een periode van hoogstens zes
maanden.
r) De voorlopige en tijdelijke machtigingen die aldus worden verleend, geven
geen toegang tot als EU TOP SECRET gerubriceerde gegevens; deze
toegang blijft beperkt tot ambtenaren die daadwerkelijk, overeenkomstig
punti), metgoed gevolg hetveiligheidsonderzoek hebben ondergaan.
Hangende het resultaat van dit onderzoek mag aan ambtenaren voor wie de
machtigingsgraad EU TOP SECRET is aangevraagd, tijdelijk en voorlopig
machtiging worden verleend om toegang te hebben tot gegevens die gerubri-
ceerd zijn tot en met de graad EU SECRET.
21. VERVAARDIGING, VERSPREIDING, OVERDRACHT, BEVEILIGING
VAN KOERIERS, EXTRA KOPIEËN, VERTALINGEN EN
UITTREKSEL VAN GERUBRICEERD EU-MATERIAAL
21.1.Vervaardiging
1. De EU-rubriceringen moeten overeenkomstig afdeling 16 worden toegepast;
voor de rubriceringsgraden EU CONFIDENTIAL en hoger moetde rubrice-
ringsgraad op elke bladzijde midden bovenaan en midden onderaan worden
aangebrachten moetelke bladzijde genummerd zijn. Op elk gerubriceerd
EU-document moet een referentienummer en een datum voorkomen. Bij EU
TOP SECRET- en EU SECRET-documenten wordt het referentienummer op
elke bladzijde vermeld. Wanneer verschillende kopieën verspreid worden,
moeten op de eerste bladzijde van elke kopie een kopienummer en het totaal
aantal bladzijden vermeld zijn. Bij als EU CONFIDENTIAL en hoger geru-
briceerde documenten moet op de eerste bladzijde een lijst voorkomen van
alle bijlagen en bijvoegsels.
2. Het typen, vertalen, opslaan, fotokopiëren, magnetisch reproduceren en op
microfilm zetten van als EU CONFIDENTIAL en hoger gerubriceerde docu-
menten mag uitsluitend geschieden door personen die gemachtigd zijn voor
toegang tot gerubriceerde EU-gegevens met minste de rubriceringsgraad van
het betrokken document.
3. De voorschriften die gelden voor gerubriceerde documenten die met de
computer worden verwerkt staan in afdeling 25.
21.2.Verspreiding
1. Gerubriceerde EU-gegevens mogen alleen verspreid worden onder personen
met een „need-to-know” die over de desbetreffende veiligheidsmachtiging
beschikken. De opsteller van het document specificeert de initiële versprei-
ding.
2. EU TOP SECRET documenten worden verspreid via de EU TOP SECRET-
registers (zie afdeling 22.2). Wanneer het berichten met rubriceringsgraad EU
TOP SECRET betreft, kan het bevoegde register het hoofd van het commu-
nicatiecentrum machtigen om het aantal kopieën te maken dat in de lijst van
de geadresseerden vermeld is.
3. Documenten met rubriceringsgraad EU SECRET of lager mogen door de
oorspronkelijke geadresseerde aan andere geadresseerden meteen „need-t o-
know” worden doorgezonden. Als de instanties die het document hebben
opgesteld echter beperkingen wensen op te leggen, moeten zij duidelijke
waarschuwingsmarkeringen aanbrengen. In datgeval mag de geadresseerde
de documenten alleen doorzenden met de toestemming van de instanties
waarvan de documenten afkomstig zijn.2000Q3614 — NL — 01.12.2001 — 001.001 — 33
▼M1
4. Documenten met rubriceringsgraad EU CONFIDENTIAL worden bij
aankomst in of vertrek uit een gebouw geregistreerd door het plaatselijk
EUCI-Register. Daarbij worden bijzonderheden vermeld (referenties, datum
en, in voorkomend geval, hetkopienummer) waarmee de document en kunnen
worden geïdentificeerd; die gegevens worden in een logboek ingeschreven of
in een speciaal beveiligd computermedium ingevoerd (zie afdeling 22.1).
21.3.Overdracht van gerubriceerde EU-documenten
21.3.1.Verpakking, ontvangstbewijzen
1. Als EU CONFIDENTIAL en hoger gerubriceerde documenten worden in
stevige, ondoorzichtige dubbele enveloppen vervoerd. Op de binnenste enve-
loppe wordt de toepasselijke EU-rubriceringsgraad aangebracht, alsmede
voor zover mogelijk bijzonderheden zoals functie en adres van de ontvanger.
2. De binnenste enveloppe mag alleen worden geopend door een functionaris
voor de registercontrole (zie 22.1) of door diens plaatsvervanger, die voor
ontvangst van de ingesloten documenten tekent, behalve wanneer de enve-
loppe aan een welbepaalde persoon is geadresseerd. In datgeval (zie 22.1)
wordt de aankomst van de enveloppe in het register genoteerd, en mag alleen
de geadresseerde de binnenste enveloppe openen en voor ontvangst van de
daarin ingesloten documenten tekenen.
3. In de binnenste enveloppe wordt een ontvangstbewijs ingesloten. Op dat
bewijs, dat niet gerubriceerd wordt, moeten het referentienummer, de datum
en hetkopienummer van hetdocumentvoorkomen; hetonderwerp van het
document mag echter nooit op het ontvangstbewijs worden vermeld.
4. De binnenste enveloppe wordt in een andere enveloppe gestoken, waarop een
paknummer voor de ontvangstregistratie wordt aangebracht. De rubricerings-
graad mag in geen geval op de buitenste enveloppe voorkomen.
5. Voor als EU CONFIDENTIAL en hoger gerubriceerde documenten krijgen
koeriers en boodschappers een ontvangstbewijs tegen het paknummer.
21.3.2.Overdracht binnen een gebouw of een groep gebouwen
Binnen een gebouw of een groep gebouwen mogen gerubriceerde documenten
worden vervoerd in een verzegelde enveloppe waarop alleen de naam van de
geadresseerde voorkomt, mits de enveloppe wordt vervoerd door een persoon
die voor de rubriceringsgraad van de documenten gemachtigd is.
21.3.3.Overdracht binnen een land
1. Binnen een land mogen EU TOP SECRET-documenten alleen worden
vervoerd door een officiële koeriersdienstof door personen die gemacht igd
zijn voor toegang tot EU TOP SECRET-gegevens.
2. Wanneer voor de overdrachtvan een EU TOP SECRET-documentbuit en een
gebouw of een groep gebouwen gebruik wordtgemaaktvan een koeriers-
dienst, moeten de bepalingen van dit hoofdstuk inzake verpakking en
ontvangst worden nageleefd. Koeriersdiensten moeten zodanig zijn bemand
dat pakketten met EU TOP SECRET-documenten te allen tijde onder de
directe supervisie van een bevoegd persoon blijven.
3. In uitzonderlijke gevallen mogen andere ambtenaren dan bodes EU TOP
SECRET-documenten uit een gebouw of groep gebouwen meenemen voor
gebruik tijdens vergaderingen of besprekingen, op voorwaarde dat:
a) de betrokken ambtenaar gemachtigd is voor toegang tot deze EU TOP
SECRET-documenten;
b) de wijze van transport voldoet aan de voorschriften voor de overdracht
van EU TOP SECRET-documenten;
c) de betrokken ambtenaar de EU TOP SECRET-documenten in geen geval
onbeheerd laat;
d) erop wordt toegezien dat aldus vervoerde documenten die in het EU TOP
SECRET-register voorkomen, in een logboek worden genoteerd, en dat de
terugkeer van de documenten aan de hand van deze gegevens wordt
gecontroleerd.
4. Binnen een land mogen EU SECRET- en EU CONFIDENTIAL-documenten
hetzij per post worden verzonden, indien de nationale regelgeving dat
toestaat en die regelgeving wordt nageleefd, hetzij worden bezorgd via een
koeriersdienst of door personen die gemachtigd zijn voor toegang tot de
gerubriceerde EU-gegevens.
5. HetVeiligheidsbureau van de Commissie st eltop basis van deze voor-
schriften instructies vast voor de personen die gerubriceerde EU-gegevens2000Q3614 — NL — 01.12.2001 — 001.001 — 34
▼M1
vervoeren. Deze instructies moeten door de drager van de documenten
worden gelezen en ondertekend. In die instructies moet met name duidelijk
zijn aangegeven datde document en in geen geval:
a) door de drager uithanden mogen worden gegeven, t enzij ze veilig worden
opgeborgen overeenkomstig het bepaalde in afdeling 18;
b) onbeheerd mogen worden achtergelaten in openbare of particuliere voer-
tuigen of op plaatsen als restaurants of hotels. Zij mogen niet in
hotelkluizen worden bewaard of onbeheerd op hotelkamers worden
achtergelaten;
c) mogen gelezen worden op openbare plaatsen als vliegtuigen of treinen.
21.3.4.Overdracht van de ene staat naar de andere
1. Materiaal met rubriceringsgraad EU CONFIDENTIAL of hoger moet door
diplomatieke of militaire koeriersdiensten worden vervoerd.
2. Vervoer door personen van als SECRET EU of EU CONFIDENTIAL geru-
briceerd materiaal kan evenwel worden toegestaan, als de nodige
voorzorgsmaatregelen worden genomen om te voorkomen dat het materiaalin handen van onbevoegden terechtkomt.
3. HetCommissielid datbevoegd is voor veiligheidsaangelegenheden kan
vervoer door personen toestaan wanneer geen diplomatieke of militaire
koeriers beschikbaar zijn, of wanneer hetgebruik van dergelijke koeriers t ot
een vertraging zou leiden die de EU-operaties kan schaden, en de geadres-
seerde het materiaal dringend nodig heeft. Het Veiligheidsbureau van de
Commissie stelt instructies op voor het internationaal vervoer van materiaal
tot en met de rubriceringsgraad EU SECRET door andere personen dan
diplomatieke of militaire koeriers. Die instructies moeten het volgende voor-
schrijven:
a) de drager moetin hetbezitzijn van een passende veiligheidsmacht iging;
b) de betrokken dienst of het betrokken register houdt een bestand bij van al
hetmat eriaal datop die wijze vervoerd wordt ;
c) op pakketten of zakken die EU-materiaal bevatten moet een officieel
stempel ter voorkoming van douanecontroles zijn aangebracht alsmede
etiketten met identificatiegegevens en instructies voor de eventuele
vinder;
d) de drager moet in het bezit zijn van een door alle EU-lidstaten erkende
koerierspas en/of dienstopdracht op grond waarvan hij gemachtigd is het
daarin gespecificeerde pakkett e vervoeren;
e) in geval van vervoer over land mag nietover hetgrondgebied worden
gereisd van een staat die niet tot de EU behoort of mag de grens van
een dergelijke staat niet worden overschreden, tenzij de lidstaat van
verzending speciale garanties van deze staat heeft gekregen;
f) het reisplan, de reisroute en de keuze van de vervoermiddelen moeten
voldoen aan de EU-voorschriften of aan de nationale voorschriften, indien
deze strenger zijn;
g) de drager mag het materiaal niet uit handen geven, tenzij het veilig wordt
opgeslagen overeenkomstig het bepaalde in afdeling 18;
h) het materiaal mag niet onbeheerd worden achtergelaten in openbare of
particuliere voertuigen, of op plaatsen als restaurants en hotels. Het mag
niet in hotelkluizen worden bewaard of onbeheerd in hotelkamers worden
achtergelaten;
i) documenten die worden vervoerd mogen niet worden gelezen op openbare
plaatsen (bv. vliegtuigen, treinen, enz.).
4. De persoon die met het vervoer van het gerubriceerd materiaal is belast, moet
een document lezen en ondertekenen dat ten minste de bovenbedoelde
instructies bevat en waarin de procedures zijn uiteengezet die moeten worden
gevolgd in geval van nood of wanneer een pakketmetgerubriceerd mat eriaal
door de douane of door de veiligheidsdienstvan een lucht haven wordt
opgeëist.
21.3.5.Overdracht van EU RESTRICTED documenten
Voor hetvervoer van document en metrubriceringsgraad EU RESTRICTED
gelden geen speciale voorschriften, behalve dat erop moet worden toegezien
dat de documenten niet in handen van onbevoegden terechtkomen.2000Q3614 — NL — 01.12.2001 — 001.001 — 35
▼M1
21.4.Veiligheidsonderzoek van koeriers
Koeriers en bodes die worden belastmethetvervoer van document en metrubri-
ceringsgraad EU SECRET en EU CONFIDENTIAL, moeten vooraf een passend
veiligheidsonderzoek ondergaan.
21.5.Elektronische en andere middelen van technische overdracht
1. Er moeten communicatiebeveiligingsmaatregelen worden vastgesteld
waarmee de veilige overdrachtvan gerubriceerde EU-gegevens kan worden
gegarandeerd. Gedetailleerde voorschriften in dit verband zijn vermeld in
afdeling 25.
2. Gegevens metrubriceringsgraad EU CONFIDENTIAL of EU SECRET
mogen alleen door geaccrediteerde communicatiecentra en netwerken en/ofterminals en systemen worden doorgezonden.
21.6.Extra kopieën, vertalingen en uittreksels van gerubriceerde EU-docu-
menten
1. Alleen de opsteller mag toestemming geven voor het kopiëren of vertalen
van documenten met rubriceringsgraad EU TOP SECRET.
2. Wanneer gegevens die, hoewel ze in een EU TOP SECRET-documentvoor-
komen, zelf een andere rubricering hebben, worden opgevraagd door
personen die niet over een machtiging voor toegang tot EU TOP SECRET-
informat ie beschikken, kan hethoofd van hetEU TOP SECRET-regist er (zie
22.2) toestemming krijgen om het gevraagde aantal uittreksels uit dat docu-
ment af te leveren. Daarbij moet hij/zij ervoor zorgen dat die uittreksels de
passende rubriceringsgraad krijgen.
3. Documenten met rubriceringsgraad EU SECRET of lager gerubriceerde
mogen door de geadresseerde worden gereproduceerd of vertaald, binnen
hetkader van deze veiligheidsvoorschrift en en op voorwaarde dathet
„need-to-know”-beginsel strikt in acht wordt genomen. De veiligheidsmaatre-
gelen die voor hetoriginele documentgelden, zijn ook van t oepassing op de
reproducties en/of vertalingen daarvan.
22. EUCI-REGISTERS, CONTROLES, ARCHIVERING EN VERNIETIGING
VAN GERUBRICEERDE EU–GEGEVENS
22.1.Plaatselijke registers van gerubriceerde EU-gegevens (EUCI-registers)
1. Bij iedere dienstvan de Commissie is, naar gelang van de behoeft en, één of
meer plaatselijke EUCI-registers bevoegd voor de registratie, de reproductie,
de verzending, de archivering en de vernietiging van documenten met rubri-
ceringsgraad EU SECRET of EU CONFIDENTIAL.
2. Voor diensten die niet over een plaatselijke EUCI-register beschikken, treedt
het plaatselijk EUCI-register van het secretariaat-generaal op als zodanig.
3. De plaatselijke EUCI-registers brengen verslag uit bij het hoofd van de dienst
van wie zij instructies krijgen. Aan het hoofd van deze registers staat de
functionaris voor de registercontrole (RCO).
4. Zij staan onder toezicht van de plaatselijke veiligheidsfunctionaris wat betreft
de toepassing van de voorschriften inzake de behandeling van EUCI-docu-
menten en de uitvoering van de desbetreffende veiligheidsmaatregelen.
5. De ambtenaren van de plaatselijke EUCI-registers zijn gemachtigd om
toegang te hebben tot de gerubriceerde EU-gegevens, overeenkomstig het
bepaalde in afdeling 20.
6. De plaatselijke EUCI-registers zijn, onder toezicht van het hoofd van de
dienst, belast met:
a) het beheren van activiteiten in verband met het registreren, reproduceren,
vertalen, overdragen, verzenden en vernietigen van de gegevens;
b) hetbijhouden van de lijstmetbijzonderheden over de gerubriceerde gege-
vens;
c) het op gezette tijden vaststellen of bepaalde gegevens gerubriceerd
moeten blijven;
7. De plaatselijke EUCI-registers houden een register bij waarin de volgende
bijzonderheden zijn vermeld:
a) de datum van opstelling van de gerubriceerde gegevens;
b) de rubriceringsgraad;
c) de datum waarop de rubricering verstrijkt;2000Q3614 — NL — 01.12.2001 — 001.001 — 36
▼M1
d) de naam en de afdeling van de afzender;
e) de geadresseerde(n), metvolgnummer;
f) hetonderwerp;
g) hetaant al;
h) hetaant al verspreide kopieën;
i) een inventaris van de gerubriceerde gegevens die aan de afdeling zijn
meegedeeld;
j) een register van de gederubriceerde en de lager gerubriceerde gegevens.
8. De algemene voorschriften als bedoeld in afdeling 21 zijn van toepassing op
de plaatselijke EUCI-registers, voor zover ze door de bepalingen van deze
afdeling nietzijn gewijzigd.
22.2.Het EU TOP SECRET-register
22.2.1.Algemeen
1. Een centraal EU TOP SECRET register zorgt voor het registreren, verwerken
en verspreiden van EU TOP SECRET-documenten overeenkomstig de veilig-
heidsvoorschriften. Aan het hoofd van EU TOP SECRET-register staat de
controlefunctionaris voor de registratiecontrole (RCO).
2. Het centrale EU TOP SECRET register is bij de Commissie de belangrijkste
autoriteit voor ontvangst en verzending ten aanzien van andere EU-instel-
lingen, internationale organisaties en derde landen waarmee de Commissie
overeenkomsten heeft gesloten inzake beveiligingsprocedures voor de uitwis-
seling van gerubriceerde gegevens.
3. Indien nodig worden subregisters opgezet voor het intern beheer van EU
TOP SECRET-documenten; deze subregisters houden bijgewerkte bestanden
bij met betrekking tot de circulatie van de documenten waarvoor zij bevoegd
zijn.
4. EU TOP SECRET sub-registers worden opgezet overeenkomstig het
bepaalde in afdeling 22.2.3; zij zijn op de lange termijn gericht en worden
gekoppeld aan een centraal EU TOP SECRET-register. Wanneer er behoefte
bestaat om EU TOP SECRET-documenten slechts tijdelijk en incidenteel te
raadplegen, kunnen deze worden vrijgegeven zonder dateen EU TOP
SECRET-subregister wordt opgezet, op voorwaarde dat maatregelen worden
genomen om ervoor te zorgen dat deze documenten onder de controle van
het betrokken EU TOP SECRET-register blijven en dat alle voorschriften
inzake fysieke en personele beveiliging nageleefd worden.
5. Subregisters mogen geen EU TOP SECRET-documenten rechtstreeks over-
dragen aan andere subregisters van hetzelfde centrale EU TOP SECRET-
register zonder uitdrukkelijke toestemming van het centrale register.
6. Uitwisselingen van EU TOP SECRET-documenten tussen subregisters die
niet tot hetzelfde centrale register behoren, verlopen via de centrale EU
TOP SECRET-registers.
22.2.2.Het centraal EU TOP SECRET-register
Als functionaris voor de registercontrole is het hoofd van het centraal EU TOP
SECRET-register verantwoordelijk voor:
a) de overdracht van EU TOP SECRET-documenten overeenkomstig het
bepaalde in afdeling 21.3;
b) het bijhouden van een lijst van alle EU TOP SECRET-subregisters die tot
het centraal register behoren, en van de naam en de handtekening van de
functionarissen voor de registercontrole en hun gemachtigde plaatsvervan-
gers;
c) het bewaren van de ontvangstbewijzen van andere registers voor alle EU
TOP SECRET-documenten die door het centrale register zijn verspreid;
d) hetbijhouden van een overzichtvan de EU TOP SECRET-document en die
bewaard worden en in omloop zijn;
e) het bijhouden van een bijgewerkte lijst van alle centrale EU TOP SECRET-
registers waarmee hij normaliter correspondeert, en van de naam en de hand-
tekening van de functionarissen voor de registercontrole en hun gemachtigde
plaatsvervangers;
f) de fysieke bewaking van alle EU TOP SECRET-documenten die in het
register zijn opgenomen, overeenkomstig het bepaalde in afdeling 18.2000Q3614 — NL — 01.12.2001 — 001.001 — 37
▼M1
22.2.3.EU TOP SECRET-subregisters
Als functionaris voor de registercontrole is het hoofd van een EU TOP
SECRET-subregister verantwoordelijk voor:
a) de overdracht van EU TOP SECRET-documenten overeenkomstig het
bepaalde in afdeling 21.3;
b) het bijhouden van een lijst van alle personen die gemachtigd zijn om toegang
te hebben tot de EU TOP SECRET-gegevens waarvoor hij verantwoordelijk
is;
c) de verspreiding van EU TOP SECRET-documenten volgens de instructies
van de instantie die de documenten verstrekt heeft of op een „need-to-
know”-basis, nadateerstis nagegaan of de geadresseerde de vereist e veilig-
heidsmachtiging heeft;
d) hetbijhouden van een bijgewerktoverzichtvan alle EU TOP SECRET-docu-
menten die hij bewaart of die onder zijn toezicht in omloop zijn, of die aan
andere EU TOP SECRET-registers zijn doorgegeven; het bewaren van alle
corresponderende ontvangstbewijzen;
e) hetbijhouden van een lijstvan EU TOP SECRET-regist ers waarmee hij EU
TOP SECRET-documenten mag uitwisselen en van de naam en de handteke-
ning van de functionarissen voor de registercontrole en hun gemachtigde
plaatsvervangers;
f) de fysieke bewaking van alle EU TOP SECRET-documenten die in het
register zijn opgenomen, overeenkomstig het bepaalde in afdeling 18.
22.3.Inventarisatie en controle van gerubriceerde EU-documenten
1. Ieder jaar stelt elk EU TOP SECRET-register als bedoeld in deze afdeling,
een gespecificeerde inventaris op van alle EU TOP SECRET-documenten.
Een document wordt geacht tot een register te behoren wanneer dat docu-
mentfysiek op hetregist er aanwezig is, of wanneer hetregist er in hetbezit
is van een ontvangstbewijs van het EU TOP SECRET-register waaraan het
documentis overgedragen, van een proces-verbaal van verniet iging voor het
documentof van een opdrachtom datdocumentlager t e rubriceren of t e
derubriceren. De resultaten van de jaarlijkse inventaris worden ieder jaar
uit erlijk op 1 april naar hetCommissielid gezonden datbevoegd is voor
veiligheidsaangelegenheden.
2. EU TOP SECRET-subregisters zenden de resultaten van hun jaarlijkse inven-
taris toe aan het centraal register waaronder zij ressorteren, op een tijdstip dat
door het centraal register wordt bepaald.
3. Documenten met een rubriceringsgraad lager dan EU TOP SECRET worden
aan interne controles onderworpen volgens de instructies van het Commis-
sielid datbevoegd is voor veiligheidsaangelegenheden.
4. Deze controles moeten het mogelijk maken na te gaan of:
a) bepaalde documenten lager kunnen worden gerubriceerd of kunnen
worden gederubriceerd;
b) documenten moeten worden vernietigd.
22.4.Archivering van gerubriceerde EU-gegevens
1. Gerubriceerde EU-gegevens moeten worden opgeslagen overeenkomstig het
bepaalde in afdeling 18.
2. Om opslagproblemen te voorkomen, kunnen de functionarissen voor de regis-
tercontrole documenten met rubriceringsgraad EU TOP SECRET, EU
SECRET of EU CONFIDENTIAL voor archiveringsdoeleinden op microfilm
vastleggen of met behulp van andere magnetische of optische middelen
opslaan, op voorwaarde dat:
a) de werkzaamheden worden verrichtdoor personeelsleden die een geldige
machtiging voor de desbetreffende rubriceringsgraad bezitten;
b) de microfilm/gegevensdrager op dezelfde wijze beveiligd is als de origi-
nele documenten;
c) de opsteller van het document van de verfilming of de opslag in kennis
wordtgest eld;
d) op ieder filmrolletje of op iedere andere gegevensdrager alleen docu-
menten worden opgeslagen met dezelfde rubriceringsgraad (EU TOP
SECRET, EU SECRET of EU CONFIDENTIAL);
e) in hetbest and datvoor de jaarlijkse invent aris wordtgebruiktduidelijk is
aangegeven welke EU TOP SECRET- of EU SECRET-documenten op
microfilm zijn vastgelegd of op een andere gegevensdrager zijn opge-
slagen;2000Q3614 — NL — 01.12.2001 — 001.001 — 38
▼M1
f) de originelen van de verfilmde of opgeslagen documenten overeenkomstig
hetbepaalde in afdeling 22.5 worden verniet igd.
3. Deze voorschriften zijn ook van toepassing op andere toegelaten vormen van
opslag, zoals elektromagnetische middelen en optische schijven.
22.5.Vernietiging van gerubriceerde EU-gegevens
1. Om onnodige accumulatie van gerubriceerde EU-documenten te voorkomen,
moeten de documenten die door het hoofd van de dienst die ze bewaart, als
achterhaald en overtollig worden beschouwd, zo spoedig mogelijk op onder-
staande wijze worden vernietigd:
a) EU TOP SECRET mogen alleen door het bevoegde centrale register
worden vernietigd. Elk vernietigd document wordt genoteerd in een
proces-verbaal van vernietiging, dat ondertekend wordt door de functio-
naris voor de registercontrole van het EU TOP SECRET-register en door
de functionaris die bij de vernietiging aanwezig was en die over een
machtiging voor rubriceringsgraad EU TOP SECRET beschikt. Hiervanwordtaant ekening gemaaktin hetlogboek.
b) Het register moet de processen-verbaal van vernietiging samen met de
verspreidingsformulieren gedurende tien jaar bewaren. Alleen op uitdruk-
kelijk verzoek worden aan de opsteller van de documenten of aan het
betrokken centrale register kopieën verstrekt.
c) EU TOP SECRET-documenten, alsmede alle daarmee verband houdende
gerubriceerde nevenproducten, zoals kladversies, ontwerpteksten, getypte
aantekeningen en diskettes, worden onder toezicht van een functionaris
voor de registercontrole van een EU TOP SECRET-register vernietigd
door verbranding, verpulping, versnippering of op een andere wijze
waarbij de documenten onherkenbaar en onherstelbaar worden.
2. EU SECRET-documenten worden door het bevoegde register op een van de
onder punt 1c bedoelde wijzen vernietigd, onder toezicht van een persoon
met een veiligheidsmachtiging. Van de vernietigde EU SECRET-documenten
wordt een proces-verbaal van vernietiging opgemaakt en ondertekend, dat
samen met de verspreidingsformulieren gedurende ten minste drie jaar in
hetregist er wordtbewaard.
3. 33. EU CONFIDENTIAL-documenten worden door het bevoegde register op
een van de onder punt 1c bedoelde wijzen vernietigd, onder toezicht van een
persoon met een veiligheidsmachtiging. De vernietiging van deze docu-
menten wordt geregistreerd volgens de instructies van het Commissielid dat
bevoegd is voor veiligheidsaangelegenheden.
4. EU RESTRICTED-documenten worden door het bevoegde register of door
de gebruiker vernietigd, volgens de instructies van het Commissielid dat
bevoegd is voor veiligheidsaangelegenheden.
22.6.Vernietiging in noodgevallen
1. De diensten van de Commissie stellen, naar gelang van de plaatselijke
omstandigheden, plannen op ter beveiliging van gerubriceerd EU-materiaal
in crisissituaties, die indien nodig noodvernietigings- en evacuatieplannen
omvatten. In die plannen worden de instructies vastgesteld die nodig wordengeachtom t e voorkomen datgerubriceerde EU-gegevens in handen van onbe-
voegden terechtkomen.
2. De regelingen die in crisissituaties worden getroffen om materiaal met rubri-
ceringsgraad EU SECRET of EU CONFIDENTIAL te beveiligen en/of te
vernietigen, mogen in geen geval ten koste gaan van de beveiliging of de
vernietiging van EU TOP SECRET-materiaal, inclusief de encryptieappara-
tuur, waarvan de werking voorrang heeft op alle andere taken.
3. De maatregelen voor de beveiliging en vernietiging van encryptieapparatuur
in noodsituaties worden op grond van ad hoc instructies vastgesteld.
4. De instructies moeten onmiddellijk beschikbaar in een verzegelde enveloppe
ter beschikking worden gesteld. De middelen en de technische uitrusting voor
de vernietiging moeten beschikbaar zijn.
23. VEILIGHEIDSMAATREGELEN VOOR SPECIFIEKE VERGADE-
RINGEN DIE BUITEN DE COMMISSIE WORDEN GEHOUDEN EN
WAARBIJ GERUBRICEERDE EU–GEGEVENS ZIJN BETROKKEN
23.1.Algemeen
Wanneer vergaderingen van de Commissie of andere belangrijke bijeenkomsten
buiten de gebouwen van de Commissie plaatsvinden, waarbij de hoge gevoelig-
heid van de behandelde aangelegenheden of gegevens bijzondere2000Q3614 — NL — 01.12.2001 — 001.001 — 39
▼M1
veiligheidseisen vereisen, dienen de hieronder beschreven veiligheidsmaatre-
gelen te worden getroffen. Deze maatregelen hebben alleen betrekking op de
bescherming van gerubriceerde EU-gegevens; er moeten wellicht ook andere
veiligheidsmaatregelen worden overwogen.
23.2.Verantwoordelijkheid
23.2.1.Het Veiligheidsbureau van de Commissie
Het Veiligheidsbureau van de Commissie werkt met de bevoegde instanties van
de lidstaat op wiens grondgebied de vergadering plaatsvindt (de gastlidstaat)
samen om tijdens vergaderingen van de Commissie of andere belangrijke bijeen-
komsten de veiligheid van de delegaties en van het personeel te garanderen. Het
Veiligheidsbureau dient er in het bijzonder voor te zorgen dat:
a) plannen worden opgesteld om veiligheidsrisico's en veiligheidsincidenten aan
te pakken, waarbij er in het bijzonder wordt op toegezien dat gerubriceerde
EU-documenten veilig worden opgeborgen;
b) maatregelen worden getroffen om de toegang tot de communicatiesystemen
van de Commissie mogelijk te maken, zodat gerubriceerde EU-berichten
kunnen worden ontvangen en verstuurd. De gastlidstaat stelt desgewenst
beveiligde telefoonsystemen ter beschikking.
HetVeiligheidsbureau geeftbeveiligingsadviezen bij de voorbereiding van de
vergadering; het is in de vergadering vertegenwoordigd en staat de beveiligings-
functionaris van de vergadering en de delegaties waar nodig met raad en daad
bij.
Elke delegatie in de vergadering dient een beveiligingsfunctionaris aan te
wijzen, die binnen zijn delegatie verantwoordelijk is voor veiligheidskwesties
en in contact staat met de beveiligingsfunctionaris van de vergadering en met
de vertegenwoordiger van het Veiligheidsbureau van de Commissie, indien
zulks nodig is.
23.2.2.Beveiligingsfunctionaris van de vergadering (Meeting Security Officer -
MSO)
Er wordt een beveiligingsfunctionaris aangewezen, die verantwoordelijk is voor
de algemene voorbereiding van en het toezicht op de algemene interne veilig-
heidsmaatregelen, alsook voor de coördinatie met de andere betrokken
veiligheidsinstanties. De maatregelen die de beveiligingsfunctionaris treft
hebben in hetalgemeen bet rekking op:
a) beschermingsmaatregelen op de vergaderplaats, om ervoor te zorgen dat zich
tijdens de vergadering geen incidenten voordoen die de beveiliging van geru-
briceerde EU-gegevens die in de vergadering worden gebruikt, in gevaar
kunnen brengen;
b) controle van het personeel dat toegang heeft tot de vergaderplaats, de delega-
tieruimten en de conferentieruimten, en controle van de apparatuur;
c) permanente coördinatie met de bevoegde autoriteiten van de gastlidstaat en
methetVeiligheidsbureau van de Commissie;
d) het opnemen in het vergaderdossier van de veiligheidsinstructies, met inacht-
neming van deze voorschriften en van andere veiligheidsinstructies die nodig
worden geacht.
23.3.Veiligheidsmaatregelen
23.3.1.Veiligheidszones
De volgende veiligheidszones dienen te worden ingesteld:
a) een veiligheidszone van klasse II, bestaande uit een redactieruimte, de
ruimten van de Commissie en reproductieapparatuur, alsmede de delegatie-
ruimten in voorkomend geval;
b) een veiligheidszone van klasse I, bestaande uit de conferentieruimte alsmede
de tolkencabines en de werkruimte van de geluidstechnici;
c) administratieve zones, bestaande uit de persruimte en de delen van de verga-
derlocatie die worden gebruikt ten behoeve van administratie, catering en
accommodatie, alsmede de zone die grenst aan het perscentrum en de verga-
derlocatie.
23.3.2.Pasjes
De veiligheidsfunctionaris voor de vergadering (MSO) dient de delegaties op
hun verzoek van de nodige pasjes te voorzien. Indien nodig kan een onderscheid
worden gemaakt naar gelang van de toegang tot verschillende veiligheidszones.2000Q3614 — NL — 01.12.2001 — 001.001 — 40
▼M1
De veiligheidsinstructies voor de vergadering dienen te vereisen dat alle betrok-
kenen te allen tijde duidelijk zichtbaar hun pasje dragen op de vergaderlocatie,
zodatzij zo nodig door hetveiligheidspersoneel kunnen worden gecont roleerd.
Afgezien van de deelnemers die een pasje hebben, worden zo weinig mogelijk
personen tot de vergaderlocatie toegelaten. De MSO mag alleen nationale dele-
gaties die erom verzoeken, toestaan bezoekers te ontvangen tijdens de
vergadering. Bezoekers dienen te worden voorzien van een bezoekerspasje.
Voor het bezoekerspasje dient een registratiebewijs te worden ingevuld met
daarop de naam van de bezoeker en van de persoon die wordtbezocht . Bezoe-
kers dienen te allen tijde te worden begeleid door veiligheidspersoneel of door
de bezochte persoon. De begeleidende persoon dient het registratiebewijs bij
zich te houden en het, samen met het bezoekerspasje, terug te geven aan het
veiligheidspersoneel wanneer de bezoeker de vergaderlocatie verlaat.
23.3.3.Controle van foto- en audioapparatuur
In een veiligheidszone van klasse I mogen geen camera's of opnameapparatuur
worden binnengebracht, met uitzondering van apparatuur van fotografen en
geluidstechnici die daartoe door de MSO gemachtigd zijn.
23.3.4.Controle van aktetassen, draagbare computers en pakjes
Aktetassen en draagbare computers (alleen indien voorzien van een autonome
energiebron) van houders van pasjes die toegang hebben tot een veiligheidszone,
worden normaliter niet gecontroleerd bij het betreden van die zone. Delegaties
mogen voor hen bestemde pakjes in ontvangst nemen; die pakjes worden gecon-
troleerd door de veiligheidsfunctionaris van de betreffende delegatie, gescreend
met speciale apparatuur of voor controle geopend door het veiligheidspersoneel.
Indien de MSO voor de vergadering zulks nodig acht, kunnen strengere maatre-
gelen met betrekking tot de controle van aktetassen en pakjes worden
vastgelegd.
23.3.5.Technische beveiliging
De vergaderruimte kan „technisch veilig” worden gemaakt door een team voor
technische beveiliging, dat tijdens de vergadering eveneens voor elektronisch
toezicht kan zorgen.
23.3.6.Documenten van delegaties
De delegaties zijn verantwoordelijk voor het meenemen van gerubriceerde EU-
documenten naar en van vergaderingen. Zij zijn tevens verantwoordelijk voor de
controle en de beveiliging van zulke documenten wanneer zij die in de hun
toegewezen ruimten gebruiken. De gastlidstaat kan om hulp worden verzocht
voor het vervoer van gerubriceerde documenten van en naar de vergaderlocatie.
23.3.7.Veilig opbergen van documenten
Indien de Commissie of de delegaties hun gerubriceerde documenten niet
conform goedgekeurde normen kunnen bewaren, mogen zij deze documenten,
tegen ontvangstbewijs, in een verzegelde enveloppe aan de veiligheidsfunctio-
naris voor de vergadering overhandigen zodat deze functionaris de documenten
conform goedgekeurde normen kan opbergen.
23.3.8.Controle van ruimten
De veiligheidsfunctionaris voor de vergadering dient erop toe te zien dat de
ruimten van de Commissie en van de delegaties aan het einde van elke werkdag
worden gecontroleerd, teneinde te garanderen dat gerubriceerde EU-documenten
op een veilige plaats worden bewaard. Indien dat niet het geval is, dient hij/zij
de nodige maatregelen te treffen.
23.3.9.Verwijdering van afval van gerubriceerd EU-materiaal
Afval dient te worden behandeld als gerubriceerd EU-materiaal, en papier-
manden of -zakken moeten aan de Commissie en de delegaties ter beschikking
worden gesteld om afval te verwijderen. Alvorens de hun toegewezen ruimten te
verlaten, dienen de Commissie en de delegaties hun afval aan de veiligheids-
functionaris voor de vergadering te overhandigen, die ervoor zorgt dat het
afval volgens de regels wordtverniet igd.
Na afloop van de vergadering dienen alle documenten van de Commissie of van
de delegaties die zij niet langer wensen te behouden, als afval te worden behan-
deld. De ruimten die de Commissie en de delegaties ter beschikking waren
gesteld, moeten grondig worden gecontroleerd alvorens de voor de vergadering
getroffen veiligheidsmaatregelen worden opgeheven. Documenten waarvoor een2000Q3614 — NL — 01.12.2001 — 001.001 — 41
▼M1
ontvangstbewijs was getekend, dienen, voorzover van toepassing, te worden
vernietigd zoals beschreven in 22.5.
24. INBREUKEN OP DE VEILIGHEIDSVOORSCHRIFTEN EN COMPRO-
MITTERING VAN GERUBRICEERDE EU-GEGEVENS
24.1.Definities
Een inbreuk op de veiligheidsvoorschriften is het resultaat van een handeling of
een nalatigheid, in strijd met veiligheidsvoorschriften van de Commissie, die
gerubriceerde EU-gegevens in gevaar kan brengen of compromitteren.
Compromittering van gerubriceerde EU-gegevens doet zich voor wanneer het
zeker of aannemelijk is datzulke gegevens geheel of gedeelt elijk in hetbezit
zijn gekomen van onbevoegden, d.w.z. personen die nietover de vereist e mach-
tiging of „need-to-know” beschikken.
Gerubriceerde EU-gegevens kunnen gecompromitteerd zijn als gevolg van slor-
digheid, onachtzaamheid of indiscretie, alsmede, wat gerubriceerde EU-
gegevens en -activiteiten betreft, door activiteiten van diensten die gericht zijn
tegen de EU of haar lidstaten, dan wel door activiteiten van subversieve organi-
saties.
24.2.Melding van inbreuken op veiligheidsvoorschriften
Alle personen die gerubriceerde EU-gegevens moeten verwerken, moeten
grondig worden geïnformeerd over hun verantwoordelijkheden op dit vlak. Zij
moeten elke inbreuk op de veiligheidsvoorschriften waarvan zij kennis krijgen,
onverwijld melden.
Indien een plaatselijke veiligheidsfunctionaris of een veiligheidsfunctionaris
voor de vergadering een inbreuk op de veiligheidsvoorschriften met betrekking
tot gerubriceerde EU-gegevens, dan wel het verlies of verdwijnen van gerubri-
ceerd EU-materiaal ontdekt of daarvan in kennis wordt gesteld, doet hij/zij tijdig
hetnodige om:
a) bewijsmateriaal veilig te stellen;
b) de feiten vast te stellen;
c) de aangerichte schade te beoordelen en te beperken;
d) herhaling van de feiten te voorkomen;
e) de bevoegde autoriteiten in kennis te stellen van de gevolgen van de inbreuk
op de veiligheidsvoorschriften.
In dat verband wordt de volgende informatie verstrekt:
i) een beschrijving van de betreffende gegevens, met inbegrip van de rubri-
cering ervan, het referentie- en het kopienummer, de datum, de opsteller,
hetonderwerp en de verspreiding;
ii) een beknopte beschrijving van de omstandigheden van de inbreuk, met
inbegrip van de datum en de periode gedurende welke de informatie
aan compromittering was blootgesteld;
iii) een verklaring dat de opsteller al dan niet op de hoogte is gebracht.
De veiligheidsautoriteiten hebben tot taak om, zodra zij kennis krijgen van een
mogelijke inbreuk op de veiligheidsvoorschriften, dit onmiddellijk te melden aan
hetVeiligheidsbureau van de Commissie.
Gevallen waarbij als EU RESTRICTED gerubriceerde gegevens betrokken zijn,
behoeven alleen te worden gemeld indien zij ongewone aspecten vertonen.
Wanneer de voor veiligheid verantwoordelijke Commissaris in kennis wordt
gesteld van een inbreuk op de veiligheidsvoorschriften:
a) stelt hij de autoriteit waarvan de betreffende gerubriceerde gegevens afkom-
stig zijn, daarvan in kennis;
b) verzoekt hij de bevoegde veiligheidsautoriteiten een onderzoek in te stellen;
c) coördineert hij het onderzoek, indien er meer dan één veiligheidsautoriteit bij
betrokken is;
d) wordt aan hem gerapporteerd over de omstandigheden van de inbreuk, de
datum of de periode waarin de inbreuk zich kan hebben voorgedaan, en de
ontdekking van de inbreuk, met een gedetailleerde beschrijving van de
inhoud en de rubriceringsgraad van het betreffende materiaal. Voorts moet
ook de schade aan belangen van de EU of van een of meer van haar lidstaten
worden gerapporteerd, alsmede de stappen die zijn ondernomen om herhaling
te voorkomen.2000Q3614 — NL — 01.12.2001 — 001.001 — 42
▼M1
De opsteller van de gegevens dient de geadresseerden in te lichten en passende
instructies te geven.
24.3.Gerechtelijke actie
Eenieder die verantwoordelijk is voor het compromitteren van gerubriceerde
EU-gegevens stelt zich bloot aan disciplinaire maatregelen, overeenkomstig de
geldende regels en voorschriften, met name overeenkomstig titel VI van het
ambtenarenstatuut. Dit sluit verdere gerechtelijke actie niet uit.
In voorkomend geval moetde metveiligheid belast e Commissaris op basis van
het in afdeling 24.2 bedoelde verslag de nodige stappen zetten om het de
bevoegde nationale autoriteiten mogelijk te maken strafrechtelijke proceduresin te leiden.
25. BESCHERMING VAN GERUBRICEERDE EU-GEGEVENS DIE
VERWERKT WORDEN IN IT- EN COMMUNICATIEYSTEMEN
25.1.Inleiding
25.1.1.Algemeen
Het beleid en de vereisten inzake veiligheid zijn van toepassing op alle commu-
nicatie- en informatiesystemen en netwerken (hierna systemen genoemd) waarin
als EU CONFIDENTIAL en hoger gerubriceerde gegevens worden verwerkt. Zij
gelden als aanvulling bij BesluitC (95) 1510 def. van de Commissie van 23
november 1995 inzake de beveiliging van informatiesystemen.
Systemen waarin als EU RESTRICTED gerubriceerde gegevens worden
verwerkt, behoeven veiligheidsmaatregelen om het vertrouwelijke karakter van
die gegevens te beschermen. Alle systemen behoeven veiligheidsmaatregelen
ter bescherming van hun integriteit en beschikbaarheid en van de gegevens die
zij bevatten.
Het door de Commissie toegepaste IT-beveiligingsbeleid omvat de volgende
elementen:
— hetis een int egrerend onderdeel van de algemene veiligheidsregeling en
completeert al de onderdelen van gegevensbeveiliging, personeelsgerela-
teerde en fysieke beveiliging,
— verdeling van de verantwoordelijkheden over eigenaars technische systemen,
eigenaars van opgeslagen of in technische systemen verwerkte EUCI, bevei-
ligingsspecialisten en gebruikers van IT,
— beschrijving van veiligheidsprincipes en vereisten voor elk IT-systeem,— goedkeuring van deze principes en vereisten door een erkende autoriteit,— waarbij rekening wordtgehouden metde specifieke bedreigingen en kwet s-
baarheden van IT.
25.1.2.Bedreigingen en kwetsbaarheden van systemen
Een bedreiging kan in algemene zin worden gedefinieerd als een mogelijkheid
om de beveiliging al dan niet opzettelijk te compromitteren. In het geval van
systemen houdt zulks in dat een of meer van de volgende eigenschappen
verloren gaan: vertrouwelijk karakter, integriteit of beschikbaarheid. Kwetsbaar-
heid kan worden gedefinieerd als onvoldoende of ontbrekende controles,
waardoor bedreiging van een specifiek elementof doel wordtvergemakkelijkt
of mogelijk wordt.
Gerubriceerde en niet-gerubriceerde EU-gegevens die in een geconcentreerde
vorm worden verwerktin syst emen zodatzij snel kunnen worden opgevraagd,
overgedragen en gebruikt, staan aan velerlei bedreigingen bloot. Het kan onder
meer gaan om toegang tot gegevens door niet-gemachtigde personen of juist om
weigering van toegang aan gemachtigde gebruikers. Verder bestaat het risico
van bekendmaking zonder machtiging, beschadiging, wijziging of vernietiging
van gegevens. Bovendien is de complexe en soms fragiele apparatuur duur en
dikwijls moeilijk snel te herstellen of te vervangen.
25.1.3.Voornaamste doel van veiligheidsmaatregelen
De in deze afdeling genoemde veiligheidsmaatregelen strekken er in de eerste
plaats toe bescherming te bieden tegen openbaarmaking zonder machtiging
(verlies van het vertrouwelijk karakter) en verlies van integriteit en beschikbaar-
heid van gerubriceerde EU-gegevens. Om een afdoende beveiliging van een
systeem waarin gerubriceerde EU-gegevens worden verwerkt, te kunnen verwe-
zenlijken, worden de toepasselijke conventionele veiligheidsnormen door het
Veiligheidsbureau van de Commissie gespecificeerd, samen metbijzondere
beveiligingsprocedures en -technieken die op de respectieve systemen zijn afge-
stemd.2000Q3614 — NL — 01.12.2001 — 001.001 — 43
▼M1
25.1.4.Systeemgebonden specificatie van beveiligingseisen (SSRS)
Voor alle systemen waarin als EU CONFIDENTIAL en hoger gerubriceerde
gegevens worden verwerkt, moet door de Eigenaar van het technisch systeem
(TSO, zie 25.3.4) en de Informatie-eigenaar (zie 25.3.5), met de inbreng en
bijstand van het projectteam en het Veiligheidsbureau van de Commissie
(Infosec-autoriteit — IA, zie 25.3.3), een Systeemgebonden Specificatie van
Beveiligingseisen (SSRS) worden opgesteld en door de Autoriteit voor veilig-
heidsaccreditatie (SAA, zie 25.3.2) worden goedgekeurd.
Een SSRS is eveneens vereist indien de Autoriteit voor veiligheidsaccreditatie
(SAA) de beschikbaarheid en integriteit van als EU RESTRICTED gerubri-
ceerde of niet-gerubriceerde gegevens cruciaal acht.
De SSRS wordtzo vroeg mogelijk in de concept fase van hetprojectgeformu-
leerd en wordt ontwikkeld en uitgebreid naarmate het project wordt ontwikkeld;
de SSRS heeft diverse functies op diverse momenten in de looptijd van het
projecten de levensduur van hetsyst eem.
25.1.5.Beveiligingsmodi
Alle systemen waarin als EU CONFIDENTIAL en hoger gerubriceerde gege-
vens worden verwerkt, worden geaccrediteerd, zodat zij volgens een of —
indien specifieke eisen op verschillende momenten zulks rechtvaardigen —meer van de volgende beveiligingsmodi of hetnat ionale equivalentervan func-
tioneren:
a) „dedicated”,
b) „system high”, en
c) „multi level”.
25.2.Definities
Onder „accreditatie” wordt verstaan: de machtiging en goedkeuring die aan een
systeem wordt verleend met het oog op de verwerking van gerubriceerde EU-
gegevens in de operationele omgeving van dat systeem.
Opmerkingen:Accreditatie vindt plaats nadat alle toepasselijke beveiligingsprocedures hun
beslag hebben gekregen en hetniveau van bescherming van de syst eemmiddelen
toereikend geacht wordt. Accreditatie dient normaliter te gebeuren op basis van
de SSRS, alsmede van:
a) een verklaring inzake het doel van de accreditatie voor het systeem; in het
bijzonder de rubriceringsgraad/-graden van de te verwerken gegevens en de
voorgestelde wijze van beveiliging van het systeem of netwerk;
b) een evaluatie van de risicobeheersing, teneinde bedreigingen en kwetsbaar-
heden in kaart te brengen, alsmede maatregelen om die te verhelpen;
c) de Operationele Beveiligingsprocedures (SecOP's), met een gedetailleerde
beschrijving van de voorgestelde operaties (bv. benodigde modi en diensten),
alsmede een beschrijving van de beveiligingsvoorzieningen van hetsyst eem
waarop de accreditatie dient te worden gebaseerd;
d) het plan voor de installatie en het onderhoud van de beveiligingsvoorzie-
ningen;
e) het plan voor initiële en opvolgtests in verband met de systeem- of netwerk-
beveiliging, de evaluatie en certificatie, en
f) certificatie, zo nodig met andere accreditatie-elementen.
Onder „Centrale informatiebeveiligingsfunctionaris” (CISO) wordt verstaan: de
functionaris in een centrale IT-dienst die beveiligingsmaatregelen voor centraal
bestuurde diensten coördineert en daarop toezicht houdt.
Onder „certificatie” wordt verstaan: een formele verklaring, op grond van een
onafhankelijke verificatie van een evaluatie en de resultaten ervan, over de
mate waarin een systeem aan de beveiligingseisen voldoet, of over de doeltref-
fendheid van een productvoor comput erbeveiliging.
Onder „communicatiebeveiliging” (Comsec) wordt verstaan: de toepassing van
veiligheidsmaatregelen op telecommunicatie, met de bedoeling niet-gemach-
tigden de toegang te ontzeggen tot gegevens waarvan de waarde kan
voortvloeien uit het bezit en het bestuderen van dergelijke telecommunicatie,
dan wel de authenticiteit van dergelijke telecommunicatie te verzekeren.2000Q3614 — NL — 01.12.2001 — 001.001 — 44
▼M1
Opmerkingen:
Zulke maatregelen omvatten beveiliging op het gebied van versleuteling, door-
zending en verspreiding, en betreffen ook procedurele, fysieke,
personeelsgerelateerde, document- en computerbeveiliging.
Onder „computerbeveiliging” (Compusec) wordt verstaan: de toepassing van
beveiligingsvoorzieningen op hetgebied van hardware, firmware en soft ware
op een computersysteem, met de bedoeling bescherming te bieden tegen open-
baarmaking zonder machtiging, manipulatie, wijziging/vernietiging van
gegevens of niet-functioneren, dan wel zulks te voorkomen.
Onder „product voor computerbeveiliging” wordt verstaan: een generiek beveili-
gingselement voor computers dat in een IT-systeem wordt geïntegreerd met de
bedoeling het vertrouwelijke karakter, de integriteit of de beschikbaarheid van
de verwerkte gegevens te versterken of te verzekeren.
Onder de beveiligingsmodus „dedicated” wordt verstaan: een modus operandi
waarbij ALLE personen die toegang hebben tot het systeem een machtiging
hebben voor de hoogste graad van rubricering van de in het systeem verwerkte
gegevens en tevens een gedeelde „need-to-know” voor ALLE in het systeem
verwerkte gegevens.
Opmerkingen:(1) Gedeelde „need-to-know”: impliceert dat de beveiligingsvoorzieningen van
de computer niet hoeven te voorzien in scheiding van de gegevens in het
systeem.
(2) Andere beveiligingsvoorzieningen (bv. fysieke, personeelsgerelateerde en
procedurele voorzieningen) moeten overeenstemmen met de eisen van de
hoogste rubriceringsgraad en alle categoriebenamingen van de in het
systeem verwerkte gegevens.
Onder „evaluatie” wordt verstaan: een gedetailleerd technisch onderzoek door
een bevoegde autoriteit van de veiligheidsaspecten van een systeem of van een
product voor versleuteling of computerbeveiliging.
Opmerkingen:(1) In hetkader van een evaluat ie wordtonderzochtof de beveiliging voldoende
efficiëntis, wordtnagegaan of die doelmat igheid geen schadelijke nevenef-
fecten heeft en wordt de integriteit ervan beoordeeld.
(2) In het kader van een evaluatie wordt bepaald in welke mate aan de beveili-
gingseisen van een systeem of aan de in het vooruitzicht gestelde
beveiliging van een productvoor comput erbeveiliging wordtvoldaan, en
wordt het niveau van betrouwbaarheid van het systeem of van de „trusted
function” van de versleuteling, dan wel van het product voor computerbe-
veiliging vastgesteld.
Onder „informatie-eigenaar” (IO) wordt verstaan: de autoriteit (afdelingshoofd)
die verantwoordelijk is voor het creëren, verwerken en gebruiken van infor-
matie, alsmede voor het aanwijzen van de personen die toegang tot die
informatie kunnen krijgen.
Onder „informatiebeveiliging” (Infosec) wordt verstaan: het toepassen van
veiligheidsmaatregelen met de bedoeling in communicatie-, informatie- en
andere elektronische systemen verwerkte, opgeslagen of doorgezonden gegevens
te beschermen tegen al dan niet opzettelijke aantasting van vertrouwelijk
karakter, integriteit of beschikbaarheid, en aantasting van de integriteit en
beschikbaarheid van de systemen zelf te voorkomen.
„Infosec-maatregelen” omvatten maatregelen op het gebied van beveiliging van
computers, doorzending, terbeschikkingstelling en versleuteling, alsmede de
opsporing en documentering van en de beveiliging tegen risico's voor gegevens
en systemen.
Onder „IT-zone” wordt verstaan: een zone die een of meer computers bevat, de
lokale perifere en opslagunits daarvan, de controle-units en de specifieke
netwerk- en communicatieapparatuur.
Opmerkingen:
Ditslaatnietop een apart e zone waarin zich afzonderlijke perifere voorzie-
ningen of terminals/werkstations bevinden, ook al zijn de bedoelde
voorzieningen verbonden metapparat uur in de IT-zone.
Onder „IT-netwerk” wordt verstaan: de geografisch gespreide organisatie van
onderling verbonden IT-systemen met het oog op de uitwisseling van gegevens,
bestaande uit de bestanddelen van de gekoppelde IT-systemen en hun interface
met de ondersteunende gegevens- of communicatienetwerken.2000Q3614 — NL — 01.12.2001 — 001.001 — 45
▼M1
Opmerkingen:
(1) Een IT-netwerk kan gebruik maken van de diensten van een of meer gekop-
pelde communicatienetwerken om gegevens uit te wisselen; verschillende
IT-netwerken kunnen gebruik maken van de diensten van een gemeenschap-
pelijk communicatienetwerk.
(2) Een IT-netwerk wordt „lokaal” genoemd, indien het verschillende compu-
ters verbindt op dezelfde locatie.
De „Beveiligingsvoorzieningen van een IT-netwerk” omvatten de IT-systeembe-
veiligingsvoorzieningen van de respectieve IT-systemen die samen het netwerk
vormen, samen met de additionele componenten en voorzieningen die met het
netwerk als dusdanig zijn verbonden (bv. netwerkcommunicatie, veiligheids-
identificatie en markeringsmechanismen en -procedures, toegangscontroles,
programma's en „auditt rails”) en die nodig zijn om een aanvaardbaar niveau
van bescherming voor gerubriceerde gegevens te bieden.
Onder „IT-systeem” wordt verstaan: de organisatie van een geheel van appara-
tuur, methodes en procedures, en, zo nodig, personeel, met het doel functies op
hetgebied van gegevensverwerking uitt e voeren.
Opmerkingen:
(1) Hieronder moet worden verstaan, een geheel van faciliteiten in een configu-
ratie die gericht is op de verwerking van gegevens in het systeem.
(2) Zulke systemen kunnen dienen ter ondersteuning van applicaties voor raad-
pleging, besturing, controle of communicatie, dan wel wetenschappelijke of
administratieve applicaties, met inbegrip van tekstverwerking.
(3) De begrenzing van een systeem wordt doorgaans gedefinieerd als zijnde de
elementen die door één enkele TSO worden gecontroleerd.
(4) Een IT-systeem kan subsystemen bevatten die op hun beurt IT-systemen
zijn.
„Beveiligingsvoorzieningen van een IT-systeem” bestaan uit alle hardware/firm-
ware/software-functies, -kenmerken en -voorzieningen; operationele procedures,
procedures inzake verantwoordelijkheid en toegangscontrole, de IT-zone, de
zone met afzonderlijke terminals/werkstations en de beheerseisen; fysieke struc-
tuur en voorzieningen, alsmede de controle van personeel en communicatie die
nodig is om een aanvaardbaar niveau van bescherming van de in een IT-systeem
te verwerken gegevens te bieden.
Onder „plaatselijke informatiebeveiligingsfunctionaris” (LISO) wordt verstaan:
de functionaris in een dienst van de Commissie die verantwoordelijk is voor de
coördinatie van en het toezicht op de beveiligingsmaatregelen in zijn domein.
Onder de beveiligingsmodus „Multi-level” wordt verstaan: een modus operandi
waarbij NIET ALLE personen die toegang hebben tot het systeem, een machti-
ging hebben voor de hoogste graad van rubricering van de in het systeem
verwerkte gegevens, en NIET ALLE personen met toegang tot het systeem een
gedeelde „need-to-know” hebben voor de in het systeem verwerkte gegevens.
Opmerkingen:
(1) Metdeze modus operandi kunnen moment eel gegevens metverschillende
rubriceringsgraden en uiteenlopende categoriebenamingen worden verwerkt.
(2) Het feit dat niet alle personen een machtiging hebben tot de hoogste graad
en er geen gedeelde „need-to-know” is, impliceert dat de beveiliging van de
computer moet voorzien in een selectieve toegang tot en scheiding van
gegevens in hetsyst eem.
Onder „zone met afzonderlijke terminals/werkstations” wordt verstaan: een zone
die computerapparatuur bevat, de lokale perifere voorzieningen of terminals/
werkstations daarvan en alle daarmee verband houdende communicatieappara-
tuur, dit alles gescheiden van een IT-zone.
Onder „operationele beveiligingsprocedures” wordt verstaan: de procedures die
door de TSO worden opgesteld en waarin de inzake beveiliging te hanteren
principes zijn vastgesteld, alsmede de te volgen procedures en de verantwoorde-
lijkheden van hetpersoneel.
Onder de beveiligingsmodus „System-high” wordt verstaan: een modus operandi
waarbij ALLE personen die toegang hebben tot het systeem, een machtiging
hebben voor de hoogste graad van rubricering van de in het systeem verwerkte
gegevens, maar NIET ALLE personen met toegang tot het systeem een gedeelde
„need-to-know” hebben voor de in het systeem verwerkte gegevens.2000Q3614 — NL — 01.12.2001 — 001.001 — 46
▼M1
Opmerkingen:
(1) Indien er geen gedeelde „need-to-know” is, impliceert dit dat de beveili-
gingsvoorzieningen van de computer moeten voorzien in selectieve toegang
tot en scheiding van gegevens in het systeem.
(2) Andere beveiligingsvoorzieningen (bv. fysieke, personeelsgerelateerde en
procedurele voorzieningen) moeten overeenstemmen met de eisen van de
hoogste rubriceringsgraad en alle categoriebenamingen van de in het
systeem verwerkte gegevens.
(3) Alle op grond van deze modus operandi in een systeem verwerkte of
beschikbare gegevens, alsmede de gegenereerde output, worden, tot anders
wordt bepaald, beschermd als gold het de categoriebenaming en de hoogste
rubriceringsgraad van de verwerkte gegevens tenzij de bestaande marke-
ringsfuncties voldoende betrouwbaar zijn.
Een „Systeemgebonden Specificatie van Beveiligingseisen” (SSRS) is een volle-
dige en uitdrukkelijke verklaring over de beveiligingsprincipes die in acht
moeten worden genomen en de gedetailleerde beveiligingseisen waaraan moet
worden voldaan. De SSRS is gebaseerd op hetbeveiligingsbeleid en de risicobe-
oordeling van de Commissie, of vloeit voort uit parameters met betrekking tot
de operationele omgeving, de laagste machtigingsgraad van het betrokken perso-
neel, de hoogste rubriceringsgraad van de verwerkte gegevens, de
beveiligingsmodi of gebruikerseisen. De SSRS vormteen int egrerend onderdeel
van de projectdocumentatie die aan de bevoegde autoriteiten moet worden voor-
gelegd met het oog op technische, budgettaire en veiligheidsgoedkeuring. In zijn
definitieve vorm geeft de SSRS uitsluitsel over wat onder een veilig systeem
moetworden verst aan.
Onder „Eigenaar technisch systeem” (TSO) wordt verstaan: de autoriteit die
verantwoordelijk is voor het creëren, onderhouden, bedienen en afsluiten van
een systeem.
Anti-Tempest-maatregelen: beveiligingsmaatregelen die erop gericht zijn appa-
ratuur en communicatie-infrastructuur te beschermen tegen het compromitteren
van gerubriceerde gegevens door onopzettelijke elektromagnetische emissies en
door geleiding.
25.3.Verantwoordelijkheden in verband met beveiliging
25.3.1.Algemeen
De adviserende rol van de Adviesgroep Beveiligingsbeleid van de Commissie,
als omschreven in afdeling 12 heeft ook betrekking op Infosec-thema's. De
Adviesgroep organiseertzijn werkzaamheden zodanig dathetdeskundig advies
over bovengenoemde aangelegenheden kan verstrekken.
Het Veiligheidsbureau van de Commissie heeft tot taak nadere bepalingen
inzake Infosec vast te stellen overeenkomstig de bepalingen in dit hoofdstuk.
In geval van beveiligingsproblemen (incidenten, inbreuken, enz.) treedt het
Veiligheidsbureau van de Commissie onmiddellijk op.
HetVeiligheidsbureau van de Commissie moetvoor Infosec een apart e eenheid
omvatten.
25.3.2.De Autoriteit voor veiligheidsaccreditatie (SAA)
Het hoofd van het Veiligheidsbureau van de Commissie is de autoriteit voor
Veiligheidsaccreditatie (SAA) voor de Commissie. De SAA is verantwoordelijk
voor beveiliging in hetalgemeen en voor Infosec, Communicat iebeveiliging,
versleutelingsbeveiliging en „Tempest”-beveiliging in het bijzonder.
De SAA moetervoor zorgen datde syst emen voldoen aan hetbeveiligingsbeleid
van de Commissie. Een van de taken is een systeem de goedkeuring te verlenen
om gerubriceerde EU-gegevens in zijn operationele omgeving te verwerken,
naar gelang van het vastgestelde rubriceringsniveau.
De bevoegdheid van de SAA van de Commissie omvatalle in de gebouwen van
de Commissie functionerende systemen. Indien verschillende bestanddelen van
een systeem onder de bevoegdheid van de SAA van de Commissie en andere
SAA's komen te vallen, wijzen alle partijen een gemeenschappelijk accreditatie-
orgaan aan, datdoor de SAA van de Commissie wordtgecoördineerd.2000Q3614 — NL — 01.12.2001 — 001.001 — 47
▼M1
25.3.3.De Infosec-autoriteit (IA)
Hethoofd van de Infosec-eenheid van hetVeiligheidsbureau van de Commissie
is de Infosec-autoriteit voor de Commissie. De Infosec-autoriteit heeft de
volgende taken:
— technisch advies en technische bijstand verlenen aan de SAA;
— de ontwikkeling van de SSRS ondersteunen;— de SSRS toetsen om ervoor te zorgen dat deze spoort met de onderhavige
beveiligingsvoorschriften en documenten over het Infosec-beleid en de
Infosec-architectuur;
— in voorkomend geval deelnemen aan accreditatiecommissies/-organen en aan
de SAA accreditatie-aanbevelingen doen op het gebied van Infosec;
— Infosec-opleiding en -scholing ondersteunen;— technisch advies geven bij onderzoeken naar Infosec-gerelateerde incidenten;— technische richtsnoeren vaststellen om ervoor te zorgen dat alleen erkende
software wordt gebruikt.
25.3.4.Eigenaar technisch systeem (TSO)
De verantwoordelijkheid voor de invoering en toepassing van controles en
bijzondere beveiligingsvoorzieningen van een systeem ligt bij de eigenaar van
dat systeem, de Eigenaar technisch systeem (TSO). Voor centraal bestuurde
systemen wordt een centrale informatiebeveiligingsfunctionaris (CISO) aange-
wezen. Elke afdeling moet, naar gelang van het geval, een plaatselijke
informatiebeveiligingsfunctionaris (LISO) aanwijzen. De TSO heeft ook tot
taak operationele beveiligingsprocedures (SecOP's) te creëren en is voor het
systeem verantwoordelijk gedurende zijn hele bestaan, d.w.z. van de conceptfase
tot de definitieve verwijdering.
De TSO specificeertde beveiligingsnormen en -prakt ijken waaraan de leveran-
cier van hetsyst eem moetvoldoen.
De TSO mag, voorzover mogelijk, een deel van zijn taken delegeren aan een
plaatselijke informatiebeveiligingsfunctionaris. Eén enkele persoon kan de
verschillende taken met betrekking tot INFOSEC uitvoeren.
25.3.5.De Informatie-eigenaar (IO)
De Informatie-eigenaar (IO) is verantwoordelijk voor EUCI (en andere infor-
matie) die moet worden ingevoerd, verwerkt en opgesteld in technische
systemen. Hij bepaalt op welke voorwaarden toegang kan worden verkregen tot
de informatie in de systemen. Hij kan deze verantwoordelijkheid delegeren aan
een Informatiebeheerder of een Databankbeheerder in zijn domein.
25.3.6.Gebruikers
De gebruikers moeten ervoor waken dat hun handelingen de beveiliging van het
systeem dat zij gebruiken, niet nadelig beïnvloeden.
25.3.7.Infosec-opleiding
Opleiding en scholing inzake Infosec moetvoor alle personeelsleden die dat
nodig hebben, beschikbaar zijn.
25.4.Niet-technische beveiligingsmaatregelen
25.4.1.Personeelsgerelateerde beveiliging
Alnaargelang de rubricering en de inhoud van de gegevens die in hun specifieke
systeem worden verwerkt, ondergaan gebruikers van het systeem een veilig-
heidsonderzoek en hebben zij een „need-to-know”. Voor toegang tot bepaalde
apparatuur of gegevens in verband met de beveiliging van systemen is een
bijzondere machtiging vereist, die overeenkomstig de procedures van de
Commissie wordtafgegeven.
De SAA inventariseert alle gevoelige ambten en specificeert de machtigings-
graad van en het vereiste toezicht op het personeel dat die ambten bekleedt.
Het specificeren en ontwerpen van systemen gebeurt zodanig dat gemakkelijker
taken en verantwoordelijkheden aan het personeel kunnen worden toegewezen
zodatwordtvoorkomen datéén enkele persoon volledig op de hoogt e zou zijn
van of controle hebben over de sleutelpunten van het systeem.
IT-zones en afzonderlijke zones met terminals/werkstations waar de beveiliging
van het systeem kan worden gewijzigd, mogen niet worden bemand door slechts
één gemachtigde functionaris of ander personeelslid.2000Q3614 — NL — 01.12.2001 — 001.001 — 48
▼M1
De beveiligingsinstellingen van een systeem mogen alleen worden gewijzigd
door twee bevoegde personeelsleden die in onderling overleg handelen.
25.4.2.Fysieke beveiliging
IT-zones en afzonderlijke zones met terminals/werkstations (zoals omschreven
in 25.2) waar als EU CONFIDENTIAL en hoger gerubriceerde gegevens met
IT-middelen worden verwerkt, dan wel waar eventuele toegang tot zulke gege-
vens mogelijk is, dienen te worden ingericht als een EU-beveiligingszone van,
naar gelang van hetgeval, klasse I of II.
25.4.3.Controle op de toegang tot een systeem
Gegevens en materiaal waarmee controle op de toegang tot een systeem moge-
lijk is, worden beschermd op grond van regelingen die sporen metde hoogst e
rubricering en de categoriebenaming van de gegevens waartoe zij toegang
geven.
Indien gegevens en het materiaal voor toegangscontrole niet langer voor dat
doel worden gebruikt, worden zij vernietigd overeenkomstig de voorschriften
in 25.5.4.
25.5.Technische beveiligingsmaatregelen
25.5.1.Beveiliging van informatie
De opsteller van de gegevens heeft de taak om alle gegevensdragende docu-
menten — zowel in de vorm van een niet-elektronische output als in de vorm
van een digitaal opslagmedium — te identificeren en te rubriceren. Elke blad-
zijde van een niet-elektronische output wordt boven- en onderaan gemarkeerd
met de betreffende rubricering. Een output - zowel in niet-elektronische vorm
als in de vorm van een digitaal opslagmedium - heeft dezelfde rubricering als
de hoogste rubricering van de gegevens die voor de vervaardiging ervan zijn
gebruikt. De wijze waarop een systeem functioneert, kan eveneens gevolgen
hebben voor de rubricering van outputs van dat systeem.
De diensten van de Commissie en de houders van hun gegevens hebben tot taak
om problemen met betrekking tot de samenvoeging van afzonderlijke gegevens-
elementen aan te pakken, en te bekijken welk voordeel uit de wisselwerking
tussen gerelateerde elementen kan worden gehaald, alsmede te bepalen of al
dan nieteen hogere rubricering dientt e worden gegeven aan hetgeheel van de
gegevens.
Hetfeitdatde gegevens de vorm kunnen aannemen van een verkort ingscode,
een transmissiecode of een binaire weergavevorm, biedt geen beveiliging en
mag bijgevolg geen weerslag hebben op de rubricering van de gegevens.
Indien gegevens van hetene syst eem naar hetandere worden overgedragen,
worden de gegevens zowel tijdens de overdracht als in het ontvangende systeem
beschermd conform de oorspronkelijke rubricering en gegevenscategorie.
Digitale opslagmedia worden behandeld conform de hoogste rubricering van de
opgeslagen gegevens of hetlabel van hetbet reffende medium, en worden t e
allen tijde afdoende beschermd.
Herbruikbare digitale opslagmedia die gebruikt zijn om gerubriceerde EU-gege-
vens vast te leggen, behouden de hoogste rubriceringsgraad waarvoor zij ooit
zijn gebruikt, totdat de gegevens een lagere rubricering hebben gekregen c.q.
zijn gederubriceerd en die media dienovereenkomstig zijn geherrubriceerd, dan
wel een lagere rubricering hebben gekregen of overeenkomstig een door de
SAA goedgekeurde procedure vernietigd zijn (zie 25.5.4).
25.5.2.Controle van en verantwoordelijkheid voor gegevens
De toegang tot als EU SECRET en hoger gerubriceerde gegevens wordt vastge-
legd in automatische („audit trails”) of manuele logboeken. Deze
toegangsregistratie wordt overeenkomstig de beveiligingsvoorschriften van de
Raad bewaard.
Gerubriceerde EU-outputs die in de IT-zone worden bewaard, mogen als geru-
briceerd materiaal worden behandeld en hoeven niet te worden geregistreerd,
mits het materiaal is geïdentificeerd, met de desbetreffende rubricering is gemar-
keerd en afdoende wordtgecont roleerd.
Indien outputs van een systeem waarin gerubriceerde EU-gegevens worden
verwerkt, van een IT-zone overgedragen worden naar een zone met afzonder-
lijke terminals/werkstations, worden door de SAA goed te keuren procedures
voor de controle en registratie van die outputs vastgesteld. Voor de rubricering
EU SECRET en hoger omvatten zulke procedures specifieke instructies met
betrekking tot de verantwoordelijkheid voor de gegevens.2000Q3614 — NL — 01.12.2001 — 001.001 — 49
▼M1
25.5.3.Behandeling en controle van verwijderbare digitale opslagmedia
Als EU CONFIDENTIAL en hoger gerubriceerde verwijderbare digitale opslag-
media worden als materiaal behandeld en vallen onder de toepassing van de
algemene regels. De desbetreffende identificatie- en rubriceringsmarkeringen
dienen te worden aangepast aan de specifieke fysieke verschijningsvormen van
de media, zodatdeze duidelijk kunnen worden herkend.
Hetis aan de gebruikers om ervoor t e zorgen datgerubriceerde EU-gegevens
met de juiste rubriceringsmarkering en bescherming op de betreffende media
worden opgeslagen. Er dienen procedures te worden vastgelegd om er voor alle
graden van EU-gegevens voor te zorgen dat de gegevens conform de beveili-
gingsvoorschriften op digitale opslagmedia worden opgeslagen.
25.5.4.Derubricering en vernietiging van digitale opslagmedia
Digitale opslagmedia die worden gebruikt om gerubriceerde EU-gegevens vast
te leggen, kunnen een lagere rubricering krijgen c.q. gederubriceerd worden
overeenkomstig een door de SAA goed te keuren procedure.
Digitale opslagmedia waarop als EU TOP SECRET gerubriceerde gegevens of
gegevens uitbijzondere gegevenscat egorieën zijn opgeslagen, mogen geen
lagere rubricering krijgen, noch worden hergebruikt.
Is het niet mogelijk digitale opslagmedia een lagere rubricering te geven of
opnieuw te gebruiken, dan worden deze conform de vorenvermelde procedure
vernietigd.
25.5.5.Communicatiebeveiliging
Het hoofd van het Veiligheidsbureau van de Commissie is de Crypto-autoriteit.
Indien gerubriceerde EU-gegevens elektromagnetisch worden overgedragen,
worden bijzondere maatregelen toegepast om het vertrouwelijke karakter, de
integriteit en de beschikbaarheid van die overdracht te beschermen. De SAA
bepaaltaan welke eisen de bescherming van de gegevensoverdrachtt egen
detectie en interceptie moet voldoen. De in een communicatiesysteem overge-
dragen gegevens worden beschermd op basis van eisen op hetgebied van
vertrouwelijke behandeling, integriteit en beschikbaarheid.
Is versleuteling vereist om het vertrouwelijke karakter, de integriteit en de
beschikbaarheid te beschermen, dan worden de bedoelde methodes of aanver-
wante producten daartoe specifiek goedgekeurd door de SAA als Crypto-
autoriteit.
Tijdens de overdracht wordt het vertrouwelijke karakter van als EU SECRET en
hoger gerubriceerde gegevens beschermd door middel van methoden of
producten voor versleuteling die door de met beveiliging belaste Commissaris
zijn goedgekeurd na overleg metde Adviesgroep Beveiligingsbeleid van de
Commissie. Tijdens de overdracht wordt het vertrouwelijke karakter van als
EU CONFIDENTIAL of EU RESTRICTED gerubriceerde gegevens beschermd
door middel van methoden of producten voor versleuteling die door de Crypto-
autoriteit van de Commissie zijn goedgekeurd na overleg met de Adviesgroep
Beveiligingsbeleid van de Commissie.
Gedetailleerde regels voor de overdracht van gerubriceerde EU-gegevens
worden vastgelegd in specifieke beveiligingsinstructies, die door het Veilig-
heidsbureau van de Commissie zijn goedgekeurd na overleg metde
Adviesgroep Beveiligingsbeleid.
In uitzonderlijke operationele omstandigheden kunnen als EU RESTRICTED,
EU CONFIDENTIAL en EU SECRET gerubriceerde gegevens in niet-versleu-
telde vorm worden overgedragen, voorzover de informatie-eigenaar daartoe
uitdrukkelijk toestemming heeft gegeven en het geval heeft geregistreerd. Zulke
uitzonderlijke omstandigheden doen zich voor:
a) in geval van een dreigende of reële crisis, een conflict of oorlogssituatie;
b) indien hetvan hetallerhoogst e belang is datde gegevens snel t er beschik-
king worden gesteld en er geen versleutelingsmiddelen voorhanden zijn, en
indien geoordeeld wordtdatde overgedragen gegevens niett ijdig kunnen
worden misbruikt om lopende operaties te schaden.
Een systeem dient in zijn afzonderlijke werkstations of terminals over de moge-
lijkheid van positieve toegangsweigering tot gerubriceerde EU-gegevens te
beschikken, zo nodig door fysieke scheiding dan wel door bijzondere, door de
SAA goedgekeurde software.
25.5.6.Installatie- en stralingsbeveiliging
Met betrekking tot de basisinstallatie van systemen en elke ingrijpende wijziging
daarvan zijn de specificaties zodanig dat de installatie uitgevoerd wordt door2000Q3614 — NL — 01.12.2001 — 001.001 — 50
▼M1
gemachtigde technici die onder permanent toezicht staan van technisch gekwali-
ficeerd personeel dat, wat de toegang tot gerubriceerde EU-gegevens betreft,
over een machtigingsgraad beschikt die overeenstemt met de hoogste rubricering
van de gegevens die, naar verwachting, in het systeem zullen worden opge-
slagen en verwerkt.
Systemen waarin als EU CONFIDENTIAL en hoger gerubriceerde gegevens
worden verwerkt, worden zodanig beschermd dat hun beveiliging niet kan
worden bedreigd door compromitterende lekken; het onderzoek naar en het
toezicht op zulke lekken is bekend onder de naam „Tempest”.
Anti-Tempest-maatregelen moeten worden gecontroleerd en goedgekeurd door
de Tempest-autoriteit (zie 25.3.2).
25.6.Beveiliging tijdens verwerking
25.6.1.Operationele beveiligingsprocedures (SecOP's)
De operationele beveiligingsprocedures (SecOP's) bepalen de aan te nemen
beveiligingsprincipes, de te volgen operationele procedures en de verantwoorde-
lijkheden van hetpersoneel. De SecOP's worden opgest eld onder de
verantwoordelijkheid van de eigenaar technisch systeem (TSO).
25.6.2.Bescherming van software/configuratiebeheer
De beveiliging van de applicatieprogramma's wordt op basis van een beoorde-
ling van de veiligheidsrubricering van het programma vastgesteld, en niet op
basis van de rubricering van de gegevens die erin zullen worden verwerkt. De
gebruikte softwareversies dienen regelmatig te worden getoetst op integriteit en
correctfunct ioneren.
Nieuwe of gewijzigde softwareversies mogen pas worden gebruikt om gerubri-
ceerde EU-gegevens te verwerken nadat zij door de Eigenaar technisch systeem
(TSO) zijn geverifieerd.
25.6.3.Controle op de aanwezigheid van kwaadaardige software/computervi-
russen
Er vindt regelmatig een controle op de aanwezigheid van kwaadaardige soft-
ware/computervirussen plaats, overeenkomstig de door de SAA gestelde eisen.
Alle digitale opslagmedia die bij de Commissie toekomen, worden gecontroleerd
op de aanwezigheid van enig kwaadaardig software- of computervirus voordat
ze in hetsyst eem worden ingevoerd.
25.6.4.Onderhoud
De contracten en procedures in verband met gepland onderhoud en onderhoud
op afroep van systemen waarvoor een SSRS is voorgelegd, bevatten eisen en
afspraken met betrekking tot het onderhoudspersoneel dat een IT-zone betreedt,
en de apparatuur die het bij zich heeft.
De eisen en de procedures worden duidelijk geformuleerd in respectievelijk de
SSRS en de SecOP's. Contractueel onderhoud waarbij diagnoseprocedures met
toegang op afstand worden gebruikt, is alleen in uitzonderlijke omstandigheden
toegestaan, onder strikte veiligheidscontrole, en vindt alleen plaats mits de SAA
daarvoor haar goedkeuring verleent.
25.7.Aankopen
25.7.1.Algemeen
Elk productvoor beveiliging datmethetaan t e schaffen syst eem zal worden
gebruikt, moet ofwel reeds zijn beoordeeld en gecertificeerd, ofwel op het
momentvan aankoop worden beoordeeld en gecert ificeerd door een bevoegde
beoordelings- of certificerende instantie van één van de lidstaten van de EU,
op grond van internationaal erkende criteria (zoals de Common Criteria for
Information Technology Security Evaluation, ISO 15408). Om goedkeuring van
de ACPC te verkrijgen zijn specifieke procedures vereist.
Bij de keuze voor de huur of de aankoop van apparatuur, en in het bijzonder van
digitale opslagmedia, moet in aanmerking worden genomen dat het gebruik van
dergelijke apparatuur voor de verwerking van gerubriceerde EU-gegevens
inhoudt dat deze apparatuur een dienovereenkomstig beveiligde omgeving niet
kan verlaten zonder eerst te zijn gederubriceerd, na goedkeuring door de SAA,
alsmede dateen dergelijke derubricering nietalt ijd zal kunnen worden goedge-
keurd.2000Q3614 — NL — 01.12.2001 — 001.001 — 51
▼M1
25.7.2.Accreditatie
Alle SYSTEMEN waarvoor een SSRS moetworden voorgelegd voordatdaarin
gerubriceerde EU-gegevens kunnen worden verwerkt, worden door de SAA
geaccrediteerd op basis van de informatie die is vervat in de SSRS, de SecOP's
en elke andere relevante documentatie. Subsystemen en afzonderlijke terminals/
werkstations worden geaccrediteerd als onderdeel van alle systemen waarmee zij
zijn verbonden. Indien een systeem dient ter ondersteuning van zowel de Raad
als andere organisaties, maken de Commissie en de bevoegde veiligheidsautori-
teiten onderling afspraken met betrekking tot de accreditatie.
De accreditatie kan worden uitgevoerd overeenkomstig een door de SAA
bepaalde accreditatiestrategie die afgestemd is op het systeem in kwestie.
25.7.3.Beoordeling en certificatie
Vóór accreditatie worden de beveiligingsvoorzieningen van de hardware, firm-
ware en software van een systeem in sommige gevallen beoordeeld en
gecertificeerd op de mogelijkheid om gegevens op de beoogde rubriceringsgraad
te waarborgen.
De beoordelings- en certificatie-eisen worden opgenomen in de systeemplanning
en duidelijk geformuleerd in de SSRS.
De beoordeling en certificatie worden uitgevoerd overeenkomstig goedgekeurde
richtsnoeren door technisch gekwalificeerd en dienovereenkomstig gemachtigd
personeel, namens de TSO.
De teams kunnen ter beschikking worden gesteld door een aangewezen instantie
voor beoordeling of certificatie van een lidstaat of aangewezen vertegenwoordi-
gers van die instantie, bijvoorbeeld een bevoegde en gemachtigde contractant.
De mate van beoordeling en certificatie kan worden versoepeld (bijvoorbeeld,
alleen voor integratieaspecten) indien systemen gebaseerd zijn op bestaande, op
nationaal niveau beoordeelde en gecertificeerde producten voor computerbeveili-
ging.
25.7.4.Routinecontrole van beveiligingsvoorzieningen met het oog op verlen-
ging van de accreditatie
De TSO legt procedures voor routinecontroles vast, die tot doel hebben na te
gaan of alle beveiligingsvoorzieningen van het systeem nog steeds geldig zijn.
In de SSRS wordtduidelijk opgesomd en verklaard welke soort en wijzigingen
aanleiding geven tot heraccreditatie of vooraf door de SAA moeten worden
goedgekeurd. Na elke wijziging, herstelling of storing die van invloed zou
kunnen zijn geweestvoor de beveiligingsvoorzieningen van hetIT-syst eem
vergewistde TSO zich ervan datwordtgecont roleerd of de beveiligingsvoorzie-
ningen correct functioneren. Normaliter wordt de accreditatie van het systeem
alleen verlengd als de controleresultaten bevredigend zijn.
Alle systemen met beveiligingsvoorzieningen worden regelmatig gecontroleerd
of getoetst door de SAA. Wat systemen betreft waarin als EU TOP SECRET
gerubriceerde gegevens worden verwerkt, worden de controles op zijn minst
jaarlijks uitgevoerd.
25.8.Tijdelijk of occasioneel gebruik
25.8.1.Beveiliging van microcomputers/personal computers
Microcomputers/personal computers (PC's) met vaste schijven (of andere perma-
nente opslagmedia) die als stand-alone of als netwerkconfiguraties worden
gebruikt, alsmede draagbare computerapparatuur (bijvoorbeeld draagbare PC's
en elektronische „notebooks”) met vaste harde schijven worden beschouwd als
media voor gegevensopslag in dezelfde zin als floppydisks of andere verwijder-
bare digitale opslagmedia.
Inzake toegang, verwerking, opslag en vervoer stemt de bescherming van deze
apparatuur overeen met de hoogste rubriceringsgraad van gegevens die er ooit in
werden verwerkt of opgeslagen (totdat die gegevens een lagere rubricering
hebben gekregen c.q. overeenkomstig goedgekeurde procedures zijn gederubri-
ceerd).
25.8.2.Gebruik van privé IT-apparatuur voor officiële Commissiewerkzaam-
heden
Het is verboden particuliere verwijderbare digitale opslagmedia, software en IT-
hardware (bijvoorbeeld PC's en draagbare computerapparatuur) met opslagcapa-
citeit te gebruiken om gerubriceerde EU-gegevens te verwerken.2000Q3614 — NL — 01.12.2001 — 001.001 — 52
▼M1
Particuliere hardware, software en media mogen alleen in een zone van klasse I
of klasse II waar gerubriceerde EU-gegevens worden verwerkt, worden binnen-
gebracht met schriftelijke toestemming van het hoofd van het Veiligheidsbureau
van de Commissie. Die toestemming kan alleen in uitzonderlijke gevallen om
technische redenen worden verleend.
25.8.3.Gebruik van IT-apparatuur van een contractant of van een lidstaat voor
officiële Commissiewerkzaamheden
Het gebruik van de IT-apparatuur of software van een contractant in organisaties
ter ondersteuning van officiële Commissiewerkzaamheden kan worden toege-
staan door het hoofd van het Veiligheidsbureau van de Commissie. Het gebruik
van nationaal ter beschikking gestelde IT-apparatuur en software kan ook
worden toegestaan. In dat geval staat de IT-apparatuur onder controle van de
desbetreffende inventaris van de Commissie. Indien de IT-apparatuur bestemd
is om gerubriceerde EU-gegevens te verwerken, moet de SAA in elk van deze
gevallen worden geraadpleegd, zodatt erdege rekening wordtgehouden meten
uitvoering wordt gegeven aan de INFOSEC-aspecten die op het gebruik van
die apparatuur van toepassing zijn.
26. VRIJGAVE VAN GERUBRICEERDE EU–GEGEVENS AAN DERDE
LANDEN OF INTERNATIONALE ORGANISATIES
26.1.1.Principes van de vrijgave van gerubriceerde EU-gegevens
De Commissie als college neemteen besluitover de vrijgave van gerubriceerde
EU-gegevens aan derde staten of internationale organisaties op basis van:
— soorten inhoud van dergelijke informat ie;
— „need-to-know” van de ontvangers;— de voordelen voor de EU.
De instantie waarvan de vrij te geven gerubriceerde EU-gegevens afkomstig
zijn, wordt verzocht in te stemmen met vrijgave.
Dergelijke beslissingen worden geval per geval genomen afhankelijk van:
— de gewenste mate van samenwerking met de betrokken derde staten of inter-
nationale organisaties;
— het vertrouwen dat in deze staten of organisaties kan worden gesteld,
hetgeen voortvloeit uit het beveiligingsniveau dat zij op de aan hen toever-
trouwde gerubriceerde EU-gegevens zouden toepassen en uit de mate van
overeenstemming tussen de daar en de in de EU toegepaste veiligheidsvoor-
schriften; de adviesgroep Veiligheidsbeleid van de Commissie zal de
Commissie hierover zijn technisch advies geven.
Indien derde staten of internationale organisaties gerubriceerde EU-gegevens
aanvaarden, impliceertditde garant ie datdeze de gegevens nietvoor andere
doeleinden gebruiken dan die welke ten grondslag aan de vrijgave of uitwisse-
ling ervan lagen en datzij de door de Commissie vereist e bescherming zullen
bieden.
26.1.2.Graden
Wanneer de Commissie besloten heeft dat gerubriceerde gegevens kunnen
worden vrijgegeven aan of uitgewisseld met een bepaalde staat of internationale
organisatie, neemt hij een besluit over de graad van samenwerking die mogelijk
is. Deze hangtmetname af van hetbeleid en de voorschrift en inzake veiligheid
die de bewuste staat of organisatie toepast.
Er zijn drie graden van samenwerking:Graad 1Samenwerking met derde staten of internationale organisaties waarvan het
beleid en de voorschriften inzake veiligheid die van de EU in hoge mate bena-
deren.
Graad 2
Samenwerking met derde staten of internationale organisaties waarvan het
beleid en de voorschriften inzake veiligheid aanzienlijk verschillen van die van
de EU.
Graad 3
Incidentele samenwerking met derde staten of internationale organisaties
waarvan hetbeleid en de voorschrift en inzake veiligheid nietkunnen worden
beoordeeld.2000Q3614 — NL — 01.12.2001 — 001.001 — 53
▼M1
De samenwerkingsgraad is bepalend voor de veiligheidsprocedures en -voor-
schriften, die nader worden omschreven in de aanhangsels 3, 4 en 5.
26.1.3.Veiligheidsovereenkomsten
Wanneer de Commissie besloten heeft dat er permanent of langdurig behoefte is
aan de uitwisseling van gerubriceerde gegevens tussen de Commissie en derde
staten of internationale organisaties, stelt hij met deze staten of organisaties
overeenkomsten op inzake beveiligingsprocedures voor de uitwisseling van
gerubriceerde gegevens, waarin hetdoel van de samenwerking en de weder-
zijdse voorschriften voor de bescherming van de uitgewisselde gegevens
worden omschreven.
In geval van occasionele derdegraadssamenwerking, die per definitie in tijd en
qua doel beperktis, kan in plaat s van voor een overeenkomstinzake beveili-
gingsprocedures voor de uitwisseling van gerubriceerde gegevens gekozen
worden voor een eenvoudig memorandum van overeenstemming, waarin de
aard van de uitt e wisselen gerubriceerde gegevens en de wederzijdse verplich-
tingen met betrekking tot die gegevens worden omschreven, mits die gegevens
niethoger zijn gerubriceerd dan EU RESTRICTED.
Ontwerpovereenkomsten inzake beveiligingsprocedures of memoranda van over-
eenstemming worden door het Veiligheidsbureau van de Commissie
goedgekeurd voordatzij t er aanneming aan de Commissie worden voorgelegd.
De metveiligheidszaken belast e Commissaris vraagtvan de NSA's van de
lidstaten alle vereiste bijstand om ervoor te zorgen dat de vrij te geven gegevens
gebruikten beschermd worden in overeenst emming metde bepalingen van de
overeenkomsten inzake beveiligingsprocedures of de memoranda van overeen-
stemming.2000Q3614 — NL — 01.12.2001 — 001.001 — 54
Aanhangsel 1
VERGELIJKING VAN DE NATIONALE BEVEILIGINGSRUBRICERINGEN
EU-rubricering EU TOP SECRET EU SECRET EU CONFIDENTIAL EU RESTRICTED
NAO-rubricering (1)
WEU-rubricering Focal Top SecretWEU SECRET WEU CONFIDENTIAL WEU RESTRICTED
Euratom-rubricering (2) EURATOM Top Secret EURATOM Secret EURATOM Confidential EURATOM Restricted
België Très Secret
Zeer GeheimSecret
GeheimConfidentiel
VertrouwelijkDiffusion restreinte
Beperkte Verspreiding
Denemarken Yderst hemmeligt Hemmeligt Fortroligt Til tjenestebrug
Duitsland STRENG GEHEIM GEHEIM VS (3) — VERTRAULICH VS — NUR FÜR DEN DIENSTGE-
BRAUCH
Griechenland Άκρως Απόρρητο Απόρρητο Εµπιστευτικό Περιορισµένης χρήσης
Spanje Secreto Reservado Confidencial Difusion LimitadaFrankrijk Très SecretDéfense (
4) Secret Défense Confidentiel Défense Diffusion restreinte
Ierland Top Secret Secret Confidential Restricted
Italië Segretissimo Segreto Riservatissimo Riservato
Luxemburg Très Secret Secret Confidentiel Diffusion restreinteNederland Stg. Zeer Geheim Stg. Geheim Stg. ConfidentieelOostenrijk Streng Geheim Geheim Vertraulich EingeschränktPortugal Muito Secreto Secreto Confidencial Reservado
Finland Erittäin salainen Erittäin salainen Salainen Luottamuksellinen
Zweden Kvalificerathemlig Hemlig Hemlig Hemlig▼M12000Q3614 — NL — 01.12.2001 — 001.001 — 55
EU-rubricering EU TOP SECRET EU SECRET EU CONFIDENTIAL EU RESTRICTED
Verenigd Koninkrijk Top Secret Secret Confidential Restricted
(1) NAVO: de correspondentie met de NAVO-rubriceringsgraden word vastgesteld bij de onderhandelingen over de beveiligingsovereenkomst tussen de Eu ropese Unie en de NAVO.
(2) Euratom-Verordening nr. 3 van 31 juli 1958 inzake de bescherming van gerubriceerde kennis van Euratom.
(3) Duitsland: VS = Verschlusssache (versleutelde informatie).
(4) Frankrijk: met „Très Secret Défense”, gemerkte documenten, die betrekking hebben op regeringsprioriteiten, kunnen alleen worden uitgewisseld m et toestemming van de eerste minister.▼M12000Q3614 — NL — 01.12.2001 — 001.001 — 56
Aanhangsel 2
PRAKTISCHE RUBRICERINGSGIDS
Deze gids is indicatief en mag niet geïnterpreteerd worden als wijziging van de inhoudelijke bepalingen van de afdelingen 16, 17, 20 en 21.
Rubricering Wanneer Wie Aanbrengen rubriceringLagere rubricering/derubricering/vernietiging
Wie Wanneer
EU TOP SECRET:
Deze rubricering wordt
alleen toegepast op gege-
vens en materiaal waar-
van de openbaarmaking
zonder machtiging uit-
zonderlijk nadelig zou
kunnen zijn voor de we-
zenlijke belangen van de
Europese Unie of van
één of meer van haar lid-
staten [16.1]Indien het compromitteren van als
EU TOP SECRET gerubriceerd mate-
riaal:
— een rechtstreekse bedreiging zou
kunnen vormen voor de interne
stabiliteit van de EU of een van
haar lidstaten of bevriende landen
— buitengewoon ernstige schade zou
kunnen toebrengen aan de betrek-
kingen metbevriende regeringen
— rechtstreeks zou kunnen leiden tot
grote aantallen dodelijke slachtof-
fers
— buitengewoon ernstige schade zou
kunnen toebrengen aan de operati-
onele doeltreffendheid of veilig-
heid van de strijdkrachten van de
lidstaten of van andere contri-
buenten of aan de continue doel-
treffendheid van uiterst waarde-
volle veiligheids- of
inlichtingenoperaties
— voor langere termijn ernstige
schade zou kunnen toebrengen
aan de economie van de EU of
haar lidstaten.Naar behoren gemach-
tigde personen (opstel-
lers), directeuren-gene-
raal, diensthoofden
[17.1].
Opstellers vermelden op
gerubriceerde documen-
ten een datum waarop,
een periode waarna of
een gebeurtenis waarbij
de inhoud lager gerubri-
ceerd of gederubriceerd
kan worden [16.2]. Zonietverifiëren zij de do-
cumenten uiterlijk om
de vijf jaar om zich er-
van te vergewissen of
de oorspronkelijke ru-
bricering moetworden
gehandhaafd [17.3].De rubricering EU TOP SECRET
wordtaangebrachtop EU TOP SE-
CRET- documenten; waar van toepas-
sing wordteen beveiligingsindicat or
en/of de defensiemarkering ESDP
mechanisch en handmatig aange-
bracht[16.4, 16.5, 16.3].
De EU-rubriceringen en beveiligings-
indicatoren worden midden bovenaan
en midden onderaan elke bladzijde
vermeld; elke bladzijde wordtgenum-
merd. Elk documentkrijgteen refe-
rentienummer en een datum; dit refe-rentienummer wordt op elke bladzijde
aangebracht.
Indien er verscheidene kopieën ver-
spreid moeten worden, krijgt elke ko-
pie een kopienummer, dat, met het to-
taal aantal bladzijden, op de eerste
bladzijde wordtaangebracht . Alle bij-
lagen en bijvoegsels worden op de
eerste bladzijde vermeld [21.1].Derubricering of lagere rubricering is
de uitsluitende verantwoordelijkheid
van de opsteller, welke de daaropvol-
gende geadresseerden aan wie hij het
documentheeftgezonden of voor wie
hij hetheeftgekopieerd, van de wijzi-
ging op de hoogte brengt [17.3].
EU TOP SECRET- documenten mo-
gen alleen vernietigd worden door
het centrale of subregister dat voor
die documenten verantwoordelijk is.
Elk vernietigd document wordt geno-
teerd in een proces-verbaal van ver-nietiging dat ondertekend wordt door
de EU TOP SECRET-controlefuncti-
onaris en de functionaris die getuige
is bij de vernietiging en voor de EU
TOP SECRET-graad gemachtigd is.
Hiervan wordtaant ekening gemaakt
in hetlogboek. Hetregist er moetde
processen-verbaal van vernietiging
samen metde verspreidingsformulie-
ren gedurende tien jaar bewaren
[22.5].Overtollige kopieën en
overbodig geworden do-
cumenten moeten worden
vernietigd [22.5].
EU TOP SECRET-docu-
menten, alsmede alle ge-
rubriceerde afvalproduc-
ten van het vervaardigen
van EU TOP SECRET-
documenten, zoals klad-
versies, ontwerpteksten,
getypte aantekeningen en
carbonpapier, worden on-der toezicht van een EU
TOP SECRET-controle-
functionaris vernietigd
door verbranding, verpul-
ping, versnippering of
een andere methode
waardoor de documenten
onherkenbaar en onher-
stelbaar vernietigd wor-
den [22.5].▼M12000Q3614 — NL — 01.12.2001 — 001.001 — 57
Rubricering Wanneer Wie Aanbrengen rubriceringLagere rubricering/derubricering/vernietiging
Wie Wanneer
EU SECRET:
Deze rubricering wordt
alleen toegepast op gege-
vens en materiaal waar-
van de openbaarmaking
zonder machtiging ern-
stige gevolgen zou kun-
nen hebben voor de we-
zenlijke belangen van de
Europese Unie of van
één of meer van haar lid-
staten [16.1].Indien het compromitteren van als
EU SECRET gerubriceerd materiaal:
— internationale spanningen zou
doen kunnen ontstaan
— ernstige schade zou kunnen be-
rokkenen aan de betrekkingen
metvriendschappelijke regeringen
— rechtstreeks levensgevaar of ern-
stige schade aan de openbare
orde en de veiligheid of vrijheid
van hetindividu zou kunnen ver-
oorzaken
— ernstige schade zou kunnen toe-
brengen aan de operationele doel-
treffendheid of veiligheid van de
strijdkrachten van de lidstaten of
van andere contribuenten of aan
de continue doeltreffendheid van
uiterst waardevolle veiligheids- of
inlichtingenoperaties
— wezenlijke materiële schade zou
kunnen berokkenen aan de EU of
aan de financiële, monetaire, eco-
nomische en handelsbelangen van
een van haar lidstaten.Gemachtigde personen
(opstellers), directeuren-
generaal, diensthoofden
[17.1].
Opstellers vermelden op
gerubriceerde documen-
ten een datum waarop
of een periode waarna
de inhoud lager geder-
ubriceerd of gederubri-
ceerd kan worden
[16.2]. Zo nietverifië-
ren zij de documenten
uiterlijk om de vijf jaar
om zich ervan te verge-
wissen of de oorspron-
kelijke rubricering moet
worden gehandhaafd
[17.3].De rubricering EU SECRET wordt
aangebrachtop EU SECRET-docu-
menten; waar van toepassing wordt
een beveiligingsindicator en/of de de-
fensiemarkering ESDP mechanisch en
handmatig aangebracht [16.4, 16.5,
16.3].
De EU-rubriceringen en beveiligings-
indicatoren worden midden bovenaan
en midden onderaan elke bladzijde
vermeld; elke bladzijde wordtgenum-
merd. Elk documentkrijgteen refe-
rentienummer en een datum; dit refe-
rentienummer wordt op elke bladzijde
aangebracht.
Indien er verscheidene kopieën ver-
spreid moeten worden, krijgt elke ko-
pie een kopienummer, dat, met het to-
taal aantal bladzijden, op de eerste
bladzijde wordtaangebracht . Alle bij-
lagen en bijvoegsels worden op de
eerste bladzijde vermeld [21.1].Derubricering of lagere rubricering is
de uitsluitende verantwoordelijkheid
van de opsteller, welke de daaropvol-
gende geadresseerden aan wie hij het
documentheeftgezonden of voor wie
hij hetheeftgekopieerd, van de wijzi-
ging op de hoogte brengt [17.3].
EU SECRET-documenten mogen al-
leen vernietigd worden door het regis-
ter dat voor die documenten verant-
woordelijk is, onder toezicht van een
persoon meteen veiligheidsmacht i-
ging. Vernietigde EU SECRET- do-
cumenten worden genoteerd in een
ondertekend proces-verbaal van ver-
niet iging, datdoor hetregist er, met
de verspreidingsformulieren, gedu-
rende tenminste drie jaar bewaard
wordt[22.5].Overtollige kopieën en
overbodig geworden do-
cumenten moeten worden
vernietigd [22.5].
EU SECRET-documen-
ten, alsmede alle gerubri-
ceerde afvalproducten
van hetvervaardigen van
EU SECRET-documen-
ten, zoals kladversies,
ontwerpteksten, getypte
aantekeningen en carbon-
papier, worden vernietigd
door verbranding, verpul-
ping, versnippering of
een ander methode waar-
door de documenten on-
herkenbaar en onherstel-
baar vernietigd worden
[22.5].▼M12000Q3614 — NL — 01.12.2001 — 001.001 — 58
Rubricering Wanneer Wie Aanbrengen rubriceringLagere rubricering/derubricering/vernietiging
Wie Wanneer
EU CONFIDENTIAL:
Deze rubricering wordt
toegepast op gegevens en
materiaal waarvan de
openbaarmaking zonder
machtiging nadelige ge-
volgen zou kunnen heb-
ben voor de wezenlijke
belangen van de Euro-
pese Unie of van één of
meer van haar lidstaten
[16.1].Indien het compromitteren van als
EU CONFIDENTIAL gerubriceerd
materiaal:
— de diplomatieke betrekkingen ma-
teriële schade zou kunnen berok-
kenen, datwil zeggen zou kunnen
leiden tot officieel protest of an-
dere sancties
— de vrijheid van hetindividu zou
kunnen schaden
— schade zou kunnen toebrengen
aan de operationele doeltreffend-
heid of veiligheid van de strijd-
krachten van de lidstaten of van
andere contribuenten of aan de
doeltreffendheid van waardevolle
veiligheids- of inlichtingenopera-
ties
— de financiële levensvatbaarheid
van belangrijke organisaties we-zenlijk zou kunnen ondermijnen
— hetonderzoek van ernst ige crimi-
naliteit zou kunnen verhinderen
of hetbegaan ervan zou kunnen
vergemakkelijken
— wezenlijk zou kunnen indruisen
tegen de financiële, monetaire,
economische en handelsbelangen
van de EU of haar lidstaten
— de ontwikkeling of werking van
de voornaamste EU-beleidsvor-
men ernstig zou kunnen hinderen
— significante activiteiten van de
EU zou kunnen blokkeren of an-
derszins ernstig verstoren.Gemachtigde personen
(opstellers), directeuren-
generaal, diensthoofden
[17.1].
Opstellers vermelden op
gerubriceerde documen-
ten een datum waarop
of een periode waarna
de inhoud lager geder-
ubriceerd of gederubri-
ceerd kan worden. Zo
nietverifiëren zij de do-
cumenten uiterlijk om
de vijf jaar om zich er-
van te vergewissen of
de oorspronkelijke ru-
bricering moetworden
gehandhaafd [17.3].De rubricering EU CONFIDENTIAL
wordtaangebrachtop EU CONFI-
DENTIAL-documenten; waar van
toepassing wordt een beveiligingsin-
dicator en/of de defensiemarkering
ESDP mechanisch en handmatig aan-
gebracht, of door het drukken op
voorgemerkt, geregistreerd papier[16.4, 16.5, 16.3].
Die EU-rubriceringen worden midden
bovenaan en midden onderaan elke
bladzijde vermeld; elke bladzijde
wordtgenummerd. Elk gerubriceerd
EU-documentkrijgteen referent ie-
nummer en een datum.
Alle bijlagen en bijvoegsels worden
op de eerste bladzijde vermeld [21.1].Derubricering of lagere rubricering is
de uitsluitende verantwoordelijkheid
van de opsteller, welke de daaropvol-
gende geadresseerden aan wie hij het
documentheeftgezonden of voor wie
hij hetheeftgekopieerd, van de wijzi-
ging op de hoogte brengt [17.3].
EU CONFIDENTIAL-documenten
mogen alleen vernietigd worden door
hetregist er datvoor die document en
verantwoordelijk is, onder toezicht
van een persoon meteen veiligheids-
machtiging. De vernietigde documen-
ten worden genoteerd overeenkomstig
de nationale voorschriften of, in het
geval van de Commissie of gedecen-
traliseerde EU-organen, volgens de
instructies van de Voorzitter [22.5].Overtollige kopieën en
overbodig geworden do-
cumenten moeten worden
vernietigd [22.5].
EU CONFIDENTIAL-
documenten, alsmede
alle gerubriceerde afval-
producten van het ver-
vaardigen van EU CON-
FIDENTIAL-documen-
ten, zoals kladversies,
ontwerpteksten, getypte
aantekeningen en carbon-
papier, worden vernietigd
door verbranding, verpul-
ping, versnippering of
een andere methode
waardoor de documenten
onherkenbaar en onher-
stelbaar vernietigd wor-
den [22.5].▼M12000Q3614 — NL — 01.12.2001 — 001.001 — 59
Rubricering Wanneer Wie Aanbrengen rubriceringLagere rubricering/derubricering/vernietiging
Wie Wanneer
EU RESTRICTED:
Deze rubricering wordt
toegepast op gegevens en
materiaal waarvan de
openbaarmaking zonder
machtiging nadelig zou
kunnen zijn voor de be-
langen van de Europese
Unie of van één of meer
van haar lidstaten [16.1].Indien het compromitteren van als
EU RESTRICTED gerubriceerd ma-
teriaal:
— nadeling zou kunnen zijn voor de
diplomatieke betrekkingen
— wezenlijke schade zou kunnen be-
rokkenen aan hetindividu
— de handhaving van de operatione-
le doeltreffendheid of de veilig-
heid van de strijdkrachten van de
lidstaten of van andere contri-
buenten zou kunnen bemoeilijken
— bij personen of ondernemingen
zou kunnen leiden tot financiële
verliezen of oneigenlijke winsten
of voordelen in de hand zou kun-
nen werken
— bonafide ondernemingen ertoe
zou kunnen aanzetten om de ge-
heimhouding van informatie van
derde partijen te schenden
— statutaire beperkingen op de open-
baarmaking van informatie zou
kunnen schenden,
— hetonderzoek van criminalit eit
zou kunnen schaden of hetbegaan
ervan zou kunnen vergemakkelij-
ken
— de EU of haar lidstaten zou kun-
nen benadelen bij handels- of po-
litieke onderhandelingen met an-
dere partijen
— de effectieve ontwikkeling of wer-
king van de EU-beleidsvormen
zou kunnen hinderen
— een goed beheer van de EU en
haar operaties zou kunnen onder-
mijnen.Gemachtigde personen
(opstellers), directeuren-
generaal, diensthoofden
[17.1].
Opstellers vermelden op
gerubriceerde documen-
ten een datum waarop,
een periode waarna of
een gebeurtenis waarbij
de inhoud lager gerubri-
ceerd of gederubriceerd
kan worden [16.2]. Zo
nietverifiëren zij de do-
cumenten uiterlijk om
de vijf jaar om zich er-
van te vergewissen of
de oorspronkekijke ru-
bricering moetworden
gehandhaafd [17.3].De rubricering EU RESTRICTED
wordtaangebrachtop EU RESTRIC-
TED-documenten; waar van toepas-
sing wordteen beveiligingsindicat or
en/of de defensiemarkering ESDP
mechanisch en handmatig aange-
bracht[16.4, 16.5, 16.3].
De EU-rubriceringen en beveiligings-
indicatoren worden bovenaan op de
eerste bladzijde vermeld; elke blad-
zijde wordtgenummerd. Elk docu-
mentkrijgteen referent ienummer en
een datum [21.1].Derubricering is de uitsluitende ver-
antwoordelijkheid van de opsteller,
welke de daaropvolgende geadres-
seerden, aan wie hij hetdocument
heeftgezonden of voor wie hij het
heeftgekopieerd, van de wijziging
op de hoogte brengt [17.3].
EU RESTRICTED-documenten wor-
den vernietigd door het register dat
voor die documenten verantwoorde-
lijk is of door de gebruiker, volgens
de instructies van de Voorzitter
[22.5].Overtollige kopieën en
overbodig geworden do-
cumenten moeten worden
vernietigd. [22.5].▼M12000Q3614 — NL — 01.12.2001 — 001.001 — 60
▼M1
Aanhangsel 3
Richtsnoeren voor vrijgave van gerubriceerde EU-gegevens aan derde
staten of internationale organisaties: eerstegraadssamenwerking
PROCEDURES
1. De bevoegdheid om gerubriceerde EU-gegevens vrij te geven aan landen
die het Verdrag betreffende de Europese Unie niet hebben ondertekend of
aan andere internationale organisaties waarvan het beleid en de voor-
schriften inzake beveiliging vergelijkbaar zijn met die van de EU, berust
bij de Commissie als college.
2. In afwachting van de sluiting van een beveiligingsovereenkomst is het voor
veiligheid verantwoordelijke Commissielid bevoegd om verzoeken om vrij-
gave van gerubriceerde EU-gegevens (EUCI) te onderzoeken.
3. Daarvoor:
— wint hij/zij het advies in van de opstellers van de vrij te geven EUCI;
— legt hij/zij de nodige contacten met de beveiligingsinstanties van de
begunstigde staten of internationale organisaties om na te gaan of hun
beleid en voorschriften inzake beveiliging garanderen dat de vrij te
geven gerubriceerde gegevens in overeenstemming met deze veiligheids-
voorschriften zullen worden beschermd;
— winthij/zij t echnisch advies in bij de Adviesgroep Veiligheidsbeleid van
de Commissie met betrekking tot het vertrouwen dat kan worden gesteld
in de begunstigde staten of internationale organen.
4. Hetvoor veiligheid bevoegde Commissielid st uurthetverzoek en hetadvies
van de Adviesgroep Veiligheidsbeleid van de Commissie door naar de
Commissie, die daarover een besluitneemt .
VEILIGHEIDSVOORSCHRIFTEN VOOR DE BEGUNSTIGDEN
5. Hetvoor veiligheid bevoegde Commissielid deelthetbesluitvan de
Commissie om vrijgave van gerubriceerde EU-gegevens toe te staan, mee
aan de begunstigde staten of internationale organisaties.
6. Hetbesluithoudende vrijgave t reedtnieteerder in werking dan nadatde
begunstigden schriftelijk hebben verzekerd dat zij:
— de gegevens nietvoor andere dan de overeengekomen doeleinden zullen
gebruiken;
— de gegevens zullen beschermen in overeenstemming met deze veilig-
heidsvoorschriften en meer bepaald de onderstaande bijzondere
voorschriften.
7. Personeel
a) Het aantal functionarissen dat toegang krijgt tot de gerubriceerde EU-
gegevens wordt op basis van het „need-to-know”-beginsel strikt beperkt
tot diegenen wier functie toegang noodzakelijk maakt.
b) Alle functionarissen of burgers die gemachtigd zijn toegang te hebben
tot als EU CONFIDENTIAL of hoger gerubriceerde gegevens zijn in
het bezit van een veiligheidsattest van het gewenste niveau of van een
daarmee gelijkwaardige veiligheidsmachtiging, die beide door de rege-
ring van hun eigen land zijn afgegeven.
8. Overdrachtvan document en
a) De praktische procedures voor de overdracht van documenten wordt
geregeld in een overeenkomst. In afwachting van de sluiting van zo'n
overeenkomstzijn de bepalingen van Afdeling 21 van t oepassing. In de
overeenkomstwordtmetname gespecificeerd aan welke regist ers de
gerubriceerde EU-gegevens worden toegestuurd.
b) Indien de gerubriceerde gegevens waarvan de Commissie de vrijgave
heeft goedgekeurd EU TOP SECRET-gegevens bevatten, zet de begun-
stigde staat of internationale organisatie een centraal EU-register en zo
nodig EU-subregisters op. Deze registers passen strikt dezelfde voor-
schriften toe als die van Afdeling 22 van deze veiligheidsvoorschriften.
9. Registratie
Zodra een register een als EU CONFIDENTIAL of hoger gerubriceerd EU-
document ontvangt, wordt het document ingeschreven in een speciaal daar-
voor door de organisatie aangelegd bestand met kolommen voor de datum
van ontvangst, de bijzonderheden van het document (datum, referentie- en2000Q3614 — NL — 01.12.2001 — 001.001 — 61
▼M1
kopienummer), de rubricering, de titel, de naam en de titel van de
ontvanger, de datum waarop het ontvangstbewijs is teruggestuurd en de
datum waarop het document is teruggestuurd naar de broninstantie van de
EU of vernietigd is.
10. Vernietiging
a) Gerubriceerde EU-documenten worden vernietigd in overeenstemming
met de instructies in Afdeling 22 van deze veiligheidsvoorschriften.
Kopieën van hetproces-verbaal van verniet iging voor EU SECRET- en
EU TOP SECRET-documenten worden aan het EU-register gestuurd dat
de documenten heeft toegezonden.
b) Gerubriceerde EU-documenten worden opgenomen in de noodvernieti-
gingsplannen die gelden voor de gerubriceerde documenten van de
begunstigde organen zelf.
11. Bescherming van documenten
Alles wordt in het werk gesteld om te voorkomen dat onbevoegden toegang
hebben tot gerubriceerde EU-gegevens.
12. Kopieën, vertalingen en uittreksels
Van een als EU CONFIDENTIAL of EU SECRET gerubriceerd document
mogen geen fotokopieën, vertalingen of uittreksels worden gemaakt zonder
toestemming van het hoofd van de beveiligingsorganisatie, die deze
kopieën, vertalingen en uittreksels registreert, controleert en zo nodig
afstempelt.
De reproductie of vertaling van een EU TOP SECRET-document kan alleen
geschieden met instemming van de instantie waarvan het afkomstig is, die
aangeefthoeveel kopieën er mogen worden gemaakt ; indien nietkan
worden uitgemaakt van welke autoriteit het document afkomstig is, wordt
hetverzoek doorgegeven aan hetVeiligheidsbureau van de Commissie.
13. Inbreuken op de veiligheidsvoorschriften
Wanneer een inbreuk heeftplaat sgevonden of vermoedelijk heeftplaat sge-
vonden met betrekking tot een gerubriceerd EU-document worden, onder
voorbehoud van de sluiting van een beveiligingsovereenkomst, onmiddellijk
de volgende maatregelen getroffen:
a) uitvoeren van een onderzoek naar de omstandigheden van de inbreuk;
b) informeren van hetVeiligheidsbureau van de Commissie, de nat ionale
veiligheidsinstantie en de instantie waarvan het document afkomstig is,
of indien dit laatste niet is geschied, daar duidelijk melding van maken;
c) beperken van de gevolgen van de inbreuk;
d) maatregelen om herhaling te voorkomen overwegen en uitvoeren;
e) de door hetVeiligheidsbureau van de Commissie aanbevolen maat re-
gelen om herhaling te voorkomen, uitvoeren.
14. Inspecties
HetVeiligheidsbureau van de Commissie wordtdoor middel van een over-
eenkomst met de betrokken staten of internationale organisaties gemachtigd
een evaluatie uit te voeren van de doeltreffendheid van de maatregelen ter
bescherming van de vrijgegeven gerubriceerde EU-gegevens.
15. Rapportage
Onder voorbehoud van de sluiting van een beveiligingsovereenkomst brengt
de staat of internationale organisatie die de gerubriceerde EU-gegevens
onder zich houdtjaarlijks, op een bij de inst emming metde vrijgave van
de gegevens gespecificeerde datum, verslag uit om te bevestigen dat deze
veiligheidsvoorschriften zijn nageleefd.2000Q3614 — NL — 01.12.2001 — 001.001 — 62
▼M1
Aanhangsel 4
Richtsnoeren voor vrijgave van gerubriceerde EU-gegevens aan derde
staten of internationale organisaties: tweedegraadssamenwerking
PROCEDURES
1. De bevoegdheid om gerubriceerde EU-gegevens vrij te geven aan derde
staten of internationale organisaties, waarvan het beleid en de voorschriften
inzake beveiliging aanzienlijk verschillen van die van de EU, berustbij de
opsteller. De bevoegdheid om binnen de Commissie gecreëerde EUCI vrij
te geven berust bij de Commissie als college.
2. In beginsel is de bevoegdheid beperkt tot gegevens met een rubricering tot
en metEU SECRET; gerubriceerde gegevens die beschermd worden door
bijzondere beveiligingsindicatoren of markeringen zijn hiervan uitgesloten.
3. In afwachting van de sluiting van een beveiligingsovereenkomst is het voor
veiligheid verantwoordelijke Commissielid bevoegd om verzoeken om vrij-
gave van gerubriceerde EU-gegevens te onderzoeken.
4. Daarvoor:
— wint hij/zij het advies in van de opstellers van de vrij te geven EUCI;
— legt hij/zij eerste contacten met de beveiligingsinstanties van de begun-
stigde staten of internationale organisaties om informatie in te winnen
over hun beleid en voorschriften inzake beveiliging, en in het bijzonder
om een vergelijkende tabel op te stellen van de in de EU en in de
betrokken staat of organisatie van toepassing zijnde rubriceringen;
— belegthij/zij een bijeenkomstvan de Adviesgroep Veiligheidsbeleid van
de Commissie of doethij/zij zo nodig, volgens een st ilzwijgende proce-
dure, navraag bij de nationale veiligheidsinstanties van de lidstaten om
hett echnisch advies van de Adviesgroep Veiligheidsbeleid van de
Commissie in te winnen.
5. Hetadvies van de Adviesgroep Veiligheidsbeleid van de Commissie
behelst:
— het vertrouwen dat kan worden gesteld in de begunstigde staten of inter-
nationale organisaties met het oog op een evaluatie van de
beveiligingsrisico's waaraan de EU of haar lidstaten blootstaan;
— een evaluatie van het vermogen van de begunstigden om door de EU
vrijgegeven gerubriceerde gegevens te beschermen;
— voorstellen voor praktische procedures voor de verwerking van gerubri-
ceerde EU-gegevens (bijvoorbeeld het verstrekken van gekuiste versies
van een tekst) en overgedragen documenten (niet-vermelding of verwij-
dering van EU-rubriceringsopschriften, specifieke markeringen enz.);
— lagere rubricering of derubricering voordatde gegevens worden vrijge-
geven aan de begunstigde landen of internationale organisaties.
6. Hetvoor veiligheid bevoegde Commissielid st uurthetverzoek en hetadvies
van de Adviesgroep Veiligheidsbeleid van de Commissie door naar de
Commissie, die daarover een besluitneemt .
VEILIGHEIDSVOORSCHRIFTEN VOOR DE BEGUNSTIGDEN
7. Hetvoor veiligheid bevoegde Commissielid deelthetbesluitvan de
Commissie om vrijgave van gerubriceerde EU-gegevens toe te staan, en de
daarbij geldende beperkingen, mee aan de begunstigde staten of internatio-
nale organisaties.
8. Hetbesluithoudende vrijgave t reedtnieteerder in werking dan nadatde
begunstigden schriftelijk hebben verzekerd dat zij:
— de gegevens nietvoor andere dan de overeengekomen doeleinden zullen
gebruiken;
— de gegevens zullen beschermen in overeenstemming met de veiligheids-
voorschriften van de Commissie.
9. De volgende beschermingsvoorschriften zijn van toepassing, tenzij de
Commissie, na inwinning van hett echnisch advies van de Adviesgroep
Veiligheidsbeleid van de Commissie, besluiteen bijzondere procedure vast
te stellen voor de verwerking van gerubriceerde EU-documenten (niet-
vermelding van de EU-rubricering, specifieke markering enz.).2000Q3614 — NL — 01.12.2001 — 001.001 — 63
▼M1
10. Personeel
a) Het aantal functionarissen dat toegang krijgt tot gerubriceerde EU-gege-
vens wordt op basis van het „need-to-know”-beginsel strikt beperkt totdiegenen wier functie toegang noodzakelijk maakt.
b) Alle functionarissen of burgers die gemachtigd zijn toegang te hebben
tot door de Commissie vrijgegeven gerubriceerde gegevens zijn in het
bezit van een nationale veiligheidsmachtiging of toegangsmachtiging,
t oteen passend niveau datgelijkwaardig is aan datvan de EU zoals
gedefinieerd in de vergelijkende tabel.
c) Deze nationale veiligheidsmachtigingen of toegangsmachtigingen
worden ter informatie aan de voorzitter gestuurd.
11. Overdrachtvan document en
De praktische procedures voor de overdracht van documenten wordt gere-
geld in een overeenkomst. In afwachting van de sluiting van zo'n
overeenkomstzijn de bepalingen van Afdeling 21 van t oepassing. In de
overeenkomstwordtmetname gespecificeerd aan welke regist ers de geru-
briceerde EU-gegevens worden toegestuurd; ook worden daarin de adressen
vermeld waarnaar de documenten worden gestuurd, en wordt vermeld welke
post- of koerierdiensten voor de overdracht van de gerubriceerde EU-gege-
vens worden ingeschakeld.
12. Registratie bij ontvangst
De nationale veiligheidsinstantie van de geadresseerde staat of haar tegen-
hanger in de staat die namens de regering de door de Commissie
toegezonden gerubriceerde gegevens ontvangt of het beveiligingsbureau
van de ontvangende internationale organisatie, legt een speciaal bestand
aan om bij ontvangst gerubriceerde EU-gegevens te registreren. Dit bestand
omvat kolommen voor de datum van ontvangst, de bijzonderheden van het
document (datum, referentie- en kopienummer), de rubricering, de titel, de
naam of de titel van de geadresseerde, de datum waarop het ontvangstbewijs
is teruggestuurd en de datum waarop het document is teruggestuurd naar de
EU of vernietigd is.
13. Terugsturen van documenten
Wanneer de ontvanger een gerubriceerd document terugstuurt naar de
Commissie, handelt deze in overeenstemming met het bovenstaande punt
„Overdrachtvan document en”.
14. Bescherming
a) Wanneer de documenten niet worden gebruikt, worden ze opgeslagen in
een beveiligingsopbergmiddel datis goedgekeurd voor de opslag van
nationaal gerubriceerd materiaal van dezelfde rubriceringsgraad. Op het
opbergmiddel staat geen indicatie van de inhoud, die alleen toegankelijk
is voor personen die gemachtigd zijn om gerubriceerde EU-gegevens te
verwerken. In geval van gebruik van combinatiesloten is de combinatie
alleen bekend bij de functionarissen van de staat of organisatie die een
toegangsmachtiging hebben voor de daarin opgeslagen gerubriceerde
EU-gegevens; de combinatie wordt om de zes maanden gewijzigd of
eerder, dit bij overplaatsing van een functionaris, bij intrekking van de
veiligheidsmachtiging van een van de functionarissen die de combinatie
kent of indien er een risico van compromittering is.
b) Gerubriceerde EU-documenten worden alleen uit het beveiligingsopberg-
middel genomen door functionarissen die een toegangsmachtiging
hebben voor de gerubriceerde EU-documenten en die hiervan kennis
moeten nemen. Zolang deze documenten in hun bezit zijn, blijven zij
verantwoordelijk voor de veilige bewaring ervan, en dienen zij in het
bijzonder te garanderen dat onbevoegden geen toegang krijgen tot de
documenten. Ook zorgen zij ervoor dat de documenten worden opge-
borgen in een beveiligingsopbergmiddel zodra zij de documenten niet
meer raadplegen alsook buiten de werktijden.
c) Zonder toestemming van het Veiligheidsbureau van de Commissie
mogen er geen fotokopieën of uittreksels worden gemaakt van als EU
CONFIDENTIAL of hoger gerubriceerde documenten.
d) De procedure voor snelle en volledige vernietiging van documenten in
noodgevallen wordt vastgesteld en bevestigd door het Veiligheidsbureau
van de Commissie.
15. Fysieke bescherming
a) Wanneer er geen documenten in gebruik zijn dienen de beveiligingsop-
bergmiddelen voor gerubriceerde EU-documenten te allen tijde
afgesloten te zijn.2000Q3614 — NL — 01.12.2001 — 001.001 — 64
▼M1
b) Wanneer onderhouds- of schoonmaakpersoneel een ruimte dient te
betreden die dergelijke opbergmiddelen bevat of wanneer het in zo'n
ruimte dient te werken, wordt het personeel te allen tijde begeleid door
een lid van de veiligheidsdienst van de staat of de organisatie of door de
functionaris die meer in het bijzonder verantwoordelijk is voor het
toezicht op de beveiliging van de ruimte.
c) Buiten normale werktijden ('s nachts, in het weekend en op feestdagen)
worden de beveiligingsopbergruimten die gerubriceerde EU-documenten
bevatten beschermd door een bewaker of een automatisch alarmsysteem.
16. Inbreuken op de veiligheidsvoorschriften
Wanneer er in verband metgerubriceerde EU-gegevens een inbreuk heeft
plaatsgevonden of vermoedelijk heeft plaatsgevonden, worden onmiddellijk
de volgende maatregelen getroffen:
a) onmiddellijke rapportage aan het Veiligheidsbureau van de Commissie
of de nationale veiligheidsinstantie van de lidstaat die het initiatief heeft
genomen tot het toezenden van de documenten (met een kopie van het
verslag aan hetVeiligheidsbureau van de Commissie);
b) uitvoering van een onderzoek en na afloop daarvan volledige rapportage
aan de onder a) bedoelde instanties. Vervolgens worden de vereiste
maatregelen vastgesteld om het probleem op te lossen.
17. Inspecties
HetVeiligheidsbureau van de Commissie wordtdoor middel van een over-
eenkomst met de betrokken staten of internationale organisaties gemachtigd
een evaluatie uit te voeren van de doeltreffendheid van de maatregelen ter
bescherming van de vrijgegeven gerubriceerde EU-gegevens.
18. Rapportage
Onder voorbehoud van de sluiting van een beveiligingsovereenkomst brengt
de staat of internationale organisatie die de gerubriceerde EU-gegevens
onder zich houdtjaarlijks, op een bij de inst emming metde vrijgave van
de gegevens gespecificeerde datum, verslag uit om te bevestigen dat dezeveiligheidsvoorschriften zijn nageleefd.2000Q3614 — NL — 01.12.2001 — 001.001 — 65
▼M1
Aanhangsel 5
Richtsnoeren voor de vrijgave van gerubriceerde EU-gegevens aan derde
staten of internationale organisaties: derdegraadssamenwerking
PROCEDURES
1. In bepaalde gevallen kan de Commissie hetwenselijk acht en om onder
bepaalde speciale omstandigheden samen te werken met staten of organisa-
ties die niet de door deze veiligheidsvoorschriften vereiste garanties kunnen
bieden terwijl de gewenste samenwerking wel noopt tot vrijgave van geru-
briceerde EU-gegevens.
2. De bevoegdheid om gerubriceerde EU-gegevens vrij te geven aan derde
staten of internationale organisaties, waarvan het beleid en de voorschriften
inzake beveiliging aanzienlijk verschillen van die van de EU, berustbij de
opsteller. De bevoegdheid om binnen de Commissie gecreëerde EUCI vrij
te geven berust bij de Commissie als college.
In beginsel is de bevoegdheid beperkt tot gegevens met een rubricering tot
en metEU SECRET; gerubriceerde gegevens die beschermd worden door
bijzondere beveiligingsindicatoren of markeringen zijn hiervan uitgesloten.
3. De Commissie beoordeelt de opportuniteit van de vrijgave van gerubri-
ceerde gegevens en de noodzaak van de begunstigden om kennis te nemen
van de gegevens, en besluitvervolgens over de aard van de gerubriceerde
gegevens die kunnen worden meegedeeld.
4. Indien de Commissie voorstander is van vrijgave, zal het voor veiligheid
bevoegde Commissielid
— het advies inwinnen van de opstellers van de vrij te geven EUCI;
— een bijeenkomstbeleggen van de Adviesgroep Veiligheidsbeleid van de
Commissie of zo nodig, volgens een stilzwijgende procedure, navraag
doen bij de nationale veiligheidsinstanties van de lidstaten om het tech-
nisch advies van de Adviesgroep Veiligheidsbeleid van de Commissie in
te winnen.
5. Hetadvies van de Adviesgroep Veiligheidsbeleid van de Commissie
behelst:
a) een evaluatie van de veiligheidsrisico's waaraan de EU of haar lidstaten
blootstaan;
b) de rubriceringsgraad van de gegevens die mogen worden vrijgegeven;
c) lagere rubricering of derubricering voordatde gegevens worden vrijge-
geven;
d) procedures voor de verwerking van de vrij te geven documenten (zie
punthieronder);
e) de mogelijke methoden voor de overdracht (gebruik van openbare post-
diensten, openbare of beveiligde telecommunicatiesystemen,
diplomatieke koerier, gemachtigde koeriers, enz.).
6. De documenten die worden vrijgegeven aan de in dit aanhangsel bedoelde
staten of organisaties worden in beginsel verstrekt zonder referentie naar de
bron of EU-rubricering. De Adviesgroep Veiligheidsbeleid van de
Commissie kan de volgende aanbevelingen doen:
— hetgebruik van een specifieke markering of code;
— het gebruik van een specifiek rubriceringssysteem waarbij de controle-
maatregelen met betrekking tot de methoden die de begunstigde
gebruikt voor de overdracht van documenten worden afgestemd op de
gevoeligheid van de gegevens.
7. De voorzitter stuurt het advies van de Adviesgroep Veiligheidsbeleid van de
Commissie door naar de Commissie, die daarover een besluitneemt .
8. Zodra de Commissie heeftingest emd metde vrijgave van gerubriceerde
EU-gegevens en met de praktische uitvoeringsprocedures legt het Veilig-
heidsbureau van de Commissie de nodige contacten met de
beveiligingsinstanties van de betrokken staat of organisatie om de toepas-
sing van de beoogde beveiligingsmaatregelen te vergemakkelijken.
9. Hetvoor veiligheid bevoegde Commissielid informeertde lidst aatover de
aard en de rubricering van de gegevens, en geeftdaarbij een lijstvan orga-
nisaties en landen waarvoor de gegevens mogen worden vrijgegeven zoals
door de Commissie is besloten.2000Q3614 — NL — 01.12.2001 — 001.001 — 66
▼M1
10. HetVeiligheidsbureau van de Commissie neemtde nodige maat regelen om
latere schade-evaluaties en herzieningen van de procedures te vergemakke-
lijken
Mochten de voorwaarden voor samenwerking veranderen, dan zal de
Commissie de zaak opnieuw bekijken.
VEILIGHEIDSVOORSCHRIFTEN VOOR DE BEGUNSTIGDEN
11. Hetvoor veiligheid bevoegde Commissielid deelthetbesluitvan de
Commissie om vrijgave van gerubriceerde EU-gegevens toe te staan, mee
aan de begunstigde staten of internationale organisaties, samen met de
nadere bepalingen inzake bescherming die door de Adviesgroep Veilig-
heidsbeleid van de Commissie zijn voorgesteld en door de Commissie zijn
goedgekeurd.
12. Hetbesluithoudende vrijgave t reedtnieteerder in werking dan nadatde
begunstigden schriftelijk hebben verzekerd dat zij:
— de gegevens nietvoor andere doeleinden zullen gebruiken dan voor de
door de Commissie goedgekeurde samenwerking;
— de gegevens op de door de Commissie vereiste wijze zullen beschermen.
13. Overdrachtvan document en
a) De praktische procedures voor de overdracht van documenten worden
geregeld tussen het Veiligheidsbureau van de Commissie en de veilig-
heidsinstanties van de ontvangende staten of internationale organisaties.
Hierbij zullen in hetbijzonder de exact e adressen worden gespecificeerd
waarnaar de documenten moeten worden gestuurd.
b) Als EU CONFIDENTIAL en hoger gerubriceerde documenten worden in
een dubbele enveloppe doorgegeven. Op de binnenenveloppe wordteen
specifiek stempel of specifieke code aangebracht en een vermelding van
de speciale rubricering die voor hetdocumentis afgesproken. Voor elk
gerubriceerd document wordt een ontvangstformulier ingesloten. Op het
ontvangstformulier, dat zelf niet gerubriceerd is, worden enkel de bijzon-
derheden van het document (referentie, datum, kopienummer) en de taal
waarin het is gesteld, maar niet de titel, vermeld.
c) De binnenenveloppe wordt in een buitenenveloppe verpakt, die voor
ontvangstdoeleinden een paknummer krijgt. Op de buitenenveloppe
wordtgeen beveiligingsrubricering aangebracht .
d) Koeriers ontvangen altijd een ontvangstbewijs met het paknummer.
14. Registratie bij ontvangst
De nationale veiligheidsinstantie van de geadresseerde staat of haar tegen-
hanger in de staat die namens de regering de door de Commissie
toegezonden gerubriceerde gegevens ontvangt of het beveiligingsbureau
van de ontvangende internationale organisatie, legt een speciaal bestand
aan om bij ontvangst gerubriceerde EU-gegevens te registreren. Dit bestand
omvat kolommen voor de datum van ontvangst, de bijzonderheden van het
document (datum, referentie- en kopienummer), de rubricering, de titel, de
naam of de titel van de geadresseerde, de datum waarop het ontvangstbewijs
is teruggestuurd en de datum waarop het document is teruggestuurd naar de
EU of vernietigd is.
15. Gebruik en bescherming van de uitgewisselde gerubriceerde gegevens
a) Als EU SECRET gerubriceerde gegevens worden verwerktdoor speciaal
daarvoor aangewezen functionarissen die gemachtigd zijn om toegang te
hebben tot gegevens met een dergelijke rubricering. De gegevens worden
opgeborgen in beveiligingsruimtes van goede kwaliteit die alleen
geopend kunnen worden door personen die gemachtigd zijn om toegang
te hebben tot de daarin bewaarde gegevens. De zones waarin deze
ruimtes zich bevinden staan onder permanente bewaking en er wordt
een verificatiesysteem opgezet om te garanderen dat deze zones alleen
worden betreden door naar behoren gemachtigde personen. Als SECRET
EU gerubriceerde gegevens worden verzonden per diplomatieke koerier,
beveiligde postdiensten en beveiligde telecommunicatiekanalen. Een
SECRET EU-documentmag alleen worden gekopieerd na schrift elijke
toestemming van de autoriteit waarvan het afkomstig is. Alle kopieën
worden geregistreerd en gevolgd. Voor alle handelingen in verband met
SECRET EU-documenten worden ontvangstbewijzen uitgeschreven.
b) Als EU CONFIDENTIAL gerubriceerde gegevens worden verwerktdoor
speciaal daarvoor aangewezen functionarissen die gemachtigd zijn om
over het onderwerp in kwestie geïnformeerd te worden. De documenten
worden opgeslagen in afgesloten beveiligingsruimtes in gecontroleerde
zones.2000Q3614 — NL — 01.12.2001 — 001.001 — 67
▼M1
Als EU CONFIDENTIAL gerubriceerde gegevens worden verstuurd per
diplomatieke koerier, militaire postdiensten en beveiligde telecommuni-
catiekanalen. Kopieën mogen worden gemaakt door de ontvangende
instantie, waarbij het aantal en de distributie worden geregistreerd in
speciale bestanden.
c) Als EU RESTRICTED gerubriceerde gegevens worden verwerktin loca-
ties die niet toegankelijk zijn voor niet-gemachtigd personeel en worden
opgeslagen in afgesloten opbergmiddelen. Documenten mogen per open-
bare postdiensten worden verstuurd als aangetekende zending in een
dubbele enveloppe en, in noodsituaties tijdens operaties, via onbe-
schermde openbare telecommunicatiesystemen. De ontvangers maken
kopieën van de documenten.
d) Niet-gerubriceerde gegevens vereisen geen speciale beschermingsmaatre-
gelen en mogen worden verstuurd per post en openbare
telecommunicatiesystemen. De geadresseerden mogen kopieën van de
gegevens maken.
16. Vernietiging
Overtollige documenten worden vernietigd. In geval van als EU
RESTRICTED en EU CONFIDENTIAL gerubriceerde documenten wordt
van de vernietiging aantekening gemaakt in de speciale bestanden. In geval
van als SECRET EU gerubriceerde documenten wordt een proces-verbaal
van vernietiging opgesteld en ondertekend door twee getuigen van de
vernietiging.
17. Inbreuken op de veiligheidsvoorschriften
Wanneer als EU CONFIDENTIAL of SECRET EU gerubriceerde gegevens
zijn gecompromitteerd of vermoedelijk zijn gecompromitteerd voert de
nationale veiligheidsinstantie van de staat of het hoofd van de veiligheids-
dienst van de organisatie een onderzoek uit naar de omstandigheden van de
compromittering. De resultaten worden meegedeeld aan het Veiligheidsbu-reau van de Commissie. Indien hetont oereikende procedures of
opslagmethodes zijn die tot de compromittering hebben geleid, worden de
nodige stappen gezet om deze te verbeteren.2000Q3614 — NL — 01.12.2001 — 001.001 — 68
▼M1
Aanhangsel 6
LIJST VAN AFKORTINGEN
ACPC Raadgevende commissie voor aankopen en overeenkomsten (Advisory Committee
on Procurement and Contracts)
CrA Crypto-autoriteit (Crypto Authority)
CISO Centrale informatiebeveiligingsfunctionaris (Central Informatics Security Officer)COMPUSEC Computerbeveiliging (Computer Security)
COMSEC Communicatiebeveiliging (Communication Security)
CSO Veiligheidsbureau van de Commissie (Commission Security Office)ESDP Europees veiligheids- en defensiebeleid (European Security and Defense Policy)EUCI Gerubriceerde EU-gegevens (EU classified information)
IA INFOSEC-autoriteit (INFOSEC Authority)
INFOSEC Informatiebeveiliging (Information Security)IO Informatie-eigenaar (Information Owner)
ISO Internationale Organisatie voor normalisatie (International Organisation for Standar-
disation)
IT Informatietechnologie (Information Technology)
LISO Plaatselijke informatiebeveiligingsfuntionaris (Local Informatics Security Officer)LSO Plaatselijke veiligheidsfunctionaris (Local Security Officer)
MSO Beveiligingsfunctionaris voor de vergadering (Meeting Security Officer)
NSA Nationale veiligheidsinstantie (National Security Authority)PC Personal Computer
RCO Functionaris voor de registercontrole (Registry Control Officer)
SAA Autoriteit voor veiligheidsaccreditatie (Security Accreditation Authority)SecOPS Operationele beveiligingsprocedures (Security Operating Procedures)
SSRS Systeemgebonden specificatie van beveiligingseisen (Specific Security Requirement
Statement)
TA Tempest-autoriteit (Tempest Authority)
TSO Eigenaar technisch systeem (Technical Systems Owner)2000Q3614 — NL — 01.12.2001 — 001.001 — 69