BESLUIT Nr. 41/2021 VAN DE REKENKAMER

betreffende de veiligheidsvoorschriften voor de bescherming van gerubriceerde EU-informatie (EUCI)

DE EUROPESE REKENKAMER,

Gelet op artikel 13 van het Verdrag betreffende de Europese Unie,

Gelet op artikel 287 van het Verdrag betreffende de werking van de Europese Unie,

Gelet op artikel 257 van Verordening (EU, Euratom) 2018/1046 van het Europees Parlement en de Raad van 18 juli 2018 tot vaststelling van de financiële regels van toepassing op de algemene begroting van de Unie,

Gelet op artikel 1, lid 6, van de uitvoeringsvoorschriften bij het reglement van orde van de Rekenkamer (Besluit nr. 21/2021 van de Rekenkamer),

Gelet op de veiligheidsvoorschriften voor de bescherming van gerubriceerde EU-informatie van de andere instellingen, organen en instanties van de EU,

Gelet op het informatiebeveiligingsbeleid (DEC 127/15 FINAL) en het informatierubriceringsbeleid (Personeelsmededeling nr. 123/2020) van de Rekenkamer,

Overwegende hetgeen volgt:

Overeenkomstig artikel 287, lid 3, VWEU heeft de Rekenkamer recht op toegang tot alle relevante documenten en informatie die zij nodig acht voor de uitvoering van haar mandaat, met inbegrip van gerubriceerde EU-informatie (EUCI), dat moet worden vervuld met volledige inachtneming van het beginsel van loyale samenwerking tussen de instellingen en het beginsel van bevoegdheidstoedeling; dat recht op toegang tot EUCI, verankerd in het VWEU, kan niet ter discussie worden gesteld door de bron van EUCI, terwijl de Rekenkamer kan worden verzocht bepaalde veiligheidsmaatregelen in te voeren en na te leven, zoals hieronder nader wordt beschreven.

Gezien de gevoelige aard ervan vereist de behandeling van EUCI dat de naleving van de geheimhoudingsplicht wordt gewaarborgd door middel van passende veiligheidsmaatregelen die een hoog beschermingsniveau voor die informatie kunnen waarborgen en die gelijkwaardig zijn aan die welke zijn vastgelegd in de voorschriften inzake de bescherming van EUCI die zijn vastgesteld door de andere instellingen, organen en instanties van de EU, met dien verstande dat, indien de Rekenkamer van oordeel is dat dergelijke veiligheidsmaatregelen niet gerechtvaardigd zijn in het licht van de aard en het soort EUCI, de Rekenkamer zich het recht voorbehoudt opmerkingen te maken die zij passend acht, met inachtneming van de rubriceringsgraad van EUCI.

De instelling moet ervoor zorgen dat dit besluit wordt uitgevoerd overeenkomstig alle toepasselijke voorschriften, met name de bepalingen inzake de bescherming van persoonsgegevens, de fysieke veiligheid van personen, gebouwen en IT, en de toegang van het publiek tot documenten,

BESLUIT:

6. Tenzij anders bepaald, zijn de bepalingen inzake EUCI op gelijkwaardige wijze van toepassing op de gerubriceerde informatie als bedoeld in lid 2, punten b) en c), van dit artikel.

5. Behalve wanneer een bepaling betrekking heeft op specifieke categorieën personeel, is dit besluit van toepassing op de leden van de Rekenkamer, het personeel van de Rekenkamer dat valt onder het Statuut en de Regeling welke van toepassing is op de andere personeelsleden van de Europese Unie (2) , de nationale deskundigen die bij de Rekenkamer zijn gedetacheerd (GND’s), de verstrekkers van diensten en hun personeel, stagiairs en alle andere personen die toegang hebben tot de gebouwen en andere eigendommen van de Rekenkamer, of tot informatie die wordt beheerd door de Rekenkamer.

gerubriceerde informatie die door derde landen of internationale organisaties aan de Europese Rekenkamer is verstrekt en een rubriceringsmarkering heeft welke gelijkwaardig is aan een van de in punt a) genoemde rubriceringsmarkeringen voor EUCI, overeenkomstig de betrokken informatiebeveiligingsovereenkomsten of bestuurlijke regelingen.

gerubriceerde informatie die door lidstaten is verstrekt en een nationale rubriceringsmarkering heeft welke gelijkwaardig is aan een van de in punt a) genoemde rubriceringsmarkeringen voor EUCI (1) ;

RESTREINT UE/EU RESTRICTED: informatie en materiaal waarvan de ongeoorloofde openbaarmaking nadelig kan zijn voor de belangen van de Europese Unie of van een of meer van haar lidstaten.

CONFIDENTIEL UE/EU CONFIDENTIAL: informatie en materiaal waarvan de ongeoorloofde openbaarmaking de wezenlijke belangen van de Europese Unie of van een of meer van haar lidstaten kan schaden;

SECRET UE/EU SECRET: informatie en materiaal waarvan de ongeoorloofde openbaarmaking de wezenlijke belangen van de Europese Unie of van een of meer van haar lidstaten ernstig kan schaden;

TRÈS SECRET UE/EU TOP SECRET: informatie en materiaal waarvan de ongeoorloofde openbaarmaking de wezenlijke belangen van de Europese Unie of van een of meer van haar lidstaten uitzonderlijk ernstig kan schaden;

“gerubriceerde EU-informatie” (EUCI) zoals gedefinieerd in de veiligheidsvoorschriften van andere instellingen, organen of instanties van de EU, die voorzien is van een van de onderstaande rubriceringsmarkeringen:

“EUCI-register”: een zone binnen een beveiligde zone. Dit register wordt beheerd door de registercontrolefunctionaris van de Rekenkamer, die over een veiligheidsverklaring en -machtiging beschikt. Het is verantwoordelijk voor het in- en uitgaan van informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger, of het equivalent daarvan, die/dat wordt uitgewisseld met de Rekenkamer;

“archief”: wordt beheerd door het secretariaat van de Rekenkamer en is ondergebracht in een administratieve zone onder de verantwoordelijkheid van de directeur Personeelszaken, Financiën en Algemene Diensten van de Rekenkamer. Het is verantwoordelijk voor het in- en uitgaan van informatie met rubricering RESTREINT UE/EU RESTRICTED, of het equivalent daarvan, die/dat wordt uitgewisseld met de Rekenkamer;

“certificaat van veiligheidsverklaring voor personeel” (PSCC): een door de directeur Personeelszaken, Financiën en Algemene Diensten van de Rekenkamer afgegeven certificaat waarin wordt bevestigd dat een betrokkene in het bezit is van een geldige veiligheidsverklaring of veiligheidsmachtiging, en dat de rubriceringsgraad vermeldt van EUCI waartoe hij/zij toegang mag hebben (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger), alsook de geldigheidsduur van die veiligheidsverklaring of -machtiging en de datum waarop de geldigheid van het certificaat zelf afloopt;

“veiligheidsverklaring voor personeel” (PSC): een verklaring van een bevoegde autoriteit van een lidstaat, die wordt afgelegd na voltooiing van een veiligheidsonderzoek door de bevoegde autoriteiten van een lidstaat, waarbij wordt bevestigd dat de betrokkene, mits zijn noodzaak tot kennisname is vastgesteld en hij/zij terdege is geïnstrueerd over zijn verantwoordelijkheden, tot een bepaalde datum toegang kan krijgen tot EUCI tot op een bepaald niveau (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger);

“bron”: de instelling, het agentschap of orgaan van de EU, of de lidstaat, het derde land of de internationale organisatie onder het gezag waarvan informatie is gegenereerd en/of ingevoerd in de structuren van de EU;

“materiaal”: een medium, gegevensdrager of enigerlei onderdeel van machines of uitrustingen;

“informatie”: elke schriftelijke of mondelinge informatie, ongeacht het medium of de auteur;

“autoriteit voor informatiebeveiliging”: de functionaris voor informatiebeveiliging van de Rekenkamer, die de in dit besluit vastgestelde taken geheel of gedeeltelijk kan delegeren;

“houder”: een naar behoren gemachtigde persoon van wie de noodzaak tot kennisname vaststaat en die gerubriceerde informatie in zijn bezit heeft en derhalve voor de bescherming daarvan verantwoordelijk is;

“machtiging tot toegang tot EUCI”: een besluit van de directeur Personeelszaken, Financiën en Algemene Diensten van de Rekenkamer op grond van een van een bevoegde autoriteit van een lidstaat verkregen zekerheid dat een ambtenaar van de Rekenkamer, een ander personeelslid of een GND, mits zijn/haar noodzaak tot kennisname is vastgesteld en hij/zij op passende wijze in kennis is gesteld van zijn/haar verantwoordelijkheden, tot een bepaalde rubriceringsgraad (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger) en tot een bepaalde datum toegang wordt verleend tot EUCI; van die persoon wordt dan gezegd dat hij/zij “gemachtigd” is;

Artikel 3

Maatregelen ter bescherming van EUCI

1. De Rekenkamer waarborgt de bescherming van alle gerubriceerde informatie die haar wordt verstrekt op een wijze die in verhouding staat tot het door de bron vastgestelde rubriceringsniveau, en in overeenstemming met dit besluit.

2. Daartoe stelt de Rekenkamer de behandeling van EUCI afhankelijk van fysieke en, in voorkomend geval, personeelsgerelateerde veiligheidsmaatregelen, met inbegrip van machtigingen tot toegang voor de geïdentificeerde personen en maatregelen ter bescherming van communicatie- en informatiesystemen. Deze maatregelen worden beschreven in de artikelen 4, 5 en 6 en zijn van toepassing gedurende de gehele levenscyclus van de EUCI. Deze maatregelen dienen evenredig te zijn met de rubricering van de EUCI, de vorm en de omvang van de informatie of het materiaal, de locatie en constructie van de faciliteiten waar de EUCI in is ondergebracht en de lokaal beoordeelde dreiging of kwaadwillige en/of criminele activiteiten, met inbegrip van spionage, sabotage en terrorisme.

3. EUCI wordt beschermd door middel van fysieke veiligheidsmaatregelen en informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt ook beschermd door middel van personeelsgerelateerde veiligheidsmaatregelen.

4. EUCI mag alleen worden verstrekt aan personen met een noodzaak tot kennisname binnen de instelling. De houder van enige EUCI moet deze beschermen overeenkomstig dit besluit.

5. EUCI mag niet mondeling of schriftelijk openbaar worden gemaakt. De preliminaire opmerkingen, verslagen, adviezen, persberichten en andere producten van de Rekenkamer, haar website en intranet, mondelinge opmerkingen, antwoorden op verzoeken om toegang tot documenten (3) en spraak- of video-opnamen mogen geen EUCI of uittreksels daarvan bevatten en er niet naar verwijzen. Indien de bron documenten of informatie met een verwijzing naar EUCI heeft gepubliceerd, mag die verwijzing evenwel worden vermeld.

6. Niettegenstaande lid 5 kunnen de Rekenkamer en de bron overeenkomen dat de Rekenkamer in geval van een specifieke controle elementen van EUCI mag overnemen of gebruiken in een document. In dat geval wordt dat document van de Rekenkamer eerst vóór of tijdens de contradictoire procedure voorgelegd aan de bron van de EUCI in kwestie. In deze situatie bereiken de Rekenkamer en de bron overeenstemming over de vraag of het door de Rekenkamer uitgebrachte document al dan niet moet worden gerubriceerd. Wanneer een rapporterend lid van de Rekenkamer het noodzakelijk acht een controleverslag dat geheel of gedeeltelijk is gerubriceerd, aan bepaalde geadresseerden van het Europees Parlement of de Raad voor te leggen — rekening houdend met alle veiligheidsmaatregelen uit hoofde van dit besluit — moet de bron van de gerubriceerde informatie hiervoor toestemming geven. Het rechtskader en de procedure voor de uitwisseling van dergelijke documenten zijn vastgesteld in artikel 7.

7. Wanneer de uitoefening van haar mandaat vereist dat bepaalde elementen van een gerubriceerd document of gerubriceerde informatie op grotere schaal worden gedeeld, raadpleegt de Rekenkamer, door terdege rekening te houden met de rubriceringsmarkering, de bron voordat zij besluit die elementen of informatie te gebruiken, indien zij van oordeel is dat dit een hoger openbaar belang dient. De informatie wordt in het verslag alleen op zodanige wijze gebruikt dat de belangen van de bron niet kunnen worden geschaad. Dit zou op passende wijze kunnen worden gewaarborgd door de bron te verzoeken opmerkingen te maken om overeenstemming te bereiken over de wijze waarop de informatie kan worden geanonimiseerd, ingekort of veralgemeend enz., en tegelijkertijd de belangen van de voornaamste betrokkenen bij de gepubliceerde informatie te eerbiedigen.

8. De Rekenkamer verstrekt geen EUCI aan andere instellingen, organen of instanties van de EU, lidstaten, derde landen of internationale organisaties zonder voorafgaande raadpleging en uitdrukkelijke schriftelijke toestemming van de bron.

9. Tenzij de bron van een document met rubricering SECRET UE/EU SECRET of lager beperkingen heeft opgelegd aan het dupliceren of vertalen ervan, mogen dergelijke documenten worden gedupliceerd of vertaald op verzoek van de houder en met inachtneming van de praktische werkinstructies van de autoriteit voor informatiebeveiliging van de Rekenkamer. De veiligheidsmaatregelen die voor het originele document gelden, zijn ook van toepassing op kopieën en vertalingen ervan.