NL Publicatieblad van de Europese Unie C 190/1

BESLUIT VAN DE HOGE VERTEGENWOORDIGER VAN DE UNIE VOOR BUITENLANDSE ZAKEN EN VEILIGHEIDSBELEID

van 19 april 2013

betreffende de beveiligingsvoorschriften voor de Europese Dienst voor extern optreden

(2013/C 190/01)

DE HOGE VERTEGENWOORDIGER VAN DE UNIE VOOR BUITENLANDSE ZAKEN EN VEILIGHEIDSBELEID,

Gezien Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden (1), hierna “EDEO” genoemd,

Gezien het advies van het comité bedoeld in artikel 9, lid 6, van het besluit van de hoge vertegenwoordiger van 15 juni 2011 betreffende de beveiligingsvoorschriften voor de Europese dienst voor extern optreden (2),

Gezien het advies van het comité bedoeld in artikel 10, lid 1, van Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese Dienst voor extern optreden,

Overwegende hetgeen volgt:

(1) De EDEO dient als functioneel autonoom orgaan van de Europese Unie (“EU”) te beschikken over beveiligingsvoorschriften als bedoeld in artikel 10, lid 1, van Besluit 2010/427/EU van de Raad.

(2) De hoge vertegenwoordiger van de Unie voor Buitenlandse Zaken en Veiligheidsbeleid, hierna “de hoge vertegenwoordiger” genoemd, dient beveiligingsvoorschriften voor de EDEO vast te stellen die betrekking hebben op alle aspecten van beveiliging die met de werking van de EDEO verband houden, zodat de EDEO de risico’s voor het onder zijn verantwoordelijkheid geplaatste personeel, zijn materiële activa, zijn informatie en zijn bezoekers doeltreffend kan beheersen en zijn zorgplicht en andere verplichtingen in dit verband kan vervullen.

(3) Met name dient voor het onder de verantwoordelijkheid van de EDEO geplaatste personeel en voor de materiële activa, met inbegrip van communicatie- en informatiesystemen, de informatie en de bezoekers van de EDEO een beschermingsniveau te worden gegarandeerd dat in overeenstemming is met de beste praktijken bij de Raad van de Europese Unie, de Europese Commissie, de lidstaten en, waar van toepassing, internationale organisaties.

(4) De beveiligingsvoorschriften voor de EDEO dienen bij te dragen tot een coherenter algemeen kader binnen de EU voor de bescherming van gerubriceerde EU-informatie, op basis van en zoveel mogelijk in overeenstemming met de beveiligingsvoorschriften van de Raad van de Europese Unie (hierna “de Raad” genoemd”) en de beveiligingsbepalingen van de Europese Commissie (hierna “de Commissie” genoemd).

(5) De EDEO, de Raad en de Commissie zijn gehouden gelijkwaardige beveiligingsnormen toe te passen voor de bescherming van gerubriceerde EU-informatie.

(6) Dit besluit laat de artikelen 15 en 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU) en de instrumenten ter uitvoering daarvan onverlet.

(7) De organisatie van de beveiliging in de EDEO en de toewijzing van beveiligingstaken aan de structuren van de EDEO dienen te worden vastgesteld.

(8) De hoge vertegenwoordiger dient waar nodig gebruik te maken van relevante deskundigheid in de lidstaten, het secretariaat-generaal van de Raad en de Commissie.

(9) De hoge vertegenwoordiger dient alle passende maatregelen te nemen die noodzakelijk zijn voor de tenuitvoerlegging van deze voorschriften, met de steun van de lidstaten, het secretariaat-generaal van de Raad en de Commissie,

HEEFT HET VOLGENDE BESLUIT VASTGESTELD:

Artikel 1

Doel en werkingssfeer

Bij dit besluit worden de voorschriften voor de beveiliging van de Europese Dienst voor extern optreden (hierna “beveiligingsvoorschriften van de EDEO” genoemd) vastgesteld.

Overeenkomstig artikel 10, lid 1, van Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden gelden deze voorschriften voor alle personeelsleden van de EDEO en van de delegaties van de Unie, ongeacht hun administratieve status of herkomst, en wordt bij dit besluit het algemene regelgevingskader vastgesteld voor het doeltreffende beheer van de risico’s voor het onder de verantwoordelijkheid van de EDEO geplaatste personeel, als bedoeld in artikel 2, en voor de locaties, de materiële activa, de informatie en de bezoekers van de EDEO.

Artikel 2

Definities

In dit besluit wordt verstaan onder:

a) “personeel/personeelsleden van de EDEO”: ambtenaren en andere personeelsleden van de EDEO, met inbegrip van personeelsleden van de diplomatieke diensten van de lidstaten die zijn aangesteld als tijdelijke functionaris of gedetacheerde nationale deskundige, zoals bedoeld in artikel 6 van Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden;

b) “onder de verantwoordelijkheid van de EDEO geplaatst personeel”: personeel van de EDEO en alle personeelsleden in de delegaties van de Unie, ongeacht hun administratieve status of herkomst, alsmede in de context van dit besluit de hoge vertegenwoordiger en in voorkomend geval andere personeelsleden die in het hoofdkantoor van de EDEO verblijven;

c) “personen te hunnen laste”: gezinsleden van onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden in delegaties van de Unie die deel uitmaken van hun huishouden en als zodanig zijn aangemeld bij het Ministerie van Buitenlandse Zaken van de ontvangende staat;

d) “locaties van de EDEO”: alle vestigingen van de EDEO, waaronder gebouwen, kantoren, ruimten en andere zones, alsmede zones waar communicatie- en informatiesystemen zijn ondergebracht (met inbegrip van die waar gerubriceerde EU-informatie wordt verwerkt), waar de EDEO permanente of tijdelijke activiteiten ontplooit;

e) “veiligheidsbelangen van de EDEO”: onder de verantwoordelijkheid van de EDEO geplaatst personeelsleden, personen te hunnen laste, locaties, materiële activa, waaronder communicatie- en informatiesystemen, informatie en bezoekers van de EDEO;

f) “gerubriceerde EU-informatie”: informatie of materiaal met een bepaalde EU-rubricering, waarvan openbaarmaking zonder machtiging de belangen van de Europese Unie of van een of meer van haar lidstaten in meerdere of mindere mate kan schaden.

Andere definities zijn opgenomen in de desbetreffende bijlagen en in aanhangsel A.

Artikel 3

Zorgplicht

1. De beveiligingsvoorschriften voor de EDEO hebben tot doel de zorgplicht van de EDEO te vervullen.

2. De zorgplicht van de EDEO omvat de inachtneming van de nodige zorgvuldigheid bij het treffen van alle redelijke maatregelen ter voorkoming van redelijkerwijs te voorziene schade voor de veiligheidsbelangen van de EDEO.

De zorgplicht omvat zowel beveiligings- als veiligheidsaspecten, onder meer die welke voortvloeien uit noodsituaties of crises van welke aard dan ook.

3. Met inachtneming van de zorgplicht van de lidstaten, de instellingen en organen van de EU en andere partijen met personeelsleden in de delegaties van de Unie en/of de locaties van delegaties van de Unie, en van de verantwoordelijkheid die de EDEO draagt wanneer delegaties van de Unie in genoemde werkruimten of in werkruimten van derden zijn ondergebracht, gaat de EDEO met elk van genoemde entiteiten administratieve regelingen aan waarin de respectieve rollen, taken en verantwoordelijkheden en mechanismen voor samenwerking zijn vastgelegd.

Artikel 4

Fysieke en infrastructurele beveiliging

1. De EDEO treft in alle locaties van de EDEO alle passende maatregelen (tijdelijk of permanent) op het gebied van fysieke beveiliging, waaronder regelingen voor toegangscontrole, ter bescherming van de veiligheidsbelangen van de EDEO. Bij het ontwerp en de planning van nieuwe locaties en voordat de EDEO bestaande locaties huurt, wordt met deze maatregelen rekening gehouden.

2. In derde landen treft de EDEO tevens alle passende aanvullende maatregelen (tijdelijk of permanent) op het gebied van fysieke beveiliging ter bescherming van haar veiligheidsbelangen.

Daartoe kunnen aan onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden en personen te hunnen laste om veiligheidsredenen voor een specifieke periode en in specifieke zones bijzondere verplichtingen of beperkingen worden opgelegd.

3. De in de leden 1 en 2 bedoelde maatregelen zijn in overeenstemming met het geschatte risico.

Artikel 5

Bescherming van gerubriceerde informatie

1. Voor de bescherming van gerubriceerde EU-informatie gelden de vereisten die bij dit besluit zijn vastgesteld, in het bijzonder in bijlage A. De houder van gerubriceerde EU-informatie is verantwoordelijk voor de bescherming ervan in overeenstemming daarmee.

2. De EDEO ziet erop toe dat slechts personen die aan de voorwaarden van artikel 5 van bijlage A voldoen, toegang krijgen tot gerubriceerde informatie.

3. De hoge vertegenwoordiger stelt tevens de voorwaarden vast waaronder plaatselijke functionarissen toegang krijgen tot gerubriceerde EU-informatie, overeenkomstig de in bijlage A bij dit besluit vastgestelde voorschriften voor de bescherming van gerubriceerde EU-informatie.

4. Het directoraat Beveiliging van de EDEO houdt een database bij van de veiligheidsmachtigingsstatus van alle onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden en contractanten van de EDEO.

5. Wanneer lidstaten gerubriceerde informatie met een nationale rubricering in de structuren of netwerken van de EDEO invoeren, beschermt de EDEO die informatie in overeenstemming met de voorschriften voor gerubriceerde EU-informatie op het gelijkwaardige beschermingsniveau dat volgens de toepasselijke voorschriften van bijlage A bij dit besluit vereist is.

6. Zones binnen de EDEO waar informatie met de rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger, of een daarmee gelijkwaardige rubricering, wordt opgeslagen, worden aangewezen als beveiligde zones overeenkomstig de krachtens bijlage A bij dit besluit vastgestelde voorschriften en goedgekeurd door de veiligheidsautoriteit van de EDEO.

7. De procedures voor de uitvoering van de verantwoordelijkheden van de hoge vertegenwoordiger in het kader van overeenkomsten of administratieve regelingen betreffende de uitwisseling van gerubriceerde EU-informatie met derde landen of internationale organisaties worden beschreven in de bijlagen A en A VI bij dit besluit.

Artikel 6

Veiligheidsincidenten en noodgevallen

1. Om een tijdige en doeltreffende respons op veiligheidsincidenten te waarborgen, stelt de EDEO een proces in voor de melding van dergelijke incidenten en noodgevallen, dat vierentwintig uur per etmaal en zeven dagen per week operationeel is en berekend is op alle veiligheidsincidenten en bedreigingen voor de veiligheidsbelangen van de EDEO (bijvoorbeeld ongevallen, conflicten, kwaadwillige handelingen, criminele activiteiten, ontvoering en gijzeling, medische noodsituaties, incidenten met communicatie- en informatiesystemen, cyberaanvallen, enz.).

2. Er worden noodverbindingskanalen tot stand gebracht tussen het hoofdkantoor van de EDEO, de delegaties van de Unie, de Raad, de Commissie, de speciale vertegenwoordigers van de EU en de lidstaten, teneinde deze te ondersteunen bij de beheersing van veiligheidsincidenten waarbij personeelsleden betrokken zijn, en de gevolgen daarvan, met inbegrip van noodplannen.

3. De beheersing van veiligheidsincidenten omvat onder meer:

— procedures voor doeltreffende ondersteuning van het besluitvormingsproces in verband met veiligheidsincidenten waarbij personeel betrokken is, met inbegrip van besluiten betreffende de terugtrekking of opschorting van een missie; en

— beleid en procedures voor het terughalen van personeelsleden die bijvoorbeeld vermist, ontvoerd of gegijzeld zijn, met inachtneming van de specifieke verantwoordelijkheden van de lidstaten, de EU-instellingen van de EU en de EDEO in dat verband. De behoefte aan specifieke vaardigheden in het kader van het beheer van dergelijke operaties wordt in aanmerking genomen, waarbij rekening wordt gehouden met de middelen die de lidstaten zouden kunnen verstrekken.

4. De EDEO stelt passende administratieve regelingen in voor het melden van veiligheidsincidenten in delegaties van de Unie. Waar nodig worden de lidstaten, de Commissie, alle andere relevante autoriteiten en de desbetreffende beveiligingscomités ingelicht.

5. Het proces voor incidentenbeheersing wordt regelmatig geoefend en geëvalueerd.

Artikel 7

Beveiliging van communicatie- en informatiesystemen

1. De EDEO beschermt informatie die in communicatie- en informatiesystemen wordt verwerkt tegen bedreigingen voor de vertrouwelijkheid, integriteit, beschikbaarheid, authenticiteit en onweerlegbaarheid.

2. De veiligheidsautoriteit van de EDEO, bedoeld in artikel 12, afdeling 1, lid 1, stelt voorschriften, een beveiligingsbeleid en een beveiligingsprogramma vast voor alle communicatie- en informatiesystemen die eigendom zijn van de EDEO of bij de EDEO in gebruik zijn.

3. De voorschriften, het beleid en het programma zijn in overeenstemming met die van de Raad en de Commissie en, waar nuttig, het beveiligingsbeleid van de lidstaten, en worden in nauwe coördinatie daarmee uitgevoerd.

4. Alle communicatie- en informatiesystemen worden aan een homologatieprocedure onderworpen. De EDEO past een systeem voor het beheer van veiligheidshomologatie toe in overleg met het secretariaat-generaal van de Raad en de Commissie.

5. Wanneer de gerubriceerde EU-informatie die de EDEO verwerkt, wordt beschermd met encryptieproducten, dienen die producten te zijn goedgekeurd door de autoriteit voor de goedkeuring van encryptieproducten van de EDEO, op aanbeveling van het Beveiligingscomité van de Raad.

6. De veiligheidsautoriteit van de EDEO stelt, voor zover nodig, de volgende information-assurancefuncties in:

a) een information-assuranceautoriteit;

b) een TEMPEST-autoriteit;

c) een autoriteit voor de goedkeuring van encryptieproducten;

d) een autoriteit voor de distributie van encryptieproducten.

7. Voor elk systeem stelt de veiligheidsautoriteit van de EDEO de volgende functies in:

a) een veiligheidshomologatieautoriteit;

b) een operationele autoriteit voor information assurance.

8. De bepalingen ter uitvoering van dit artikel wat de bescherming van gerubriceerde EU-informatie betreft, zijn in de bijlagen A en A IV opgenomen.

Artikel 8

Inbreuken op de beveiligingvoorschriften en compromittering van gerubriceerde informatie

1. Een inbreuk op de beveiligingsvoorschriften is het resultaat van iemands handeling of nalatigheid in strijd met de beveiligingsvoorschriften van dit besluit en/of het beveiligingsbeleid of de beveiligingsrichtsnoeren die maatregelen voor de uitvoering van dit besluit omvatten, zoals goedgekeurd overeenkomstig artikel 20, lid 1.

2. Van compromittering van gerubriceerde informatie is sprake wanneer deze geheel of gedeeltelijk is bekendgemaakt aan onbevoegde personen of entiteiten.

3. Elke inbreuk of vermoedelijke inbreuk op de beveiligingsvoorschriften, alsook elke compromittering of vermoedelijke compromittering van gerubriceerde informatie, wordt onmiddellijk gemeld aan het directoraat Beveiliging van de EDEO, dat passende maatregelen neemt overeenkomstig bijlage A.

4. Eenieder die verantwoordelijk is voor een inbreuk op de beveiligingsvoorschriften van dit besluit of voor de compromittering van gerubriceerde informatie, stelt zich bloot aan disciplinaire maatregelen en/of rechtsvervolging, overeenkomstig de geldende wet- en regelgeving, zoals bedoeld in artikel 11, lid 3, van bijlage A.

Artikel 9

Onderzoek van beveiligingsincidenten, inbreuken en/of compromittering, alsmede corrigerende maatregelen

1. Het directoraat Beveiliging van de EDEO neemt, waar nuttig bijgestaan door deskundigen van de lidstaten en/of andere EU-instellingen, en indien nodig met toestemming van de Chief Operating Officer, de volgende maatregelen:

a) het verricht onderzoeken of verificaties: i) wanneer bekend is of er redelijke gronden zijn om aan te nemen dat voor de EDEO relevante gerubriceerde informatie gecompromitteerd is of verloren is gegaan; ii) wanneer een inbreuk op de beveiligingsvoorschriften of een ander beveiligingsincident of een bedreiging voor de veiligheidsbelangen van de EDEO heeft plaatsgevonden, of het vermoeden daarvan bestaat;

b) het neemt de corrigerende maatregelen die uit een dergelijk onderzoek voortvloeien, indien en voor zover noodzakelijk.

2. De onderzoekers hebben toegang tot alle informatie die noodzakelijk is voor het uitvoeren van dergelijke onderzoeken en krijgen daarbij de volledige steun van alle diensten van de EDEO.

De onderzoekers kunnen passende maatregelen nemen om bewijsmateriaal veilig te stellen, in overeenstemming met de ernst van de onderzochte situatie.

3. Wanneer de toegang tot informatie betrekking heeft op persoonsgegevens, waaronder persoonsgegevens in communicatie- en informatiesystemen, dient de toegang te voldoen aan Verordening (EG) nr. 45/2001.

4. Wanneer het noodzakelijk is een onderzoeksdatabase op te zetten waarin persoonsgegevens zullen worden opgenomen, wordt de Europese Toezichthouder voor persoonsgegevens overeenkomstig genoemde verordening ingelicht.

Artikel 10

Beheersing van beveiligingsrisico’s

1. Om te bepalen welke maatregelen moeten worden genomen om zijn veiligheid te beschermen, ontwikkelt de EDEO in nauwe samenwerking met het directoraat Beveiliging van de Europese Commissie en waar van toepassing de dienst Beveiliging van het secretariaat-generaal van de Raad een methode voor integrale beoordeling van de veiligheidsrisico’s.

2. De risico’s voor gerubriceerde EU-informatie worden beheerd als een proces. Dit proces wordt gericht op het bepalen van de bekende beveiligingsrisico’s, het vaststellen van beveiligingsmaatregelen om deze risico’s tot een aanvaardbaar niveau terug te dringen en het toepassen van deze maatregelen overeenkomstig het begrip “defence in depth”. De doeltreffendheid van deze maatregelen en het risiconiveau worden voortdurend geëvalueerd.

3. De bij dit besluit vastgestelde functies, verantwoordelijkheden en taken doen niets af aan de verantwoordelijkheid van elk onder de verantwoordelijkheid van de EDEO geplaatst personeelslid; met name EU-personeelsleden op dienstreis in derde landen dienen met gezond verstand en een goed oordeelsvermogen te werk te gaan wat hun eigen veiligheid betreft en alle toepasselijke veiligheidsvoorschriften, -regelingen, -procedures en -instructies na te leven.

4. De EDEO neemt alle redelijke maatregelen om zijn veiligheidsbelangen te beschermen en redelijkerwijs voorzienbare schade daaraan te voorkomen.

5. De in de EDEO geldende beveiligingsmaatregelen voor de bescherming van gerubriceerde EU-informatie gedurende de gehele levenscyclus daarvan moeten evenredig zijn met in het bijzonder de rubriceringsgraad, de vorm en de omvang van de informatie of het materiaal, de locatie en de constructie van de faciliteiten waar de gerubriceerde EU-informatie is ondergebracht en de dreiging, ook op lokaal niveau beoordeeld, van kwaadwillige en/of criminele activiteiten, met inbegrip van spionage, sabotage en terrorisme.

Artikel 11

Veiligheidsbesef en veiligheidsopleiding

1. De veiligheidsautoriteit van de EDEO ziet erop toe dat passende programma’s voor veiligheidsbesef en veiligheidsopleiding worden opgezet en uitgevoerd, en dat de onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden en in voorkomend geval de personen te hunnen laste de nodige briefings inzake veiligheidsbesef en -opleiding krijgen, in overeenstemming met de risico’s in de plaats waar zij werken of wonen.

2. Voordat toegang wordt verleend tot gerubriceerde EU-informatie, en vervolgens met regelmatige tussenpozen, worden alle personeelsleden geïnstrueerd over hun verantwoordelijkheden, en erkennen zij deze, met betrekking tot de bescherming van gerubriceerde EU-informatie overeenkomstig de krachtens artikel 5 vastgestelde voorschriften.

Artikel 12

Organisatie van de beveiliging binnen de EDEO

1. De chief operating officer (COO) is de veiligheidsautoriteit van de EDEO. In die hoedanigheid ziet de COO erop toe dat:

a) de beveiligingsmaatregelen waar nodig worden gecoördineerd met de bevoegde autoriteiten van de lidstaten, het secretariaat-generaal van de Raad en de Commissie en in voorkomend geval derde landen of internationale organisaties, met betrekking tot alle beveiligingsaangelegenheden die voor de activiteiten van de EDEO relevant zijn, ook wat betreft de aard van bedreigingen voor de veiligheidsbelangen van de EDEO en de middelen om zich tegen die bedreigingen te beschermen;

b) de beveiligingsaspecten bij alle activiteiten van de EDEO vanaf het eerste begin in aanmerking worden genomen;

c) slechts personen die aan de voorwaarden van artikel 5 van bijlage A voldoen, toegang krijgen tot gerubriceerde informatie;

d) een registratiesysteem wordt opgezet dat waarborgt dat informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt verwerkt overeenkomstig dit besluit, zowel binnen de EDEO als na vrijgave aan lidstaten van de EU, instellingen, organen of instanties van de EU en andere toegelaten ontvangers. Er wordt een afzonderlijk register bijgehouden van alle gerubriceerde EU-informatie die door de EDEO wordt vrijgegeven aan derde staten en internationale organisaties, en van alle gerubriceerde informatie die van derde staten of internationale organisaties wordt ontvangen;

e) de in artikel 15 bedoelde veiligheidsinspecties worden verricht;

f) onderzoek wordt gedaan naar alle inbreuken of vermoedelijke inbreuken op de beveiligingsvoorschriften, alsmede compromittering of verlies of vermoedelijke compromittering of verlies van gerubriceerde informatie die in het bezit of afkomstig van de EDEO is, en de bevoegde veiligheidsautoriteiten om hulp wordt verzocht bij die onderzoeken;

g) passende plannen en mechanismen voor incidenten- en gevolgenbeheersing worden opgezet om bij veiligheidsincidenten tijdig en doeltreffend te kunnen optreden;

h) passende maatregelen worden getroffen wanneer personen dit besluit niet naleven;

i) passende fysieke en organisatorische maatregelen zijn ingesteld voor de bescherming van de veiligheidsbelangen van de EDEO. In overleg met de uitvoerend secretaris-generaal doet de COO het volgende: — hij stelt in overleg met de Commissie de veiligheidscategorie van de delegaties vast; — hij beslist, na overleg met de hoge vertegenwoordiger, wanneer personeelsleden van een delegatie in verband met de veiligheidssituatie moeten worden geëvacueerd; — hij beslist welke maatregelen in voorkomend geval moeten worden genomen voor de bescherming van personen ten laste van onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden, rekening houdende met regelingen die met de EU-instellingen zijn overeengekomen, zoals bedoeld in artikel 3, lid 3; — hij keurt het beleid voor versleutelde communicatie goed, in het bijzonder het programma voor de installatie van encryptieproducten en het encryptiemechanisme.

2. De COO wordt bij deze taak bijgestaan door de directeur begroting en administratie, het hoofd van het directoraat Beveiliging van de EDEO en in voorkomend geval de directeur crisisrespons en operationeel coördinator.

3. De COO kan als veiligheidsautoriteit indien nodig de daarbij behorende taken delegeren.

4. De hoofden van afdelingen/divisies zijn verantwoordelijk voor de tenuitvoerlegging van de voorschriften inzake de bescherming van gerubriceerde EU-informatie in hun afdeling of divisie.

Met behoud van de genoemde verantwoordelijkheid wijst elk hoofd van een afdeling/divisie een personeelslid aan voor de functie van afdelingsveiligheidscoördinator, met dien verstande dat deze kan beschikken over middelen die evenredig zijn met de door die afdeling of divisie verwerkte gerubriceerde EU-informatie.

De afdelingsveiligheidscoördinatoren staan het hoofd van hun afdeling/divisie, wanneer en voor zover nodig, bij en bieden hem ondersteuning bij de uitvoering van veiligheidsgerelateerde taken, zoals:

a) het ontwikkelen van aanvullende veiligheidseisen voor de specifieke behoeften van de afdeling/divisie;

b) het houden van periodieke veiligheidsbriefings voor de leden van de afdeling/divisie;

c) het toezien op de naleving van het “need-to-know”-beginsel in hun afdeling/divisie;

d) het up-to-date houden van de lijst van safecodes en -sleutels;

e) het handhaven van de veiligheidsprocedures en -maatregelen;

f) het melden van inbreuken op de veiligheidsvoorschriften of compromitteringen van gerubriceerde EU-informatie aan de directeur en het directoraat Beveiliging;

g) het debriefen van personeelsleden die hun dienstverband bij de EDEO beëindigen;

h) regelmatige rapportage, langs hiërarchische weg, over veiligheidsaangelegenheden van de afdeling/divisie;

i) het contact met het directoraat Beveiliging van de EDEO over veiligheidsaangelegenheden.

Elke activiteit of aangelegenheid die veiligheidsconsequenties kan hebben, wordt tijdig aan het directoraat Beveiliging van de EDEO gemeld.

5. De hoofden van de delegaties van de Unie zijn verantwoordelijk voor de tenuitvoerlegging van alle maatregelen betreffende de beveiliging van de delegatie.

1. De EDEO beschikt over een directoraat Beveiliging, dat:

a) alle beveiligingsmaatregelen in alle locaties die onder de verantwoordelijkheid van de EDEO vallen, zowel op het hoofdkantoor als elders in de EU en in derde landen, beheert, coördineert, superviseert en/of uitvoert;

b) erop toeziet dat alle activiteiten die consequenties kunnen hebben voor de bescherming van de veiligheidsbelangen van de EDEO in overeenstemming zijn met dit besluit en de uitvoeringsbepalingen daarvan;

c) optreedt als hoofdadviseur van de hoge vertegenwoordiger, de uitvoerend secretaris-generaal en de COO over alle aangelegenheden die met de beveiliging samenhangen;

d) wordt bijgestaan door de bevoegde diensten van de lidstaten, overeenkomstig artikel 10, lid 3, van Besluit 2010/427/EU van de Raad tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden;

e) de activiteiten van de veiligheidshomologatieautoriteit van de EDEO ondersteunt door de fysieke veiligheid te beoordelen van de algemene beveiligingsomgeving (General Security Environment – GSE) / lokale beveiligingsomgeving (Local Security Environment – LSE) van de communicatie- en informatiesystemen die gerubriceerde EU-informatie verwerken en van de locaties waarvoor een machtiging tot verwerking en opslag van gerubriceerde EU-informatie wordt verleend.

2. Het hoofd van directoraat Beveiliging van de EDEO is verantwoordelijk voor:

a) de algemene bescherming van de veiligheidsbelangen van de EDEO;

b) het opstellen, herzien en actualiseren van de beveiligingsvoorschriften en het coördineren van de veiligheidsmaatregelen met de bevoegde autoriteiten van de lidstaten en, waar van toepassing, de bevoegde autoriteiten van derde staten en internationale organisaties waarmee de EU beveiligingsovereenkomsten en/of -regelingen heeft gesloten;

c) de ondersteuning van de werkzaamheden van het Beveiligingscomité van de EDEO, zoals bedoeld in artikel 14, lid 1, van dit besluit;

d) de eventuele contacten op het gebied van beveiligingsaangelegenheden met andere partners en autoriteiten dan de onder b) bedoelde;

e) de prioritering en het doen van voorstellen voor het beheer van de beveiligingsbegroting op het hoofdkantoor en de delegaties van de Unie.

3. Het hoofd van directoraat Beveiliging van de EDEO:

a) ziet erop toe dat inbreuken op de beveiligingsvoorschriften en compromittering worden geregistreerd en dat er, waar en wanneer nodig, onderzoek naar wordt gedaan;

b) komt regelmatig, alsook telkens wanneer dat noodzakelijk is, bijeen met de directeur Beveiliging van het secretariaat-generaal van de Raad en de directeur van het directoraat Beveiliging van de Commissie om aangelegenheden van gemeenschappelijk belang te bespreken.

4. Het directoraat Beveiliging van de EDEO bouwt contact en nauwe samenwerking op met:

— de met de beveiliging belaste diensten van de ministeries van Buitenlandse Zaken van de lidstaten;

— de nationale veiligheidsautoriteiten en/of andere bevoegde veiligheidsautoriteiten van de lidstaten, teneinde hun medewerking te verkrijgen voor informatie die noodzakelijk is voor het beoordelen van gevaren en bedreigingen waaraan de EDEO, zijn personeel, zijn activiteiten en middelen en zijn gerubriceerde informatie blootstaan op de gebruikelijke plaats waar de EDEO zijn werkzaamheden uitvoert;

— de bevoegde veiligheidsautoriteiten van de lidstaten of ontvangende staten op het grondgebied waarvan de EDEO activiteiten kan uitoefenen, betreffende aangelegenheden die verband houden met de bescherming van zijn personeel, zijn activiteiten, zijn activa en middelen en zijn gerubriceerde informatie op dat grondgebied;

— de dienst Beveiliging van het secretariaat-generaal van de Raad en het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Europese Commissie, alsmede in voorkomend geval de beveiligingsdiensten van andere instellingen, organen en instanties van de EU;

— de beveiligingsdiensten van derde staten of internationale organisaties, met het oog op nuttige coördinatie, en

— de nationale veiligheidsautoriteiten van de lidstaten, met betrekking tot alle vraagstukken die verband houden met de bescherming van gerubriceerde EU-informatie.

1. De hoofden van de delegaties van de Unie zijn verantwoordelijk voor de tenuitvoerlegging en het beheer ter plaatse van alle maatregelen die verband houden met de bescherming van de veiligheidsbelangen van de EDEO binnen de locaties van de delegatie die onder de bevoegdheid van de delegatie vallen.

In overleg met de bevoegde autoriteiten van de ontvangende staat, waar nodig, nemen zij alle redelijkerwijs uitvoerbare maatregelen om ervoor te zorgen dat daartoe passende fysieke en organisatorische maatregelen zijn getroffen.

Het hoofd van de delegatie stelt waar nodig beveiligingsprocedures vast voor de bescherming van personen ten laste als bedoeld in artikel 2, onder c), rekening houdende met administratieve regelingen zoals bedoeld in artikel 3, lid 3. Het hoofd van de delegatie brengt jaarlijks aan het hoofd van het directoraat Beveiliging van de EDEO verslag uit over alle beveiligingsgerelateerde vraagstukken die onder zijn bevoegdheid vallen.

Het hoofd wordt bij deze taken bijgestaan door het directoraat Beveiliging van de EDEO, door het EDEO-personeel in de delegatie dat specifieke taken en functies op beveiligingsgebied uitvoert en indien nodig door speciaal beveiligingspersoneel.

2. Bovendien zal het hoofd van de delegatie:

— uitvoerige beveiligings- en rampenplannen vaststellen op basis van generieke operationele standaardprocedures;

— vierentwintig uur per etmaal, zeven dagen per week, een doeltreffend systeem voor het beheer van veiligheidsincidenten en noodsituaties binnen de actieradius van de delegatie operationeel houden;

— erop toezien dat al het in de delegatie ingezette personeel gedekt is door een op de omstandigheden in het gebied afgestemde verzekering;

— erop toezien dat beveiliging onderdeel is van de introductieopleiding van de delegatie van de Unie, die al het in de delegatie ingezette personeel voor of bij de aankomst in de delegatie ontvangt; en

— erop toezien dat naar aanleiding van beveiligingsbeoordelingen geformuleerde aanbevelingen worden opgevolgd en op gezette tijden over de uitvoering ervan en over andere veiligheidskwesties schriftelijk verslag uitbrengen aan de veiligheidsautoriteit van de EDEO.

3. Met behoud van de verantwoordelijkheid en aansprakelijkheid voor de instandhouding van het beveiligingsbeheer en de verzekering van de veerkracht van de organisatie kan het hoofd van de delegatie de uitvoering van zijn of haar beveiligingstaken delegeren aan de veiligheidscoördinator van de delegatie, welke functie wordt uitgeoefend door het adjunct-hoofd van delegatie ofwel, indien niemand in die functie is benoemd, een passende andere functionaris.

De veiligheidscoördinator van de delegatie kan in het bijzonder met de volgende taken worden belast:

— het onderhouden van contact over beveiligingsaangelegenheden met de bevoegde autoriteiten van de ontvangende staat en met collega’s in de ambassades en diplomatieke missies van de lidstaten;

— het uitvoeren van passende procedures voor beveiligingsbeheer met betrekking tot de veiligheidsbelangen van de EDEO, waaronder de bescherming van gerubriceerde EU-informatie;

— het instrueren van de personeelsleden over de voor hen geldende beveiligingsvoorschriften en de specifieke risico’s in de ontvangende staat;

— het indienen van verzoeken aan het directoraat Beveiliging van de EDEO met betrekking tot posten waarvoor een veiligheidsmachtiging voor personen vereist is; en

— het op hoogte houden van het hoofd van de delegatie, de regionale beveiligingsfunctionaris (RSO) en het directoraat Beveiliging van de EDEO over incidenten en ontwikkelingen op het terrein, die van invloed zijn op de bescherming van de veiligheidsbelangen van de EDEO.

4. Het hoofd van de delegatie kan beveiligingstaken van administratieve of technische aard delegeren aan het hoofd van de administratie en andere personeelsleden van de delegatie.

5. De delegatie van de Unie wordt bijgestaan door een regionale veiligheidsfunctionaris (RSO). De RSO’s vervullen in de delegaties de onderstaande taken binnen de geografische gebieden waarvoor zij verantwoordelijk zijn.

In bepaalde omstandigheden, wanneer de veiligheidssituatie daartoe noopt, kan een speciale RSO op een voltijds residentiële post aan een specifieke delegatie worden toegewezen.

RSO’s kunnen verplicht worden te verhuizen naar een gebied buiten hun normale werkterrein, met inbegrip van het hoofdkantoor in Brussel, of in welk land dan ook een residentiële post aan te nemen overeenkomstig de veiligheidssituatie of wanneer dat volgens het directoraat Beveiliging van de EDEO noodzakelijk is.

6. De RSO’s staan rechtstreeks onder het hiërarchische gezag van het directoraat Beveiliging van de EDEO, maar functioneel en administratief vallen zij onder het hoofd van de desbetreffende delegatie. Zij verlenen het hoofd en het personeel van de delegatie bijstand bij het opzetten en uitvoeren van alle fysieke, organisatorische en procedurele maatregelen in verband met de veiligheid van al het personeel van de delegatie, ongeacht hun administratieve herkomst.

7. De RSO’s bieden het hoofd en het personeel van de delegatie advies en steun. Waar nuttig, met name wanneer een special RSO een voltijds residentiële post bekleedt, kan deze een delegatie van de Unie bijstand verlenen bij het beheer en de uitvoering van de beveiliging, onder meer wat het opstellen van beveiligingscontracten en het beheer van homologaties en veiligheidsmachtigingen betreft.

Artikel 13

Operaties in het kader van het gemeenschappelijk veiligheids- en defensiebeleid (GVDB) en de speciale vertegenwoordigers van de EU

Het directoraat Beveiliging van de EDEO verleent bijstand en advies aan de directeur van het directoraat Crisisbeheersing en Planning (CMPD), de directeur-generaal van de Militaire Staf van de EU (EUMS), de civiele operationele commandant, die de Civiele Plannings- en Uitvoeringscapaciteit (CPCC) leidt, en de militaire operationele commandanten van de EU met betrekking tot de beveiligingsaspecten van de GVDB-operaties, en aan de speciale vertegenwoordigers van de EU met betrekking tot de beveiligingsaspecten van hun mandaat, ter aanvulling op de specifieke bepalingen op dit gebied die deel uitmaken van het desbetreffende beleid dat door de Raad is vastgesteld.

Artikel 14

Beveiligingscomité van de EDEO

1. Er wordt een Beveiligingscomité van de EDEO ingesteld.

Het Beveiligingscomité wordt voorgezeten door de COO of een door deze aangewezen vertegenwoordiger, en komt bijeen op instructie van de voorzitter of op verzoek van een lid. Het directoraat Beveiliging van de EDEO steunt de voorzitter bij deze taak en verleent waar nodig administratieve bijstand ten behoeve van de werkzaamheden van het comité.

2. Het Beveiligingscomité van de EDEO bestaat uit vertegenwoordigers van:

— elke lidstaat;

— de dienst Beveiliging van het secretariaat-generaal van de Raad;

— het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Europese Commissie.

Een delegatie van een lidstaat bij het Beveiligingscomité van de EDEO kan bestaan uit leden van:

— de nationale veiligheidsautoriteit en/of de aangewezen veiligheidsautoriteit;

— de met de beveiliging belaste diensten van het ministerie van Buitenlandse Zaken.

3. De vertegenwoordigers in het comité kunnen zich, als zij dat nodig achten, laten vergezellen en adviseren door deskundigen. Vertegenwoordigers van andere EU-instellingen, -organen of -instanties kunnen worden uitgenodigd vergaderingen bij te wonen wanneer voor hun beveiliging relevante vraagstukken worden besproken.

4. Onverminderd lid 5 verleent het Beveiligingscomité van de EDEO bijstand aan de EDEO betreffende alle beveiligingsvraagstukken die voor de activiteiten van de EDEO relevant zijn, in de vorm van advies aan het hoofdkantoor en de delegaties van de Unie.

Onverminderd lid 5:

a) wordt het Beveiligingscomité van de EDEO met name geraadpleegd over: — beveiligingsbeleid en -richtsnoeren, concepten en andere methodologische documentatie met betrekking tot beveiliging, in het bijzonder ten aanzien van de bescherming van gerubriceerde informatie en de maatregelen die moeten worden genomen wanneer een EDEO-personeelslid de beveiligingsvoorschriften niet naleeft; — technische beveiligingsaspecten die van invloed kunnen zijn op de beslissing van de hoge vertegenwoordiger om de Raad aan te bevelen onderhandelingen te openen over beveiligings- of informatieovereenkomsten als bedoeld in artikel 10, lid 1, onder a), van bijlage A; — elke wijziging van dit besluit;

b) kan het Beveiligingscomité van de EDEO, naargelang van het geval, worden geraadpleegd of ingelicht over vraagstukken betreffende de beveiliging van het personeel en de activa in het hoofdkantoor van de EDEO en de delegaties van de Unie, zulks onverminderd artikel 3, lid 3;

c) wordt het Beveiligingscomité ingelicht over elk binnen de EDEO geconstateerd geval van compromittering of verlies van gerubriceerde EU-informatie.

5. Voor elke wijziging van de in dit besluit en in bijlage A daarbij opgenomen voorschriften inzake de bescherming van gerubriceerde EU-informatie is een unaniem gunstig advies van de in het Beveiligingscomité van de EDEO vertegenwoordigde lidstaten vereist. Een unaniem gunstig advies is tevens vereist voordat:

— onderhandelingen worden geopend over administratieve regelingen als bedoeld in artikel 10, lid 1, onder b), van bijlage A;

— gerubriceerde informatie wordt vrijgegeven in de uitzonderlijke omstandigheden bedoeld in de punten 9, 11 en 12 van bijlage A VI;

— de verantwoordelijkheid van de opsteller van de informatie wordt overgenomen in de omstandigheden bedoeld in artikel 10, lid 4, laatste zin, van bijlage A.

Wanneer een unaniem gunstig advies is vereist, wordt aan die voorwaarde voldaan wanneer geen van de delegaties van de lidstaten tijdens de werkzaamheden van het comité bezwaren uit.

6. Het Beveiligingscomité van de EDEO houdt ten volle rekening met het beveiligingsbeleid en de beveiligingsrichtsnoeren die bij de Raad en de Commissie van kracht zijn.

7. Het Beveiligingscomité van de EDEO ontvangt de lijst van jaarlijkse EDEO-inspecties en de inspectierapporten, zodra deze zijn opgesteld.

8. Organisatie van vergaderingen:

— Het Beveiligingscomité van de EDEO komt ten minste twee keer per jaar bijeen. extra bijeenkomsten, zowel in de volledige samenstelling als in de formatie “nationale veiligheidsautoriteiten/aangewezen veiligheidsautoriteiten” of de formatie “ministeries van Buitenlandse Zaken”, kunnen door de voorzitter of op verzoek van de leden van het comité worden bijeengeroepen;

— het Beveiligingscomité van de EDEO organiseert zijn werkzaamheden zodanig dat het aanbevelingen over specifieke beveiligingsgebieden kan verstrekken. Het kan zo nodig andere deelgebieden van deskundigheid vaststellen. Het stelt mandaten voor deze deelgebieden van deskundigheid vast en ontvangt verslagen over de desbetreffende activiteiten;

— het directoraat Beveiliging van de EDEO is belast met de voorbereiding van de te bespreken agendapunten. De voorzitter stelt voor elke vergadering de voorlopige agenda op. De leden van het comité kunnen andere te bespreken punten voorstellen.

Artikel 15

Veiligheidsinspecties

1. De veiligheidsautoriteit van de EDEO ziet erop toe dat regelmatig veiligheidsinspecties worden verricht op het hoofdkantoor van de EDEO en in de delegaties van de Unie, teneinde te beoordelen of de beveiligingsmaatregelen toereikend en in overeenstemming met dit besluit zijn. Het directoraat Beveiliging van de EDEO kan waar nodig deskundigen aanwijzen om deel te nemen aan veiligheidsinspecties van EU-organen en -instanties die uit hoofde van titel V, hoofdstuk 2, van het Verdrag betreffende de Europese Unie zijn opgericht.

2. De veiligheidsinspecties van de EDEO worden uitgevoerd onder het gezag van het directoraat Beveiliging van de EDEO en, waar nodig, met steun van beveiligingsexperts die andere EU-instellingen of lidstaten vertegenwoordigen, met name in het kader van de in artikel 3, lid 3, bedoelde regelingen.

3. De EDEO kan waar nodig gebruikmaken van deskundigheid in de lidstaten, het secretariaat-generaal van de Raad en de Europese Commissie.

Waar nodig kunnen beveiligingsexperts die werkzaam zijn in missies van lidstaten in derde landen en/of vertegenwoordigers van de diplomatieke beveiligingsdiensten van de lidstaten worden uitgenodigd om aan de veiligheidsinspectie van een delegatie van de Unie deel te nemen.

4. De bepalingen ter uitvoering van dit artikel, wat de bescherming van gerubriceerde EU-informatie betreft, zijn in bijlage A III opgenomen.

Artikel 16

Evaluatiebezoeken

Er worden evaluatiebezoeken geregeld om de doeltreffendheid te verifiëren van de door een derde staat of een internationale organisatie genomen maatregelen ter bescherming van gerubriceerde EU-informatie die wordt uitgewisseld in het kader van een administratieve regeling als bedoeld in artikel 10, lid 1, onder b), van bijlage A.

Het directoraat Beveiliging van de EDEO kan deskundigen aanwijzen om deel te nemen aan evaluatiebezoeken aan derde staten of internationale organisaties waarmee de EU een informatiebeveiligingsovereenkomst als bedoeld in artikel 10, lid 1, onder a), van bijlage A heeft gesloten.

Artikel 17

Bedrijfscontinuïteitsplan

Bij het beheer van de veiligheidsgerelateerde aspecten van de bedrijfsprocessen van de EDEO in het kader van het algemene bedrijfscontinuïteitsplan van de EDEO wordt de COO bijgestaan door het directoraat Beveiliging van de EDEO.

Artikel 18

Reisadvies voor dienstreizen buiten de EU

Het directoraat Beveiliging van de EDEO ziet erop toe dat reisadvies wordt verleend ten behoeve van dienstreizen buiten de EU van onder de verantwoordelijkheid van de EDEO geplaatst personeel, waarbij een beroep wordt gedaan op de middelen van alle relevante diensten van de EDO – in het bijzonder de SITROOM, het INTCEN, de geografische afdelingen en de delegaties van de Unie.

Op verzoek verstrekt het directoraat Beveiliging van de EDO, met gebruikmaking van bovengenoemde bronnen, specifiek reisadvies ten behoeve van dienstreizen van onder de verantwoordelijkheid van de EDEO geplaatst personeel naar derde landen met een hoog risico of een verhoogd risiconiveau.

Artikel 19

Gezondheid en veiligheid

De beveiligingsvoorschriften van de EDEO vormen een aanvulling op de voorschriften van de EDEO voor de bescherming van de gezondheid en veiligheid, die door de hoge vertegenwoordiger zijn vastgesteld.

Artikel 20

Uitvoering en toetsing

1. De veiligheidsautoriteit van de EDEO stelt, waar nodig na overleg met het Beveiligingscomité van de EDEO, beleid of richtsnoeren op beveiligingsgebied op tot vaststelling van alle maatregelen die noodzakelijk zijn voor de tenuitvoerlegging van deze voorschriften binnen de EDEO, en brengt in nauwe samenwerking met de bevoegde veiligheidsautoriteiten van de lidstaten en met de steun van de relevante diensten van de EU-instellingen de noodzakelijke capaciteit inzake alle aspecten van beveiliging tot stand.

2. Overeenkomstig artikel 4, lid 5, van Besluit 2010/427/EU van de Raad van 26 juli 2010 tot vaststelling van de organisatie en werking van de Europese dienst voor extern optreden kan zo nodig gebruik worden gemaakt van overgangsregelingen in de vorm van overeenkomsten inzake het dienstverleningsniveau met de relevante diensten van het secretariaat-generaal van de Raad en de Commissie.

3. De hoge vertegenwoordiger ziet toe op de algehele samenhang bij de toepassing van dit besluit en draagt zorg voor voortdurende toetsing van deze beveiligingsvoorschriften.

4. De beveiligingsvoorschriften van de EDEO worden ten uitvoer gelegd in nauwe samenwerking met de bevoegde veiligheidsautoriteiten van de lidstaten, de dienst Beveiliging van het secretariaat-generaal van de Raad en het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Europese Commissie.

5. De EDEO ziet erop toe dat het crisisresponssysteem van de EDEO met alle aspecten van het beveiligingsproces rekening houdt.

6. De COO, in zijn hoedanigheid van veiligheidsautoriteit, en het hoofd van het directoraat Beveiliging van de EDEO zien toe op de tenuitvoerlegging van dit besluit.

Artikel 21

Vervanging van voorgaande besluiten

1. Het besluit van de hoge vertegenwoordiger van de Unie voor Buitenlandse Zaken en Veiligheidsbeleid van 15 juni 2011 betreffende de beveiligingsvoorschriften voor de Europese dienst voor extern optreden (3) wordt bij onderhavig besluit ingetrokken en erdoor vervangen.

2. Het besluit van de hoge vertegenwoordiger van de Unie voor Buitenlandse Zaken en Veiligheidsbeleid van 23 februari 2011 betreffende de aanwijzing en de taken van de gedelegeerde veiligheidsautoriteit van de Europese dienst voor extern optreden wordt bij onderhavig besluit ingetrokken.

Artikel 22

Slotbepalingen

Dit besluit treedt in werking op de datum waarop het wordt ondertekend.

Het wordt bekendgemaakt in het Publicatieblad van de Europese Unie.

De bevoegde autoriteiten van de EDEO stellen alle personeelsleden op wie dit besluit en de bijlagen erbij van toepassing zijn, tijdig in kennis van de inhoud en de inwerkingtreding van dit besluit en van alle later wijzigingen ervan. Gedaan te Brussel, 19 april 2013. De hoge vertegenwoordiger C. ASHTON

(1) PB L 201 van 3.8.2010, blz. 30.

(2) PB C 304 van 15.10.2011, blz. 5.

(3) PB C 304 van 15.10.2011, blz. 5.

BIJLAGE A BEGINSELEN EN NORMEN VOOR DE BESCHERMING VAN GERUBRICEERDE EU-INFORMATIE Artikel 1 Doel, toepassingsgebied en definities 1. In deze bijlage worden de grondbeginselen en minimumnormen voor beveiliging vastgesteld ten behoeve van de bescherming van gerubriceerde EU-informatie. 2. Deze grondbeginselen en minimumnormen zijn van toepassing op de EDEO en op onder de verantwoordelijkheid van de EDEO geplaatst personeel, zoals bedoeld in artikel 1 en gedefinieerd in artikel 2 van dit besluit. Artikel 2 Definitie van gerubriceerde EU-informatie, rubriceringen en markeringen 1. Onder “gerubriceerde EU-informatie” wordt verstaan: informatie of materiaal met een bepaalde EU-rubricering, waarvan de openbaarmaking zonder machtiging de belangen van de Europese Unie of van een of meer van haar lidstaten in meerdere of mindere mate kan schaden. 2. Voor gerubriceerde EU-informatie worden de volgende rubriceringen gehanteerd: a) TRÈS SECRET UE/EU TOP SECRET: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van een of meer van haar lidstaten uitzonderlijk ernstig kan schaden; b) SECRET UE/EU SECRET: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van een of meer van haar lidstaten ernstig kan schaden; c) CONFIDENTIEL UE/EU CONFIDENTIAL: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van een of meer van haar lidstaten kan schaden; d) RESTREINT UE/EU RESTRICTED: informatie en materiaal waarvan de openbaarmaking zonder machtiging nadelig kan zijn voor de belangen van de Europese Unie of van een of meer van haar lidstaten. 3. Gerubriceerde EU-informatie krijgt een rubricering overeenkomstig lid 2. Daarnaast kunnen er markeringen op worden aangebracht om de gebieden waarop zij betrekking heeft aan te duiden, de opsteller te identificeren, de verspreiding of het gebruik te beperken of de geschiktheid voor vrijgave aan te geven. Artikel 3 Rubriceringsbeheer 1. De EDEO zorgt ervoor dat gerubriceerde EU-informatie naar behoren wordt gerubriceerd en duidelijk als gerubriceerde informatie wordt aangemerkt, en dat de rubriceringsgraad ervan slechts zolang als nodig wordt behouden. 2. Gerubriceerde EU-informatie wordt niet lager gerubriceerd of gederubriceerd en de in artikel 2, lid 3, bedoelde markeringen worden niet gewijzigd of verwijderd zonder voorafgaande schriftelijke toestemming van de opsteller. 3. De veiligheidsautoriteit van de EDEO stelt, na raadpleging van het Beveiligingscomité van de EDEO overeenkomstig artikel 14, lid 5, van dit besluit, een beveiligingsbeleid inzake het genereren van gerubriceerde EU-informatie vast, met inbegrip van een praktische rubriceringsgids. Artikel 4 Bescherming van gerubriceerde informatie 1. Gerubriceerde EU-informatie wordt beschermd in overeenstemming met dit besluit. 2. De houder van elke gerubriceerde EU-informatie is verantwoordelijk voor de bescherming ervan in overeenstemming met dit besluit. 3. Wanneer lidstaten gerubriceerde informatie met een nationale rubricering in de structuren of netwerken van de EDEO invoeren, beschermt de EDEO die informatie, in overeenstemming met de voorschriften voor gerubriceerde EU-informatie, op het beschermingsniveau dat gelijkwaardig is met het nationale niveau volgens de concordantietabel van rubriceringen in aanhangsel B bij Besluit 2011/292/EU van de Raad van 31 maart 2011 betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie. De EDEO stelt passende procedures vast voor de nauwkeurige registratie van de opsteller van: — gerubriceerde informatie die de EDEO heeft ontvangen; en — bronnenmateriaal dat vervat is in gerubriceerde informatie die door de EDEO is opgesteld. Het Beveiligingscomité van de EDEO wordt van deze procedures in kennis gesteld. 4. Het is mogelijk dat grote hoeveelheden of een compilatie van gerubriceerde EU-informatie een beschermingsniveau vereisen dat overeenstemt met een hogere rubriceringsgraad dan die van de onderdelen ervan. Artikel 5 Persoonsgerelateerde beveiliging voor de verwerking van gerubriceerde EU-informatie 1. Persoonsgerelateerde beveiliging is de toepassing van maatregelen die ervoor moeten zorgen dat toegang tot gerubriceerde EU-informatie uitsluitend wordt verleend aan personen die: — een “noodzaak tot kennisname” hebben, — wat de toegang tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger betreft, een veiligheidsmachtiging voor het passende niveau hebben of anderszins uit hoofde van hun functie daartoe naar behoren zijn gemachtigd in overeenstemming met de nationale wet- en regelgeving; en — zijn geïnstrueerd over hun verantwoordelijkheden. 2. De procedures inzake veiligheidsmachtigingen voor personen bepalen of een persoon, gelet op diens loyaliteit en betrouwbaarheid, toegang kan worden verleend tot gerubriceerde EU-informatie. 3. Voordat hun toegang tot gerubriceerde EU-informatie wordt verleend, en vervolgens met regelmatige tussenpozen, worden alle personen geïnstrueerd over hun verantwoordelijkheden ter bescherming van gerubriceerde EU-informatie overeenkomstig dit besluit, en dienen zij deze verantwoordelijkheden schriftelijk te bevestigen. 4. De bepalingen ter uitvoering van dit artikel zijn in bijlage A I opgenomen. Artikel 6 Fysieke beveiliging van gerubriceerde EU-informatie 1. Fysieke beveiliging is de toepassing van fysieke en technische beschermingsmaatregelen om toegang zonder machtiging tot gerubriceerde EU-informatie te ontmoedigen. 2. Met de fysieke beveiligingsmaatregelen wordt beoogd het binnendringen met list of geweld te verhinderen, acties waarvoor geen toestemming is verleend af te schrikken, tegen te gaan en op te sporen en op basis van het “noodzaak tot kennisname”-beginsel een onderscheid tussen personeelsleden mogelijk te maken wat betreft de toegang tot gerubriceerde EU-informatie. Deze maatregelen worden op een risicobeheersingsproces gebaseerd. 3. Er worden fysieke beveiligingsmaatregelen ingesteld voor alle locaties, gebouwen, kantoren, ruimten en andere zones waar gerubriceerde EU-informatie wordt verwerkt of opgeslagen, met inbegrip van zones waar communicatie- en informatiesystemen, zoals gedefinieerd in artikel 8, lid 2, zijn ondergebracht. 4. Zones waar gerubriceerde EU-informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt opgeslagen, worden overeenkomstig bijlage A II als beveiligde zones aangemerkt en door de veiligheidsautoriteit van de EDEO goedgekeurd. 5. Voor de bescherming van gerubriceerde EU-informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger worden uitsluitend goedgekeurde apparatuur en voorzieningen gebruikt. 6. De bepalingen ter uitvoering van dit artikel zijn in bijlage A II opgenomen. Artikel 7 Beheer van gerubriceerde informatie 1. Het beheer van gerubriceerde informatie is het toepassen van administratieve maatregelen voor het controleren van gerubriceerde EU-informatie gedurende de gehele levenscyclus ervan, teneinde de in de artikelen 5, 8 en 6 bedoelde maatregelen aan te vullen, en daarbij het al dan niet opzettelijk compromitteren of verliezen van die informatie te helpen voorkomen, opsporen en herstellen. Die maatregelen hebben met name betrekking op het genereren, registreren, kopiëren, vertalen, vervoeren, verwerken, opslaan en vernietigen van gerubriceerde EU-informatie. 2. Informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt vóór verspreiding en bij ontvangst geregistreerd voor beveiligingsdoeleinden. De bevoegde autoriteiten in de EDEO zetten voor dit doel een registratiesysteem op. Informatie met rubricering TRÈS SECRET UE/EU TOP SECRET wordt in speciaal daarvoor bestemde registers geregistreerd. 3. De diensten en locaties waar gerubriceerde EU-informatie wordt verwerkt of opgeslagen, worden regelmatig geïnspecteerd door de veiligheidsautoriteit van de EDEO. 4. gerubriceerde EU-informatie wordt als volgt overgebracht tussen diensten en locaties die zich buiten fysiek beveiligde zones bevinden: a) de algemene regel is dat gerubriceerde EU-informatie wordt overgedragen met elektronische middelen, beschermd met encryptieproducten die overeenkomstig artikel 7, lid 5, van dit besluit zijn goedgekeurd, en in overeenstemming met duidelijk vastgestelde operationele beveiligingsprocedures; b) wanneer geen gebruik wordt gemaakt van de onder a) genoemde middelen, wordt gerubriceerde EU-informatie vervoerd: i) op elektronische dragers (zoals usb-sticks, cd’s, harde schijven) beschermd met encryptieproducten die overeenkomstig artikel 7, lid 5, van dit besluit zijn goedgekeurd; of ii) in alle overige gevallen, op de wijze die door de veiligheidsautoriteit van de EDEO is voorgeschreven in overeenstemming met de desbetreffende beschermingsmaatregelen in bijlage A III, afdeling V. 5. De bepalingen ter uitvoering van dit artikel zijn in bijlage A III opgenomen. Artikel 8 Bescherming van gerubriceerde EU-informatie die wordt verwerkt in communicatie- en informatiesystemen 1. “Information Assurance” (“IA”) op het gebied van communicatie- en informatiesystemen is het vertrouwen dat die systemen de erin opgenomen informatie zullen beschermen en zullen functioneren zoals nodig en wanneer nodig, onder de controle van legitieme gebruikers. Doeltreffende IA waarborgt passende niveaus van vertrouwelijkheid, integriteit, beschikbaarheid, onweerlegbaarheid en authenticiteit. IA is op een risicobeheersingsproces gebaseerd. 2. “Communicatie- en informatiesystemen” zijn systemen waarmee informatie in elektronische vorm kan worden verwerkt. Een communicatie- en informatiesysteem omvat alle functionele bestanddelen die voor het functioneren ervan vereist zijn, waaronder infrastructurele, organisatorische, personele en informatiemiddelen. Deze bijlage is van toepassing op alle communicatie- en informatiesystemen van de EDEO waarmee gerubriceerde EU-informatie wordt verwerkt. 3. Communicatie- en informatiesystemen verwerken gerubriceerde EU-informatie overeenkomstig het concept information assurance. 4. Alle communicatie- en informatiesystemen die gerubriceerde EU-informatie verwerken, worden aan een homologatieprocedure onderworpen. Met de homologatie wordt beoogd de verzekering te verkrijgen dat alle toepasselijke beveiligingsmaatregelen zijn getroffen en dat het niveau van bescherming van de gerubriceerde EU-informatie en van het communicatie- en informatiesysteem overeenkomstig dit besluit voldoende wordt geacht. In de homologatieverklaring worden de maximaal toegelaten rubriceringsgraad van de informatie die door een communicatie- en informatiesysteem mag worden verwerkt, en de voorwaarden daarvoor vastgesteld. 5. Communicatie- en informatiesystemen die informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en hoger verwerken, worden zodanig beschermd dat de gerubriceerde informatie niet kan worden gecompromitteerd door onopzettelijke elektromagnetische emissies (hierna: “TEMPEST-beveiligingsmaatregelen”). 6. Wanneer gerubriceerde EU-informatie door encryptieproducten wordt beschermd, worden deze producten goedgekeurd overeenkomstig artikel 7, lid 5, van dit besluit. 7. Tijdens de overdracht van gerubriceerde EU-informatie met elektronische middelen moeten goedgekeurde encryptieproducten worden gebruikt. Niettegenstaande deze eis kunnen specifieke procedures worden toegepast in noodgevallen of in geval van specifieke technische configuraties als bepaald in bijlage A IV. 8. Overeenkomstig artikel 7, lid 6, van dit besluit worden in de mate van het nodige de volgende IA-functies ingesteld: a) een IA-autoriteit (“IAA”); b) een TEMPEST-autoriteit (“TA”); c) een autoriteit voor de goedkeuring van encryptieproducten (“CAA”); d) een autoriteit voor de distributie van encryptieproducten (“CDA”). 9. Overeenkomstig artikel 7, lid 7, van dit besluit worden voor elk systeem ingesteld: a) een veiligheidshomologatieautoriteit (“SAA”); b) een operationele IA-autoriteit. 10. De bepalingen ter uitvoering van dit artikel zijn in bijlage A IV opgenomen. Artikel 9 Industriële beveiliging 1. Industriële beveiliging is de toepassing van maatregelen om de bescherming van gerubriceerde EU-informatie door contractanten of subcontractanten tijdens precontractuele onderhandelingen en tijdens de volledige looptijd van gerubriceerde opdrachten te waarborgen. De algemene regel is dat in het kader van dergelijke opdrachten geen toegang mag worden verleend tot informatie met rubricering TRÈS SECRET UE/EU TOP SECRET. 2. De EDEO kan opdrachten plaatsen voor taken die toegang tot of verwerking of opslag van gerubriceerde EU-informatie behelzen of vereisen door industriële of andere entiteiten die zijn ingeschreven in een lidstaat of in een derde staat waarmee een informatiebeveiligingsovereenkomst is gesloten of een administratieve regeling als bedoeld in artikel 10, lid 1, van bijlage A is getroffen. 3. De EDEO ziet er als aanbestedende autoriteit op toe, dat bij het plaatsen van gerubriceerde opdrachten bij industriële of andere entiteiten aan de in dit besluit en in de gerubriceerde opdrachten vervatte minimumnormen voor industriële beveiliging is voldaan. Hij ziet toe op de naleving van dergelijke minimumnormen via de desbetreffende nationale veiligheidsautoriteit/aangewezen veiligheidsautoriteit. 4. In een lidstaat geregistreerde contractanten of subcontractanten die deelnemen aan gerubriceerde opdrachten of onderaanneming waarvoor toegang tot of verwerking of opslag van informatie met de rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET binnen hun faciliteiten vereist is, hetzij tijdens de uitvoering van de opdrachten, hetzij in de precontractuele fase, dienen te beschikken over een veiligheidsmachtiging voor een vestiging (“Facility Security Clearance” of “FSC”) die is afgegeven door de nationale veiligheidsautoriteit, de aangewezen veiligheidsautoriteit of een andere bevoegde veiligheidsautoriteit van de betrokken lidstaat. 5. Personeelsleden van contractanten of subcontractanten die voor de uitvoering van een gerubriceerde opdracht toegang moeten hebben tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET, dienen houder te zijn van een veiligheidsmachtiging voor personen die is afgegeven door de desbetreffende nationale veiligheidsautoriteit, de aangewezen veiligheidsautoriteit of een andere bevoegde veiligheidsautoriteit overeenkomstig de nationale wet- en regelgeving en de minimumbeveiligingsnormen van bijlage A-I. 6. De bepalingen ter uitvoering van dit artikel zijn in bijlage A V opgenomen. Artikel 10 Uitwisseling van gerubriceerde informatie met derde staten en internationale organisaties 1. De EDEO mag gerubriceerde EU-informatie slechts uitwisselen met derde staten of internationale organisaties indien: a) tussen de EU en die derde staat of internationale organisatie een informatiebeveiligingsovereenkomst van kracht is die overeenkomstig artikel 37 VEU en artikel 218 VWEU is gesloten; of b) tussen de hoge vertegenwoordiger en de bevoegde veiligheidsautoriteiten van die derde staat of internationale organisatie een administratieve regeling van kracht is voor de uitwisseling van informatie die in beginsel geen hogere rubricering dan RESTREINT UE/EU RESTRICTED heeft, die gesloten is overeenkomstig de procedure van artikel 14, lid 5, van dit besluit; of c) tussen de EU en die derde staat of internationale organisatie een kader of ad-hocdeelnameovereenkomst in de context van een GVDB-crisisbeheersingsoperatie van toepassing is, die overeenkomstig artikel 37 VEU en artikel 218 VWEU is gesloten, en aan de voorwaarden van het desbetreffende instrument is voldaan. Uitzonderingen op deze algemene regel zijn opgenomen in bijlage A V, afdeling V. 2. De in lid 1, onder b), bedoelde administratieve regelingen bevatten bepalingen om te waarborgen dat, wanneer derde staten of internationale organisaties gerubriceerde EU-informatie ontvangen, die informatie wordt beschermd in overeenstemming met de ervoor geldende rubriceringsgraad en volgens minimumnormen die niet minder streng zijn dan die welke bij dit besluit zijn vastgesteld. De informatie die wordt uitgewisseld op grond van de overeenkomsten bedoeld in lid 1, onder c), blijft beperkt tot informatie betreffende GVDB-operaties waaraan de betrokken derde staat deelneemt op grond van die overeenkomsten, en in overeenstemming met de bepalingen ervan. 3. Er worden evaluatiebezoeken aan derde staten en internationale organisaties georganiseerd, als bedoeld in artikel 16 van dit besluit, om de doeltreffendheid van de beveiligingsmaatregelen ter bescherming van gerubriceerde EU-informatie te verifiëren. 4. Het besluit tot vrijgave van gerubriceerde EU-informatie die de EDEO onder zich heeft aan een derde staat of een internationale organisatie wordt per geval genomen, naargelang van de aard en de inhoud van die informatie, de noodzaak dat de ontvanger er kennis van neemt en de baat die de Europese Unie bij de vrijgave heeft. Indien een entiteit gerubriceerde informatie heeft verstrekt op basis waarvan de EDEO gerubriceerde EU-informatie heeft opgesteld, verzoekt de EDEO deze entiteit om schriftelijke toestemming, teneinde vast te stellen dat er geen bezwaar tegen vrijgave bestaat. Indien de gerubriceerde informatie waarvan de vrijgave gewenst wordt, niet afkomstig is van de EDEO, vraagt de EDEO vóór vrijgave schriftelijke toestemming aan de opsteller. Indien de EDEO echter niet in staat is vast te stellen wie de opsteller is, neemt de veiligheidsautoriteit van de EDEO de verantwoordelijkheid van de opsteller op zich, nadat zij daartoe van de in het Beveiligingscomité van de EDEO vertegenwoordigde lidstaten een unaniem gunstig advies heeft verkregen. 5. De bepalingen ter uitvoering van dit artikel zijn in bijlage A VI opgenomen. Artikel 11 Inbreuken op de beveiligingsvoorschriften en compromittering van gerubriceerde informatie 1. Elke inbreuk of vermoedelijke inbreuk op de beveiligingsvoorschriften en elke compromittering of vermoedelijke compromittering wordt onmiddellijk gemeld aan het directoraat Beveiliging van de EDEO, dat naargelang van het geval het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Commissie, de dienst Beveiliging van het secretariaat-generaal van de Raad of de lidstaten dan wel een andere betrokken entiteit inlicht. 2. Wanneer bekend is of er redenen zijn om aan te nemen dat gerubriceerde informatie is gecompromitteerd of verloren is gegaan, licht het directoraat Beveiliging van de EDEO, naargelang van het geval, het directoraat Beveiliging van de Commissie, de dienst Beveiliging van het secretariaat-generaal van de Raad of de nationale veiligheidsautoriteit van de betrokken lidstaat, dan wel een andere betrokken entiteit in en neemt het alle passende maatregelen overeenkomstig de relevante wet- en regelgeving, teneinde: a) de eventuele schade voor de belangen van de EU of de lidstaten te beoordelen; b) herhaling te voorkomen; c) bewijsmateriaal veilig te stellen; d) ervoor te zorgen dat de zaak wordt onderzocht door personeel dat niet rechtstreeks met de inbreuk te maken heeft, teneinde de feiten vast te stellen; e) de bevoegde instanties in kennis te stellen van de gevolgen van het feit en de stappen die zijn ondernomen. en f) de opsteller van de informatie in kennis te stellen. 3. Een onder de verantwoordelijkheid van de EDEO geplaatst personeelslid dat verantwoordelijk is voor een inbreuk op de beveiligingsvoorschriften van dit besluit kan aan disciplinaire maatregelen worden onderworpen overeenkomstig de geldende regels en voorschriften. Eenieder die verantwoordelijk is voor de compromittering of het verlies van gerubriceerde informatie kan aan disciplinaire en/of gerechtelijke maatregelen worden onderworpen overeenkomstig de geldende wet- en regelgeving. Het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Commissie, de dienst Beveiliging van het secretariaat-generaal van de Raad of de nationale veiligheidsautoriteit van de betrokken lidstaat dan wel andere betrokken entiteit, naargelang van het geval, wordt onmiddellijk ingelicht. 4. Terwijl onderzoek wordt verricht naar de inbreuk en/of compromittering, kan het hoofd van het directoraat Beveiliging van de EDEO de toegang van de betrokkene tot gerubriceerde EU-informatie en tot de locaties van de EDEO intrekken. Het directoraat Beveiliging van het directoraat-generaal Personele Middelen en Veiligheid van de Commissie, de dienst Beveiliging van het secretariaat-generaal van de Raad of de nationale veiligheidsautoriteit van de betrokken lidstaat dan wel andere betrokken entiteit, naargelang van het geval, wordt over een dergelijke beslissing onmiddellijk ingelicht.

BIJLAGE A I PERSONEELSGERELATEERDE BEVEILIGING I. INLEIDING 1. Deze bijlage bevat bepalingen ter uitvoering van artikel 5 van bijlage A. In deze bijlage worden in het bijzonder de criteria vastgelegd aan de hand waarvan de EDEO bepaalt of aan een persoon, rekening houdend met diens loyaliteit en betrouwbaarheid, toegang tot gerubriceerde EU-informatie mag worden verleend, alsook de onderzoeks- en administratieve procedures die daartoe moeten worden gevolgd. 2. Een “veiligheidsmachtiging voor personen” voor toegang tot gerubriceerde EU-informatie is een verklaring van een bevoegde autoriteit van een lidstaat, die wordt afgelegd na voltooiing van een veiligheidsonderzoek door de bevoegde instanties van die lidstaat, waarbij wordt bevestigd dat de betrokkene, mits zijn “noodzaak tot kennisname” is vastgesteld, tot een bepaalde datum toegang kan krijgen tot gerubriceerde EU-informatie tot op een bepaald niveau (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger); van die persoon wordt dan gezegd dat hij “gescreend” is. 3. Een “certificaat van veiligheidsmachtiging voor personen” is een door de veiligheidsautoriteit van de EDEO afgegeven certificaat waarin wordt bevestigd dat de betrokkene gescreend is en dat de rubriceringsgraad vermeldt van de gerubriceerde EU-informatie waartoe hij toegang kan krijgen, alsook de geldigheidsduur van de veiligheidsmachtiging voor personen en de datum waarop de geldigheid van het certificaat zelf afloopt. 4. Een “machtiging voor toegang tot gerubriceerde EU-informatie” is een machtiging die door de veiligheidsautoriteit van de EDEO overeenkomstig dit besluit wordt verleend nadat de bevoegde instanties van een lidstaat een veiligheidsmachtiging voor personen hebben afgegeven, waarbij wordt bevestigd dat de betrokkene, mits zijn “noodzaak tot kennisname” is vastgesteld, tot een bepaalde datum toegang kan krijgen tot gerubriceerde EU-informatie tot op een bepaald niveau (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger); van die persoon wordt dan gezegd dat hij “gescreend” is. II. VERLENING VAN TOEGANG TOT GERUBRICEERDE EU-INFORMATIE 5. De toegang tot informatie met rubricering RESTREINT UE/EU RESTRICTED vereist geen veiligheidsmachtiging, en wordt verleend nadat: a) de statutaire of contractuele relatie met de EDEO is vastgesteld; b) de noodzaak tot kennisname van de betrokkene is vastgesteld; c) de betrokkene is geïnstrueerd over de beveiligingsvoorschriften en -procedures voor de bescherming van gerubriceerde EU-informatie en hij zijn verantwoordelijkheden in verband met de bescherming van gerubriceerde EU-informatie overeenkomstig dit besluit schriftelijk heeft bevestigd. 6. Een persoon wordt alleen toegang tot informatie met rubricering CONFIDENTIEL UE/ EU CONFIDENTIAL of hoger verleend indien: a) zijn noodzaak tot kennisname is vastgesteld; b) hem een veiligheidmachtiging voor personen voor het passende niveau is verleend of hij anderszins uit hoofde van zijn functie daartoe naar behoren is gemachtigd in overeenstemming met de nationale wet- en regelgeving; en c) hij is geïnstrueerd over de beveiligingsvoorschriften en -procedures voor de bescherming van gerubriceerde EU-informatie en hij zijn verantwoordelijkheden in verband met de bescherming van gerubriceerde EU-informatie schriftelijk heeft bevestigd. 7. De EDEO bepaalt voor welke functies in zijn structuren toegang tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger is vereist en waarvoor derhalve een veiligheidsmachtiging voor personen voor het passende niveau, als bedoeld in artikel 4, noodzakelijk is. 8. Personeelsleden van de EDEO verklaren of zij de nationaliteit van meer dan één land bezitten. Procedures voor verzoeken om een veiligheidsmachtiging voor personen bij de EDEO 9. Voor personeelsleden van de EDEO zendt het tot aanstelling bevoegde gezag van de EDEO een ingevulde vragenlijst betreffende de veiligheidsmachtiging voor personen naar de nationale veiligheidsautoriteit van de lidstaat waarvan de betrokkene onderdaan is, met het verzoek een veiligheidsonderzoek uit te voeren voor het niveau van gerubriceerde EU-informatie waartoe de betrokkene toegang moet hebben. 10. Wanneer een persoon het staatsburgerschap van meer dan één land bezit, wordt het screeningverzoek gericht tot de nationale veiligheidsautoriteit van het land waarvan de nationaliteit bepalend was voor de aanwerving van de betrokkene. 11. Wanneer een persoon een veiligheidsmachtiging voor personen heeft aangevraagd, en de EDEO de beschikking krijgt over informatie over de betrokkene die voor het veiligheidsonderzoek relevant is, stelt de EDEO de desbetreffende nationale veiligheidsautoriteit daarvan in kennis overeenkomstig de voorschriften ter zake. 12. Nadat het veiligheidsonderzoek is afgesloten, brengt de betrokken nationale veiligheidsautoriteit het directoraat Beveiliging van de EDEO op de hoogte van de uitkomst ervan. a) Wanneer het veiligheidsonderzoek tot de zekerheid leidt dat er geen informatie bekend is die doet twijfelen aan de loyaliteit en betrouwbaarheid van de betrokkene, kan de veiligheidsautoriteit van de EDEO de betrokkene een machtiging voor toegang tot gerubriceerde EU-informatie verlenen voor de vereiste rubriceringsgraad, die tot een bepaalde datum geldig is. b) De EDEO neemt alle passende maatregelen om te waarborgen dat de door de nationale veiligheidsautoriteit gestelde voorwaarden of beperkingen daadwerkelijk ten uitvoer worden gelegd. De nationale veiligheidsautoriteit wordt over de resultaten daarvan ingelicht. c) Wanneer het veiligheidsonderzoek niet tot de onder a) bedoelde zekerheid leidt, stelt de veiligheidsautoriteit van de EDEO de betrokkene daarvan in kennis; deze kan vragen om door de veiligheidsautoriteit van de EDEO te worden gehoord. De veiligheidsautoriteit van de EDEO kan de bevoegde nationale veiligheidsautoriteit om elke toelichting vragen die de autoriteit volgens de nationale wet- en regelgeving mag verstrekken. Indien de uitkomst wordt bevestigd, wordt geen machtiging voor toegang tot gerubriceerde EU-informatie verleend. De EDEO neemt in dat geval alle passende maatregelen om te waarborgen dat de betrokkene geen toegang krijgt tot gerubriceerde EU-informatie. 13. Voor het veiligheidsonderzoek en de resultaten daarvan, waarop het besluit van de EDEO tot het al dan niet verlenen van een machtiging voor toegang tot gerubriceerde EU-informatie is gebaseerd, gelden de in de betrokken lidstaat van toepassing zijnde wet- en regelgeving, ook wat de mogelijkheden tot beroep betreft. Tegen besluiten van de veiligheidsautoriteit van de EDEO kan beroep worden ingesteld in overeenstemming met het statuut van de ambtenaren van de Europese Unie en de regeling die van toepassing is op de andere personeelsleden van de Europese Unie, vastgesteld bij Verordening (EEG, Euratom, EGKS) nr. 259/68 (1) (hierna “het statuut” genoemd). 14. De waarborg waarop een veiligheidsmachtiging voor personen gebaseerd is, op voorwaarde dat de machtiging geldig blijft, strekt zich uit tot elke taak die de betrokkene bij de EDEO, het secretariaat-generaal van de Raad of de Commissie op zich neemt. 15. Indien het dienstverband van een persoon niet begint binnen twaalf maanden na de kennisgeving van de uitkomst van het veiligheidsonderzoek aan de veiligheidsautoriteit van de EDEO, of indien de betrokkene zijn dienst voor een periode van twaalf maanden heeft onderbroken en gedurende die tijd niet heeft gewerkt bij de EDEO, bij andere instellingen, organen of instanties van de EU of in een functie bij een nationale overheid van een lidstaat waarvoor toegang tot gerubriceerde is vereist, wordt de betrokken nationale veiligheidsautoriteit verzocht te bevestigen dat de uitkomst van het veiligheidsonderzoek nog steeds geldig en passend is. 16. Wanneer een persoon een geldige veiligheidsmachtiging voor personen heeft, en de EDEO de beschikking krijgt over informatie dat er in verband met die persoon een veiligheidsrisico bestaat, stelt de EDEO de desbetreffende nationale veiligheidsautoriteit daarvan in kennis overeenkomstig de voorschriften ter zake. Wanneer een nationale veiligheidsautoriteit de EDEO in kennis stelt van de intrekking van een overeenkomstig punt 12, onder a), gegeven verzekering voor een persoon die een geldige machtiging voor toegang tot gerubriceerde EU-informatie heeft, kan de veiligheidsautoriteit van de EDEO de nationale veiligheidsautoriteit om elke toelichting vragen die de autoriteit volgen de nationale wet- en regelgeving mag verstrekken. Indien de negatieve informatie wordt bevestigd, wordt de genoemde machtiging ingetrokken en wordt de betrokkene de toegang tot gerubriceerde EU-informatie en tot functies waar dergelijke toegang mogelijk is of waar hij de veiligheid in gevaar zou kunnen brengen, ontzegd. 17. Elke beslissing om een machtiging voor toegang tot gerubriceerde EU-informatie van een personeelslid van de EDO in te trekken, alsmede de redenen daarvoor, indien gepast, wordt meegedeeld aan de betrokkene, die kan verzoeken om door de veiligheidsautoriteit van de EDEO te worden gehoord. Voor door een nationale veiligheidsautoriteit verstrekte informatie gelden de in de betrokken lidstaat van toepassing zijnde wetten en voorschriften, ook wat de mogelijkheden tot beroep betreft. Tegen besluiten van de veiligheidsautoriteit van de EDEO kan beroep worden ingesteld in overeenstemming met het statuut. 18. Nationale deskundigen die bij de EDEO worden gedetacheerd in een functie waarvoor toegang tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger is vereist, dienen aan de veiligheidsautoriteit van de EDEO een geldige nationale veiligheidsmachtiging voor personen voor toegang tot gerubriceerde EU-informatie met de juiste rubriceringsgraad over te leggen, alvorens hun taak aan te vatten. Dit proces wordt beheerd door de uitzendende lidstaat. Registratie van veiligheidsmachtigingen voor personen 19. De EDEO houdt een database bij van de veiligheidsmachtigingsstatus van alle onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden en personeelsleden van contractanten van de EDEO. In deze database worden het niveau van de gerubriceerde EU-informatie waartoe een persoon toegang kan worden verleend (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger), de datum van verlening van de veiligheidsmachtiging en de geldigheidsduur ervan geregistreerd. 20. In samenwerking met de lidstaten en andere instellingen, organen en instanties van de EU worden passende coördinatieprocedures ingesteld om te waarborgen dat de EDEO kan beschikken over een nauwkeurig en volledig beeld van de veiligheidsmachtigingsstatus van alle onder de verantwoordelijkheid van de EDEO geplaatste personeelsleden en personeelsleden van contractanten van de EDEO. 21. De veiligheidsautoriteit van de EDEO kan een certificaat van veiligheidsmachtiging voor personen afgeven met vermelding van het niveau van de gerubriceerde EU-informatie waartoe de persoon toegang kan worden verleend (CONFIDENTIEL UE/EU CONFIDENTIAL of hoger), de geldigheidsduur van de betrokken veiligheidsmachtiging voor personen en de datum waarop de geldigheid van het certificaat zelf afloopt. Vrijstellingen van de eis inzake veiligheidsmachtiging voor personen 22. Personen die overeenkomstig de nationale wet- en regelgeving uit hoofde van hun functie gemachtigd zijn om toegang te krijgen tot gerubriceerde EU-informatie, worden door het directoraat Beveiliging van de EDEO geïnstrueerd over hun beveiligingsverplichtingen in verband met de bescherming van gerubriceerde EU-informatie. III. VEILIGHEIDSOPLEIDING EN VEILIGHEIDSBESEF 23. Voordat een persoon wordt gemachtigd om toegang te krijgen tot gerubriceerde EU-informatie, dient deze schriftelijk te bevestigen dat hij op de hoogte is van zijn plichten met betrekking tot de bescherming van gerubriceerde EU-informatie en van de gevolgen indien gerubriceerde EU-informatie wordt gecompromitteerd. Een aantekening van deze schriftelijke bevestiging wordt door de EDEO bewaard. 24. Eenieder die gemachtigd is om toegang te krijgen tot gerubriceerde EU-informatie of deze moet verwerken, wordt vanaf het begin bewust gemaakt van en regelmatig geïnstrueerd over bedreigingen voor de veiligheid en moet iedere toenadering of activiteit die hij verdacht of ongewoon acht, onmiddellijk aan de desbetreffende veiligheidsautoriteiten melden. 25. Eenieder die gemachtigd is tot toegang tot gerubriceerde EU-informatie wordt onderworpen aan voortdurende persoonsgerelateerde beveiligingsmaatregelen (nazorg) zolang hij gerubriceerde EU-informatie verwerkt. Deze voortdurende persoonsgerelateerde beveiliging behoort tot de verantwoordelijkheid van: a) personen die toegang hebben tot gerubriceerde EU-informatie: eenieder is persoonlijk verantwoordelijk voor zijn eigen veiligheidsgerelateerd gedrag en dient iedere toenadering of activiteit die hij verdacht of ongewoon vindt, onmiddellijk te melden aan de desbetreffende veiligheidsinstanties, alsmede elke verandering in zijn persoonlijke omstandigheden die van invloed kan zijn op zijn veiligheidsmachtiging of machtiging voor toegang tot gerubriceerde EU-informatie; b) lijnmanagers: lijnmanagers moeten erop toezien dat hun personeelsleden bekend zijn met de veiligheidsmaatregelen en verantwoordelijkheden met betrekking tot de bescherming van gerubriceerde EU-informatie en dat het veiligheidsgedrag van hun personeelsleden in het oog wordt gehouden; zij dienen elk beveiligingsprobleem van enige betekenis hetzij zelf aan te pakken, hetzij elke negatieve informatie die van invloed kan zijn op de veiligheidsmachtigingen of machtigingen voor toegang tot gerubriceerde EU-informatie van hun personeelsleden te melden aan de passende veiligheidsautoriteiten; c) actoren van de veiligheidsorganisatie van de EDEO, bedoeld in artikel 12 van dit besluit: zij zijn verantwoordelijk voor het geven van briefings op het gebied van beveiligingsvoorlichting en zien erop toe dat alle personeelsleden binnen hun gebied regelmatig worden geïnstrueerd; zij stimuleren een solide veiligheidscultuur binnen hun verantwoordelijkheidsgebied en stellen maatregelen in voor de monitoring van het veiligheidsgedrag van het personeel en voor het melden aan de bevoegde veiligheidsautoriteiten van alle negatieve informatie die van invloed kan zijn op iemands veiligheidsmachtiging; d) EDEO en lidstaten: zij zorgen voor de noodzakelijke kanalen voor het doorgeven van informatie die gevolgen kan hebben voor iemands veiligheidsmachtiging of machtiging voor toegang tot gerubriceerde EU-informatie. 26. Alle personen die geen taken meer vervullen waarvoor toegang tot gerubriceerde EU-informatie vereist is, dienen er bewust van te worden gemaakt dat hun plichten met betrekking tot de bescherming van gerubriceerde EU-informatie blijven bestaan, en dienen zulks in voorkomend geval schriftelijk te bevestigen. IV. UITZONDERLIJKE OMSTANDIGHEDEN 27. De veiligheidsautoriteit van de EDEO kan om dringende en naar behoren gemotiveerde redenen van dienstbelang en in afwachting van de voltooiing van het volledige veiligheidsonderzoek, na raadpleging van de nationale veiligheidsautoriteit van de lidstaat waarvan de betrokkene onderdaan is en afhankelijk van de uitkomst van een eerste controle of er geen negatieve informatie bekend is, ambtenaren en andere personeelsleden van de EDEO voor een specifieke functie tijdelijk toegang tot gerubriceerde EU-informatie verlenen. Er dient zo spoedig mogelijk een volledig veiligheidsonderzoek te worden verricht. Tijdelijke toegang wordt voor ten hoogste zes maanden verleend en geldt niet voor informatie met rubricering TRÈS SECRET UE/EU TOP SECRET. Alle personen aan wie tijdelijke toegang is verleend, bevestigen schriftelijk dat zij kennis dragen van hun plichten met betrekking tot de bescherming van gerubriceerde EU-informatie en van de gevolgen indien gerubriceerde EU-informatie wordt gecompromitteerd. Een aantekening van deze schriftelijke bevestiging wordt door de EDEO bewaard. 28. Wanneer een persoon een functie krijgt toegewezen waarvoor een veiligheidsmachtiging voor personen nodig is van één niveau hoger dan die waarover hij op dat moment beschikt, kan deze nieuwe functie op voorlopige basis worden toegewezen, mits: a) de dwingende noodzaak van toegang tot gerubriceerde EU-informatie met een hogere rubriceringsgraad schriftelijk door de hiërarchische meerdere van de betrokkene wordt bevestigd; b) de toegang wordt beperkt tot specifieke onderdelen van de gerubriceerde EU-informatie die nodig zijn voor de functie; c) de persoon in het bezit is van een geldige veiligheidsmachtiging; d) er stappen zijn ondernomen om machtiging voor het voor de functie vereiste toegangsniveau te verkrijgen; e) uit controles door de bevoegde autoriteit genoegzaam is gebleken dat de betrokkene de beveiligingsvoorschriften niet ernstig of herhaaldelijk heeft overtreden; f) de toewijzing van de functie aan de betrokkene is goedgekeurd door de bevoegde autoriteit van de EDEO; en g) de betrokken nationale veiligheidsautoriteit/aangewezen veiligheidsautoriteit die de veiligheidsmachtiging van de betrokkene heeft afgegeven, is geraadpleegd en deze geen bezwaren heeft geuit; h) van de verleende uitzondering een aantekening, met inbegrip van een beschrijving van de informatie waartoe toegang werd verleend, wordt bewaard door het verantwoordelijke register of subregister. 29. Deze procedure wordt gebruikt voor eenmalige toegang tot gerubriceerde EU-informatie met een rubriceringsgraad die één niveau hoger ligt dan waarvoor de betrokkene is gescreend. Deze procedure mag niet bij herhaling worden gebruikt. 30. In zeer uitzonderlijke omstandigheden, zoals bij missies in een vijandige omgeving of gedurende perioden van toenemende internationale spanning, wanneer noodmaatregelen zulks vereisen, in het bijzonder wanneer er levens kunnen worden gered, kan de hoge vertegenwoordiger, de uitvoerend secretaris-generaal of de chief operating officer schriftelijk toegang verlenen tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET aan personen die niet in het bezit zijn van de vereiste veiligheidsmachtiging voor personen, zulks op voorwaarde dat die toestemming absoluut noodzakelijk is en er geen gerede twijfel bestaat aan de loyaliteit en de betrouwbaarheid van de betrokkene. Een aantekening van deze toestemming, met een beschrijving van de informatie waartoe toegang werd verleend, wordt bewaard. 31. In geval van informatie met rubricering TRÈS SECRET UE/EU TOP SECRET dienen dergelijke noodmaatregelen beperkt te blijven tot onderdanen van de Europese Unie aan wie toegang is verleend tot het nationale equivalent van TRÈS SECRET UE/EU TOP SECRET of tot informatie met rubricering SECRET UE/EU SECRET. 32. Het Beveiligingscomité van de EDEO wordt op de hoogte gesteld van gevallen waarin de in de punten 29 en 30 genoemde procedure is gevolgd. 33. Aan het Beveiligingscomité van de EDEO wordt jaarlijks verslag uitgebracht over het gebruik van de in deze afdeling beschreven procedures. V. BIJWONEN VAN BIJEENKOMSTEN OP HET HOOFDKANTOOR VAN DE EDEO EN DE DELEGATIES VAN DE UNIE 34. Personen aan wie is opgedragen deel te nemen aan vergaderingen op het hoofdkantoor van de EDEO of delegaties van de Unie waarin informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt besproken, doen zulks uitsluitend indien veiligheidsmachtigingsstatus van de betrokkene is bevestigd. Voor vertegenwoordigers van de lidstaten, ambtenaren van het secretariaat-generaal van de Raad en de Commissie wordt een certificaat van veiligheidsmachtiging voor personen of een ander bewijs van een veiligheidsmachtiging voor personen door de desbetreffende autoriteiten toegezonden aan het directoraat Beveiliging van de EDEO of de veiligheidscoördinator van de delegatie van de Unie, of in uitzonderingsgevallen door de betrokkene overgelegd. Indien van toepassing kan een geconsolideerde lijst van namen worden gebruikt, met het relevante bewijs van de veiligheidsmachtiging voor personen. 35. Wanneer de veiligheidsmachtiging voor toegang tot gerubriceerde EU-informatie wordt ingetrokken van een persoon die voor zijn werkzaamheden moet deelnemen aan vergaderingen op het hoofdkantoor van de EDEO of delegaties van de Unie waarin informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt besproken, licht de bevoegde autoriteit de EDEO daarover in. VI. MOGELIJKE TOEGANG TOT GERUBRICEERDE EU-INFORMATIE 36. Wanneer personen moeten werken in omstandigheden waarin zij mogelijkerwijs toegang hebben tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger, dienen zij passend te zijn gescreend of voortdurend te worden begeleid. 37. Koeriers en bewakings- en begeleidingspersoneel dienen voor de passende rubriceringsgraad te zijn gescreend of anderszins een passend onderzoek te hebben ondergaan overeenkomstig de nationale wet- en regelgeving, regelmatig te worden geïnstrueerd over de beveiligingsprocedures ter bescherming van gerubriceerde EU-informatie en over hun plicht om gerubriceerde EU-informatie te beschermen die hun is toevertrouwd of waartoe zij onbedoeld toegang kunnen hebben gekregen. (1) PB L 56 van 4.3.1968, blz. 1.

BIJLAGE A II FYSIEKE BEVEILIGING VAN GERUBRICEERDE EU-INFORMATIE I. INLEIDING 1. Deze bijlage bevat bepalingen ter uitvoering van artikel 6 van bijlage A. In deze bijlage worden minimumvoorschriften vastgesteld voor de fysieke beveiliging van locaties, gebouwen, kantoren, ruimten en andere zones waar gerubriceerde EU-informatie wordt verwerkt en opgeslagen, evenals zones waar communicatie- en informatiesystemen zijn ondergebracht. 2. Fysieke beveiligingsmaatregelen zijn bedoeld om de toegang zonder machtiging tot gerubriceerde EU-informatie te voorkomen door: a) ervoor te zorgen dat gerubriceerde EU-informatie op passende wijze wordt verwerkt en opgeslagen; b) op basis van het “noodzaak tot kennisname”-beginsel en, in voorkomend geval, van hun veiligheidsmachtiging een onderscheid tussen personeelsleden mogelijk te maken wat de toegang tot gerubriceerde EU-informatie betreft; c) acties waarvoor geen toestemming is verleend af te schrikken, tegen te houden en op te sporen; en d) het door list of geweld binnendringen te verhinderen of te vertragen. II. VEREISTEN EN MAATREGELEN INZAKE FYSIEKE BEVEILIGING 3. De EDEO past een risicobeheersingsproces toe ter bescherming van gerubriceerde EU-informatie op zijn locaties, teneinde ervoor te zorgen dat een fysieke bescherming wordt geboden die overeenstemt met het ingeschatte risico. In het risicobeheersingsproces wordt rekening gehouden met alle relevante factoren, met name: a) de rubriceringsgraad van de gerubriceerde EU-informatie; b) de vorm en omvang van de gerubriceerde EU-informatie, waarbij in aanmerking moet worden genomen dat grote hoeveelheden of een compilatie van gerubriceerde EU-informatie de toepassing van striktere beschermingsmaatregelen kunnen vergen; c) de omgeving en de structuur van de gebouwen of zones waar gerubriceerde EU-informatie is ondergebracht; d) de dreigingsevaluatie in verband met derde landen die door INTCEN is verricht op basis van met name de rapportage van de delegaties van de Unie; en e) de beoordeelde dreiging die uitgaat van inlichtingendiensten die zich richten op de Europese Unie of de lidstaten en van sabotage, terrorisme en subversieve of andere criminele activiteiten. 4. De veiligheidsautoriteit van de EDEO stelt aan de hand van het begrip “defence in depth” vast welke passende combinatie van fysieke beveiligingsmaatregelen moet worden getroffen. Deze maatregelen kunnen zijn: a) een afsluiting: een fysieke barrière ter verdediging van de grens van een zone die bescherming behoeft; b) indringerdetectiesystemen (“IDS”): een IDS kan worden gebruikt om het beveiligingsniveau van de afsluiting te verhogen, of in lokalen en gebouwen om beveiligingspersoneel te vervangen of te ondersteunen; c) toegangscontrole: er kan toegangscontrole worden uitgeoefend voor een locatie, een gebouw of gebouwen op een locatie of voor zones of ruimten in een gebouw. De controle kan elektronisch of elektromechanisch worden verricht, door beveiligingspersoneel en/of een receptionist, of met enig ander fysiek hulpmiddel; d) beveiligingspersoneel: beveiligingspersoneel dat een opleiding heeft gekregen, onder toezicht werkt en, in voorkomend geval, een gedegen veiligheidsonderzoek heeft ondergaan, kan onder meer worden ingezet om personen af te schrikken die overwegen heimelijk binnen te dringen; e) gesloten tv-circuit (hierna “CCTV”): een gesloten tv-circuit kan door beveiligingspersoneel worden gebruikt om incidenten en IDS-alarmen op grote locaties of aan de afsluitingen te controleren; f) beveiligingsverlichting: beveiligingsverlichting kan worden gebruikt om mogelijke indringers af te schrikken en biedt daarnaast de noodzakelijke verlichting voor effectieve bewaking die rechtstreeks door beveiligingspersoneel dan wel onrechtstreeks via een gesloten tv-circuit geschiedt; en g) alle andere passende fysieke maatregelen om ongeoorloofde toegang te ontmoedigen of op te sporen of om verlies of beschadiging van gerubriceerde EU-informatie te voorkomen. 5. Het directoraat Beveiliging van de EDEO mag controles uitvoeren bij het in- en uitgaan, ter afschrikking van het ongeoorloofd binnenbrengen van materiaal in, of het ongeoorloofd verwijderen van gerubriceerde EU-informatie uit een locatie of gebouw. 6. Als het risico bestaat dat gerubriceerde EU-informatie van buitenaf wordt waargenomen, zelfs per ongeluk, worden passende maatregelen genomen om dit risico te voorkomen. 7. Voor nieuwe voorzieningen worden fysieke beveiligingsvereisten en functiespecificaties reeds bij het plannen en ontwerpen vastgesteld. Voor bestaande voorzieningen worden fysieke beveiligingsvereisten in de hoogst mogelijke mate uitgevoerd. III. UITRUSTING VOOR DE FYSIEKE BESCHERMING VAN GERUBRICEERDE EU-INFORMATIE 8. Bij de aanschaf van uitrusting (zoals beveiligingsopbergmiddelen, papierversnipperaars, deursloten, elektronische systemen voor toegangscontrole, indringerdetectiesystemen, alarmsystemen) voor de fysieke bescherming van gerubriceerde EU-informatie ziet de veiligheidsautoriteit van de EDEO erop toe dat de uitrusting in overeenstemming is met de goedgekeurde technische normen en minimumvoorschriften. 9. De technische specificaties van uitrusting die bestemd is voor de fysieke bescherming van gerubriceerde EU-informatie worden vastgelegd in beveiligingsrichtsnoeren die door het Beveiligingscomité van de EDEO moeten worden goedgekeurd. 10. De beveiligingssystemen worden geregeld geïnspecteerd en de uitrusting wordt regelmatig onderhouden. Bij de onderhoudswerkzaamheden wordt met het resultaat van de inspecties rekening gehouden om te garanderen dat de uitrusting optimaal blijft werken. 11. De effectiviteit van individuele beveiligingsmaatregelen en van het gehele beveiligingssysteem wordt bij iedere inspectie getoetst. IV. FYSIEK BESCHERMDE ZONES 12. Voor de fysieke bescherming van gerubriceerde EU-informatie worden twee soorten fysiek beschermde zones, of de nationale equivalenten ervan, ingesteld: a) administratieve zones, en b) beveiligde zones (waaronder technisch beveiligde zones). 13. De veiligheidsautoriteit van de EDEO bepaalt dat een zone voldoet aan de eisen om te worden aangewezen als administratieve zone, beveiligde zone of technisch beveiligde zone. 14. Voor administratieve zones: a) wordt een duidelijk omschreven afscheiding ingesteld waar personen en indien mogelijk voertuigen kunnen worden gecontroleerd; b) wordt toegang zonder begeleiding alleen toegestaan aan personen die naar behoren door het directoraat Beveiliging van de EDEO gemachtigd zijn; en c) worden alle andere personen altijd begeleid of aan gelijkwaardige controles onderworpen. 15. Voor beveiligde zones: a) wordt een duidelijk omschreven, beschermde afscheiding ingesteld waar elk in- en uitgaan wordt gecontroleerd door middel van een systeem met toegangspasjes of persoonsherkenning; b) wordt toegang zonder begeleiding alleen verleend aan personen die een veiligheidsonderzoek op het vereiste niveau hebben ondergaan en specifiek gemachtigd zijn om de zone te betreden op basis van hun noodzaak tot kennisname; c) worden alle andere personen altijd begeleid of aan gelijkwaardige controles onderworpen. 16. Wanneer het betreden van een beveiligde zone in de praktijk neerkomt op rechtstreekse toegang tot de gerubriceerde informatie die zich daar bevindt, zijn daarnaast de volgende aanvullende voorschriften van toepassing: a) de hoogste rubriceringsgraad van de informatie die normaal in de zone worden bewaard, wordt duidelijk aangegeven; b) alle bezoekers moeten een specifieke machtiging bezitten om de zone te betreden, moeten altijd worden begeleid en moeten passend gescreend zijn, tenzij het nodige wordt gedaan om toegang tot gerubriceerde EU-informatie onmogelijk te maken; c) elektronische apparatuur moet buiten de zone worden achtergelaten. 17. Beveiligde zones die tegen afluisteren zijn beschermd, worden als technisch beveiligde zones aangemerkt. Daarnaast zijn de volgende aanvullende voorschriften van toepassing: a) de zones worden uitgerust met indringerdetectiesystemen, worden afgesloten wanneer ze niet worden gebruikt en bewaakt wanneer ze in gebruik zijn. Sleutels worden gecontroleerd overeenkomstig afdeling VI van deze bijlage; b) alle personen en goederen die deze zones binnenkomen, worden gecontroleerd; c) deze zones worden aan regelmatige fysieke en/of technische inspecties onderworpen, zoals vereist door de veiligheidsautoriteit van de EDEO. Die inspecties worden ook verricht nadat de zones door onbevoegden zijn betreden of indien dit wordt vermoed; en d) deze zones zijn vrij van ongeoorloofde communicatielijnen of telefoons of andere ongeoorloofde communicatieapparatuur en elektrische of elektronische apparatuur. 18. Niettegenstaande punt 17, onder d), moet communicatieapparatuur en elektrische en elektronische apparatuur van welke aard ook, voordat zij wordt gebruikt in zones waar vergaderingen plaatsvinden of werkzaamheden worden verricht in verband met informatie met rubricering SECRET UE/EU SECRET en hoger, wanneer de dreiging voor gerubriceerde EU-informatie als hoog wordt beoordeeld, eerst door de veiligheidsautoriteit van de EDEO worden onderzocht om te waarborgen dat geen begrijpelijke informatie door die apparatuur onbedoeld of op illegale wijze kan worden doorgegeven naar buiten de afscheiding van de betrokken beveiligde zone. 19. Beveiligde zones waar niet op 24-uursbasis dienstdoend personeel aanwezig is, worden, in voorkomend geval, aan het eind van de normale werktijd geïnspecteerd, alsook buiten de normale werktijd met willekeurige tussenpozen, tenzij er een indringerdetectiesysteem is. 20. Beveiligde zones en technische beveiligde zones kunnen binnen een administratieve zone tijdelijk worden ingesteld voor een gerubriceerde vergadering of een soortgelijk doel. 21. Voor iedere beveiligde zone worden operationele beveiligingsprocedures opgesteld, waarbij het volgende wordt vastgesteld: a) het niveau van de gerubriceerde EU-informatie die in die zone mag worden verwerkt en opgeslagen; b) de te handhaven bewakings- en beschermingsmaatregelen; c) de personen die op grond van hun noodzaak tot kennisname en veiligheidsmachtiging zonder begeleiding toegang mogen hebben tot de zone; d) in voorkomend geval, de procedures inzake begeleiding of inzake bescherming van gerubriceerde EU-informatie wanneer aan anderen toegang tot de zone wordt verleend; e) andere relevante maatregelen en procedures. 22. Binnen de beveiligde zones worden kluizen geïnstalleerd. De muren, vloeren, plafonds, ramen en afsluitbare deuren moeten door de veiligheidsautoriteit van de EDEO worden goedgekeurd en een gelijkwaardig beschermingsniveau bieden als de beveiligingsopbergmiddelen die zijn goedgekeurd voor de opslag van gerubriceerde EU-informatie met dezelfde rubriceringsgraad. V. FYSIEKE BEVEILIGINGSMAATREGELEN VOOR HET VERWERKEN EN OPSLAAN VAN GERUBRICEERDE EU-INFORMATIE 23. gerubriceerde EU-informatie met rubricering RESTREINT UE/EU RESTRICTED mag worden verwerkt: a) in een beveiligde zone; b) in een administratieve zone, als de gerubriceerde EU-informatie wordt bescher