NL Publicatieblad van de Europese Unie L 229/1

BESLUIT 2012/486/GBVB VAN DE RAAD

van 23 juli 2012

betreffende de sluiting en ondertekening van een Overeenkomst tussen de Gezamenlijke Organisatie voor samenwerking op defensiematerieelgebied en de Europese Unie inzake de bescherming van gerubriceerde gegevens

DE RAAD VAN DE EUROPESE UNIE,

Gezien het Verdrag betreffende de Europese Unie, en met name artikel 37, in samenhang met artikel 218, leden 5 en 6, van het Verdrag betreffende de werking van de Europese Unie,

Gezien het voorstel van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid,

Overwegende hetgeen volgt:

(1) De Raad heeft tijdens zijn zitting van 15 juni 2009 besloten het voorzitterschap uit hoofde van het vroegere artikel 24 van het Verdrag betreffende de Europese Unie te machtigen om onderhandelingen te openen over een Overeenkomst tussen de Gezamenlijke Organisatie voor samenwerking op defensiematerieelgebied en de Europese Unie inzake de beveiliging van gegevens.

(2) Ingevolge de machtiging om onderhandelingen te openen heeft het voorzitterschap onderhandeld over de Overeenkomst tussen de Gezamenlijke Organisatie voor samenwerking op defensiematerieelgebied en de Europese Unie inzake de bescherming van gerubriceerde gegevens.

(3) De overeenkomst moet worden goedgekeurd,

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

De Overeenkomst tussen de Gezamenlijke Organisatie voor samenwerking op defensiematerieelgebied en de Europese Unie inzake de bescherming van gerubriceerde gegevens wordt namens de Unie goedgekeurd.

De tekst van de overeenkomst is bij dit besluit gevoegd.

Artikel 2

De voorzitter van de Raad wordt gemachtigd de persoon(personen) aan te wijzen die bevoegd is(zijn) de overeenkomst te ondertekenen teneinde daardoor de Unie te binden.

Artikel 3

Dit besluit treedt in werking op de dag waarop het wordt vastgesteld.

Gedaan te Brussel, 23 juli 2012. Voor de Raad De voorzitter C. ASHTON

NL Publicatieblad van de Europese Unie L 229/1

VERTALING

OVEREENKOMST

tussen de Gezamenlijke Organisatie voor samenwerking op defensiematerieelgebied en de Europese Unie inzake de bescherming van gerubriceerde gegevens

De Gezamenlijke Organisatie voor samenwerking op defensiematerieelgebied, hierna „de OCCAR” genoemd,

en

de Europese Unie, hierna „de EU” genoemd,

hierna „de partijen” genoemd,

OVERWEGENDE DAT de partijen het erover eens zijn dat onderling overleg en onderlinge samenwerking over beveiligingsaangelegenheden van gemeenschappelijk belang geboden zijn;

ERKENNENDE DAT het voor een volledig en doeltreffend overleg en dito samenwerking nodig kan zijn dat toegang wordt verleend tot gerubriceerde gegevens van de OCCAR en van de EU, en dat gerubriceerde gegevens tussen de partijen worden uitgewisseld;

ZICH ERVAN BEWUST DAT een dergelijke toegang tot en uitwisseling van gerubriceerde gegevens passende beveiligingsmaatregelen vereisen;

OVERWEGENDE DAT de Raad op 18 mei 2009 de aanbeveling van het bestuur van het Europees Defensieagentschap om werk te maken van een beveiligingsovereenkomst tussen de EU en de OCCAR, zodat deze beschikbaar komt voordat de administratieve regeling tussen het EDA en de OCCAR wordt goedgekeurd, heeft onderschreven;

EROP WIJZEND DAT de Raad van toezichthouders van de OCCAR de directeur van het Uitvoerend Bestuur (UB) van de OCCAR gemachtigd heeft een dergelijke beveiligingsovereenkomst te sluiten;

EROP WIJZEND DAT de Raad het voorzitterschap op 15 juni 2009 heeft gemachtigd onderhandelingen met de OCCAR te openen met het oog op de sluiting van een gegevensbeveiligingsovereenkomst;

ZIJN HET VOLGENDE OVEREENGEKOMEN:

Artikel 1

De overeenkomst tussen de OCCAR en de EU inzake de bescherming van gerubriceerde gegevens (hierna de „overeenkomst” genoemd) is van toepassing op gerubriceerde gegevens in enigerlei vorm die door de ene partij aan de andere partij worden verstrekt of die tussen de partijen worden uitgewisseld.

Artikel 2

In deze overeenkomst wordt onder „gerubriceerde gegevens” verstaan, alle gegevens — gedefinieerd als kennis die in enigerlei vorm kan worden verstrekt —, documenten of materiaal, met betrekking waartoe door een partij is bepaald dat zij bescherming behoeven tegen ongeoorloofde openbaarmaking die de belangen van de OCCAR, van de EU of van een of meer van hun lidstaten in meerdere of mindere mate zou kunnen schaden, aantasten of benadelen en die in een beveiligingsrubricering als zodanig zijn gewaarmerkt.

Artikel 3

De EU-instellingen en -entiteiten waarop deze overeenkomst van toepassing is, zijn: de Europese Raad, de Raad van de Europese Unie (hierna „de Raad” genoemd), het secretariaat-generaal van de Raad, de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid, de Europese Commissie en de Europese Dienst voor extern optreden (hierna „de EDEO” genoemd). In deze overeenkomst worden deze instellingen en entiteiten aangeduid als „de EU”.

Artikel 4

1. Gerubriceerde gegevens kunnen, conform het beginsel dat de afzender controleert, door de ene partij (de „leverende partij”) bekendgemaakt of vrijgegeven worden aan de andere partij („de ontvangende partij”).

2. Bij de toepassing van lid 1 is algemene vrijgave niet mogelijk, tenzij de partijen inzake bepaalde categorieën van gegevens procedures zijn overeengekomen die beantwoorden aan hun operationele behoeften.

Artikel 5

Iedere partij, daaronder begrepen haar entiteiten in de zin van artikel 3, zorgt ervoor dat zij beschikt over een beveiligingssysteem en over beveiligingsmaatregelen, gebaseerd op de grondbeginselen en minimumnormen voor beveiliging die zijn vastgelegd in haar beveiligingsvoorschriften en -regelingen, en die zijn weergegeven in de overeenkomstig artikel 12 vast te stellen regelingen, opdat er een gelijkwaardig beschermingsniveau geldt voor gerubriceerde gegevens die op grond van deze overeenkomst worden verstrekt of uitgewisseld.

Artikel 6

1. Gerubriceerde gegevens worden als volgt gemarkeerd:

a) voor de OCCAR, als OCCAR SECRET, OCCAR CONFIDENTIAL of OCCAR RESTRICTED;

b) voor de EU, als SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL of RESTREINT UE/EU RESTRICTED.

2. De met elkaar overeenkomende beveiligingsrubriceringen zijn:

Voor de OCCAR Voor de Europese Unie OCCAR SECRET SECRET UE/EU SECRET OCCAR CONFIDENTIAL CONFIDENTIEL UE/EU CONFIDENTIAL OCCAR RESTRICTED RESTREINT UE/EU RESTRICTED

Artikel 7

1. De partijen:

a) beschermen en beveiligen de op grond van deze overeenkomst verstrekte of uitgewisselde gerubriceerde gegevens tegen ongeoorloofde openbaarmaking, verlies of compromittering;

b) dragen er zorg voor dat de op grond van deze overeenkomst verstrekte of uitgewisselde gerubriceerde gegevens de beveiligingsrubricering behouden die door de verstrekkende partij daaraan is toegekend. De ontvangende partij beschermt en beveiligt de gerubriceerde gegevens in een minstens even strikte mate als die waarin haar eigen beveiligingsvoorschriften en -regelingen voorzien met betrekking tot gegevens of materiaal met een gelijkwaardige beveiligingsrubricering, zoals bepaald in artikel 6;

c) zorgen ervoor dat van de andere partij ontvangen gerubriceerde gegevens niet zonder schriftelijke toestemming van die partij lager worden gerubriceerd of worden gederubriceerd;

d) gebruiken de gerubriceerde gegevens niet voor andere doeleinden dan die welke door de afzender zijn vastgesteld of waarvoor de gegevens zijn verstrekt of uitgewisseld;

e) staan de toegang van personen tot gerubriceerde gegevens niet toe tenzij zij van de betrokken gegevens kennis moeten nemen om hun officiële werkzaamheden te kunnen uitvoeren en, indien toegang is vereist tot het niveau CONFIDENTIEL UE/EU CONFIDENTIAL of OCCAR CONFIDENTIAL of SECRET UE/EU SECRET of OCCAR SECRET, hun een veiligheidsmachtiging is verleend overeenkomstig de beveiligingsvoorschriften en -regelingen van de ontvangende partij; en

f) zorgen ervoor dat alle personen die toegang hebben tot gerubriceerde gegevens op de hoogte zijn van hun verantwoordelijkheden om de gegevens te beschermen overeenkomstig de toepasselijke beveiligingsvoorschriften en -regelingen.

2. De EU maakt de gerubriceerde gegevens die door de OCCAR op grond van deze overeenkomst zijn verschaft niet zonder schriftelijke toestemming van de OCCAR openbaar aan derden of aan een instelling of entiteit van de EU die niet in artikel 3 wordt genoemd.

De OCCAR maakt de gerubriceerde gegevens die door de EU op grond van deze overeenkomst zijn verschaft niet zonder schriftelijke toestemming van de EU openbaar aan derden. De toestemming wordt door de Raad met eenparigheid van stemmen gegeven.

Artikel 8

1. De partijen dragen er zorg voor dat personen die bij het vervullen van hun officiële werkzaamheden toegang dienen te hebben tot in het kader van deze overeenkomst verstrekte of uitgewisselde gerubriceerde gegevens of wier werkzaamheden of taken hen in staat stellen daar toegang toe te krijgen, naar behoren aan een beveiligingsonderzoek worden onderworpen voordat zij toegang krijgen tot gegevens die als CONFIDENTIEL UE/EU CONFIDENTIAL of OCCAR CONFIDENTIAL of SECRET UE/EU SECRET of OCCAR SECRET zijn gerubriceerd.

2. De procedures voor veiligheidsonderzoek zijn van dien aard, dat kan worden bepaald of een persoon, gelet op diens loyaliteit en betrouwbaarheid, inzage kan krijgen in gerubriceerde gegevens.

Artikel 9

De partijen verlenen elkaar bijstand in verband met de beveiliging van op grond van deze overeenkomst verstrekte of uitgewisselde gerubriceerde gegevens. De in artikel 12 genoemde autoriteiten voeren overleg over beveiligingsaangelegenheden en leggen wederzijdse beoordelingsbezoeken af teneinde de doeltreffendheid na te gaan van de onder hun verantwoordelijkheid ressorterende beveiligingsregelingen ter bescherming van deze gerubriceerde gegevens.

Artikel 10

1. In het kader van deze overeenkomst wordt:

a) wat de EU betreft, alle correspondentie gericht aan het hoofd postregistratie van de Raad, en vervolgens doorgestuurd naar de lidstaten en de in artikel 3 bedoelde entiteiten, onverminderd lid 2 van dit artikel;

b) wat de OCCAR betreft, alle correspondentie gericht aan de Registry Control Officer (controlefunctionaris van het register) van het uitvoerend bestuur van OCCAR (hierna „OCCAR-UB” genoemd), en indien nodig vervolgens doorgestuurd naar de betrokken gerubriceerde registers van OCCAR-UB, onverminderd lid 2 van dit artikel.

2. In uitzonderingsgevallen kan de correspondentie van een partij waarvan slechts bepaalde van haar daartoe bevoegde ambtenaren, organen of diensten inzage mogen hebben, om operationele redenen bij uitsluiting worden gericht aan, en ter inzage zijn van bepaalde, daartoe bevoegde ambtenaren, organen of diensten van de andere partij die, gelet op hun bevoegdheden en volgens het „need-to-know”-beginsel (noodzaak van kennisneming), daartoe door de verstrekkende partij uitdrukkelijk als ontvangers zijn aangewezen.

Wat de Europese Unie betreft, verloopt deze correspondentie, naargelang van het geval, langs het hoofd postregistratie van de Raad, het hoofd postregistratie van de Europese Commissie, of het hoofd postregistratie van de EDEO.

Wat de OCCAR betreft, verloopt deze correspondentie langs de controlefunctionaris van het register van OCCAR-UB.

3. Gerubriceerde gegevens worden meegedeeld langs de door de beveiligingsautoriteiten van de partijen overeengekomen kanalen.

4. Gerubriceerde gegevens die langs elektronische weg worden meegedeeld, worden geëncrypteerd overeenkomstig de vereisten die in de beveiligingsvoorschriften- en regelingen van de verstrekkende partij zijn bepaald. Doorzending, opslag en verwerking van gerubriceerde gegevens in de interne netwerken van de partijen voldoen aan de voorschriften van de verstrekkende partij.

Artikel 11

De directeur van OCCAR-UB houdt toezicht op de uitvoering van deze overeenkomst door de OCCAR. De hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid, het voor beveiligingsvraagstukken bevoegde lid van de Europese Commissie en de secretaris-generaal van de Raad houden toezicht op de uitvoering van deze overeenkomst door de EU.

Artikel 12

1. Ter uitvoering van deze overeenkomst worden door de in de leden 2, 3, 4 en 5, genoemde vier autoriteiten onderlinge beveiligingsregelingen ingesteld, waarin de normen voor de verstrekking en wederzijdse bescherming van gerubriceerde gegevens en voor bezoeken in het kader van deze overeenkomst worden omschreven.

2. De Afdeling beveiliging van OCCAR-UB, die — onder leiding van en in opdracht van de directeur van OCCAR-UB — optreedt namens en onder het gezag van de OCCAR, stelt overeenkomstig de beveiligingsvoorschriften en -regelingen van de OCCAR beveiligingsregelingen op ter bescherming en beveiliging van de gerubriceerde gegevens die in het kader van deze overeenkomst aan de OCCAR worden verstrekt.

3. Het Bureau beveiliging van het secretariaat-generaal van de Raad dat — onder leiding van en in opdracht van de secretaris-generaal van de Raad — optreedt namens en onder het gezag van de Raad, stelt overeenkomstig de beveiligingsvoorschriften van de Raad beveiligingsregelingen op ter bescherming en beveiliging van de gerubriceerde gegevens die in het kader van deze overeenkomst aan de EU worden verstrekt.

4. Het directoraat Beveiliging van de Europese Commissie, dat optreedt onder het gezag van het voor beveiligingsvraagstukken bevoegde lid van de Commissie, stelt overeenkomstig de beveiligingsvoorschriften van de Commissie beveiligingsregelingen op ter bescherming van de gerubriceerde gegevens die in het kader van deze overeenkomst binnen de Europese Commissie en haar gebouwen worden verstrekt.

5. Het directoraat Beveiliging van de Europese Dienst voor extern optreden, dat optreedt onder het gezag van de hoge vertegenwoordiger van de Unie voor buitenlandse zaken en veiligheidsbeleid, stelt beveiligingsregelingen op voor de beveiliging van gerubriceerde gegevens die in het kader van deze overeenkomst binnen de EDEO en zijn gebouwen worden verstrekt overeenkomstig de beveiligingsvoorschriften voor de EDEO.

6. In het geval van de EU, worden de in lid 1 bedoelde beveiligingsregelingen ter goedkeuring aan het Beveiligingscomité van de Raad voorgelegd.

7. In het geval van de OCCAR, worden de in lid 1 bedoelde beveiligingsregelingen ter goedkeuring aan het Beveiligingscomité van de OCCAR voorgelegd.

Artikel 13

In geval van een inbreuk op de beveiliging die ertoe leidt dat van de verstrekkende partij ontvangen gerubriceerde gegevens verloren gaan of worden gecompromitteerd, of in geval van een vermoeden dat dergelijke gerubriceerde gegevens aan onbevoegden zijn meegedeeld, stelt de ontvangende partij de verstrekkende partij daarvan onverwijld in kennis.

De ontvangende partij stelt onmiddellijk, indien nodig met de hulp van de verstrekkende partij, overeenkomstig haar beveiligingsvoorschriften en -regelingen voor de bescherming van gerubriceerde gegevens een onderzoek in. De ontvangende partij stelt de verstrekkende partij zo spoedig mogelijk in kennis van de omstandigheden, de getroffen maatregelen en de resultaten van het onderzoek, alsook van de corrigerende maatregelen die zijn genomen om herhaling te voorkomen. De in artikel 12 genoemde autoriteiten kunnen hiervoor procedures vaststellen.

Artikel 14

Elke partij draagt de kosten die zij ter uitvoering van deze overeenkomst heeft gemaakt.

Artikel 15

De partijen kunnen gerubriceerde gegevens pas verstrekken of uitwisselen, nadat de in artikel 12 bedoelde verantwoordelijke beveiligingsautoriteiten het erover eens zijn geworden dat de ontvangende partij in staat is deze gegevens conform de op grond van artikel 12 vast te stellen regelingen te beschermen en te beveiligen.

Artikel 16

Deze overeenkomst verhindert de partijen niet andere overeenkomsten betreffende de verstrekking of uitwisseling van gerubriceerde gegevens te sluiten, mits deze niet tegen deze overeenkomst indruisen.

Artikel 17

Geschillen tussen de OCCAR en de EU die voortkomen uit de uitlegging of de toepassing van deze overeenkomst, worden in onderling overleg geregeld. In afwachting van de beslechting van een geschil, blijven de partijen alle plichten vervullen die krachtens deze overeenkomst op hen rusten.

Artikel 18

1. Deze overeenkomst treedt in werking op de dag waarop zij door de partijen wordt ondertekend.

2. Elke partij stelt de andere partij in kennis van eventuele wijzigingen in haar voorschriften en regelingen die gevolgen zouden kunnen hebben voor de bescherming van de in deze overeenkomst bedoelde gerubriceerde gegevens.

3. Deze overeenkomst kan, op verzoek van een van beide partijen, ter overweging van mogelijke wijzigingen opnieuw in behandeling worden genomen. Zij wordt herzien in geval van toetreding van een niet-EU-staat tot de OCCAR.

4. Wijzigingen van deze overeenkomst komen uitsluitend schriftelijk tot stand en worden door beide partijen bij deze overeenkomst ondertekend.

Artikel 19

Deze overeenkomst wordt voor onbepaalde tijd gesloten. Zij kan door elke partij bij schriftelijke kennisgeving aan de andere partij worden opgezegd. De opzegging wordt zes maanden na ontvangst van de kennisgeving door de andere partij van kracht, maar laat de in het kader van deze overeenkomst reeds aangegane verplichtingen onverlet. Inzonderheid blijven volgens deze overeenkomst verstrekte of uitgewisselde gegevens onderworpen aan bescherming volgens het bepaalde in deze overeenkomst.