KOMISJA EUROPEJSKA Bruksela, dnia 22.3.2022 COM(2022) 119 final 2022/0084(COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie bezpieczeństwa informacji w instytucjach, organach, urzędach i agencjach Unii {SWD(2022) 65 final} - {SWD(2022) 66 final}



UZASADNIENIE 1.KONTEKST WNIOSKU •Przyczyny i cele wniosku Niniejszy wniosek jest częścią strategii UE w zakresie unii bezpieczeństwa przyjętej przez Komisję w dniu 24 lipca 2020 r. i zawierającej zobowiązanie do wniesienia przez Unię Europejską wartości dodanej w krajowe dążenia w obszarze bezpieczeństwa. Jednym z elementów tego zaangażowania jest inicjatywa mająca na celu usprawnienie wewnętrznych ram prawnych dotyczących bezpieczeństwa informacji we wszystkich instytucjach i organach Unii. Głównym elementem Programu strategicznego na lata 2019–2024, przyjętego przez Radę Europejską w czerwcu 2019 r., jest ochrona naszych społeczeństw przed stale zmieniającymi się zagrożeniami, na jakie narażone są informacje przetwarzane przez instytucje i organy. W swoich konkluzjach Rada Europejska zwróciła się w szczególności do „instytucji UE, aby wraz z państwami członkowskimi pracowały nad środkami na rzecz zwiększenia odporności i poprawy kultury bezpieczeństwa UE w obliczu cyberzagrożeń i zagrożeń hybrydowych spoza UE, a także na rzecz skuteczniejszej ochrony unijnych sieci informacyjnych i komunikacyjnych oraz unijnych procesów decyzyjnych przed wszelkiego rodzaju złośliwymi działaniami”. W podobnym duchu Rada do Spraw Ogólnych stwierdziła na posiedzeniu w grudniu 2019 r., że instytucje i organy UE powinny przy wsparciu ze strony państw członkowskich opracować i wdrożyć kompleksowy zestaw środków w celu zapewnienia własnego bezpieczeństwa. Jest to odzwierciedleniem podnoszonego od dawna przez Komitet ds. Bezpieczeństwa Rady wniosku o zbadanie wspólnego „rdzenia” przepisów bezpieczeństwa w odniesieniu do Rady, Komisji i Europejskiej Służby Działań Zewnętrznych. Obecnie instytucje i organy Unii albo dysponują własnymi przepisami dotyczącymi bezpieczeństwa informacji, opartymi na ich regulaminach lub aktach założycielskich, albo w ogóle takich przepisów nie stosują. Dotyczy to głównie niektórych małych podmiotów, w których nie obowiązuje formalna polityka bezpieczeństwa informacji. Ze względu na stale rosnącą ilość szczególnie chronionych informacji jawnych i informacji niejawnych UE („EUCI”), które instytucje i organy Unii muszą udostępniać sobie nawzajem, oraz biorąc pod uwagę gwałtowny wzrost poziomu zagrożenia, administracja europejska jest narażona na ataki we wszystkich obszarach swojej działalności. Informacje przetwarzane przez nasze instytucje i organy są niezwykle atrakcyjne dla podmiotów stanowiących zagrożenie i muszą być odpowiednio chronione. Wymaga to szybkiego działania mającego na celu wzmocnienie ochrony informacji. W związku z tym niniejsza inicjatywa, dążąc do zwiększenia ochrony informacji przetwarzanych przez administrację europejską, służy usprawnieniu poszczególnych ram prawnych instytucji i organów Unii w tym obszarze, poprzez: •ustanowienie zharmonizowanych i kompleksowych kategorii informacji, a także wspólnych przepisów w zakresie przetwarzania dla wszystkich instytucji i organów Unii; •utworzenie uproszczonego systemu współpracy w zakresie bezpieczeństwa informacji między instytucjami i organami Unii, który umożliwiłby propagowanie spójnej kultury bezpieczeństwa informacji w całej administracji europejskiej; •aktualizację polityki bezpieczeństwa informacji na wszystkich poziomach klauzuli tajności/kategoryzacji, we wszystkich instytucjach i organach Unii, z uwzględnieniem transformacji cyfrowej i rozwoju telepracy jako praktyki stanowiącej stały element struktury. •Spójność z przepisami obowiązującymi w tej dziedzinie polityki Inicjatywa ta jest zgodna z wieloma strategiami UE w dziedzinie bezpieczeństwa ogólnego i bezpieczeństwa informacji. W 2016 r. Parlament Europejski i Rada przyjęły dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Dyrektywa ta była pierwszym ogólnounijnym środkiem prawnym mającym na celu zwiększenie współpracy między państwami członkowskimi w zakresie cyberbezpieczeństwa. W grudniu 2020 r. Komisja przyjęła wniosek dotyczący przeglądu tego aktu, przewidując w nim środki nadzoru organów krajowych, jednak administracja Unii pozostaje poza jego zakresem. Z tego samego względu, a także w celu uzupełnienia wysiłków podejmowanych przez państwa członkowskie w obszarze bezpieczeństwa, niezwykle istotne jest, aby dla zapewnienia bezpieczeństwa informacji instytucje i organy Unii osiągnęły wysoki poziom ochrony swoich informacji oraz powiązanych z nimi systemów teleinformatycznych. W lipcu 2020 r. Komisja przyjęła strategię w zakresie unii bezpieczeństwa, w ramach której UE podjęła kompleksowe zobowiązanie do uzupełnienia dążeń państw członkowskich we wszystkich dziedzinach bezpieczeństwa. Strategia ta jest realizowana w latach 2020–2025 i określa cztery główne filary działania: środowisko bezpieczeństwa, które wytrzyma próbę czasu, działanie w obliczu zmieniających się zagrożeń, ochronę Europejczyków przed terroryzmem i przestępczością zorganizowaną oraz silny europejski ekosystem bezpieczeństwa. Niektóre z kwestii uwzględnionych w tych filarach koncentrują się na bezpieczeństwie informacji, cyberbezpieczeństwie, współpracy i wymianie informacji oraz infrastrukturze krytycznej. Zgodnie ze strategią w zakresie unii bezpieczeństwa Komisja Europejska proponuje utworzenie wspólnego minimalnego zbioru przepisów dotyczących bezpieczeństwa informacji we wszystkich instytucjach i organach Unii, co spowoduje wprowadzenie bezwzględnie obowiązujących, wysokich wspólnych standardów w zakresie bezpiecznej wymiany informacji. Inicjatywa ta jest wyrazem zaangażowania instytucji i organów na rzecz ustanowienia w administracji europejskiej takiego samego poziomu ambicji w obszarze bezpieczeństwa, jaki wymagany jest od państw członkowskich. W dniu 16 grudnia 2020 r. Komisja i Wysoki Przedstawiciel Unii do Spraw Zagranicznych i Polityki Bezpieczeństwa przedstawili nową unijną strategię cyberbezpieczeństwa. Określa ona priorytety i najważniejsze działania mające na celu zwiększenie odporności Europy, jej autonomii, przywództwa i zdolności operacyjnych w obliczu nasilających się i złożonych zagrożeń dla jej systemów sieciowych i informatycznych, a także wspieranie globalnej i otwartej cyberprzestrzeni oraz związanych z nią partnerstw międzynarodowych. Równie istotne jest, aby do realizowania tych priorytetów, przyczyniły się instytucje i organy Unii, ustanawiając równoważne wymogi zarówno w obszarze bezpieczeństwa informacji, jak i cyberbezpieczeństwa.

Niniejszy wniosek wraz z wnioskiem dotyczącym rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii mają na celu uzupełnienie regulacyjnych ram strategii w zakresie unii bezpieczeństwa o specjalne wymogi wobec administracji europejskiej. Mając na uwadze wzajemne powiązania między bezpieczeństwem informacji a cyberbezpieczeństwem, należy zapewnić spójne podejście do ochrony informacji jawnych w obu wspomnianych wnioskach. •Spójność z innymi politykami Unii W niniejszej inicjatywie uwzględniono również inne polityki Unii, które są istotne dla bezpieczeństwa informacji. W obszarze ochrony danych obowiązuje rozporządzenie (UE) 2018/1725 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych, które ma zastosowanie do administracji Unii Europejskiej i Europejskiej Wspólnoty Energii Atomowej („Euratom”). Jednocześnie należy wspomnieć, że w przypadku niektórych instytucji i organów Unii prawodawcy Unii przyjęli odpowiednie szczegółowe przepisy dotyczące ochrony danych osobowych. Jeżeli chodzi o przejrzystość, niniejszy wniosek opiera się na zasadach zapisanych w rozporządzeniu (WE) nr 1049/2001 w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji, a także na innych odpowiednich przepisach. 2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ •Podstawa prawna Biorąc pod uwagę cel i treść niniejszego wniosku, jego najwłaściwszą podstawą prawną jest art. 298 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) oraz art. 106a Traktatu ustanawiającego Europejską Wspólnotę Energii Atomowej. Art. 298 TFUE został wprowadzony Traktatem z Lizbony i umożliwia prawodawcom ustanawianie przepisów mających na celu stworzenie efektywnej i niezależnej administracji, która będzie wspierać instytucje, organy i jednostki organizacyjne w wykonywaniu ich zadań. Podstawą efektywnej i niezależnej administracji jest bezpieczeństwo jej informacji. Dążąc do realizacji swojej misji, instytucje i organy Unii korzystają z bezpiecznego środowiska informacji, które są przez nie każdego dnia przetwarzane oraz przechowywane. Ponadto zapewnienie wspólnego podstawowego zestawu standardów bezwzględnie obowiązujących wszystkich zagwarantowałoby wysoki poziom bezpieczeństwa, zmniejszyłoby ryzyko wystąpienia słabych punktów we wspieraniu interoperacyjności między instytucjami i organami oraz pozwoliłoby na wykorzystanie synergii, zwiększając tym samym odporność administracji na zmieniające się zagrożenia. Co więcej, mając na uwadze ogólny cel, jakim jest osiągnięcie wysokiego wspólnego poziomu bezpieczeństwa EUCI i informacji jawnych przetwarzanych i przechowywanych przez instytucje i organy Unii, niniejszy wniosek umożliwia administracji europejskiej lepszą ochronę przed ingerencją z zewnątrz i działalnością szpiegowską. Art. 298 TFUE umożliwia Unii ustanowienie wspólnych przepisów obowiązujących całą administrację europejską z myślą o zapewnieniu, aby wszystkie instytucje i organy Unii w podobny sposób postępowały z EUCI i informacjami jawnymi. W związku z tym w niniejszym rozporządzeniu określono przepisy mające zastosowanie do administracji. Pośrednio może ono nałożyć obowiązki wyłącznie na jednostki wykonujące zadania w imieniu tej administracji lub na podstawie umowy (z wyłączeniem komisarzy, przedstawicieli państw członkowskich działających w ramach Rady, posłów do Parlamentu Europejskiego, sędziów sądów Unii lub członków Europejskiego Trybunału Obrachunkowego). Zgodnie z art. 298 TFUE Parlament Europejski i Rada stanowią w drodze rozporządzenia i zgodnie ze zwykłą procedurą ustawodawczą. Niniejszy wniosek wymaga zastosowania dodatkowej podstawy prawnej, ponieważ obejmuje również informacje związane z niektórymi działaniami Europejskiej Wspólnoty Energii Atomowej. Informacje te nie są informacjami niejawnymi Euratomu, ale są traktowane przez instytucje i organy Unii zgodnie z ogólnym systemem EUCI. Wspomnianą dodatkową podstawą prawną jest art. 106a Traktatu ustanawiającego Europejską Wspólnotę Energii Atomowej, dzięki któremu art. 298 TFUE ma zastosowanie również do wyżej wspomnianych działań Euratomu. •Pomocniczość (w przypadku kompetencji niewyłącznych) Zgodnie z zasadą pomocniczości, określoną w art. 5 ust. 3 Traktatu o Unii Europejskiej, UE powinna podejmować działania tylko wówczas, gdy cele zamierzonego działania nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie i jeśli ze względu na rozmiary lub skutki proponowanego działania możliwe jest lepsze ich osiągnięcie na poziomie Unii. Ponieważ jedynie Unia może przyjąć przepisy regulujące EUCI i szczególnie chronione informacje jawne przetwarzane i przechowywane przez instytucje i organy Unii, zasada pomocniczości nie ma zastosowania. •Proporcjonalność Ustanowienie wspólnego podstawowego poziomu bezpieczeństwa informacji we wszystkich instytucjach i organach Unii jest niezbędne dla zwiększenia niezależności i efektywności administracji.

Zgodnie z zasadą proporcjonalności przewidzianą w art. 5 ust. 4 TUE przepisy rozporządzenia nie mają nadmiernie nakazowego charakteru i pozostawiają miejsce na konkretne działania na różnych poziomach zgodnie z poziomem dojrzałości wszystkich instytucji i organów Unii w zakresie bezpieczeństwa. Ponadto rozwiązanie to ma ograniczony wpływ na prawa podstawowe jednostek. W związku z tym wniosek nie wykracza poza to, co jest konieczne do rozwiązania problemu, jakim jest brak wspólnego zestawu przepisów dotyczących bezpieczeństwa informacji obowiązujących wszystkie instytucje i organy Unii. •Wybór instrumentu Za właściwy instrument prawny uznaje się rozporządzenie na podstawie art. 298 TFUE. Jest to uzasadnione przewagą elementów wymagających jednolitego stosowania, które nie pozostawia instytucjom i organom Unii marginesu wdrożenia i tworzy minimalne ramy horyzontalne. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW •Oceny ex post/oceny adekwatności obowiązującego prawodawstwa Nie dotyczy •Konsultacje z zainteresowanymi stronami Komisja przeprowadziła szerokie konsultacje z głównymi zainteresowanymi stronami na temat różnych aspektów związanych z przepisami dotyczącymi bezpieczeństwa informacji obowiązującymi w instytucjach i organach Unii. Ogólnym celem działań konsultacyjnych było uzyskanie stosownych uwag na potrzeby przygotowania inicjatywy ustawodawczej w sprawie przepisów dotyczących bezpieczeństwa informacji wspólnych dla wszystkich instytucji i organów Unii. Konsultacje miały na celu uzyskanie uwag na temat: •problemów związanych z obowiązującymi ramami bezpieczeństwa informacji w instytucjach i organach Unii, dla których – zdaniem zainteresowanych stron – inicjatywa powinna znaleźć rozwiązanie; •znaczenia, skuteczności, efektywności i wartości dodanej inicjatywy; •przewidywanych skutków inicjatywy i potencjalnych innych konsekwencji dla zainteresowanych stron. Przygotowując niniejszy wniosek ustawodawczy, Komisja przeprowadziła konsultacje z następującymi kategoriami zainteresowanych stron: 1.instytucjami, organami, urzędami i agencjami Unii; 2.krajowymi władzami bezpieczeństwa z państw członkowskich; 3.specjalistami analitykami z JRC. Ze względu na szczególny charakter niniejszej inicjatywy, która ma zastosowanie wyłącznie do instytucji i organów Unii, a jej wpływ na obywateli i przedsiębiorstwa Unii jest niewielki, służby Komisji postanowiły priorytetowo potraktować gromadzenie opinii od właściwych grup zainteresowanych stron. W związku z tym nie przeprowadzono konsultacji publicznych poświęconych konkretnie niniejszej inicjatywie ustawodawczej. W trakcie całego procesu konsultacji służby Komisji korzystały z następujących metod i form konsultacji: 1.możliwości przekazania przez wszystkie zainteresowane strony informacji zwrotnych na temat wstępnej oceny skutków za pośrednictwem platformy Komisji „Wyraź swoją opinię”;

2.ukierunkowanego kwestionariusza skierowanego do ekspertów ds. bezpieczeństwa informacji z instytucji i organów Unii za pośrednictwem internetowego narzędzia „EU Survey”; 3.ukierunkowanego kwestionariusza skierowanego do krajowych władz bezpieczeństwa państw członkowskich za pośrednictwem internetowego narzędzia „EU Survey”; 4.wniosku o przeprowadzenie dostosowanej oceny ryzyka w odniesieniu do podstawowych zasobów związanych z bezpieczeństwem informacji oraz 5.szeregu spotkań i wymian poglądów z partnerami reprezentującymi instytucje, organy, urzędy i agencje, a także z krajowymi władzami bezpieczeństwa państw członkowskich. Jako najważniejsze uwagi uzyskane w czasie konsultacji Komisja podkreśla następujące kwestie: •rozproszenie odpowiednich ram prawnych między naszymi instytucjami i organami prowadzi do znacznego powielania starań na rzecz ustanowienia i utrzymania w mocy przepisów wewnętrznych, a także do braku interoperacyjności praktyk w zakresie przetwarzania informacji. W przypadku państw członkowskich zróżnicowanie tych przepisów zwiększa ryzyko ich niezrozumienia, stosowania ich błędnej wykładni i nieprzestrzegania; •ustanowienie podstawowego poziomu bezpieczeństwa informacji we wszystkich instytucjach i organach Unii umożliwiłoby stworzenie ekosystemu, w którym obowiązywałyby ujednolicone przepisy bezpieczeństwa i wdrożone zostałyby najlepsze praktyki, należy jednak wziąć pod uwagę różnorodność i poszczególne otoczenia biznesowe wszystkich instytucji i organów Unii oraz zezwolić na rozwiązania na szczeblu lokalnym; •w ramach niniejszej inicjatywy należy uszanować autonomię i poszczególne poziomy dojrzałości wszystkich instytucji i organów Unii w zakresie bezpieczeństwa, które pozostaną w pełni odpowiedzialne za organizację bezpieczeństwa informacji w swoich strukturach. •Gromadzenie i wykorzystanie wiedzy eksperckiej Do przeprowadzenia konsultacji z zainteresowanymi stronami Komisja wykorzystała własne zasoby. Prace związane z ankietami, wideokonferencjami i innymi warsztatami wykonała Dyrekcja ds. Bezpieczeństwa Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa. Zadanie to polegało zarówno na wyborze uczestników, jak i na organizacji wydarzeń oraz przetwarzaniu otrzymanych uwag. Ocenę ryzyka w odniesieniu do głównych zasobów związanych z bezpieczeństwem informacji, która posłużyła za podstawę oceny skutków, przeprowadziło Wspólne Centrum Badawcze (JRC). •Ocena skutków Niniejsza inicjatywa jest skierowana wyłącznie do instytucji i organów Unii i ma ograniczony wpływ na państwa członkowskie i jednostki. W związku z tym przeprowadzenie całościowej oceny skutków nie było konieczne, ponieważ nie stwierdzono wyraźnych ani znaczących skutków dla obywateli i przedsiębiorstw. W portalu Europa opublikowano kompleksowy plan działania, w ramach którego uzyskano informacje zwrotne od odpowiednich zainteresowanych stron. •Sprawność regulacyjna i uproszczenie Nie dotyczy •Prawa podstawowe UE jest zobowiązana do zapewnienia wysokich standardów ochrony praw podstawowych. Niniejsza inicjatywa gwarantuje pełne przestrzeganie następujących praw podstawowych zapisanych w Karcie praw podstawowych Unii Europejskiej: •Prawo do dobrej administracji Zwiększając bezpieczeństwo informacji podczas zajmowania się sprawami obywateli Unii, instytucje i organy Unii przyczyniają się do realizacji zasady dobrej administracji. •Ochrona danych osobowych

Wszelkie przetwarzanie danych osobowych w ramach niniejszego wniosku odbywałoby się w zaufanym otoczeniu i z pełnym poszanowaniem rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725. •Prawo dostępu do dokumentów Publiczny dostęp do EUCI i szczególnie chronionych dokumentów jawnych jest nadal w pełni uregulowany rozporządzeniem (WE) nr 1049/2001 Parlamentu Europejskiego i Rady. •Prawo własności intelektualnej Przetwarzając i przechowując informacje jawne i EUCI, instytucje i organy Unii chronią własność intelektualną zgodnie z dyrektywą 2001/29/WE Parlamentu Europejskiego i Rady. •Wolność wypowiedzi i informacji Każdy ma prawo do wolności otrzymywania i wymiany informacji i poglądów bez ingerencji władz publicznych, nie może to jednak uniemożliwiać Unii ustanawiania warunków dostępu do niektórych rodzajów informacji, ich przetwarzania i przechowywania, w zależności od poziomu ich poufności. Korzystanie z tych wolności może podlegać warunkom i ograniczeniom przewidzianym w prawie i niezbędnym w społeczeństwie demokratycznym, co pozwala zapobiec ujawnianiu informacji poufnych oraz leży w interesie bezpieczeństwa UE. 4.WPŁYW NA BUDŻET Niniejszy wniosek wiąże się z koniecznością przydzielenia jednego urzędnika w grupie funkcyjnej AD i jednego asystenta w grupie funkcyjnej AST do stałego sekretariatu grupy koordynacyjnej prowadzonego przez Komisję w Dyrekcji ds. Bezpieczeństwa Dyrekcji Generalnej ds. Zasobów Ludzkich i Bezpieczeństwa. W przypadku instytucji i organów przewiduje się oszczędności kosztów ze względu na wspólne zadania i współpracę, a także dzięki zwiększeniu bezpieczeństwa informacji, a tym samym zapobieganiu potencjalnym szkodom ekonomicznym wynikającym z incydentów związanych z bezpieczeństwem informacji. Z drugiej strony nakłady finansowe niezbędne do wdrożenia nowych przepisów mogą zostać pokryte w ramach programów zwiększania bezpieczeństwa informacji realizowanych w poszczególnych instytucjach i organach Unii. 5.ELEMENTY FAKULTATYWNE •Plany wdrożenia i monitorowanie, ocena i sprawozdania Wniosek przewiduje zobowiązanie Komisji do składania co 3 lata Parlamentowi Europejskiemu i Radzie sprawozdania z wdrożenia niniejszego rozporządzenia, w tym z funkcjonowania systemu zarządzania ustanowionego na mocy niniejszego rozporządzenia. Ponadto co 5 lat Komisja przeprowadza ocenę niniejszego rozporządzenia w celu określenia jego faktycznego wykonania i ustalenia na tej podstawie, czy konieczne jest wprowadzenie jakichkolwiek zmian w prawodawstwie. •Szczegółowe objaśnienia poszczególnych przepisów wniosku Niniejszy wniosek jest skonstruowany wokół wymogów w zakresie przetwarzania i przechowywania informacji jawnych i EUCI, które są głównym przedmiotem inicjatywy i których lepsza ochrona jest jej podstawowym celem. Przedmiot i zakres (art. 1 i art. 2) Niniejsze rozporządzenie ma na celu ustanowienie minimalnego zestawu przepisów dotyczących bezpieczeństwa informacji obowiązujących wszystkie instytucje i organy Unii. Ma ono zastosowanie do wszystkich informacji przetwarzanych i przechowywanych przez instytucje i organy Unii, w tym informacji związanych z działalnością Europejskiej Wspólnoty Energii Atomowej innych niż informacje niejawne Euratomu. Zakres niniejszego rozporządzenia obejmuje zarówno informacje jawne, jak i EUCI.

Definicje i zasady ogólne (art. 3–5) Definicje podane w art. 3 są oparte na obowiązujących przepisach dotyczących bezpieczeństwa informacji przyjętych osobno przez instytucje i organy Unii. Oprócz ogólnych zasad odnoszących się do przepisów Unii – przejrzystości, proporcjonalności, efektywności i rozliczalności – niniejsze rozporządzenie przewiduje główne wiążące wytyczne, takie jak oddzielny proces zarządzania ryzykiem związanym z bezpieczeństwem informacji przeprowadzany przez wszystkie instytucje i organy Unii oraz ocena ich informacji w celu nadania im odpowiedniej kategorii. Zarządzanie i organizacja bezpieczeństwa (art. 6–8) Wszystkie instytucje i organy Unii współpracują w ramach międzyinstytucjonalnej grupy koordynacyjnej ds. bezpieczeństwa informacji, która działa na zasadzie konsensusu i we wspólnym interesie instytucji i organów Unii. W skład grupy koordynacyjnej wchodzą organy ds. bezpieczeństwa wszystkich instytucji i organów; grupa ta opracowuje wytyczne dotyczące wdrażania niniejszego rozporządzenia. Utrzymuje ponadto regularne kontakty z krajowymi władzami bezpieczeństwa państw członkowskich należącymi do Komitetu ds. Bezpieczeństwa Informacji. W celu usprawnienia procedur ze względu na inne praktyczne aspekty związane z bezpieczeństwem informacji zostanie powołanych pięć podgrup, w skład których wejdą eksperci reprezentujący różne instytucje i organy. Każda instytucja i każdy organ Unii ma obowiązek wyznaczyć organ ds. bezpieczeństwa, który jest odpowiedzialny za określenie wewnętrznej polityki w zakresie bezpieczeństwa informacji oraz za jej realizację. Organ ds. bezpieczeństwa ustanawia określone funkcje, takie jak organ ds. zabezpieczania informacji, operacyjny organ ds. zabezpieczania informacji, organ ds. akredytacji bezpieczeństwa, organ ds. TEMPEST, organ ds. zatwierdzania produktów kryptograficznych i organ ds. dystrybucji produktów kryptograficznych, które mogą być delegowane do innej instytucji lub organu ze względów związanych z efektywnością lub zasobami. Zabezpieczanie informacji oraz systemy teleinformatyczne (art. 9–11) W rozporządzeniu ustanawia się podgrupę ds. zabezpieczania informacji, której zadaniem jest zwiększenie – we wszystkich instytucjach i organach Unii – spójności między przepisami dotyczącymi bezpieczeństwa informacji a podstawowym poziomem cyberbezpieczeństwa przewidzianym w rozporządzeniu ustanawiającym środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii. Instytucje i organy Unii są zobowiązane do przestrzegania zasad wymienionych w tych artykułach oraz do przyjmowania odrębnych przepisów wewnętrznych dotyczących szczególnych środków bezpieczeństwa dostosowanych do ich własnego środowiska bezpieczeństwa. Informacje jawne (art. 12–17 i załącznik I) Rozporządzenie przewiduje 3 kategorie informacji jawnych: informacje do użytku publicznego, informacje zwykłe i szczególnie chronione informacje jawne. Wszystkie kategorie zostały zdefiniowane, określono ponadto oznaczenia i warunki przetwarzania w celu ochrony takich informacji. Z myślą o koordynacji prac nad odpowiednikami konkretnych kategorii ustanowionych przez niektóre instytucje i organy Unii oraz wspólnych kategorii określonych w rozporządzeniu, we wniosku przewidziano utworzenie podgrupy ds. informacji jawnych. EUCI (art. 18–58 i załączniki II–VI) Ponieważ rozdział ten jest najobszerniejszym rozdziałem wniosku, podzielono go na siedem następujących części: przepisy ogólne, bezpieczeństwo osobowe, bezpieczeństwo fizyczne, zarządzanie EUCI, ochrona w systemach teleinformatycznych, bezpieczeństwo przemysłowe oraz udostępnianie EUCI i wymiana informacji niejawnych. W części dotyczącej przepisów ogólnych określono cztery poziomy klauzuli tajności EUCI: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED i przewidziano obowiązek stosowania przez instytucje i organy Unii niezbędnych środków bezpieczeństwa zgodnie z wynikami procesu zarządzania ryzykiem związanym z bezpieczeństwem informacji. W każdej z pozostałych części skoncentrowano się na standardach ochrony EUCI odnoszących się do konkretnego obszaru. Szczegółowe informacje na temat ochrony EUCI znajdują się w załącznikach II–V. W załączniku VI zamieszczono tabelę odpowiedników EUCI wraz z klauzulami tajności państw członkowskich i Europejskiej Wspólnoty Energii Atomowej. Aby usprawnić odnośne procesy w tym obszarze i uniknąć powielania starań, w rozporządzeniu ustanowiono podgrupy ds. zabezpieczania informacji, ds. informacji jawnych, ds. bezpieczeństwa fizycznego, ds. akredytacji systemów teleinformatycznych, w których przetwarza się i przechowuje EUCI, oraz ds. udostępniania EUCI i wymiany informacji niejawnych. Przepisy końcowe (art. 59–62)

Przepisy końcowe zapewniają przejście z obecnie obowiązujących przepisów i procedur do nowych ram prawnych ustanowionych niniejszym rozporządzeniem. Dotyczą one wewnętrznych przepisów dotyczących bezpieczeństwa informacji, które mają obecnie zastosowanie w instytucjach i organach Unii, uznawania wizyt oceniających prowadzonych przed rozpoczęciem stosowania rozporządzenia, podejścia do zawartych wcześniej porozumień administracyjnych i kontynuacji szczególnych uregulowań w zakresie bezpieczeństwa stosowanych w przypadku umów o udzielenie dotacji. Niniejsze rozporządzenie ma być stosowane po dwóch latach od jego dnia wejścia w życie. 2022/0084 (COD) Wniosek ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY w sprawie bezpieczeństwa informacji w instytucjach, organach, urzędach i agencjach Unii PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 298, uwzględniając Traktat ustanawiający Europejską Wspólnotę Energii Atomowej, w szczególności jego art. 106a, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)Instytucje i organy Unii dysponują obecnie własnymi przepisami dotyczącymi bezpieczeństwa informacji, opartymi na ich regulaminach lub aktach założycielskich, lub w ogóle takich przepisów nie stosują. W tym kontekście każda instytucja i każdy organ Unii wkłada wiele starań w przyjmowanie różnych strategii, co prowadzi do sytuacji, w której wymiana informacji jest nie zawsze wiarygodna. Brak wspólnego podejścia utrudnia wdrażanie wspólnych narzędzi opartych na uzgodnionym zestawie przepisów w zależności od potrzeb w zakresie bezpieczeństwa informacji, które należy objąć ochroną. (2)Poczyniono pewne postępy w kontekście większej spójności przepisów dotyczących ochrony informacji niejawnych UE („EUCI”) i informacji jawnych, jednak nadal ograniczona jest interoperacyjność odpowiednich systemów, co uniemożliwia płynne przekazywanie informacji między poszczególnymi instytucjami i organami Unii. Należy zatem podjąć dalsze starania w celu umożliwienia zastosowania międzyinstytucjonalnego podejścia do udostępniania EUCI i szczególnie chronionych informacji jawnych, które przewidywałoby wspólne kategorie informacji i wspólne podstawowe zasady ich przetwarzania. Należy również przewidzieć podstawowe zasady prowadzące do uproszczenia procedur wzajemnego udostępniania EUCI i szczególnie chronionych informacji jawnych przez instytucje i organy Unii oraz państwa członkowskie. (3)W związku z tym należy określić właściwe przepisy zapewniające wspólny poziom bezpieczeństwa informacji we wszystkich instytucjach i organach Unii. Powinny stanowić one kompleksowe i spójne ramy ogólne służące ochronie EUCI i informacji jawnych oraz zapewniać równoważność podstawowych zasad i minimalnych standardów. (4)Niedawna pandemia spowodowała istotne zmiany w metodach pracy, przy czym regułą stało się korzystanie z narzędzi służących zdalnej komunikacji. W związku z tym wiele procedur opierających się, przynajmniej częściowo, na dokumentach papierowych przystosowano szybko w taki sposób, aby umożliwić elektroniczne przetwarzanie i elektroniczną wymianę informacji. Taki rozwój sytuacji wymaga zmian w przetwarzaniu i ochronie informacji. W niniejszym rozporządzeniu uwzględniono nowe metody pracy. (5)Niniejsze rozporządzenie wprowadza minimalny wspólny poziom ochrony EUCI i informacji jawnych, a tym samym przyczynia się do zapewnienia, aby instytucje i organy Unii, realizując swoją misję, korzystały ze wsparcia efektywnej i niezależnej administracji. Jednocześnie każda instytucja i każdy organ Unii zachowuje autonomię w ustalaniu sposobu wdrożenia przepisów określonych w niniejszym rozporządzeniu, zgodnie ze swoimi potrzebami w zakresie ochrony. Niniejsze rozporządzenie w żadnym wypadku nie uniemożliwia instytucjom i organom Unii wypełniania swoich zadań powierzonych na podstawie prawa UE ani nie ingeruje w ich autonomię instytucjonalną. (6)Niniejsze rozporządzenie pozostaje bez uszczerbku dla rozporządzenia (Euratom) nr 3/1958, rozporządzenia nr 31 (EWG), 11 (EWEA), ustanawiającego regulamin pracowniczy urzędników i warunki zatrudnienia innych pracowników Europejskiej Wspólnoty Gospodarczej i Europejskiej Wspólnoty Energii Atomowej, rozporządzenia (WE) nr 1049/2001 Parlamentu Europejskiego i Rady, rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725, rozporządzenia Rady (EWG, Euratom) nr 354/83, rozporządzenia Parlamentu Europejskiego i Rady (UE, Euratom) 2018/1046, rozporządzenia Parlamentu Europejskiego i Rady (UE) 2021/697, rozporządzenia Parlamentu Europejskiego i Rady (UE) [...] ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii – oczekuje na przyjęcie. (7)Mając na uwadze zachowanie szczególnego charakteru działań Europejskiej Wspólnoty Energii Atomowej uregulowanych rozporządzeniem Rady Europejskiej Wspólnoty Energii Atomowej nr 3/1958, niniejszego rozporządzenia nie należy stosować do informacji niejawnych Euratomu. Zakresem stosowania niniejszego rozporządzenia powinny jednak zostać objęte wszystkie informacje związane z innymi działaniami Euratomu niewchodzącymi w zakres stosowania rozporządzenia nr 3/1958.

(8)Mając na celu ustanowienie formalnej struktury współpracy między instytucjami i organami Unii w dziedzinie bezpieczeństwa informacji, należy utworzyć grupę ds. koordynacji międzyinstytucjonalnej („grupę koordynacyjną”), w której reprezentowane będą wszystkie organy ds. bezpieczeństwa instytucji i organów Unii. Grupa koordynacyjna nie posiada uprawnień decyzyjnych, powinna natomiast przyczyniać się do zwiększania spójności polityki w dziedzinie bezpieczeństwa informacji i do ujednolicania procedur i narzędzi służących bezpieczeństwu informacji we wszystkich instytucjach i organach Unii. (9)Praca grupy koordynacyjnej wymaga wsparcia ekspertów z różnych obszarów bezpieczeństwa informacji: kategoryzacji i oznaczania, systemów teleinformatycznych, akredytacji, bezpieczeństwa fizycznego oraz udostępniania EUCI i wymiany informacji niejawnych. Aby zapobiec powielaniu starań podejmowanych w poszczególnych instytucjach i organach Unii, należy utworzyć podgrupy tematyczne. Ponadto w razie potrzeby grupa koordynacyjna powinna móc utworzyć inne podgrupy, którym powierzy szczególne zadania. (10)Grupa koordynacyjna powinna ściśle współpracować z krajowymi władzami bezpieczeństwa państw członkowskich, aby poprawić bezpieczeństwo informacji w Unii. Należy zatem ustanowić Komitet ds. Bezpieczeństwa Informacji państw członkowskich, który zapewni grupie koordynacyjnej doradztwo. (11)Ustanawianie wspólnych organów reprezentujących wszystkie instytucje i organy Unii odbywa się w oparciu o zasadę współpracy, jednak każda instytucja i każdy organ powinny zachować pełną odpowiedzialność za bezpieczeństwo informacji w obrębie swojej organizacji. Każda instytucja i każdy organ Unii powinny posiadać swój organ ds. bezpieczeństwa i, w stosownych przypadkach, inne organy, na których spoczywają szczególne obowiązki związane z bezpieczeństwem informacji. (12)Centralny element polityki, jaką każda instytucja i każdy organ Unii ma opracować w tej dziedzinie, powinna stanowić zasada zarządzania ryzykiem związanym z bezpieczeństwem informacji. Minimalne wymogi określone w niniejszym rozporządzeniu muszą być przestrzegane, zaś każda instytucja i każdy organ Unii powinny przyjąć specjalne środki ochrony informacji zgodnie z wynikami wewnętrznej oceny ryzyka. Podobnie, środki techniczne służące ochronie informacji powinny zostać dostosowane do konkretnej sytuacji danej instytucji i danego organu. (13)Biorąc pod uwagę różnorodność kategorii informacji jawnych, które instytucje i organy Unii opracowały na podstawie swoich własnych przepisów w zakresie bezpieczeństwa informacji, oraz aby uniknąć opóźnień we wdrażaniu niniejszego rozporządzenia, instytucje lub organy Unii powinny mieć możliwość zachowania własnego systemu oznaczania do celów wewnętrznych lub na potrzeby wymiany informacji ze swoimi konkretnymi odpowiednikami z innych instytucji i organów lub z państw członkowskich. (14)W celu dostosowania nowych praktyk związanych z telepracą należy wdrożyć odpowiednie środki bezpieczeństwa, aby chronić sieci wykorzystywane do łączenia się z usługami dostępu zdalnego instytucji lub organu Unii. (15)Ponieważ instytucje i organy Unii często korzystają z usług wykonawców i z outsourcingu, istotne jest ustanowienie wspólnych przepisów dotyczących personelu wykonawców realizującego zadania związane z bezpieczeństwem informacji. (16)Przepisy prawa materialnego dotyczące dostępu do EUCI ujęte w przepisach wewnętrznych różnych instytucji i organów Unii są obecnie dostosowane, istnieją jednak znaczne różnice dotyczące nazewnictwa i wymaganych procedur. Taki stan rzeczy powoduje obciążenie dla krajowych władz bezpieczeństwa państw członkowskich, które muszą dostosować się do różnych wymogów. Konieczne jest zatem przygotowanie wspólnego glosariusza i wspólnych procedur w obszarze bezpieczeństwa osobowego, co ułatwi współpracę z krajowymi władzami bezpieczeństwa państw członkowskich i ograniczy ryzyko naruszenia bezpieczeństwa EUCI. (17)Biorąc pod uwagę zróżnicowanie zasobów wśród instytucji i organów Unii oraz mając na celu usprawnienie ich odpowiednich procedur i praktyk, zadania związane z poświadczaniem bezpieczeństwa mogą zostać powierzone Komisji, co pozwoli zapewnić kontynuację wieloletniej praktyki w dziedzinie poświadczania bezpieczeństwa i przyczyni się do centralizacji zadań przypisanych poszczególnym organom ds. bezpieczeństwa. (18)Ochronę EUCI zapewnia się również za pomocą środków technicznych i organizacyjnych stosowanych w pomieszczeniach instytucji i organów Unii, w ich budynkach, salach, biurach lub obiektach, na terenie których EUCI są omawiane, przetwarzane i przechowywane. W niniejszym rozporządzeniu przewidziano wdrożenie procesu zarządzania bezpieczeństwem informacji w obszarze bezpieczeństwa fizycznego, co umożliwiłoby instytucjom i organom Unii wybór odpowiednich środków bezpieczeństwa na ich terenie. (19)Wszystkie instytucje i organy Unii przetwarzające i przechowujące EUCI powinny utworzyć na swoim terenie strefy chronione fizycznie, aby zapewnić jednolity poziom ochrony w odniesieniu do stosownych poziomów klauzuli tajności EUCI, które są na ich terenie przetwarzane i przechowywane. Strefy te należy określić strefami administracyjnymi i strefami bezpieczeństwa; powinny one spełniać minimalne wspólne standardy ochrony EUCI. (20)Istotną zasadę zarządzania EUCI stanowi zasada kontroli wytwórcy, należy ją zatem jasno określić i opracować. W tym względzie wytworzenie EUCI wiąże się z powierzeniem twórcy odpowiedzialności, która powinna obowiązywać przez cały cykl życia danego dokumentu zawierającego EUCI. (21)W przeszłości instytucje i organy Unii opracowywały swoje systemy teleinformatyczne niezależnie, nie poświęcając wystarczającej uwagi ich interoperacyjności wśród wszystkich instytucji i organów Unii. Konieczne jest zatem ustanowienie minimalnych wymogów w zakresie bezpieczeństwa dotyczących systemów teleinformatycznych (CIS) przetwarzających i przechowujących zarówno EUCI, jak i informacje jawne. Pozwoli to zagwarantować płynną wymianę informacji z odpowiednimi zainteresowanymi stronami. (22)Dążąc do osiągnięcia jednolitego standardu akredytacji CIS przetwarzających i przechowujących EUCI, instytucje i organy Unii powinny współpracować w ramach utworzonej w tym celu grupy. Zaleca się, aby wszystkie instytucje i organy Unii stosowały ten standard, aby wspólnie przyczynić się do osiągnięcia ogólnego poziomu ochrony EUCI. Decyzje dotyczące autonomii organizacyjnej pozostają jednak w gestii właściwego organu każdej instytucji lub każdego organu. (23)Udzielając zamówienia w ramach umowy niejawnej lub umowy o udzielenie dotacji i realizując takie umowy, wszystkie instytucje i organy Unii powinny działać zgodnie z tymi samymi procedurami i stosować te same środki. Konieczne jest zatem jasne określenie zarówno obowiązkowych, jak i fakultatywnych elementów umów niejawnych i umów o udzielenie dotacji. Środki służące ochronie EUCI w związku z umowami niejawnymi i umowami o udzielenie dotacji powinny jednak uwzględniać przepisy, które instytucje i organy Unii opracowały już odrębnie w tym obszarze wraz z państwami członkowskimi. (24)Ścisła współpraca między instytucjami i organami Unii, jak również mnogość wypracowanych przez nie synergii wymaga udostępniania dużych ilości informacji. Dla dobra bezpieczeństwa informacji niejawnych wiarygodność instytucji lub organu Unii powinna zostać oceniona, zanim taka instytucja lub taki organ będzie przetwarzać i przechowywać EUCI o określonym poziomie klauzuli tajności. (25)Ponadto również udostępnianie EUCI między instytucjami i organami Unii oraz wymiana informacji niejawnych z organizacjami międzynarodowymi i państwami trzecimi powinny podlegać regulacjom w ramach odpowiednich środków bezpieczeństwa dotyczących ochrony tych informacji. Jeżeli przewiduje się zawieranie umów dotyczących bezpieczeństwa informacji, zastosowanie powinny mieć postanowienia art. 218 Traktatu. (26)Umowy dotyczące bezpieczeństwa informacji mają na celu zapewnienie ogólnych ram prawnych dotyczących wymiany informacji niejawnych Unii z państwami trzecimi i organizacjami międzynarodowymi; należy również zapewnić, aby na potrzeby wymiany EUCI instytucje i organy Unii mogły zawierać porozumienia administracyjne z konkretnym odpowiednikiem państwa trzeciego lub organizacji międzynarodowej. 27)Niniejsze rozporządzenie ustanawia wspólne ramy dla wszystkich instytucji i organów Unii. Aby uniknąć nakładania na instytucje i organy Unii nadmiernego obciążenia administracyjnego w procesie przystosowywania ich wewnętrznych przepisów w zakresie bezpieczeństwa do przepisów określonych w niniejszym rozporządzeniu, niniejsze rozporządzenie powinno być stosowane po upływie dwóch lat od chwili jego wejścia w życie.

(28)Zgodnie z pkt 22 i 23 porozumienia międzyinstytucjonalnego z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa Komisja powinna dokonać ewaluacji niniejszego rozporządzenia, aby ocenić jego realne skutki i potrzebę ewentualnego dalszego działania. Komisja powinna przedstawić Parlamentowi Europejskiemu i Radzie sprawozdanie z wykonania niniejszego rozporządzenia najpóźniej trzy lata od daty rozpoczęcia stosowania. (29)Zgodnie z art. 42 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia [...], PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE: Rozdział 1

Przepisy ogólne Artykuł 1 Przedmiot 1.Niniejsze rozporządzenie określa przepisy dotyczące bezpieczeństwa informacji, które obowiązują wszystkie instytucje i organy Unii. Artykuł 2 Zakres 1.Niniejsze rozporządzenie ma zastosowanie do wszystkich informacji przetwarzanych i przechowywanych przez instytucje i organy Unii, w tym informacji związanych z działalnością Europejskiej Wspólnoty Energii Atomowej, innych niż informacje niejawne Euratomu. 2.Ma ono zastosowanie do następujących poziomów poufności informacji: a)trzech poziomów informacji jawnych: informacji do użytku publicznego, informacji zwykłych i szczególnie chronionych informacji jawnych; b)czterech poziomów informacji niejawnych UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Poziomy te opierają się na stopniu, w jakim ich nieuprawnione ujawnienie może zaszkodzić uzasadnionym interesom prywatnym i publicznym, w tym interesom Unii, instytucji i organów Unii i państw członkowskich lub innych zainteresowanych stron, tak aby można było zastosować odpowiednie środki ochrony. Artykuł 3 Definicje Do celów niniejszego rozporządzenia stosuje się następujące definicje: a)„informacje” oznaczają wszelkie dane w formie ustnej, wizualnej, elektronicznej, magnetycznej lub fizycznej, lub też w formie materiałów, sprzętu lub technologii i obejmują reprodukcje, tłumaczenia i materiały w trakcie opracowywania; b)„bezpieczeństwo informacji” oznacza zapewnienie autentyczności, dostępności, poufności, integralności i niezaprzeczalności informacji; c)„przetwarzanie” informacji oznacza wszystkie możliwe działania, jakim mogą podlegać informacje w całym cyklu życia; obejmuje ono tworzenie informacji, ich gromadzenie, rejestrację, przypisanie im poziomu poufności, ich przetwarzanie, wyświetlanie, przeglądanie, przewożenie, przekazywanie, obniżenie klauzuli tajności, zniesienie klauzuli tajności, archiwizację i zniszczenie;

d)„przechowywanie” oznacza akt trzymania informacji na dowolnym nośniku w celu zapewnienia jego dostępności na potrzeby przyszłego wykorzystania; e)„instytucje i organy Unii” oznaczają instytucje, organy, urzędy i agencje Unii ustanowione Traktatem o Unii Europejskiej, Traktatem o funkcjonowaniu Unii Europejskiej, Traktatem ustanawiającym Europejską Wspólnotę Energii Atomowej lub aktem ustawodawczym, bądź na ich podstawie; f)„informacje niejawne Euratomu” oznaczają informacje w rozumieniu rozporządzenia Rady Europejskiej Wspólnoty Energii Atomowej nr 3/1958; g)„organ ds. bezpieczeństwa” oznacza funkcję bezpieczeństwa każdej instytucji i każdego organu Unii wyznaczoną zgodnie z ich regulaminem wewnętrznym lub aktem założycielskim; h)„proces zarządzania ryzykiem związanym z bezpieczeństwem informacji” oznacza całość procesu określania, kontrolowania i minimalizowania niepewnych zdarzeń, które mogą wpłynąć na bezpieczeństwo danej organizacji lub używanego przez nią systemu; obejmuje on całość działań związanych z ryzykiem, w tym ocenę, zmniejszanie, akceptację i powiadamianie; i)„zasób” oznacza każdy element, który ma wartość dla instytucji lub organu Unii, ich operacji i ciągłości tych operacji, w tym zasoby informacji służące wspieraniu ich misji; j)„procedury bezpiecznej eksploatacji systemu” oznaczają zestaw udokumentowanych procedur, o których mowa w załączniku III, służących do obsługi strefy bezpieczeństwa, systemu teleinformatycznego lub innego zasobu bądź usługi związanych z bezpieczeństwem celem zapewnienia ich skuteczności; k)„system teleinformatyczny” lub „CIS” oznacza każdy system umożliwiający przetwarzanie i przechowywanie informacji w formie elektronicznej, w tym wszystkie zasoby niezbędne do jego działania; l)„zabezpieczenie informacji” oznacza pewność, że systemy teleinformatyczne będą chronić informacje, które są w nich przetwarzane i przechowywane, i będą działać zgodnie z przeznaczeniem, w razie potrzeby pod kontrolą uprawnionych użytkowników, przy jednoczesnym zapewnieniu odpowiedniego poziomu autentyczności, dostępności, poufności, integralności i niezaprzeczalności; m)„akredytacja” oznacza formalną autoryzację systemu teleinformatycznego do przetwarzania EUCI o określonym uprzednio poziomie poufności lub strefy bezpieczeństwa do przechowywania takich EUCI, udzielaną przez organ ds. akredytacji bezpieczeństwa; n)„procedura akredytacji” oznacza kroki i zadania wymagane przez uzyskaniem akredytacji; o)„środki bezpieczeństwa TEMPEST” oznaczają środki mające na celu ochronę każdego CIS przetwarzającego i przechowującego informacje niejawne opatrzone klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą przed naruszeniem tych informacji z powodu niezamierzonych emisji elektromagnetycznych; p)„CERT-UE” oznacza zespół reagowania na incydenty komputerowe w instytucjach i organach UE w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady [...] ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii; q)„incydent związany z bezpieczeństwem informacji” oznacza każde zdarzenie potencjalnie narażające na szwank autentyczność, dostępność, poufność, integralność lub niezaprzeczalność przechowywanych, przekazywanych lub przetwarzanych informacji; r)„zasada ograniczonego dostępu” oznacza konieczność uzyskania dostępu przez daną osobę do określonych informacji przetwarzanych lub przechowywanych przez instytucję lub organ Unii w celu zrealizowania zadania tej konkretnej instytucji lub tego konkretnego organu Unii; s)„zero trust” oznacza model bezpieczeństwa, zestaw zasad projektowania systemu i skoordynowaną strategię cyberbezpieczeństwa i zarządzania systemem opartą na uznaniu faktu występowania zagrożenia w tradycyjnych granicach sieci i poza nimi; t)„oznaczenie” oznacza etykietę stosowaną do informacji na potrzeby zapewnienia zastosowania odpowiednich środków bezpieczeństwa; u)„klauzula tajności” oznacza oznaczenie wskazujące stopień poufności danej informacji; v)„oznaczenie dotyczące dystrybucji” to oznaczenie wskazujące zamierzonych odbiorców informacji wewnątrz instytucji lub organu Unii, z których informacje te pochodzą; w)„oznaczenie dotyczące możliwości udostępniania” to oznaczenie wskazujące dozwolonych odbiorców informacji poza instytucją lub organem Unii, z których informacje te pochodzą;

x)„właściciel systemu” oznacza osobę odpowiedzialną za całość zamówienia, opracowania, integracji, modyfikacji, obsługi, obsługi technicznej i wycofania systemu teleinformatycznego; y)„zagrożenie bezpieczeństwa informacji” oznacza zdarzenie lub czynnik, odnośnie do których można zasadnie oczekiwać, że wpłyną negatywnie na bezpieczeństwo informacji w przypadku niezareagowania na nie lub nieobjęcia ich kontrolą; z)„podatność” oznacza słabość, wrażliwość lub wadę zasobu, systemu, procesu lub kontroli, które mogą być wykorzystane przez co najmniej jedno zagrożenie; aa)„ryzyko” oznacza potencjalny negatywny skutek wynikający z danego zagrożenia, ewentualnie wykorzystującego wewnętrzną lub zewnętrzną podatność instytucji lub organu Unii lub wykorzystywanych przez nie systemów, szkodzący uzasadnionym interesom publicznym i prywatnym, mierzony jako połączenie prawdopodobieństwa pojawienia się zagrożeń i ich skutków; ab)„ryzyko szczątkowe” oznacza ryzyko, które pozostaje po wdrożeniu środków bezpieczeństwa; ac)„ocena ryzyka” oznacza określanie zagrożeń i podatności oraz przeprowadzenie odpowiedniej analizy ryzyka, tj. analizy prawdopodobieństwa i skutków; ad)„zmniejszanie ryzyka” oznacza łagodzenie, usuwanie lub redukowanie ryzyka (przy pomocy odpowiedniego połączenia środków technicznych, fizycznych, organizacyjnych lub proceduralnych), przenoszenie lub monitorowanie ryzyka; ae)„europejski certyfikat cyberbezpieczeństwa” oznacza certyfikat w rozumieniu art. 2 ust. 11 rozporządzenia UE 2019/881; af)„posiadacz” oznacza należycie upoważnioną osobę spełniającą zasadę ograniczonego dostępu, która jest w posiadaniu informacji wymagającej ochrony, i jest odpowiednio odpowiedzialna za ochronę tej informacji; ag)„materiały” oznaczają dowolny dokument, nośnik danych lub urządzenie bądź sprzęt, wytworzone albo będące w trakcie wytwarzania; ah)„informacje niejawne UE” lub „EUCI” oznaczają wszelkie informacje lub materiały opatrzone klauzulą tajności UE, których nieuprawnione ujawnienie mogłoby w różnym stopniu zaszkodzić interesom Unii lub interesom co najmniej jednego państwa członkowskiego; ai)„upoważnienie do dostępu do EUCI” oznacza decyzję władzy bezpieczeństwa, zgodnie z którą urzędnik, inny pracownik lub oddelegowany ekspert krajowy instytucji lub organu Unii może przez określony czas uzyskać dostęp do EUCI do określonego poziomu poufności; aj)„krajowa władza bezpieczeństwa” lub „KWB” oznacza organ rządowy państwa członkowskiego ostatecznie odpowiedzialny za bezpieczeństwo informacji niejawnych w tym państwie członkowskim; ak)„wyznaczona władza bezpieczeństwa” lub „WWB” oznacza organ państwa członkowskiego (KWB lub dowolny właściwy organ), który odpowiada za kierowanie wdrażaniem bezpieczeństwa przemysłowego lub procedurami poświadczania i za udzielanie wsparcia w tych obszarach; al)„postępowanie sprawdzające” oznacza procedury sprawdzające przeprowadzane przez właściwy organ państwa członkowskiego zgodnie z jego krajowymi przepisami ustawowymi i wykonawczymi w celu uzyskania pewności, że nie istnieją żadne znane niekorzystne okoliczności, które mogłyby stanowić przeszkodę w wydaniu danej osobie poświadczenia bezpieczeństwa do określonego poziomu klauzuli tajności (CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższego); am)„bezpieczeństwo fizyczne” oznacza zastosowanie środków fizycznych, technicznych i organizacyjnych w pomieszczeniach instytucji lub organu Unii, ich budynkach, salach, biurach lub obiektach, które wymagają ochrony przed nieuprawnionym dostępem do przetwarzanych, przechowywanych lub omawianych tam informacji; an)„teren” oznacza pomieszczenia instytucji lub organu Unii, ich budynki, sale, biura lub obiekty; ao)„ochrona w głąb” oznacza rodzaj ochrony polegający na wykorzystaniu wielu niezależnych warstw kontroli bezpieczeństwa w celu zapewnienia, aby w przypadku zawodności jednej z nich, zadziałała inna; ap)„materiał kryptograficzny” oznacza algorytmy kryptograficzne, sprzęt i oprogramowanie kryptograficzne, a także produkty zawierające szczegóły stosowania i związaną z nim dokumentację oraz klucze; aq)„produkt kryptograficzny” oznacza produkt, którego podstawowa i główna funkcjonalność polega na świadczeniu usług w zakresie bezpieczeństwa (autentyczności, dostępności, poufności, integralności i niezaprzeczalności) za pośrednictwem co najmniej jednego mechanizmu kryptograficznego;

ar)„wytwórca” oznacza instytucję lub organ Unii, państwo członkowskie, państwo trzecie lub organizację międzynarodową, w ramach właściwości których wytworzono informacje niejawne lub wprowadzono je do struktur Unii; as)„dokument” oznacza dowolną treść, niezależnie od jej nośnika (papier, forma elektroniczna, magnetyczna lub inna), w formie pisemnej lub w formie nagrania wizualnego lub audiowizualnego; at)„rejestracja ze względów bezpieczeństwa” oznacza stosowanie procedur rejestrowania etapów cyklu życia materiału, w tym jego upowszechniania i zniszczenia; au)„zniesienie klauzuli tajności” oznacza zniesienie wszelkiej klauzuli tajności; av)„obniżenie klauzuli tajności” oznacza obniżenie poziomu klauzuli tajności; aw)„umowa niejawna” oznacza umowę ramową lub umowę, o której mowa w rozporządzeniu Parlamentu Europejskiego i Rady (UE, Euratom) 2018/1046, zawieraną przez instytucję lub organ Unii z wykonawcą na dostawę ruchomości lub nieruchomości, wykonanie robót lub świadczenie usług, której wykonanie wymaga przetwarzania, w tym wytwarzania lub przechowywania EUCI lub wiąże się z tymi czynnościami; ax)„niejawna umowa o udzielenie dotacji” oznacza umowę, na podstawie której instytucja lub organ Unii przyznaje dotację, jak określono w tytule VIII rozporządzenia (UE, Euratom) 2018/1046, której wykonanie wymaga przetwarzania, w tym wytwarzania lub przechowywania EUCI lub wiąże się z tymi czynnościami; ay)„niejawna umowa o podwykonawstwo” oznacza umowę zawieraną przez wykonawcę lub beneficjenta instytucji lub organu Unii z podwykonawcą na dostawę ruchomości lub nieruchomości, wykonanie robót lub świadczenie usług, której wykonanie wymaga przetwarzania, w tym wytwarzania lub przechowywania EUCI lub wiąże się z tymi czynnościami; az)„instrukcje bezpieczeństwa programu lub projektu” lub „IBP” oznaczają wykaz procedur bezpieczeństwa stosowanych w odniesieniu do określonego programu lub projektu w celu normalizacji procedur bezpieczeństwa; ba)„dokument określający aspekty bezpieczeństwa” lub „DOAB” oznacza zbiór specjalnych warunków umownych, wydany przez instytucję zamawiającą lub udzielającą dotacji, stanowiący integralną część każdej umowy niejawnej lub umowy o udzielenie dotacji obejmującej dostęp do EUCI lub ich wytwarzanie, określający wymogi bezpieczeństwa i wskazujący te elementy umowy lub dotacji, których bezpieczeństwo wymaga ochrony; bb)„przewodnik nadawania klauzul” lub „PNK” oznacza dokument opisujący niejawne elementy programu, projektu, umowy lub umowy o udzielenie dotacji, określający obowiązujące poziomy klauzuli tajności; Artykuł 4 Przepisy ogólne 1.Każda instytucja i każdy organ Unii odpowiada za wdrożenie przepisów niniejszego rozporządzenia w obrębie swojej organizacji z uwzględnieniem własnego procesu zarządzania ryzykiem związanym z bezpieczeństwem informacji. 2. Niedostosowanie się do niniejszego rozporządzenia, w szczególności nieuprawnione ujawnienie informacji o poziomach poufności, o których mowa w art. 2 ust. 2, z wyjątkiem informacji do użytku publicznego, będzie objęte dochodzeniem i może poskutkować pociągnięciem pracowników do odpowiedzialności zgodnie z Traktatami lub odpowiednimi regulaminami pracowniczymi. 3.Instytucje i organy Unii oceniają wszystkie przetwarzane i przechowywane przez siebie informacje, aby nadać im kategorie zgodnie z poziomami poufności, o których mowa w art. 2 ust. 2. 4.Instytucje i organy Unii określają potrzeby w zakresie bezpieczeństwa w odniesieniu do wszystkich przetwarzanych i przechowywanych przez siebie informacji, uwzględniając następujące aspekty: a)autentyczność: gwarancja, że informacje są prawdziwe i pochodzą z rzetelnych źródeł; b)dostępność: cecha polegająca na tym, że informacje są dostępne i gotowe do wykorzystania na wniosek uprawnionego podmiotu; c)poufność: nieujawnianie informacji nieupoważnionym osobom, podmiotom ani na potrzeby nieuprawnionego przetwarzania;

d)integralność: fakt, że informacje są kompletne, a ich kompletność nie została naruszona; e)niezaprzeczalność: możliwość udowodnienia, że działanie lub zdarzenie miało miejsce, aby następnie nie można było zaprzeczyć wystąpieniu tego działania lub zdarzenia. 5.Instytucje i organy Unii określają, w odniesieniu do każdego systemu teleinformatycznego podlegającego ich odpowiedzialności, najwyższy poziom poufności informacji, jakie taki system teleinformatyczny może przetwarzać i przechowywać, przeprowadzają ocenę ryzyka związanego z bezpieczeństwem informacji i regularnie monitorują potrzeby związane z bezpieczeństwem i właściwe wdrażanie określonych środków ochrony. 6.Wszystkie instytucje i organy Unii zapewniają szkolenia i działania zwiększające świadomość dotyczące sposobu przetwarzania i przechowywania informacji jawnych i EUCI. Instytucje i organy Unii przetwarzające i przechowujące EUCI co najmniej co pięć lat organizują obowiązkowe szkolenie dla wszystkich osób upoważnionych do dostępu do EUCI. Instytucje i organy Unii, których to dotyczy, organizują specjalne szkolenia dla konkretnych organów, którym powierzono zadania dotyczące bezpieczeństwa informacji. Instytucja lub organ Unii może koordynować takie działania szkoleniowe i zwiększające świadomość wraz z innymi instytucjami i organami Unii. Artykuł 5 Proces zarządzania ryzykiem związanym z bezpieczeństwem informacji 1.Każda instytucja i każdy organ Unii ustanawia proces zarządzania ryzykiem związanym z bezpieczeństwem informacji służący ochronie informacji przetwarzanych i przechowywanych przez taką instytucję i taki organ. 2.Proces zarządzania ryzykiem związanym z bezpieczeństwem informacji obejmuje następujące etapy: a)identyfikacja zagrożenia i podatności; b)ocena ryzyka; c)zmniejszanie ryzyka; d)akceptacja ryzyka; e)komunikacja ryzyka. 3.Proces zarządzania ryzykiem związanym z bezpieczeństwem informacji uwzględnia wszelkie czynniki istotne dla danej instytucji lub danego organu, a w szczególności: a)poziom poufności informacji i powiązane z nim zobowiązania prawne; b)formę i ilość informacji oraz obiekty lub CIS, w których informacje są przetwarzane i przechowywane; c)osoby mające dostęp do informacji na danym terenie lub w sposób zdalny; d)otoczenie i struktura budynków lub obszarów, w obrębie których przechowywane są informacje;

e)zagrożenia ukierunkowane na Unię, instytucje i organy Unii lub państwa członkowskie wynikające z cyberataków, ataków na łańcuchy dostaw, szpiegostwa, sabotażu, działań terrorystycznych, wywrotowych lub innej działalności przestępczej; f)ciągłość działania i przywrócenie gotowości do pracy po wystąpieniu sytuacji nadzwyczajnej; g)w stosownych przypadkach: wyniki inspekcji, kontroli lub wizyt oceniających. Rozdział 2

Zarządzanie i organizacja bezpieczeństwa Artykuł 6 Międzyinstytucjonalna grupa koordynacyjna ds. bezpieczeństwa informacji 1.Ustanawia się międzyinstytucjonalną grupę koordynacyjną ds. bezpieczeństwa informacji („grupę koordynacyjną”). Składa się ona ze wszystkich organów ds. bezpieczeństwa instytucji i organów Unii i posiada uprawnienia do określenia ich wspólnej polityki w obszarze bezpieczeństwa informacji. 2.Działając na zasadzie zgody i we wspólnym interesie wszystkich instytucji i organów Unii, grupa koordynacyjna: a)uchwala swój regulamin wewnętrzny i przyjmuje wspólne roczne cele i priorytety; b)przyjmuje decyzje dotyczące utworzenia podgrup tematycznych i ich zakresu zadań; c)ustala wytyczne w sprawie wdrażania niniejszego rozporządzenia, w stosownych przypadkach we współpracy z międzyinstytucjonalną radą ds. cyberbezpieczeństwa, o której mowa w art. 9 rozporządzenia UE [...] ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii; d)ustanawia specjalne platformy służące wymianie najlepszych praktyk i wiedzy w zakresie wspólnych tematów związanych z bezpieczeństwem informacji, a także zapewnianiu pomocy w przypadku incydentów związanych z bezpieczeństwem informacji; e)zapewnia koordynację środków bezpieczeństwa mających na celu ochronę EUCI, w razie konieczności wraz z właściwymi krajowymi władzami bezpieczeństwa. 3.Grupa koordynacyjna wyznacza spośród swoich członków przewodniczącego i dwóch wiceprzewodniczących na okres trzech lat. 4.Grupa koordynacyjna spotyka się co najmniej raz w roku z inicjatywy swoich przewodniczących lub na wniosek instytucji lub organu Unii. 5.Grupa koordynacyjna korzysta ze wsparcia administracyjnego stałego sekretariatu zapewnianego przez Komisję. 6.Każda instytucja lub każdy organ Unii są odpowiednio reprezentowane w grupie koordynacyjnej i, w stosownych przypadkach, w podgrupach tematycznych. 7.Instytucje i organy Unii zwracają uwagę grupy koordynacyjnej na wszelkie istotne zmiany w polityce bezpieczeństwa informacji w obrębie ich organizacji. 8.Wykonując zadania, o których mowa w ust. 2 lit. e), grupa koordynacyjna korzysta z wsparcia Komitetu ds. Bezpieczeństwa Informacji. Komitet ten składa się z jednego przedstawiciela z każdej krajowej władzy bezpieczeństwa, a i przewodniczy mu sekretariat grupy koordynacyjnej, o którym mowa w ust. 5. Komitet ds. Bezpieczeństwa Informacji pełni rolę doradczą.

Artykuł 7 Podgrupy tematyczne 1.Grupa koordynacyjna powołuje następujące stałe podgrupy tematyczne w celu ułatwienia wdrażania niniejszego rozporządzenia: a)podgrupa ds. zabezpieczania informacji; b)podgrupa ds. informacji jawnych; c)podgrupa ds. bezpieczeństwa fizycznego; d)podgrupa ds. akredytacji systemów teleinformatycznych, w których przetwarza się i przechowuje EUCI; e)podgrupa ds. udostępniania EUCI i wymiany informacji niejawnych. 2.W stosownych przypadkach grupa koordynacyjna może utworzyć podgrupy ad hoc na potrzeby realizacji konkretnego zadania i na ograniczony okres. 3.O ile regulamin wewnętrzny nie przewiduje inaczej, podgrupy funkcjonują na zasadzie otwartego uczestnictwa, reprezentującego zainteresowaną instytucję lub zainteresowany organ Unii. Członkami podgrup są eksperci w odpowiednich dziedzinach leżących w zakresie ich kompetencji. 4.Sekretariat grupy koordynacyjnej, o którym mowa w art. 5 ust. 5, wspiera prace wszystkich podgrup i zapewnia komunikację między ich członkami. Artykuł 8 Organizacja bezpieczeństwa 1.Każda instytucja i każdy organ Unii wyznacza organ ds. bezpieczeństwa, który przyjmuje obowiązki przypisane mu na podstawie niniejszego rozporządzenia i, w stosownych przypadkach, w wewnętrznych przepisach w zakresie bezpieczeństwa danej instytucji lub danego organu. Realizując swoje zadania, każdy organ ds. bezpieczeństwa korzysta ze wsparcia departamentu lub urzędnika, który odpowiada za zadania związane z bezpieczeństwem informacji. 2.W stosownych przypadkach organ ds. bezpieczeństwa każdej instytucji i każdego organu Unii przyjmuje wewnętrzne przepisy wykonawcze dotyczące ochrony informacji, zgodnie ze swoimi zadaniami, powierzonymi na mocy prawa UE i na podstawie własnej autonomii instytucjonalnej. 3.W razie potrzeby każdy organ ds. bezpieczeństwa przyjmuje również następujące funkcje: a)organu ds. zabezpieczania informacji odpowiedzialnego za opracowanie polityki bezpieczeństwa w zakresie zabezpieczania informacji i wytycznych w zakresie bezpieczeństwa oraz za monitorowanie ich skuteczności i adekwatności; b)operacyjnego organu ds. zabezpieczania informacji odpowiedzialnego za opracowanie dokumentacji dotyczącej bezpieczeństwa, w szczególności procedur bezpiecznej eksploatacji systemu i planu kryptograficznego w ramach procesu akredytacji systemów teleinformatycznych; c)organu ds. akredytacji bezpieczeństwa odpowiedzialnego za akredytację stref bezpieczeństwa i CIS, w których są przetwarzane i przechowywane EUCI; d)organu ds. TEMPEST odpowiedzialnego za zatwierdzanie środków podejmowanych w celu ochrony przeciwko naruszeniu EUCI za sprawą niezamierzonych emisji elektromagnetycznych;

e)organu ds. zatwierdzania produktów kryptograficznych odpowiedzialnego za zatwierdzanie korzystania z technologii szyfrujących na podstawie wniosku właściciela systemu; f)organu ds. dystrybucji produktów kryptograficznych odpowiedzialnego za dystrybucję materiałów kryptograficznych wykorzystywanych do ochrony EUCI (sprzętu kryptograficznego, kluczy kryptograficznych, certyfikatów i powiązanych elementów uwierzytelniających) wśród zainteresowanych użytkowników. 4.Obowiązki związane z co najmniej jedną z funkcji, o których mowa w ust. 3, można powierzyć innej instytucji lub innemu organowi Unii, o ile zdecentralizowane zapewnianie bezpieczeństwa przynosi korzyści pod względem wydajności, zasobów lub oszczędności czasu. Rozdział 3

Zabezpieczanie informacji oraz systemy teleinformatyczne (CIS) Artykuł 9 Zasady zabezpieczania informacji 1.W przypadku wszystkich CIS, w tym CIS wewnętrznych, zlecanych na zewnątrz i hybrydowych, ocenę potrzeb związanych z bezpieczeństwem informacji uwzględnia się od początku ich tworzenia lub na etapie udzielania zamówienia. 2.Każdy CIS przetwarzający i przechowujący EUCI podlega akredytacji zgodnie z rozdziałem 5 sekcja 5. Wszystkie CIS przetwarzające i przechowujące szczególnie chronione informacje jawne są zgodne z minimalnymi wymogami dotyczącymi szczególnie chronionych informacji jawnych w CIS, określonymi w rozdziale 4. Artykuł 10 Podgrupa ds. zabezpieczania informacji 1.Podgrupa ds. zabezpieczania informacji, o której mowa w art. 7 ust. 1 lit. a), ma następujące role i obowiązki: a)dostarczanie wytycznych i najlepszych praktyk w sprawie oznaczania, przetwarzania i przechowywania informacji w CIS w ścisłej współpracy z międzyinstytucjonalną radą ds. cyberbezpieczeństwa, o której mowa w art. 9 rozporządzenia UE [XXX] ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii; b)podczas wzajemnego łączenia odpowiednich CIS – tworzenie systemu metadanych na użytek oznaczania oraz wszystkich niezbędnych informacji technicznych umożliwiających interoperacyjną i płynną wymianę informacji między instytucjami i organami Unii; c)zwiększanie spójności między przepisami dotyczącymi bezpieczeństwa informacji a podstawowym poziomem cyberbezpieczeństwa we wszystkich instytucjach i organach Unii, o którym mowa w art. 5 rozporządzenia UE [XXX] ustanawiającym środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii. Artykuł 11 Wymogi dotyczące systemów teleinformatycznych 1.Instytucje i organy Unii informują użytkowników o poziomach poufności informacji, które można przetwarzać i przechowywać w CIS. Jeżeli CIS przetwarza i przechowuje informacje na wielu poziomach poufności, stosuje się metadane i wizualne oznaczenia, aby zapewnić możliwość rozróżnienia poszczególnych poziomów. 2.Instytucje i organy Unii identyfikują użytkowników CIS przed udzieleniem im dostępu do jakichkolwiek poziomów poufności innych niż użytek publiczny. Użytkownicy podlegają uwierzytelnieniu na poziomie pewności odpowiadającym poziomowi poufności. W stosownych przypadkach stosuje się wspólny bezpieczny system identyfikacji. 3.W przypadku wszystkich CIS prowadzone są odpowiednie rejestry bezpieczeństwa, aby możliwe było przeprowadzenie szybkiego dochodzenia w przypadku naruszeń lub wycieków informacji. Rejestry takie utrzymuje się przez okres ustanowiony w ocenie wpływu na działalność lub w odpowiedniej polityce bezpieczeństwa, w sposób niezaprzeczalny. Jeżeli w CIS są przetwarzane i przechowywane EUCI, rejestry związane z zasadą ograniczonego dostępu i dostępem do informacji utrzymuje się do momentu zniesienia klauzuli tajności danych informacji. Organ ds. bezpieczeństwa ma możliwość przeszukiwania rejestrów bezpieczeństwa i dostępu do nich.

4.Instytucje i organy Unii przyjmują wewnętrzne przepisy dotyczące bezpieczeństwa CIS, aby określić odpowiednie środki bezpieczeństwa zgodnie z potrzebami związanymi z bezpieczeństwem dotyczącymi informacji, które mają być przetwarzane i przechowywane, oraz przy uwzględnieniu jurysdykcji, w ramach których informacje są przechowywane, przekazywane i przetwarzane. W stosownych przypadkach środki te obejmują: a)ograniczenia dotyczące geograficznej lokalizacji; b)uwzględnienie możliwych konfliktów interesów, bojkotów lub kar związanych z wykonawcami; c)postanowienia umowne służące zapewnieniu bezpieczeństwa informacji; d)szyfrowanie danych odłożonych i przewożonych; e)ograniczenia dotyczące dostępności informacji instytucji i organów Unii dla personelu wykonawcy; f)ochrona danych osobowych zgodnie z mającymi zastosowanie przepisami w sprawie ochrony danych. 5.Instytucje i organy Unii zarządzają swoimi CIS zgodnie z następującymi zasadami: a)każdy CIS posiada właściciela systemu lub operacyjny organ ds. zabezpieczania informacji, który odpowiada za jego bezpieczeństwo; b)prowadzony jest proces zarządzania ryzykiem związanym z bezpieczeństwem informacji obejmujący kwestie związane z bezpieczeństwem informacji; c)wymogi dotyczące bezpieczeństwa i procedury bezpiecznej eksploatacji systemu podlegają formalnemu zdefiniowaniu, wdrożeniu, kontroli i przeglądowi; d)incydenty związane z bezpieczeństwem informacji są formalnie rejestrowane i następują po nich działania następcze zgodnie z rozporządzeniem UE [XXX] ustanawiającym środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach, urzędach i agencjach Unii. Rozdział 4

Informacje jawne Artykuł 12 Informacje do użytku publicznego 1.Informacje przeznaczone do użytku publicznego lub oficjalne publikacje bądź informacje już ujawnione, które można udostępniać bez ograniczeń w obrębie instytucji i organów Unii lub poza nimi, podlegają takiej kategoryzacji oraz takiemu przetwarzaniu i przechowywaniu, jak informacje do użytku publicznego. 2.Instytucje i organy Unii mogą oznaczyć informacje, o których mowa w ust. 1, etykietą „PUBLIC USE”. 3.Wszystkie instytucje i organy Unii zapewniają integralność i dostępność informacji do użytku publicznego, stosując odpowiednie środki opierające się na potrzebach związanych z bezpieczeństwem. Artykuł 13 Informacje zwykłe

1.Informacje przeznaczone do użytku przez instytucję lub organ Unii w ramach wykonywania ich funkcji, które nie są ani szczególnie chronionymi informacjami jawnymi, ani informacjami do użytku publicznego, kategoryzuje się, przetwarza i przechowuje jako informacje zwykłe. Kategoria ta obejmuje wszystkie zwykłe informacje na poziomie roboczym, przetwarzane przez daną instytucję lub dany organ Unii. 2.Gdy konieczne jest zapewnienie ochrony informacji zwykłych, szczególnie w przypadku ich udostępniania poza instytucjami i organami Unii, można oznakować je wizualnie lub w postaci metadanych. W takim przypadku stosuje się oznaczenie „EU NORMAL” lub „nazwa lub nazwa skrócona instytucji lub organu Unii NORMAL” (dostosowane w poszczególnych przypadkach). 3.Instytucje i organy Unii definiują standardowe środki ochrony dotyczące informacji zwykłych, uwzględniając wskazówki podgrupy ds. informacji jawnych i wszelkie szczególne ryzyko związane z ich zadaniami i działaniami. 4.W wymianie informacji zwykłych poza instytucjami i organami Unii uczestniczą wyłącznie osoby fizyczne lub prawne podlegające zasadzie ograniczonego dostępu. Artykuł 14 Szczególnie chronione informacje jawne 1.Instytucje i organy Unii kategoryzują, przetwarzają i przechowują jako szczególnie chronione informacje jawne wszystkie informacje, które nie są niejawne, lecz które muszą chronić ze względu na zobowiązanie prawne lub ponieważ ich nieuprawnione ujawnienie może zaszkodzić uzasadnionym interesom prywatnym i publicznym, w tym interesom instytucji i organów Unii, państw członkowskich lub poszczególnych osób. 2.Każda instytucja i każdy organ Unii identyfikuje szczególnie chronione informacje jawne, stosując widoczne oznaczenie bezpieczeństwa, i określa odpowiednie instrukcje dotyczące przetwarzania zgodnie z załącznikiem I. 3.Instytucje i organy Unii chronią szczególnie chronione informacje jawne, stosując odpowiednie środki dotyczące przetwarzania i przechowywania. Informacje takie można udostępnić wyłącznie wewnątrz instytucji i organów Unii osobom podlegającym zasadzie ograniczonego dostępu na potrzeby wykonania powierzonych im zadań. 4.W wymianie szczególnie chronionych informacji jawnych poza instytucjami i organami Unii uczestniczą wyłącznie osoby fizyczne i prawne podlegające zasadzie ograniczonego dostępu, przestrzegając instrukcji dotyczących przetwarzania, które towarzyszą informacjom. Wszystkie zaangażowane strony otrzymują instrukcje dotyczące odpowiedniego przetwarzania informacji. Artykuł 15 Ochrona informacji jawnych i interoperacyjność 1.Instytucje i organy Unii ustanawiają procedury dotyczące zgłaszania wszelkich incydentów lub podejrzewanych incydentów, które mogą prowadzić do naruszenia bezpieczeństwa informacji jawnych, oraz procedury zarządzania takimi incydentami. 2.W razie konieczności instytucje i organy Unii stosują oznaczenia przewidziane w art. 12, 13 i 14. W drodze wyjątku mogą zastosować inne równoważne oznaczenia do użytku wewnętrznego i w stosunku do ich konkretnych odpowiedników z innych instytucji i organów Unii lub z państw członkowskich, jeżeli wszystkie strony wyrażą na to zgodę. Wyjątek taki należy zgłosić podgrupie ds. informacji jawnych, o której mowa w art. 7 ust. 1 lit. b). 3.W celu zapewnienia ochrony informacji zwykłych i szczególnie chronionych informacji jawnych przetwarzanych w ramach usług zlecanych na zewnątrz, ustanawia się zabezpieczenia umowne. Zabezpieczenia mają na celu zagwarantować poziom ochrony co najmniej równoważny z poziomem przewidzianym w niniejszym rozporządzeniu i obejmują zobowiązania do zachowania poufności, które muszą podpisać wszyscy właściwi usługodawcy uczestniczący w dostawie zleconych na zewnątrz systemów. Artykuł 16 Podgrupa ds. informacji jawnych 1.Podgrupa ds. informacji jawnych, o której mowa w art. 7 ust. 1 lit. b), ma następujące role i obowiązki: a)usprawnienie procedur związanych z przetwarzaniem i przechowywaniem informacji jawnych i przygotowanie odpowiednich wskazówek; b)koordynacja działań z podgrupą ds. zabezpieczania informacji, o której mowa w art. 7 ust. 1 lit. a), dotycząca kwestii związanych z systemami przetwarzającymi i przechowującymi informacje jawne;

c)przygotowanie instrukcji przetwarzania w odniesieniu do poszczególnych poziomów poufności informacji jawnych; d)udzielanie pomocy instytucjom i organom Unii w ustanowieniu równowagi między ich konkretnymi kategoriami informacji jawnych a kategoriami przewidzianymi w art. 12, 13 i 14; e)ułatwianie wymiany informacji jawnych między instytucjami i organami Unii dzięki zapewnianiu pomocy i wskazówek. Artykuł 17 Przetwarzanie i przechowywanie szczególnie chronionych informacji jawnych w CIS 1.Instytucje i organy Unii zapewniają, aby podczas przetwarzania i przechowywania szczególnie chronionych informacji jawnych CIS spełniały następujące minimalne wymogi: a)wdrożenie silnego uwierzytelnienia na potrzeby uzyskania dostępu do szczególnie chronionych informacji jawnych, i szyfrowanie szczególnie chronionych informacji jawnych podczas przekazywania i przechowywania; b)za klucze kryptograficzne stosowane do celów przechowywania odpowiada instytucja lub organ Unii odpowiedzialne za obsługę CIS; c)przechowywanie i przetwarzanie szczególnie chronionych informacji jawnych odbywa się w Unii; d)postanowienia umowne dotyczące personelu, zasobów i informacji są ujęte we wszystkich umowach w sprawie outsourcingu; e)stosuje się interoperacyjne metadane w celu zarejestrowania poziomu poufności dokumentów elektronicznych oraz dla ułatwienia automatyzacji środków bezpieczeństwa; f)instytucje i organy Unii wdrażają środki służące zapobieganiu wyciekom danych oraz wykrywaniu takich wycieków, aby chronić szczególnie chronione informacje jawne; g)w miarę dostępności wykorzystuje się sprzęt bezpieczeństwa z europejskim certyfikatem cyberbezpieczeństwa; h)wdrożenie środków bezpieczeństwa opartych na zasadach ograniczonego dostępu i modelu zero trust w celu zminimalizowania dostępu usługodawców i wykonawców do szczególnie chronionych informacji jawnych. 2.Wszelkie odstępstwa od minimalnych wymogów określonych w ust. 1 podlegają zatwierdzeniu na odpowiednim szczeblu zarządzania daną instytucją lub danym organem Unii na podstawie oceny ryzyka obejmującej prawne i techniczne zagrożenie dla bezpieczeństwa szczególnie chronionych informacji jawnych. 3.Organ ds. zabezpieczania informacji danej instytucji lub danego organu Unii może w dowolnym momencie cyklu życia CIS skontrolować zgodność z zasadami określonymi w ust. 1. Rozdział 5

EUCI Sekcja 1

Przepisy ogólne Artykuł 18 Klauzule tajności i oznaczenia

1.EUCI otrzymują jedną z następujących klauzul tajności i uzyskają następujące etykiety: a)TRES SECRET UE/EU TOP SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby wyrządzić wyjątkowo poważną szkodę podstawowym interesom Unii lub co najmniej jednego państwa członkowskiego; b)SECRET UE/EU SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii lub co najmniej jednego państwa członkowskiego; c)CONFIDENTIEL UE/EU CONFIDENTIAL: informacje i materiały, których nieuprawnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii lub co najmniej jednego państwa członkowskiego; d)RESTREINT UE/EU RESTRICTED: informacje i materiały, których nieuprawnione ujawnienie mogłoby być niekorzystne dla interesów Unii lub co najmniej jednego państwa członkowskiego. 2.Grupa koordynacyjna przyjmuje wytyczne dotyczące tworzenia i klasyfikacji EUCI. Artykuł 19 Odpowiednie przystosowanie do przetwarzania i przechowywania EUCI 1.Każda instytucja i każdy organ Unii może przetwarzać i przechowywać EUCI, jeżeli spełnione są następujące warunki: a)ustanowiono w nich przepisy i procedury zgodne z niniejszym rozporządzeniem, zapewniające ochronę informacji wobec danego poziomu klauzuli tajności; oraz b)przeszły one wizytę oceniającą zgodnie z art. 53, a następnie uzyskały certyfikację, że mogą chronić EUCI zgodnie z niniejszym rozporządzeniem i, w stosownych przypadkach, z wszelkimi innymi właściwymi przepisami i procedurami. 2.Warunki określone w ust. 1 uznaje się za domyślnie spełnione przez członków podgrupy ds. udostępniania EUCI i wymiany informacji niejawnych, o której mowa w art. 7 ust. 1 lit. e). Artykuł 20 Ochrona EUCI 1.Posiadacz jakiejkolwiek EUCI odpowiada za jej ochronę. 2.Jeżeli państwo członkowskie wprowadza informacje niejawne opatrzone krajową klauzulą tajności do struktur i sieci instytucji lub organu Unii, ta instytucja lub ten organ chronią przedmiotowe informacje zgodnie z odpowiednim oznaczeniem klauzuli tajności określonym w Umowie między państwami członkowskimi Unii Europejskiej, zebranymi w Radzie, w sprawie ochrony informacji niejawnych wymienianych w interesie Unii Europejskiej. Właściwa tabela odpowiedników znajduje się w załączniku VI do niniejszego rozporządzenia. 3.Zagregowane EUCI mogą wymagać poziomu ochrony odpowiadającego wyższej klauzuli tajności, niż ma to miejsce w przypadku pojedynczego elementu. Artykuł 21 Proces zarządzania ryzykiem związanym z bezpieczeństwem EUCI 1.Organ ds. bezpieczeństwa każdej instytucji i każdego organu Unii zatwierdza środki bezpieczeństwa dotyczące ochrony EUCI podczas całego cyklu życia zgodnie z wynikiem oceny ryzyka przeprowadzonej przez odpowiednią instytucję lub odpowiedni organ Unii.

2.Środki bezpieczeństwa podejmowane przez każdą instytucję i każdy organ Unii są proporcjonalne w stosunku do poziomu klauzuli tajności przetwarzanych i przechowywanych informacji, ich formy i wielkości, oraz lokalizacji i cech ochrony obiektów, w których EUCI są przetwarzane i przechowywane, a także w stosunku do lokalnie ocenianego zagrożenia polegającego na szkodliwych działaniach lub działalności przestępczej. 3.Wszystkie instytucje i organy Unii ustanawiają: a)plany awaryjne służące zapewnieniu bezpieczeństwa EUCI w sytuacjach nadzwyczajnych; b)plany ciągłości działania obejmujące środki zapobiegawcze i naprawcze służące zminimalizowaniu skutków poważnych niedopatrzeń lub incydentów związanych z bezpieczeństwem dotyczących przetwarzania i przechowywania EUCI. Artykuł 22 Naruszenie i narażenie na szwank bezpieczeństwa EUCI 1.Działanie lub zaniechanie instytucji lub organu Unii lub osoby fizycznej, które narusza niniejsze rozporządzenie, uznaje się za naruszenie bezpieczeństwa. 2.Uznaje się, że doszło do narażenia EUCI na szwank, jeżeli w wyniku naruszenia ujawniono je, w całości lub w części, co najmniej jednej osobie, która nie jest uprawniona do dostępu do tych informacji. 3.Każde narażenie EUCI na szwank lub podejrzenie takiego narażenia jest niezwłocznie zgłaszane organowi ds. bezpieczeństwa właściwej instytucji lub właściwego organu Unii, który prowadzi dochodzenie w sprawie bezpieczeństwa i podejmuje co najmniej następujące działania: a)informuje wytwórcę informacji; b)zapewnia zbadanie przedmiotowego przypadku przez personel niezwiązany bezpośrednio z tym naruszeniem w celu ustalenia przebiegu wydarzeń; c)ocenia potencjalne szkody dla interesów Unii lub państw członkowskich; d)wdraża właściwe środki w celu zapobieżenia powtórzeniu się podobnego przypadku; e)powiadamia właściwe organy o rzeczywistym lub potencjalnym narażeniu i podjętych działaniach. Sekcja 2

Bezpieczeństwo osobowe Artykuł 23 Podstawowe zasady 1.Organ ds. bezpieczeństwa instytucji lub organu Unii może przyznać osobom fizycznym dostęp do EUCI, jeżeli spełnione są wszystkie następujące warunki: a)osoby te podlegają zasadzie ograniczonego dostępu; b)osoby te zostały poinformowane o przepisach i procedurach bezpieczeństwa służących ochronie EUCI oraz o odpowiednich standardach bezpieczeństwach i wytycznych, a także potwierdziły na piśmie, że zapoznały się ze swoimi obowiązkami w zakresie ochrony takich informacji;

c)w przypadku informacji z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą – osobom tym wydano odpowiednie poświadczenie bezpieczeństwa lub otrzymały one upoważnienie do odpowiedniego poziomu. 2.Instytucje i organy Unii biorą pod uwagę lojalność, wiarygodność i rzetelność danej osoby określone w drodze postępowania sprawdzającego przeprowadzonego przez właściwe organy państwa członkowskiego, którego obywatelem jest wnioskodawca. 3.Instytucje i organy Unii mogą akceptować poświadczenia bezpieczeństwa wydane przez państwa trzecie i organizacje międzynarodowe, z którymi Unia zawarła umowę o bezpieczeństwie informacji. 4.Instytucje i organy Unii mogą zarządzać procesami poświadczenia bezpieczeństwa niezależnie lub starać się o zawarcie umowy o gwarantowanym poziomie usług z Komisją do celów poświadczenia bezpieczeństwa. W przypadku zawarcia umowy o gwarantowanym poziomie usług organ ds. bezpieczeństwa Komisji jest punktem kontaktowym między biurami bezpieczeństwa danej instytucji i danego organu Unii a właściwymi organami krajowymi państw członkowskich w kontekście kwestii związanych z poświadczeniem bezpieczeństwa. 5.Organ ds. bezpieczeństwa każdej instytucji i każdego organu Unii prowadzi rejestr swoich poświadczeń bezpieczeństwa, instrukcji, pisemnych oświadczeń i upoważnień do dostępu do EUCI. 6.Instytucje i organy Unii, które zawierają umowę o gwarantowanym poziomie usług z Komisją, udostępniają organowi ds. bezpieczeństwa Komisji odpowiednie rejestry zawierające co najmniej informacje o poziomie klauzuli tajności EUCI, do których dana osoba może mieć dostęp, dacie przyznania upoważnienia do dostępu do EUCI i okresie jego ważności. W uzasadnionych przypadkach rejestry te są dostępne dla innych instytucji i organów Unii, które zawarły umowę o gwarantowanym poziomie usług. Artykuł 24 Upoważnienie do dostępu do EUCI 1.Każda instytucja i każdy organ Unii określa stanowiska w swojej organizacji wymagające dostępu do informacji z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą, aby dana osoba mogła wykonywać swoje obowiązki. 2.W każdym przypadku gdy dana osoba musi zostać upoważniona do dostępu do informacji z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą, dana instytucja lub dany organ informuje o tym właściwy organ ds. bezpieczeństwa, który dopełnia formalności wymaganych w załączniku II pkt 1. 3.Organ ds. bezpieczeństwa każdej instytucji i każdego organu Unii jest odpowiedzialny za udzielanie, zawieszanie, cofanie i przedłużanie ważności upoważnień do dostępu do EUCI dla pracowników tej instytucji i tego organu. 4.W wyjątkowych okolicznościach, jeżeli jest to należycie uzasadnione interesem służby i do czasu zakończenia pełnego postępowania sprawdzającego, organ ds. bezpieczeństwa instytucji lub organu Unii może udzielić osobom tymczasowego upoważnienia do dostępu do EUCI na określonym stanowisku, nie naruszając przepisów dotyczących przedłużania ważności upoważnienia do dostępu do EUCI oraz po weryfikacji przez właściwą krajową władzę bezpieczeństwa. 5.Instytucje i organy Unii stosują procedury zarządzania upoważnieniami do dostępu do EUCI określone w załączniku II. Artykuł 25 Uznawanie upoważnień do dostępu do EUCI 1.Upoważnienie do dostępu do EUCI do określonego poziomu jest ważne w każdej instytucji lub w każdym organie Unii, do których dana osoba jest oddelegowana. 2.Instytucje i organy Unii akceptują upoważnienia do dostępu do EUCI udzielone przez inną instytucję lub inny organ Unii. 3.W przypadku gdy posiadacz upoważnienia do dostępu do EUCI podejmuje pracę w innej instytucji lub innym organie Unii, ta instytucja lub ten organ Unii powiadamia odpowiednią KWB o zmianie pracodawcy za pośrednictwem właściwego organu ds. bezpieczeństwa. Artykuł 26

Instrukcje dotyczące EUCI 1.Organ ds. bezpieczeństwa instytucji lub organu Unii udziela wszystkim osobom, które potrzebują dostępu do EUCI, instrukcji o wszelkich zagrożeniach dla bezpieczeństwa oraz o spoczywającym na nich obowiązku zgłaszania jakiejkolwiek podejrzanej działalności. Instruktaż odbywa się przed udzieleniem dostępu do EUCI, a następnie co najmniej raz na pięć lat. 2.Po otrzymaniu instrukcji, o których mowa w ust. 1, wszystkie zainteresowane osoby oświadczają na piśmie, że zrozumiały spoczywające na nich obowiązki w zakresie ochrony EUCI i konsekwencje narażenia na szwank bezpieczeństwa EUCI. 3.Instrukcje, o których mowa w ust. 1, obejmują następujące informacje: a)każda osoba odpowiedzialna za naruszenie przepisów bezpieczeństwa określonych w niniejszym rozporządzeniu może podlegać postępowaniu dyscyplinarnemu zgodnie z obowiązującymi zasadami i przepisami wykonawczymi; b)każda osoba odpowiedzialna za narażenie na szwank bezpieczeństwa EUCI lub za ich utratę może podlegać postępowaniu dyscyplinarnemu lub sądowemu zgodnie z obowiązującymi przepisami ustawowymi, zasadami i przepisami wykonawczymi. 4.W przypadku gdy osoby, którym udzielono upoważnienia do dostępu do EUCI, nie potrzebują już takiego dostępu, instytucje i organy Unii zapewniają, aby osoby te wiedziały o spoczywających na nich obowiązkach dalszej ochrony EUCI oraz aby w stosownych przypadkach potwierdziły świadomość tego obowiązku na piśmie. 5.Zadanie opracowywania instrukcji dotyczących EUCI i zarządzania tymi instrukcjami może być dzielone między instytucje i organy Unii, pod warunkiem że uwzględnione zostaną ich szczególne wymogi. Sekcja 3

Bezpieczeństwo fizyczne Artykuł 27 Podstawowe zasady 1.Każda instytucja i każdy organ Unii określa środki bezpieczeństwa fizycznego odpowiednie dla swojego terenu, zgodnie z załącznikiem III i zasadą ochrony w głąb, na podstawie oceny ryzyka przeprowadzonej przez jej władzę bezpieczeństwa. Środki te zapewniają osiągnięcie następujących celów: a)uniemożliwienie dostępu do EUCI lub wtargnięcia osoby nieupoważnionej z użyciem siły; b)jak najszybsze powstrzymanie od podjęcia nieuprawnionych działań, udaremnienie ich, ich wykrywanie oraz reagowanie na incydenty związane z bezpieczeństwem; c)umożliwienie podziału pracowników pod względem dostępu do EUCI zgodnie z zasadą ograniczonego dostępu oraz, w stosownych przypadkach, na podstawie poświadczenia bezpieczeństwa. 2.Instytucje i organy Unii wprowadzają środki bezpieczeństwa fizycznego na wszystkich terenach, na których EUCI są omawiane, przechowywane lub przetwarzane, w tym na obszarach, w których znajdują się systemy teleinformatyczne, o których mowa w sekcji 5 niniejszego rozdziału. 3.Do fizycznej ochrony informacji z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą wykorzystuje się wyłącznie bezpieczny sprzęt zatwierdzony przez organ ds. bezpieczeństwa instytucji lub organu Unii. 4.Po zawarciu umowy instytucje i organy Unii mogą dzielić się strefami bezpieczeństwa, o których mowa w załączniku III, do celów przetwarzania i przechowywania EUCI. Artykuł 28 Podgrupa ds. bezpieczeństwa fizycznego

1.Podgrupa ds. bezpieczeństwa fizycznego, o której mowa w art. 7 ust. 1 lit. c), ma następujące role i obowiązki: a)przygotowywanie wytycznych dotyczących kwestii bezpieczeństwa fizycznego; b)określanie ogólnych kryteriów bezpieczeństwa na potrzeby nabywania sprzętu służącego do fizycznej ochrony EUCI, takiego jak: zabezpieczone szafy, niszczarki, zamki do drzwi, elektroniczne systemy kontroli dostępu, systemy sygnalizacji włamania i napadu oraz systemy alarmowe; c)wspieranie instytucji i organów Unii w określaniu odpowiednich środków bezpieczeństwa obowiązujących na ich terenie; d)proponowanie środków równoważnych służących ochronie EUCI w przypadku przetwarzania EUCI poza fizycznie chronionymi strefami instytucji i organu Unii. Artykuł 29 Fizyczna ochrona EUCI 1.Aby zapewnić fizyczną ochronę EUCI, instytucje i organy Unii ustanawiają następujące strefy chronione fizycznie: a)strefy administracyjne, o których mowa w załączniku III; b)w stosownych przypadkach strefy bezpieczeństwa, w tym strefy klasy I, strefy klasy II i strefy technicznie zabezpieczone, o których mowa w załączniku III. 2.Organ ds. bezpieczeństwa danej instytucji i danego organu Unii przeprowadza kontrolę wewnętrzną w celu sprawdzenia, czy spełnione są warunki ustanowienia danej strefy jako strefy administracyjnej lub strefy bezpieczeństwa, określonej w załączniku III. Jeżeli ze sprawozdania z kontroli wynika, że warunki są spełnione, organ ds. bezpieczeństwa może wydać akredytację dla strefy bezpieczeństwa na potrzeby ochrony EUCI do określonego poziomu na okres nieprzekraczający 5 lat. Organ ds. bezpieczeństwa danej instytucji lub danego organu Unii jest odpowiedzialny za przeprowadzenie procedury ponownej akredytacji swoich stref bezpieczeństwa przed wygaśnięciem akredytacji lub za każdym razem, gdy w strefie akredytowanej wprowadzono zmiany. 3.Każda instytucja i każdy organ Unii przyjmują procedury zarządzania kluczami i kodami do biur, pomieszczeń, wzmocnionych pomieszczeń i zabezpieczonych szaf w odniesieniu do poziomu CONFIDENTIEL UE/EU-CONFIDENTIAL i wyższych poziomów. 4.Organ ds. bezpieczeństwa może zezwolić na przeszukiwanie osób wchodzących i wychodzących celem zniechęcania do nieuprawnionego wnoszenia materiałów lub nieuprawnionego wynoszenia EUCI z terenu oraz wykrywania takich przypadków. 5.Instytucje i organy Unii ustanawiają środki ochrony fizycznej EUCI zgodnie z załącznikiem III. Sekcja 4

Zarządzanie EUCI Artykuł 30 Podstawowe zasady 1.Instytucje i organy Unii rejestrują, umieszczają w dokumentacji, przechowują i ostatecznie usuwają, wyrywkowo kontrolują lub przekazują do odpowiednich archiwów swoje dokumenty zawierające EUCI zgodnie z polityką zatrzymywania i przepisami właściwymi dla akt każdej instytucji i każdego organu Unii. 2.Każda instytucja i każdy organ Unii, które są wytwórcą EUCI, określają klauzulę tajności tych informacji po ich wytworzeniu i zgodnie z art. 18 ust. 1.

3.Instytucje i organy Unii wyraźnie komunikują odbiorcom poziom klauzuli tajności, oznaczając klauzulę tajności albo komunikując, jeżeli informacja jest przekazywana ustnie. 4.Środki bezpieczeństwa, które stosuje się do oryginału dokumentu, mają zastosowanie do jego projektów, kopii i tłumaczeń. 5.Instytucje i organy Unii ustanawiają środki zarządzania EUCI zgodnie z załącznikiem IV. Artykuł 31 Wytwarzanie EUCI 2. Instytucje i organy Unii, w ramach właściwości których wytwarzane są EUCI, zapewniają spełnienie następujących wymogów: a)każdą stronę wyraźnie oznacza się klauzulą tajności; b)numeruje się każdą stronę; c)na dokumencie umieszcza się numer referencyjny, w stosownych przypadkach numer referencyjny i temat, który sam w sobie nie stanowi EUCI, chyba że z jego oznaczenia wynika inaczej; d)na dokumencie umieszcza się datę jego wytworzenia; e)w miarę możliwości na pierwszej stronie wymienia się wszystkie załączniki i dodatki; f)na każdej stronie dokumentów z klauzulą tajności SECRET UE/EU SECRET lub wyższą, które mają zostać rozpowszechnione w kilku kopiach, umieszcza się numer kopii. Kopie elektroniczne rozpowszechniane poza systemem posiadacza są opatrzone niepowtarzalnym identyfikatorem opartym na podpisie elektronicznym. Artykuł 32 Kontrola wytwórcy 1.Instytucja lub organ Unii, w ramach właściwości których wytwarzany jest dokument zawierający EUCI, sprawuje nad tym dokumentem kontrolę wytwórcy. Wytwórca określa poziom klauzuli tajności dokumentu i jest odpowiedzialny za jego początkową dystrybucję. Nie naruszając przepisów rozporządzenia (WE) nr 1049/2001, uzyskuje się uprzednią pisemną zgodę wytwórcy przed: a)zniesieniem lub obniżeniem klauzuli tajności wobec informacji; b)wykorzystaniem tych informacji do celów innych niż cele ustalone przez wytwórcę; c)przekazaniem tych informacji jakiemukolwiek podmiotowi spoza instytucji lub organu Unii dysponujących informacjami, w tym państwu trzeciemu lub organizacji międzynarodowej, innej instytucji lub innemu organowi Unii, państwom członkowskim, wykonawcy lub potencjalnemu wykonawcy, beneficjentowi lub potencjalnemu beneficjentowi; d)skopiowaniem i przetłumaczeniem tych informacji w przypadku klauzuli tajności TRES SECRET-UE/EU-TOP SECRET. 2.Jeżeli nie można zidentyfikować wytwórcy dokumentu zawierającego EUCI, kontrolę wytwórcy sprawuje instytucja lub organ Unii dysponujące tymi informacjami niejawnymi.

3.Wytwórcy wszelkich dokumentów zawierających EUCI prowadzą rejestr wszelkich niejawnych źródeł wykorzystywanych do tworzenia dokumentów niejawnych, w tym szczegółowych informacji o źródłach pochodzących pierwotnie z państw członkowskich, organizacji międzynarodowych lub państw trzecich. W stosownych przypadkach zagregowane informacje niejawne są oznakowane w taki sposób, aby zachować identyfikację wytwórców wykorzystanych niejawnych materiałów źródłowych. Artykuł 33 Oznaczenia klauzul tajności 1.W stosownych przypadkach dokumenty zawierające EUCI mogą być opatrzone, w uzupełnieniu jednej z klauzul tajności, dodatkowymi oznaczeniami, takimi jak oznaczenia dotyczące dystrybucji lub możliwości udostępniania bądź wskazujące wytwórcę. 2.Różne części dokumentu zawierającego EUCI mogą wymagać nadania różnych klauzul tajności i są odpowiednio oznaczane. Ogólny poziom klauzuli tajności dokumentu lub pliku jest co najmniej tak wysoki jak poziom klauzuli tajności tej części dokumentu, która została oznaczona najwyższą klauzulą tajności. 3.Dokumenty, których częściom nadaje się różne poziomy klauzuli tajności, są sporządzane w taki sposób, aby części oznaczone różnymi poziomami można było łatwo zidentyfikować i w razie potrzeby oddzielić. Artykuł 34 System kancelarii tajnych UE 1.Wszystkie instytucje i organy Unii, które przetwarzają i przechowują informacje z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIEL lub wyższą, ustanawiają co najmniej jedną kancelarię tajną UE w celu zapewnienia ich rejestracji na potrzeby bezpieczeństwa w momencie ich wpłynięcia do instytucji lub organu Unii lub w momencie ich wyjścia z instytucji lub organu Unii. 2.Wszystkie kancelarie tajne UE muszą być ustanowione w strefach bezpieczeństwa, o których mowa w załączniku III. 3.Instytucje i organy Unii wyznaczają urzędnika kontroli kancelarii do zarządzania każdą kancelarią tajną UE. Urzędnik kontroli kancelarii musi posiadać odpowiednie poświadczenie bezpieczeństwa i być upoważniony zgodnie z art. 24. Instytucje i organy Unii zapewniają odpowiednie szkolenie dla swoich urzędników kontroli kancelarii. Artykuł 35 Obniżanie i znoszenie klauzul tajności 1.Informacje są niejawne tak długo, jak długo wymagają ochrony. W przypadku EUCI, które nie potrzebują już pierwotnej klauzuli tajności, klauzulę tę obniża się do niższego poziomu. W przypadku EUCI, których nie trzeba już uważać za niejawne, znosi się klauzulę tajności. 2.W momencie wytwarzania EUCI wytwórca wskazuje, o ile to możliwe, a w szczególności w odniesieniu do informacji z klauzulą tajności RESTREINT UE/EU RESTRICTED, czy z daną datą lub w następstwie konkretnego wydarzenia klauzula tajności EUCI może zostać obniżona lub zniesiona. 3.Instytucja lub organ Unii, które tworzą dokument zawierający EUCI, są odpowiedzialne za decyzję, czy można wobec niego obniżyć lub znieść klauzulę tajności. Dokonują one przeglądu tych informacji i oceniają ryzyko regularnie i przynajmniej co 5 lat w celu określenia, czy pierwotny poziom klauzuli tajności nadal ma zastosowanie. 4.Instytucje i organy Unii dysponujące EUCI, których nie są wytwórcami, nie obniżają ani nie znoszą klauzuli tajności przedmiotowego dokumentu, nie zmieniają one ponadto ani nie usuwają żadnych oznaczeń, o których mowa w art. 18 ust. 1, bez uprzedniej pisemnej zgody wytwórcy. 5.Instytucje i organy Unii mogą częściowo obniżyć lub znieść klauzulę tajności wytworzonego przez siebie EUCI. W takich przypadkach sporządza się wyciąg z obniżoną lub zniesioną klauzulą tajności. 6.Instytucje i organy Unii informują organizację będącą odbiorcą EUCI o obniżeniu lub zniesieniu klauzuli tajności przedmiotowych informacji. Artykuł 36

Oznaczenia na dokumentach o obniżonej i zniesionej klauzuli tajności 1.W przypadku gdy instytucje i organy Unii podejmują decyzję o zniesieniu klauzuli tajności dokumentu zawierającego EUCI, rozważa się, czy dokument powinien być opatrzony oznaczeniem dotyczącym dystrybucji szczególnie chronionych informacji jawnych. 2.Oryginalne oznaczenie klauzuli tajności na górze i na dole każdej strony jest wyraźnie przekreślone przy użyciu funkcji „skreślenie” w formatach elektronicznych lub ręcznie w przypadku wydruków. Nie usuwa się oryginalnego oznaczenia klauzuli tajności. 3.Na pierwszej stronie lub stronie tytułowej zamieszcza się stempel z informacją, że klauzula tajności została obniżona lub zniesiona, i uzupełnia się ją danymi organu odpowiedzialnego za obniżenie lub zniesienie klauzuli tajności oraz odpowiednią datą. Obniżenie lub zniesienie klauzuli tajności dokumentów elektronicznych zawierających EUCI potwierdza się podpisem elektronicznym z upoważnienia wytwórcy. Artykuł 37 Niszczenie i usuwanie EUCI 1.Co najmniej raz na 5 lat instytucje i organy Unii dokonują przeglądu EUCI, zarówno w formie papierowej, jak i zawartych w CIS, w celu ustalenia, czy należy je zniszczyć lub usunąć. W przypadku zniszczenia lub usunięcia EUCI przekazują one instrukcje wszystkim, którzy wcześniej otrzymali przedmiotowe EUCI. 2.Instytucje i organy Unii mogą niszczyć duplikaty EUCI, które nie są już potrzebne, biorąc pod uwagę odpowiednie przepisy dotyczące zarządzania dokumentami w odniesieniu do oryginałów. 3.Instytucje i organy Unii niszczą wszelkie informacje z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższą, sporządzone w formie papierowej, wyłącznie za pośrednictwem swojego urzędnika kontroli kancelarii. Urzędnik kontroli kancelarii odpowiednio aktualizuje rejestry i inne informacje dotyczące rejestracji, zachowując podstawowe metadane zniszczonego dokumentu. Dokumenty z klauzulą tajności SECRET UE/EU SECRET i wyższą są niszczone przez urzędnika kontroli kancelarii wyłącznie w obecności świadka posiadającego poświadczenie bezpieczeństwa co najmniej na poziomie klauzuli tajności niszczonego dokumentu. 4.Urzędnik kontroli kancelarii oraz, w stosownych przypadkach, świadek, podpisują protokół zniszczenia, który zostaje umieszczony w dokumentacji kancelarii tajnej. Protokół przechowuje się przez co najmniej 5 lat w przypadku informacji z klauzulą tajności CONFIDENTIEL UE/EU CONFIDENTIAL i SECRET-UE/EU-SECRET oraz przez co najmniej 10 lat w przypadku informacji z klauzulą tajności TRES SECRET-UE/EU-TOP SECRET. Artykuł 38 Ewakuacja i niszczenie EUCI w sytuacjach nadzwyczajnych 1.Każda instytucja