DECYZJA WYSOKIEGO PRZEDSTAWICIELA UNII DO SPRAW ZAGRANICZNYCH I POLITYKI BEZPIECZEŃSTWA

z dnia 19 kwietnia 2013 r.

w sprawie przepisów bezpieczeństwa mających zastosowanie do Europejskiej Służby Działań Zewnętrznych

(2013/C 190/01)

WYSOKI PRZEDSTAWICIEL UNII DO SPRAW ZAGRANICZNYCH I POLITYKI BEZPIECZEŃSTWA,

uwzględniając decyzję Rady 2010/427/UE z dnia 26 lipca 2010 r. określającą organizację i zasady funkcjonowania Europejskiej Służby Działań Zewnętrznych (1) (ESDZ),

uwzględniając opinię Komitetu, o którym mowa w art. 9 ust. 6 decyzji Wysokiego Przedstawiciela z dnia 15 czerwca 2011 r. w sprawie przepisów bezpieczeństwa mających zastosowanie do Europejskiej Służby Działań Zewnętrznych (2),

uwzględniając opinię Komitetu, o którym mowa w art. 10 ust. 1 decyzji Rady 2010/427/EU z dnia 26 lipca 2010 r. określającej organizację i zasady funkcjonowania Europejskiej Służby Działań Zewnętrznych,

a także mając na uwadze, co następuje:

Wysoki Przedstawiciel Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa (dalej zwany „Wysokim Przedstawicielem”) powinien w drodze decyzji określić przepisy bezpieczeństwa mające zastosowanie do ESDZ, obejmujące wszystkie aspekty bezpieczeństwa w zakresie funkcjonowania ESDZ, aby umożliwić jej skuteczne zarządzanie ryzykiem, na jakie narażony jest personel podlegający odpowiedzialności ESDZ, jego majątek rzeczowy, informacje i osoby odwiedzające, a także aby umożliwić jej wypełnianie w tym względzie jej zadań wynikających z obowiązku dochowania należytej staranności.

Przepisy bezpieczeństwa mające zastosowanie do ESDZ powinny przyczynić się do stworzenia w UE bardziej spójnych kompleksowych ogólnych ram ochrony informacji niejawnych UE (dalej zwanych „EUCI”) w oparciu o przepisy bezpieczeństwa przyjęte przez Radę Unii Europejskiej (dalej zwaną „Radą”) oraz przez Komisję Europejską i przy zachowaniu możliwie jak największej spójności z tymi przepisami.

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Cel i zakres stosowania

W niniejszej decyzji ustanawia się przepisy bezpieczeństwa mające zastosowanie do Europejskiej Służby Działań Zewnętrznych (dalej zwane „przepisami bezpieczeństwa ESDZ”).

Zgodnie z art. 10 ust. 1 decyzji Rady 2010/427/UE z dnia 26 lipca 2010 r. określającej organizację i zasady funkcjonowania Europejskiej Służby Działań Zewnętrznych przepisy te mają zastosowanie do personelu ESDZ oraz wszystkich członków personelu w delegaturach Unii, niezależnie od ich pochodzenia i statusu administracyjnego; określają one ogólne ramy regulacyjne skutecznego zarządzania ryzykiem, na jakie narażony jest personel podlegający odpowiedzialności ESDZ, zgodnie z jego definicją w art. 2, a także lokale, majątek rzeczowy, informacje i osoby odwiedzające ESDZ.

Artykuł 2

Definicje

Do celów niniejszej decyzji stosuje się następujące definicje:

Pozostałe definicje zawarto w odpowiednich załącznikach oraz w dodatku A.

Artykuł 3

Obowiązek dochowania należytej staranności

1. Przepisy bezpieczeństwa ESDZ mają na celu realizację przez ESDZ jej zadań wynikających z obowiązku dochowania należytej staranności.

2. Obowiązek dochowania należytej staranności obejmuje podjęcie wszelkich racjonalnych kroków w zakresie wdrożenia środków bezpieczeństwa mających zapobiec dającej się racjonalnie przewidzieć szkodzie dla interesów bezpieczeństwa ESDZ.

Obejmuje to aspekty bezpieczeństwa i ochrony, w tym wynikające z wszelkiego rodzaju sytuacji nagłych lub kryzysowych.

3. Biorąc pod uwagę obowiązek dochowania należytej staranności spoczywający na państwach członkowskich, instytucjach i organach UE oraz innych stronach, których personel znajduje się w delegaturach Unii lub ich lokalach, bądź obowiązek taki spoczywający na ESDZ w sytuacji, gdy delegatury Unii korzystają z lokali wyżej wymienionych innych stron, ESDZ zawiera porozumienia administracyjne z poszczególnymi wyżej wymienionymi podmiotami, określając role, zakresy odpowiedzialności i zadania poszczególnych stron i mechanizmy współpracy.

Artykuł 4

Bezpieczeństwo fizyczne i bezpieczeństwo infrastruktury

1. W celu ochrony interesów bezpieczeństwa ESDZ wprowadza ona wszelkie właściwe środki bezpieczeństwa (o charakterze stałym lub tymczasowym), w tym w zakresie kontroli dostępu, we wszystkich lokalach ESDZ. Takie środki uwzględnia się przy projektowaniu i planowaniu nowych lokali lub przed wynajęciem lokali istniejących.

2. W państwach trzecich ESDZ wprowadza również wszelkie właściwe dodatkowe środki bezpieczeństwa o charakterze stałym lub tymczasowym w celu ochrony swoich interesów bezpieczeństwa.

W tym celu możliwe jest ze względów bezpieczeństwa nakładanie na określony czas i na określonych obszarach szczególnych obowiązków lub ograniczeń na personel podlegający odpowiedzialności ESDZ i na osoby będące na jego utrzymaniu.

3. Środki, o których mowa w ust. 1 i 2, są współmierne do oszacowanego ryzyka.

Artykuł 5

Ochrona informacji niejawnych

1. Ochrona EUCI podlega wymogom określonym w niniejszej decyzji, a w szczególności w załączniku A. Posiadacz jakichkolwiek EUCI jest odpowiedzialny za ich należytą ochronę.

2. ESDZ zapewnia, aby dostępu do informacji niejawnych udzielano wyłącznie osobom, które spełniają warunki określone w art. 5 załącznika A.

3. Warunki udzielania dostępu do EUCI pracownikom miejscowym są określane również przez Wysokiego Przedstawiciela zgodnie z zasadami ochrony EUCI określonymi w załączniku A do niniejszej decyzji.

4. Dyrekcja ds. Bezpieczeństwa ESDZ prowadzi bazę danych dotyczącą statusu wszystkich członków personelu podlegającego odpowiedzialności ESDZ oraz wykonawców ESDZ pod względem poświadczenia bezpieczeństwa.

5. W przypadku gdy państwo członkowskie wprowadza do struktur lub sieci ESDZ informacje niejawne opatrzone krajowym oznaczeniem klauzuli tajności, ESDZ obejmuje te informacje ochroną zgodnie z wymogami, które mają zastosowanie do EUCI mających klauzulę o równoważnym poziomie, zgodnie z przepisami obowiązującymi na podstawie załącznika A do niniejszej decyzji.

6. W miejscach, w których w ESDZ przechowuje się informacje o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, bądź klauzuli jej równoważnej, tworzy się strefy zabezpieczone zgodnie z przepisami obowiązującymi na podstawie załącznika A do niniejszej decyzji, a strefy te zatwierdza organ ds. bezpieczeństwa ESDZ.

7. Procedury wykonywania przez Wysokiego Przedstawiciela jego obowiązków w ramach umów lub porozumień administracyjnych dotyczących wymiany EUCI z państwami trzecimi lub organizacjami międzynarodowymi określono w załącznikach A i A VI do niniejszej decyzji.

Artykuł 6

Incydenty związane z bezpieczeństwem i sytuacje nadzwyczajne

1. W celu zapewnienia szybkiego i skutecznego reagowania na incydenty związane z bezpieczeństwem ESDZ wprowadza proces zgłaszania takich incydentów i sytuacji nadzwyczajnych, działający całą dobę we wszystkie dni tygodnia i obejmujący wszelkiego rodzaju incydenty związane z bezpieczeństwem lub sytuacje powodujące zagrożenie dla interesów bezpieczeństwa ESDZ (np. wypadki, konflikty, działania podejmowane w złych zamiarach, działania przestępcze, porwania oraz przetrzymywanie zakładników, nagłe przypadki medyczne, incydenty dotyczące systemów teleinformatycznych, ataki cybernetyczne itp.).

2. Pomiędzy główną siedzibą ESDZ, delegaturami Unii, Radą, Komisją, specjalnymi przedstawicielami UE i państwami członkowskimi tworzy się kanały łączności kryzysowej, ułatwiające postępowanie na wypadek incydentów związanych z bezpieczeństwem, dotyczących personelu, oraz służące łagodzeniu ich skutków, co obejmuje również planowanie ewentualnościowe.

3. Wspomniane postępowanie na wypadek incydentów związanych z bezpieczeństwem obejmuje między innymi:

4. ESDZ wprowadza odpowiednie uregulowania administracyjne na potrzeby zgłaszania incydentów związanych z bezpieczeństwem w delegaturach Unii. W stosownych przypadkach informuje się państwa członkowskie, Komisję, wszelkie inne odpowiednie organy oraz odpowiednie komitety ds. bezpieczeństwa.

5. Dokonuje się regularnych ćwiczeń i przeglądów procesów postępowania na wypadek incydentów.

Artykuł 7

Bezpieczeństwo systemów teleinformatycznych

1. ESDZ chroni informacje przetwarzane w systemach teleinformatycznych („CIS”) przed zagrożeniami dla ich poufności, integralności, dostępności, autentyczności i niezaprzeczalności.

2. Zasady, politykę bezpieczeństwa i program bezpieczeństwa służące ochronie wszelkich CIS należących do ESDZ lub przez nią użytkowanych zatwierdza organ ESDZ ds. bezpieczeństwa, zdefiniowany w art. 12 sekcja I ust. 1.

3. Treść wyżej wspomnianych zasad, polityki i programu jest zgodna, a ich wdrażanie – ściśle skoordynowane z zasadami, polityką i programami bezpieczeństwa Rady i Komisji, a w stosownych przypadkach z polityką bezpieczeństwa stosowaną przez poszczególne państwa członkowskie.

4. Wszystkie CIS, w których przetwarza się informacje niejawne, przechodzą proces akredytacji. ESDZ stosuje system zarządzania akredytacją bezpieczeństwa w porozumieniu z Sekretariatem Generalnym Rady oraz Komisją.

5. W przypadkach gdy EUCI przetwarzane przez ESDZ podlegają ochronie przy użyciu produktów kryptograficznych, produkty te są zatwierdzane przez organ ds. zatwierdzania produktów kryptograficznych ESDZ na podstawie zalecenia Komitetu ds. Bezpieczeństwa w Radzie.

6. W zakresie, w jakim jest to niezbędne, organ ESDZ ds. bezpieczeństwa ustanawia następujące funkcje w zakresie zabezpieczania informacji:

7. Organ ESDZ ds. bezpieczeństwa ustanawia dla każdego systemu następujące funkcje:

8. Przepisy dotyczące wprowadzania w życie niniejszego artykułu w zakresie ochrony EUCI znajdują się w załącznikach A i A IV.

Artykuł 8

Naruszenia zasad bezpieczeństwa oraz nieuprawnione ujawnienie informacji niejawnych

1. Naruszenie zasad bezpieczeństwa następuje w wyniku działania określonej osoby lub zaniechania przez nią działania w sposób sprzeczny z przepisami bezpieczeństwa ustanowionymi w niniejszej decyzji lub z polityką bądź wytycznymi określającymi środki niezbędne do wdrożenia tych przepisów, zatwierdzonymi zgodnie z art. 20 ust. 1.

2. Nieuprawnione ujawnienie informacji niejawnych następuje wówczas, gdy informacje niejawne zostają w całości lub częściowo ujawnione nieupoważnionym osobom lub podmiotom.

3. Wszelkie naruszenia zasad bezpieczeństwa lub nieuprawnione ujawnienie informacji niejawnych bądź podejrzenie takiego naruszenia lub ujawnienia należy niezwłocznie zgłaszać do Dyrekcji ds. Bezpieczeństwa ESDZ, która podejmuje odpowiednie działania określone w załączniku A.

4. Każda osoba odpowiedzialna za naruszenie przepisów bezpieczeństwa określonych w niniejszej decyzji lub za nieuprawnione ujawnienie informacji niejawnych może podlegać postępowaniu dyscyplinarnemu lub sądowemu zgodnie z mającymi zastosowanie zasadami oraz przepisami ustawowymi i wykonawczymi, wymienionymi w art. 11 ust. 3 załącznika A.

Artykuł 9

Dochodzenia w przypadkach incydentów związanych z bezpieczeństwem, naruszeń zasad bezpieczeństwa i nieuprawnionego ujawnienia informacji niejawnych oraz działania naprawcze

1. Dyrekcja ds. Bezpieczeństwa ESDZ, w stosownych przypadkach przy wsparciu ekspertów z państw członkowskich lub innych instytucji UE i w razie potrzeby za zezwoleniem dyrektora ds. operacyjnych:

2. Osobom prowadzącym dochodzenia zapewnia się dostęp do wszelkich informacji niezbędnych do ich prowadzenia oraz pełne wsparcie wszelkich służb ESDZ w tym zakresie.

Osoby prowadzące dochodzenia mogą podejmować odpowiednie działania w celu zabezpieczenia materiału dowodowego w sposób proporcjonalny do wagi kwestii będącej przedmiotem dochodzenia.

3. W przypadku gdy dostęp do informacji dotyczy danych osobowych, w tym danych znajdujących się w systemach teleinformatycznych, dostępu takiego udziela się zgodnie z rozporządzeniem (WE) nr 45/2001.

4. W przypadkach gdy na potrzeby dochodzenia konieczne jest stworzenie bazy danych zawierającej dane osobowe, powiadamia się Europejskiego Inspektora Ochrony Danych zgodnie z wyżej wspomnianym rozporządzeniem.

Artykuł 10

Zarządzanie ryzykiem dla bezpieczeństwa

1. W celu określenia swoich potrzeb w zakresie zapewnienia bezpieczeństwa ESDZ w ścisłej współpracy z Dyrekcją ds. Bezpieczeństwa w Komisji oraz w stosownych przypadkach z Biurem Bezpieczeństwa w Sekretariacie Generalnym Rady opracowuje metodykę kompleksowego szacowania ryzyka dla bezpieczeństwa.

2. Zarządzanie ryzykiem dla interesów bezpieczeństwa ESDZ przebiega w ramach określonego procesu. Celem tego procesu jest ustalenie znanych rodzajów ryzyka dla bezpieczeństwa, określenie środków bezpieczeństwa mających ograniczać to ryzyko do dopuszczalnego poziomu oraz stosowanie środków zgodnie z koncepcją ochrony w głąb. Skuteczność takich środków i poziom ryzyka podlega ciągłej ocenie.

3. Role, zakresy odpowiedzialności i zadania określone w niniejszej decyzji pozostają bez uszczerbku dla odpowiedzialności każdego członka personelu podlegającego odpowiedzialności ESDZ; w szczególności personel UE przebywający na misjach w państwach trzecich musi wykazywać zdrowy rozsądek i właściwą ocenę sytuacji w zakresie własnego bezpieczeństwa oraz przestrzegać wszelkich obowiązujących przepisów, zasad, procedur i instrukcji dotyczących bezpieczeństwa.

4. ESDZ podejmuje wszelkie racjonalne środki dla zapewnienia ochrony swoich interesów bezpieczeństwa i zapobieżenia dającym się racjonalnie przewidzieć szkodom dla tych interesów.

5. Środki bezpieczeństwa w ESDZ dotyczące ochrony EUCI w całym ich cyklu życia ustala się w sposób współmierny w szczególności do ich klauzuli tajności, formy i ilości informacji lub materiału, lokalizacji i konstrukcji obiektów, w których przechowywane są EUCI, oraz zagrożenia (w tym oszacowanego na poziomie lokalnym) działaniami podejmowanymi w złych zamiarach lub działalnością przestępczą, taką jak np. działalność szpiegowska, sabotażowa lub terrorystyczna.

Artykuł 11

Świadomość w kwestiach związanych z bezpieczeństwem i szkolenie

1. Organ ESDZ ds. bezpieczeństwa zapewnia opracowanie i wdrożenie odpowiednich programów podnoszenia świadomości i szkolenia w dziedzinie bezpieczeństwa oraz dba o to, by członkowie personelu podlegającego odpowiedzialności ESDZ, a w stosownych przypadkach również osoby na ich utrzymaniu, odebrali niezbędne instrukcje i szkolenia w zakresie bezpieczeństwa, współmierne do ryzyka w ich miejscu pracy lub zamieszkania.

2. Przed uzyskaniem dostępu do EUCI, a po jego uzyskaniu – w regularnych odstępach czasu członkowie personelu informowani są o obowiązku ochrony EUCI zgodnie z przepisami określonymi w art. 5 i potwierdzają przyjęcie tego obowiązku do wiadomości.

Artykuł 12

Organizacja bezpieczeństwa w ESDZ

1. Organem ESDZ ds. bezpieczeństwa jest dyrektor ds. operacyjnych. Pełniąc tę funkcję, dyrektor ds. operacyjnych zapewnia, aby:

w sprawie wszelkich przypadków lub podejrzeń naruszenia zasad bezpieczeństwa bądź utraty lub nieuprawnionego ujawnienia informacji niejawnych będących w posiadaniu lub pochodzących z ESDZ przeprowadzano postępowanie wyjaśniające oraz by o pomoc w takich postępowaniach zwracano się do odpowiednich organów ds. bezpieczeństwa;

2. W wykonywaniu tych zadań dyrektor ds. operacyjnych otrzymuje wsparcie dyrektora zarządzającego ds. administracyjnych i finansowych, kierownika Dyrekcji ds. Bezpieczeństwa ESDZ oraz w stosownych przypadkach dyrektora zarządzającego ds. reagowania w sytuacjach kryzysowych i koordynatora operacyjnego.

3. Dyrektor ds. operacyjnych jako organ ESDZ ds. bezpieczeństwa może w stosownych przypadkach delegować swoje zadania w tym zakresie.

4. Każdy kierownik departamentu lub działu jest odpowiedzialny za wdrażanie zasad ochrony EUCI w podległym mu departamencie lub dziale.

Bez uszczerbku dla odpowiedzialności za powyższe zadania każdy kierownik departamentu lub działu wyznacza pracownika do pełnienia funkcji departamentalnego koordynatora ds. bezpieczeństwa, dysponującego zasobami proporcjonalnymi do ilości EUCI, z którymi obchodzi się dany departament lub dział.

Departamentalni koordynatorzy ds. bezpieczeństwa w stosownych przypadkach służą pomocą i wsparciem kierownikom departamentów lub działów, którym podlegają, w wykonywaniu zadań związanych z bezpieczeństwem, takich jak:

Wszelkie działania lub kwestie mogące mieć wpływ na bezpieczeństwo należy bez zwłoki zgłaszać Departamentowi ds. Bezpieczeństwa ESDZ.

5. Każdy szef delegatury Unii jest odpowiedzialny za wdrażanie wszelkich środków w zakresie bezpieczeństwa danej delegatury.

1. W ESDZ powołuje się Dyrekcję ds. Bezpieczeństwa, która:

zajmuje się zarządzaniem, koordynacją, nadzorem i wdrażaniem w odniesieniu do wszelkich środków bezpieczeństwa w siedzibie głównej oraz we wszystkich lokalach podlegających odpowiedzialności ESDZ w UE i w państwach trzecich;

2. Kierownik Dyrekcji ds. Bezpieczeństwa ESDZ odpowiada za:

3. Kierownik Dyrekcji ds. Bezpieczeństwa ESDZ:

4. Dyrekcja ds. Bezpieczeństwa ESDZ nawiązuje kontakt i utrzymuje ścisłą współpracę z:

1. Każdy szef delegatury Unii jest odpowiedzialny za lokalne wdrażanie wszelkich środków służących ochronie interesów bezpieczeństwa ESDZ w lokalach danej delegatury Unii i w zakresie jej kompetencji oraz za zarządzanie tymi środkami.

W porozumieniu z właściwymi organami państwa przyjmującego podejmuje on w razie konieczności wszelkie racjonalnie możliwe działania dla zapewnienia, aby wprowadzono odpowiednie środki fizyczne i organizacyjne służące osiągnięciu tego celu.

Szef delegatury opracowuje w stosownych przypadkach procedury bezpieczeństwa służące ochronie osób na utrzymaniu w rozumieniu art. 2 lit. c) z uwzględnieniem wszelkich porozumień administracyjnych, o których mowa w art. 3 ust. 3. Szef delegatury przekazuje Dyrekcji ds. Bezpieczeństwa ESDZ coroczne sprawozdania dotyczące wszelkich kwestii bezpieczeństwa będących w zakresie jego kompetencji.

W wykonywaniu tych zadań jest on wspierany przez Dyrekcję ds. Bezpieczeństwa ESDZ, personel ESDZ w delegaturze wypełniający powierzone mu zadania i funkcje oraz specjalnych pracowników ochrony rozmieszczonych tam, gdzie jest to konieczne.

2. Ponadto szef delegatury:

zapewnia, aby w szkoleniach udzielanych wszystkim członkom personelu przydzielonym do pracy w delegaturze przed ich przybyciem do delegatury lub niezwłocznie po nim uwzględniano kwestie bezpieczeństwa oraz

3. Bez uszczerbku dla odpowiedzialności i rozliczalności za zapewnienie zarządzania kwestiami bezpieczeństwa oraz odporności organizacji, szef delegatury może delegować wykonanie swoich zadań w zakresie bezpieczeństwa koordynatorowi delegatury ds. bezpieczeństwa, który jest zastępcą szefa delegatury, a w wypadku kiedy nie został on powołany – innej odpowiedniej osobie.

Koordynatorowi delegatury ds. bezpieczeństwa można powierzyć w szczególności następujące działania:

4. Szef delegatury może delegować zadania związane z bezpieczeństwem o charakterze administracyjnym lub technicznym kierownikowi administracyjnemu oraz innym członkom personelu delegatury.

5. Delegaturę Unii wspomaga regionalny pełnomocnik ds. ochrony. Każdy regionalny pełnomocnik ds. ochrony wykonuje niżej opisane zadania w delegaturach należących do jego geograficznego zakresu kompetencji.

W pewnych okolicznościach, jeśli wymaga tego aktualna sytuacja pod względem bezpieczeństwa, do konkretnej delegatury może zostać przypisany w pełnym wymiarze czasu osobny regionalny pełnomocnik ds. ochrony.

Regionalny pełnomocnik ds. ochrony może być zobowiązany do przeniesienia się poza swój obecny obszar kompetencji, w tym do głównej siedziby w Brukseli, lub nawet objąć stanowisko o stałej lokalizacji z uwagi na sytuację w zakresie bezpieczeństwa w danym kraju i zgodnie z wymogami Dyrekcji ds. Bezpieczeństwa ESDZ.

6. Pod względem hierarchicznym regionalni pełnomocnicy ds. ochrony podlegają bezpośrednio Dyrekcji ds. Bezpieczeństwa ESDZ, natomiast pod względem funkcjonalnym i administracyjnym – szefom poszczególnych delegatur. Wspomagają oni szefów i personel delegatur w organizowaniu i realizacji wszelkich środków fizycznych, organizacyjnych i proceduralnych dotyczących bezpieczeństwa wszystkich członków personelu delegatur niezależnie od ich pochodzenia administracyjnego.

7. Regionalni pełnomocnicy ds. ochrony służą szefom i personelowi delegatur radą i wsparciem. W stosownych przypadkach, szczególnie jeśli dany regionalny pełnomocnik ds. ochrony jest przypisany do konkretnej delegatury i wykonuje w niej obowiązki w pełnym wymiarze czasu, może on wspomagać tę delegaturę w zakresie zarządzania środkami bezpieczeństwa i wdrażania ich, w tym w przygotowywaniu umów w zakresie bezpieczeństwa oraz zarządzaniu akredytacjami i poświadczeniami.

Artykuł 13

Działania w ramach WPBiO i specjalni przedstawiciele UE

Dyrekcja ds. Bezpieczeństwa ESDZ oferuje pomoc i radę dyrektorowi Dyrekcji ds. Zarządzania Kryzysowego i Planowania, dyrektorowi generalnemu Sztabu Wojskowego UE, cywilnemu dowódcy operacji, kierującemu Komórką Planowania i Prowadzenia Operacji Cywilnych oraz dowódcom operacji wojskowych UE w zakresie aspektów bezpieczeństwa działań w ramach WPBiO, a także specjalnym przedstawicielom UE – w zakresie kwestii bezpieczeństwa związanych z pełnionymi przez nich funkcjami, w uzupełnieniu szczegółowych przepisów w tym zakresie, przewidzianych w odpowiednich politykach przyjętych przez Radę.

Artykuł 14

Komitet ds. Bezpieczeństwa ESDZ

1. Niniejszym ustanawia się Komitet ds. Bezpieczeństwa ESDZ.

Komitetowi przewodniczy dyrektor ds. operacyjnych lub wyznaczona przez niego osoba, a zbiera się on na polecenie przewodniczącego lub na wniosek jednego z członków. Dyrekcja ds. Bezpieczeństwa ESDZ wspiera przewodniczącego w wykonywaniu jego obowiązków i w razie konieczności służy wsparciem administracyjnym prac Komitetu.

2. Komitet ds. Bezpieczeństwa ESDZ składa się z przedstawicieli:

Delegacja państwa członkowskiego w Komitecie ds. Bezpieczeństwa ESDZ może składać się z członków:

3. W przypadkach, w których przedstawiciele Komitetu uznają to za konieczne, mogą im towarzyszyć i służyć radą eksperci. Przedstawiciele innych instytucji, agencji lub organów UE mogą być zapraszani do udziału w dyskusjach dotyczących kwestii istotnych dla ich bezpieczeństwa.

4. Nie naruszając przepisów ust. 5 Komitet Bezpieczeństwa ESDZ wspiera ESDZ w formie konsultacji we wszelkich kwestiach bezpieczeństwa mających znaczenie dla działalności ESDZ oraz dla siedziby głównej i delegatur Unii.

W szczególności, nie naruszając przepisów ust. 5:

5. Wszelkie zmiany zasad dotyczących ochrony EUCI określonych w niniejszej decyzji i w załączniku A wymagają jednogłośnej przychylnej opinii państw członkowskich reprezentowanych w Komitecie ds. Bezpieczeństwa ESDZ. Taka jednogłośna przychylna opinia jest wymagana również przed:

W przypadku kiedy wymagana jest jednogłośna przychylna opinia, warunek ten jest spełniony, o ile żadna z delegacji państw członkowskich nie wyraża sprzeciwu w czasie obrad Komitetu.

6. Komitet ds. Bezpieczeństwa ESDZ w pełni uwzględnia polityki i wytyczne w zakresie bezpieczeństwa obowiązujące w Radzie i w Komisji.

7. Komitet ds. Bezpieczeństwa ESDZ otrzymuje wykaz corocznych inspekcji ESDZ oraz sprawozdania z inspekcji po ich zakończeniu.

8. Organizacja posiedzeń:

Dyrekcja ds. Bezpieczeństwa ESDZ odpowiada za przygotowywanie poszczególnych punktów do dyskusji. Przewodniczący sporządza wstępny porządek obrad każdego posiedzenia. Członkowie Komitetu mogą proponować dodatkowe punkty do dyskusji.

Artykuł 15

Inspekcje w zakresie bezpieczeństwa

1. Organ ESDZ ds. bezpieczeństwa zapewnia regularne przeprowadzanie w siedzibie głównej ESDZ i w delegaturach Unii inspekcji w zakresie bezpieczeństwa, których celem jest sprawdzenie, czy środki bezpieczeństwa są odpowiednie i zgodne z niniejszą decyzją. Dyrekcja ds. Bezpieczeństwa ESDZ może w stosownych przypadkach wyznaczać ekspertów, którzy będą brać udział w inspekcjach w zakresie bezpieczeństwa w agencjach i organach UE powoływanych na mocy tytułu V rozdział 2 TUE.

2. Inspekcje ESDZ w zakresie bezpieczeństwa odbywają się pod kierunkiem Dyrekcji ds. Bezpieczeństwa ESDZ, w stosownych wypadkach ze wsparciem ekspertów w dziedzinie bezpieczeństwa, reprezentujących inne instytucje UE lub państwa członkowskie, w szczególności w kontekście uzgodnień, o których mowa w art. 3 ust. 3.

3. ESDZ może w razie potrzeby korzystać z wiedzy fachowej w państwach członkowskich, Sekretariacie Generalnym Rady oraz Komisji.

W razie konieczności do udziału w inspekcji w zakresie bezpieczeństwa w delegaturze Unii mogą być zaproszeni odpowiedni eksperci w dziedzinie bezpieczeństwa pracujący w misjach państw członkowskich w państwach trzecich lub przedstawiciele departamentów zajmujących się bezpieczeństwem dyplomatycznym w państwach członkowskich.

4. Przepisy dotyczące wprowadzania w życie niniejszego artykułu w zakresie ochrony EUCI znajdują się w załączniku A III.

Artykuł 16

Wizyty oceniające

Aby stwierdzić skuteczność środków bezpieczeństwa stosowanych w państwie trzecim lub organizacji międzynarodowej w celu ochrony EUCI wymienianych na podstawie porozumienia administracyjnego, o którym mowa w art. 10 ust. 1 lit. b) załącznika A, przeprowadzane są wizyty oceniające.

Dyrekcja ds. Bezpieczeństwa ESDZ może wyznaczyć ekspertów do udziału w wizytach oceniających w państwach trzecich lub organizacjach międzynarodowych, z którymi UE zawarła umowę o bezpieczeństwie informacji, o której mowa w art. 10 ust. 1 lit. b) załącznika A.

Artykuł 17

Planowanie ciągłości działania

W ramach ogólnego planowania ciągłości działania ESDZ Dyrekcja ds. Bezpieczeństwa ESDZ wspiera dyrektora ds. operacyjnych w zarządzaniu aspektami procesów ciągłości działania ESDZ związanymi z bezpieczeństwem.

Artykuł 18

Porady dla osób podróżujących na misje poza UE

Dyrekcja ds. Bezpieczeństwa ESDZ udostępnia porady dla członków personelu podlegającego odpowiedzialności ESDZ, wyjeżdżającego na misje poza UE, z wykorzystaniem zasobów wszystkich odnośnych służb ESDZ, w szczególności SITROOM, INTCEN, departamentów geograficznych i delegatur Unii.

Na żądanie Dyrekcja ds. Bezpieczeństwa ESDZ przedstawia na podstawie wyżej wymienionych zasobów szczegółowe porady dla członków personelu podlegającego odpowiedzialności ESDZ, wyjeżdżającego na misje do państw trzecich o wysokim lub podwyższonym poziomie ryzyka.

Artykuł 19

Zdrowie i bezpieczeństwo

Przepisy bezpieczeństwa ESDZ stanowią uzupełnienie przyjętych przez Wysokiego Przedstawiciela zasad ESDZ dotyczących ochrony zdrowia i bezpieczeństwa.

Artykuł 20

Wdrożenie i przegląd

1. Organ ESDZ ds. bezpieczeństwa, w stosownych przypadkach po konsultacji z Komitetem ds. Bezpieczeństwa ESDZ, zatwierdza polityki lub wytyczne dotyczące bezpieczeństwa, określające wszelkie środki służące wdrażaniu niniejszych zasad w ESDZ, oraz zapewnia tworzenie niezbędnego potencjału obejmującego wszystkie aspekty bezpieczeństwa w ścisłej współpracy z organami państw członkowskich mającymi kompetencje w dziedzinie bezpieczeństwa oraz ze wsparciem odpowiednich służb instytucji UE.

2. Zgodnie z art. 4 ust. 5 decyzji Rady 2010/427/UE z dnia 26 lipca 2010 r. określającej organizację i zasady funkcjonowania Europejskiej Służby Działań Zewnętrznych w razie potrzeby mogą być stosowane rozwiązania przejściowe z wykorzystaniem porozumień o gwarantowanym poziomie usług z odpowiednimi służbami Sekretariatu Generalnego Rady i Komisji.

3. Wysoki Przedstawiciel zapewnia ogólną spójność stosowania niniejszej decyzji i prowadzi przeglądy niniejszych przepisów bezpieczeństwa.

4. Przepisy bezpieczeństwa ESDZ wdraża się w ścisłej współpracy z organami państw członkowskich mającymi kompetencje w dziedzinie bezpieczeństwa, Biurem Bezpieczeństwa Sekretariatu Generalnego Rady oraz Dyrekcją ds. Bezpieczeństwa Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa w Komisji.

5. ESDZ zapewnia uwzględnianie wszystkich aspektów procesu bezpieczeństwa w ramach systemu reagowania w sytuacjach kryzysowych ESDZ.

6. Wdrożenie niniejszej decyzji zapewniają dyrektor ds. operacyjnych jako organ ds. bezpieczeństwa ESDZ oraz kierownik Dyrekcji ds. Bezpieczeństwa ESDZ.

Artykuł 21

Zastąpienie poprzednich decyzji

1. Niniejsza decyzja uchyla i zastępuje decyzję Wysokiego Przedstawiciela Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa z dnia 15 czerwca 2011 r. w sprawie przepisów bezpieczeństwa mających zastosowanie do Europejskiej Służby Działań Zewnętrznych (3).

2. Niniejsza decyzja uchyla decyzję Wysokiego Przedstawiciela Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa z dnia 23 lutego 2011 r. w sprawie powołania i zadań delegowanego organu ds. bezpieczeństwa Europejskiej Służby Działań Zewnętrznych.

Artykuł 22

Przepisy końcowe

Niniejsza decyzja wchodzi w życie w dniu jej podpisania.

Zostaje ona opublikowana w Dzienniku Urzędowym Unii Europejskiej.

(1) Dz.U. L 201 z 3.8.2010, s. 30.

(2) Dz.U. C 304 z 15.10.2011, s. 5

(3) Dz.U. C 304 z 15.10.2011, s. 5

ZAŁĄCZNIK A

ZASADY I NORMY OCHRONY EUCI

Artykuł 1

Cel, zakres stosowania i definicje

1. W niniejszym załączniku określa się podstawowe zasady i minimalne normy bezpieczeństwa służące ochronie EUCI.

2. Podstawowe zasady i minimalne normy mają zastosowanie do ESDZ w rozumieniu art. 1 niniejszej decyzji oraz personelu podlegającego odpowiedzialności ESDZ w rozumieniu definicji zawartej w art. 2 niniejszej decyzji.

Artykuł 2

Definicja EUCI, klauzule tajności i oznaczenia

1. „Informacje niejawne UE” (EUCI) oznaczają wszelkie informacje lub materiały objęte klauzulą tajności UE, których nieuprawnione ujawnienie mogłoby w różnym stopniu wyrządzić szkodę interesom Unii Europejskiej lub interesom co najmniej jednego państwa członkowskiego.

2. EUCI otrzymują jedną z następujących klauzul tajności:

a) TRES SECRET UE/EU TOP SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby wyrządzić wyjątkowo poważną szkodę podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;

b) SECRET UE/EU SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;

c) CONFIDENTIEL UE/EU CONFIDENTIAL: informacje i materiały, których nieuprawnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;

d) RESTREINT UE/EU RESTRICTED: informacje i materiały, których nieuprawnione ujawnienie mogłoby być niekorzystne dla interesów Unii Europejskiej lub co najmniej jednego państwa członkowskiego.

3. EUCI nadaje się klauzulę tajności zgodnie z ust. 2. Można nadać im dodatkowe oznaczenie wskazujące na dziedzinę działalności, do której się odnoszą, na wytwórcę, ograniczenia dystrybucji, ograniczenia wykorzystania lub możliwość ujawnienia.

Artykuł 3

Oznaczanie klauzulami tajności

1. ESDZ zapewnia, by EUCI nadawano odpowiednie klauzule tajności, by informacje takie były wyraźnie oznaczone jako informacje niejawne, a także by były one objęte danym poziomem klauzuli tajności nie dłużej, niż jest to konieczne.

2. Obniżenie lub zniesienie klauzuli tajności nadanej EUCI bądź zmiana lub usunięcie oznaczeń, o których mowa w art. 2 ust. 3, wymagają uprzedniej pisemnej zgody wytwórcy.

3. Organ ESDZ ds. bezpieczeństwa, po konsultacji z Komitetem Bezpieczeństwa ESDZ zgodnie z art. 14 ust. 5 niniejszej decyzji, zatwierdza politykę bezpieczeństwa w zakresie wytwarzania EUCI, która obejmuje praktyczny przewodnik nadawania klauzul tajności.

Artykuł 4

Ochrona informacji niejawnych

1. EUCI podlegają ochronie zgodnie z niniejszą decyzją.

2. Posiadacz jakichkolwiek EUCI jest odpowiedzialny za ich ochronę zgodnie z niniejszą decyzją.

3. Jeżeli państwa członkowskie wprowadzają do struktur lub sieci ESDZ informacje niejawne, którym nadano krajową klauzulę tajności, ESDZ obejmują te informacje ochroną zgodnie z wymogami, które mają zastosowanie do EUCI mających równorzędną klauzulę tajności – zgodnie z tabelą odpowiedników klauzul tajności zamieszczoną w dodatku B do decyzji Rady 2011/292/WE z dnia 31 marca 2011 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE.

ESDZ ustanawia odpowiednie procedury w celu prowadzenia dokładnych rejestrów dotyczących wytwórcy:

— informacji niejawnych otrzymywanych przez ESDZ oraz

— materiałów źródłowych zawartych w informacjach niejawnych wytworzonych przez ESDZ.

O procedurach tych informuje się Komitet ds. Bezpieczeństwa ESDZ.

4. Uzasadnione może być objęcie dużych ilości lub kompilacji EUCI ochroną na poziomie właściwym dla wyższej klauzuli tajności niż klauzula, którą objęto ich części składowe.

Artykuł 5

Bezpieczeństwo osobowe w kontekście obchodzenia się z informacjami niejawnymi UE

1. Bezpieczeństwo osobowe oznacza stosowanie środków gwarantujących, że dostęp do EUCI jest przyznawany tylko osobom, które:

— spełniają zasadę ograniczonego dostępu;

— w odniesieniu do dostępu do informacji o klauzuli CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej – otrzymały poświadczenie bezpieczeństwa do odpowiedniego poziomu lub ze względu na pełnione przez siebie funkcje otrzymały inne odpowiednie uprawnienie zgodnie z krajowymi przepisami ustawowymi i wykonawczymi; oraz

— zostały poinformowane o swoich obowiązkach.

2. W ramach procedur wydawania poświadczenia bezpieczeństwa osobowego (PBO) stwierdza się, czy daną osobę, ze względu na jej lojalność, wiarygodność i rzetelność, można uprawnić do dostępu do EUCI.

3. Przed uzyskaniem dostępu do EUCI, a następnie w regularnych odstępach czasu po jego uzyskaniu, wszystkie osoby informowane są o obowiązku ochrony EUCI zgodnie z niniejszą decyzją i potwierdzają na piśmie przyjęcie do wiadomości tego obowiązku.

4. Przepisy dotyczące wprowadzania w życie niniejszego artykułu znajdują się w załączniku A I.

Artykuł 6

Bezpieczeństwo fizyczne informacji niejawnych UE

1. Bezpieczeństwo fizyczne oznacza stosowanie fizycznych i technicznych środków ochrony w celu powstrzymania nieuprawnionego dostępu do EUCI.

2. Środki bezpieczeństwa fizycznego mają na celu zapobieżenie wtargnięciu osoby nieupoważnionej, w sposób niezauważony lub z użyciem siły, powstrzymanie od podjęcia nieuprawnionych działań, udaremnianie i wykrywanie takich działań oraz umożliwienie podziału personelu pod względem dostępu do EUCI zgodnie z zasadą ograniczonego dostępu. Środki te określane są na podstawie procesu zarządzania ryzykiem.

3. Środkami bezpieczeństwa fizycznego obejmuje się wszystkie lokale, budynki, biura, pomieszczenia i inne strefy, w których ma miejsce obchodzenie się z EUCI lub ich przechowywanie, w tym strefy, w których znajdują się systemy teleinformatyczne zdefiniowane w art. 8 ust. 2.

4. Strefy, w których przechowywane są EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, ustanawiane są strefami bezpieczeństwa zgodnie z załącznikiem A II; strefy takie zatwierdza organ ESDZ ds. bezpieczeństwa.

5. Do ochrony EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej wykorzystuje się wyłącznie zatwierdzony sprzęt lub zatwierdzone urządzenia.

6. Przepisy dotyczące wprowadzania w życie niniejszego artykułu znajdują się w załączniku A II.

Artykuł 7

Zarządzanie informacjami niejawnymi

1. Zarządzanie informacjami niejawnymi polega na stosowaniu środków administracyjnych służących kontroli EUCI na wszystkich etapach ich cyklu życia w uzupełnieniu środków przewidzianych w art. 5, 6 i 8, co ma pomóc w powstrzymywaniu od zamierzonego lub przypadkowego nieuprawnionego ujawnienia lub utraty tych informacji, w wykrywaniu takich przypadków i usuwaniu ich skutków. Środki takie dotyczą w szczególności wytwarzania, rejestracji, kopiowania, tłumaczenia i przenoszenia EUCI, obchodzenia się z nimi, ich przechowywania i niszczenia.

2. Informacje niejawne o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej są ze względów bezpieczeństwa rejestrowane przed dystrybucją i w momencie wpłynięcia. Właściwe organy ESDZ ustanawiają do tego celu system kancelarii tajnych. Informacje niejawne o klauzuli tajności TRES SECRET UE/EU TOP SECRET rejestruje się w wyznaczonych kancelariach tajnych.

3. Jednostki organizacyjne i lokale, w których ma miejsce obchodzenie się z EUCI lub ich przechowywanie, poddawane są regularnym inspekcjom przeprowadzanym przez organ ESDZ ds. bezpieczeństwa.

4. Poza strefami chronionymi fizycznie EUCI są przekazywane między jednostkami organizacyjnymi i lokalami w sposób następujący:

a) zgodnie z ogólną zasadą EUCI są przekazywane drogą elektroniczną chronioną przy użyciu produktów kryptograficznych zatwierdzonych zgodnie z art. 7 ust. 5 niniejszej decyzji oraz zgodnie z jasno zdefiniowanymi operacyjnymi procedurami bezpieczeństwa;

(b) gdy nie korzysta się ze sposobu, o którym mowa w lit. a), EUCI są przenoszone: (i) za pomocą środków elektronicznych (jak np. pamięć USB, płyty kompaktowe, twarde dyski) chronionych przy użyciu produktów kryptograficznych zatwierdzonych zgodnie z art. 7 ust. 5 niniejszej decyzji; lub (ii) we wszystkich pozostałych przypadkach – zgodnie z wytycznymi organu ESDZ ds. bezpieczeństwa wydanymi w myśl odpowiednich środków ochrony określonych w załączniku A III sekcja V.

5. Przepisy dotyczące wprowadzania w życie niniejszego artykułu znajdują się w załączniku A III.

Artykuł 8

Ochrona EUCI podczas obchodzenia się z nimi w systemach teleinformatycznych

1. Zabezpieczanie informacji w ramach systemów teleinformatycznych oznacza pewność, że systemy te będą chronić informacje, z którymi będą się obchodzić, i będą działać zgodnie z przeznaczeniem i w każdej sytuacji, w której będzie to konieczne, pod kontrolą uprawnionych użytkowników. Skuteczne zabezpieczanie informacji musi gwarantować odpowiedni poziom poufności, integralności, dostępności, niezaprzeczalności i autentyczności. Zabezpieczanie informacji opiera się na procesie zarządzania ryzykiem.

2. „System teleinformatyczny” oznacza każdy system umożliwiający obchodzenie się z informacjami w formie elektronicznej. System teleinformatyczny obejmuje wszystkie zasoby niezbędne do jego funkcjonowania, w tym infrastrukturę, organizację, personel oraz zasoby informatyczne. Niniejszy załącznik ma zastosowanie do wszelkich systemów teleinformatycznych ESDZ obchodzących się z EUCI.

3. System teleinformatyczny obchodzi się z EUCI zgodnie z koncepcją zabezpieczania informacji.

4. Wszystkie systemy teleinformatyczne obchodzące się z EUCI poddawane są procedurze akredytacji. Celem akredytacji jest upewnienie się, że zastosowano wszystkie odpowiednie środki bezpieczeństwa i że osiągnięto wystarczający poziom ochrony EUCI i systemu teleinformatycznego zgodnie z niniejszą decyzją. W świadectwie akredytacji określa się najwyższą klauzulę tajności informacji, z którymi może obchodzić się dany system teleinformatyczny, oraz odnośne warunki.

5. System teleinformatyczny obchodzący się z informacjami niejawnymi o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL i wyższej jest chroniony w taki sposób, by wykluczyć nieuprawnione ujawnienie informacji z powodu niezamierzonych emisji elektromagnetycznych („środki bezpieczeństwa TEMPEST”).

6. W przypadku gdy EUCI podlegają ochronie przy użyciu produktów kryptograficznych, produkty te są zatwierdzane w sposób zgodny z art. 7 ust. 5 niniejszej decyzji.

7. Podczas transmisji EUCI drogą elektroniczną stosuje się zatwierdzone produkty kryptograficzne. Niezależnie od tego wymogu w okolicznościach nadzwyczajnych mogą mieć zastosowanie szczególne procedury lub szczególne konfiguracje techniczne określone w załączniku A IV.

8. Zgodnie z art. 7 ust. 6 niniejszej decyzji ustanawia się, w zakresie, w jakim jest to niezbędne, następujące funkcje zabezpieczania informacji:

a) organ ds. zabezpieczania informacji (IAA);

b) organ ds. TEMPEST (TA);

c) organ ds. zatwierdzania produktów kryptograficznych (CAA);

d) organ ds. dystrybucji produktów kryptograficznych (CDA).

9. Zgodnie z art. 7 ust. 7 niniejszej decyzji w odniesieniu do każdego systemu ustanawia się:

a) organ ds. akredytacji bezpieczeństwa (SAA);

b) organ operacyjny ds. zabezpieczania informacji.

10. Przepisy dotyczące wprowadzania w życie niniejszego artykułu znajdują się w załączniku A IV.

Artykuł 9

Bezpieczeństwo przemysłowe

1. Bezpieczeństwo przemysłowe oznacza stosowanie środków mających zapewnić ochronę EUCI przez wykonawców lub podwykonawców podczas negocjacji poprzedzających zawarcie umów i na wszystkich etapach cyklu życia umów niejawnych. Umowy takie co do zasady nie obejmują dostępu do informacji niejawnych o klauzuli tajności TRES SECRET UE/EU TOP SECRET.

2. ESDZ może na podstawie umowy powierzyć zadania obejmujące dostęp do EUCI lub wiążące się z nim bądź z obchodzeniem się z EUCI lub ich przechowywaniem przez podmioty gospodarcze lub inne, zarejestrowane w państwie członkowskim lub w państwie trzecim, z którym zawarto umowę dotyczącą bezpieczeństwa informacji lub porozumienie administracyjne, o których mowa w art. 10 ust. 1 załącznika A.

3. Jako instytucja zamawiająca ESDZ zapewnia, by w przypadku zawierania umów niejawnych z podmiotami gospodarczymi lub innymi spełnione były minimalne normy bezpieczeństwa przemysłowego określone w niniejszej decyzji i te, o których mowa w danej umowie. ESDZ zapewnia zgodność z wspomnianymi minimalnymi wymogami za pośrednictwem odpowiednich KWB lub WWB.

4. Wykonawcy lub podwykonawcy zarejestrowani w państwie członkowskim, będący stronami umów niejawnych lub niejawnych umów o podwykonawstwo, które to umowy wymagają od nich obchodzenia się z informacjami niejawnymi o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub SECRET UE/EU SECRET i przechowywania ich podczas wykonywania takich umów lub na etapie poprzedzającym ich zawarcie, muszą posiadać świadectwo bezpieczeństwa przemysłowego (SBP) do odpowiedniego poziomu klauzuli tajności, wydane przez KWB, WWB lub jakikolwiek inny właściwy organ ds. bezpieczeństwa danego państwa członkowskiego.

5. Pracownicy wykonawcy lub podwykonawcy, którym przy wykonywaniu umowy niejawnej niezbędny jest dostęp do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub SECRET UE/EU SECRET, muszą posiadać poświadczenie bezpieczeństwa osobowego (PBO) wydane przez odpowiednią krajową władzę bezpieczeństwa (KWB), wyznaczoną władzę bezpieczeństwa (WWB) lub jakikolwiek inny właściwy organ bezpieczeństwa zgodnie z krajowymi przepisami ustawowymi i wykonawczymi oraz minimalnymi normami bezpieczeństwa określonymi w załączniku A I.

6. Przepisy dotyczące wprowadzania w życie niniejszego artykułu znajdują się w załączniku A V.

Artykuł 10

Wymiana informacji niejawnych z państwami trzecimi i organizacjami międzynarodowymi

1. ESDZ może wymieniać EUCI z państwem trzecim lub organizacją międzynarodową wyłącznie pod warunkiem, że:

a) obowiązuje umowa o bezpieczeństwie informacji zawarta między UE a tym państwem trzecim lub organizacją międzynarodową zgodnie z art. 37 TUE i art. 218 TFUE lub

b) obowiązuje porozumienie administracyjne pomiędzy Wysokim Przedstawicielem a właściwymi organami ds. bezpieczeństwa tego państwa trzeciego lub organizacji międzynarodowej, regulujące wymianę informacji niejawnych opatrzonych klauzulą tajności co do zasady nie wyższą niż RESTREINT UE/EU RESTRICTED, zawarte zgodnie z procedurą określoną w art. 14 ust. 5 niniejszej decyzji lub

c) obowiązuje umowa ramowa lub umowa ad hoc w sprawie udziału zawarta między UE a tym państwem trzecim w kontekście operacji zarządzania kryzysowego WPBiO, zawarta zgodnie z art. 37 TUE i art. 218 TFUE

i spełniono warunki określone w tym instrumencie.

Wyjątki od ogólnej zasady opisanej powyżej określono w załączniku A VI sekcja V.

2. Porozumienia administracyjne, o których mowa w ust. 1 lit. b), zawierają postanowienia mające służyć temu, by w przypadku gdy państwa trzecie lub organizacje międzynarodowe otrzymają EUCI, informacje te były chronione w sposób odpowiadający ich klauzuli tajności i zgodny z minimalnymi normami, które nie mogą być mniej rygorystyczne niż normy określone w niniejszej decyzji.

Wymiana informacji na podstawie umów, o których mowa w ust. 1 lit. c), ogranicza się do informacji dotyczących działań WPBiO, w których uczestniczy dane państwo członkowskie na podstawie tych umów i zgodnie z ich postanowieniami.

3. Aby stwierdzić skuteczność środków bezpieczeństwa służących ochronie wymienianych EUCI organizuje się w państwach członkowskich lub organizacjach międzynarodowych wizyty oceniające, o jakich mowa w art. 16 niniejszej decyzji.

4. Decyzję o udostępnieniu EUCI, którymi dysponuje ESDZ, państwu trzeciemu lub organizacji międzynarodowej podejmuje się po rozpatrzeniu każdego przypadku z osobna, w zależności od charakteru i treści takich informacji, od tego, czy odbiorca spełnia zasadę ograniczonego dostępu, i od tego, w jakim stopniu jest to korzystne dla UE.

Dla upewnienia się, że nie ma przeciwwskazań do udostępnienia informacji, ESDZ zwraca się o pisemną zgodę do każdego podmiotu, który przekazał informację niejawną stanowiącą materiał źródłowy do EUCI wytworzonej przez ESDZ.

Jeżeli wytwórcą informacji niejawnej, o której udostępnienie wystąpiono, nie jest ESDZ, to ESDZ najpierw zwraca się o pisemną zgodę wytwórcy na jej udostępnienie.

Jeśli jednak ESDZ nie jest w stanie ustalić wytwórcy informacji, to organ ESDZ ds. bezpieczeństwa przyjmuje na siebie odpowiedzialność wytwórcy po uzyskaniu jednogłośnej przychylnej opinii państw członkowskich reprezentowanych w Komitecie ds. Bezpieczeństwa ESDZ.

5. Przepisy dotyczące wprowadzania w życie niniejszego artykułu znajdują się w załączniku A VI.

Artykuł 11

Naruszenia zasad bezpieczeństwa oraz nieuprawnione ujawnienie informacji niejawnych

1. Wszelkie naruszenia zasad bezpieczeństwa lub nieuprawnione ujawnienie informacji niejawnych lub podejrzenie takiego naruszenia lub ujawnienia należy niezwłocznie zgłaszać do Dyrekcji ds. Bezpieczeństwa ESDZ, która w stosownych przypadkach informuje Dyrekcję ds. Bezpieczeństwa w Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa w Komisji oraz Biuro ds. Bezpieczeństwa Sekretariatu Generalnego Rady, a także państwo lub państwa członkowskie lub inne podmioty, których sprawa dotyczy.

2. Jeżeli wiadomo lub jeżeli istnieją uzasadnione przesłanki, by podejrzewać, że doszło do nieuprawnionego ujawnienia lub utraty informacji niejawnych, Dyrekcja ds. Bezpieczeństwa ESDZ informuje w stosownych przypadkach Dyrekcję ds. Bezpieczeństwa w Komisji, Biuro ds. Bezpieczeństwa w Sekretariacie Generalnym Rady lub krajową władzę bezpieczeństwa państwa lub państw członkowskich lub inne podmioty, których to dotyczy, oraz podejmuje wszelkie stosowne środki zgodnie z przepisami ustawowymi i wykonawczymi, w celu:

a) oceny potencjalnych szkód dla interesów UE lub państw członkowskich;

b) podjęcia właściwych środków w celu zapobieżenia powtórzeniu się podobnego przypadku;

c) zabezpieczenia dowodów;

d) zapewnienia zbadania tego przypadku przez personel niezwiązany bezpośrednio z danym naruszeniem w celu ustalenia przebiegu wydarzeń;

e) powiadomienia właściwych organów o skutkach danego wydarzenia i o podjętych działaniach oraz

f) poinformowania wytwórcy informacji.

3. Każdy członek personelu podlegającego odpowiedzialności ESDZ, odpowiedzialny za naruszenie przepisów bezpieczeństwa określonych w niniejszej decyzji, może podlegać postępowaniu dyscyplinarnemu zgodnie z mającymi zastosowanie zasadami i przepisami wykonawczymi.

Każda osoba odpowiedzialna za nieuprawnione ujawnienie lub utratę informacji niejawnych podlega postępowaniu dyscyplinarnemu lub sądowemu zgodnie z mającymi zastosowanie przepisami ustawowymi, zasadami i przepisami wykonawczymi.

W stosownych przypadkach informuje się niezwłocznie Dyrekcję ds. Bezpieczeństwa w Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa w Komisji, Biuro ds. Bezpieczeństwa w Sekretariacie Generalnym Rady lub krajową władzę bezpieczeństwa państwa lub państw członkowskich lub inne podmioty, których sprawa dotyczy.

4. Na czas trwania dochodzenia dotyczącego danego naruszenia lub nieuprawnionego ujawnienia kierownik Dyrekcji ds. Bezpieczeństwa ESDZ może zawiesić dostęp danej osoby do EUCI i do lokali ESDZ. O decyzji takiej informuje się niezwłocznie Dyrekcję ds. Bezpieczeństwa w Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa w Komisji, Biuro ds. Bezpieczeństwa w Sekretariacie Generalnym Rady lub krajową władzę bezpieczeństwa państwa lub państw członkowskich lub inne podmioty, których sprawa dotyczy.