02013D0488 — PT — 01.07.2021 — 003.001

Este texto constitui um instrumento de documentação e não tem qualquer efeito jurídico. As Instituições da União não assumem qualquer responsabilidade pelo respetivo conteúdo. As versões dos atos relevantes que fazem fé, incluindo os respetivos preâmbulos, são as publicadas no Jornal Oficial da União Europeia e encontram-se disponíveis no EUR-Lex. É possível aceder diretamente a esses textos oficiais através das ligações incluídas no presente documento

►B DECISÃO DO CONSELHO de 23 de setembro de 2013 relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (2013/488/UE) (JO L 274 de 15.10.2013, p. 1)

Alterada por:









▼B

DECISÃO DO CONSELHO

de 23 de setembro de 2013

relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE

(2013/488/UE)







Artigo 1.o

Objeto, âmbito de aplicação e definições

1. A presente decisão estabelece os princípios básicos e as normas mínimas de segurança aplicáveis à proteção das ICUE.

2. Esses princípios básicos e normas mínimas são aplicáveis ao Conselho e ao SGC e devem ser respeitados pelos Estados-Membros, nos termos das respetivas disposições legislativas e regulamentares nacionais, de forma a que cada um possa estar certo de que é concedido um nível de proteção equivalente às ICUE.

3. Para efeitos da presente decisão, são aplicáveis as definições estabelecidas no Apêndice A.

Artigo 2.o

Definição de ICUE, classificações e marcas de segurança

1. Entende-se por «informações classificadas da UE» (ICUE) quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros.

2. As ICUE são classificadas num dos seguintes níveis: a) TRÈS SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excecionalmente grave os interesses essenciais da União Europeia ou de um ou mais Estados-Membros; b) SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou mais Estados-Membros; c) CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou mais Estados-Membros; d) RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros.

3. As ICUE ostentam uma marca de classificação de segurança nos termos do n. o 2, podendo além disso ostentar marcas que designem o domínio de atividade a que se referem, identifiquem a entidade de origem, limitem a distribuição, restrinjam a utilização ou indiquem a comunicabilidade.

Artigo 3.o

Gestão das classificações

1. As autoridades competentes garantem que as ICUE sejam devidamente classificadas e claramente identificadas como informações classificadas, e mantenham o seu nível de classificação durante o tempo necessário.

2. As ICUE não podem ser desgraduadas nem desclassificadas e nenhuma das marcas a que se refere o artigo 2. o , n. o 3, pode ser alterada ou suprimida sem o consentimento prévio, por escrito, da entidade de origem.

3. O Conselho aprova uma política de segurança para a produção de ICUE, que compreende um guia prático de classificação.

Artigo 4.o

Proteção das informações classificadas

1. As ICUE são protegidas nos termos da presente decisão.

2. Cabe ao detentor de quaisquer ICUE a responsabilidade pela sua proteção nos termos da presente decisão.

3. Quando os Estados-Membros introduzirem nas estruturas ou redes da União informações classificadas que ostentem uma marca de classificação de segurança nacional, o Conselho e o SGC protegem essas informações nos termos dos requisitos aplicáveis às ICUE de nível equivalente, de acordo com a tabela de equivalências das classificações de segurança constante do Apêndice B.

4. Um agregado de ICUE pode justificar um nível de proteção correspondente a uma classificação mais elevada do que a de cada um dos seus componentes.

Artigo 5.o

Gestão dos riscos de segurança

1. Os riscos a que as ICUE estão expostas são sujeitos a um processo de gestão. Esse processo tem por objetivo determinar os riscos de segurança conhecidos, definir as medidas de segurança destinadas a reduzir esses riscos para um nível aceitável nos termos dos princípios básicos e normas mínimas estabelecidos na presente decisão e aplicar tais medidas de acordo com o conceito de defesa em profundidade como definido no Apêndice A. A eficácia das medidas é sujeita a avaliação contínua.

2. As medidas de segurança para proteção das ICUE ao longo do seu ciclo de vida devem ser proporcionais, designadamente, à classificação de segurança, à forma e ao volume das informações ou do material, à localização e construção das instalações que albergam as ICUE e à avaliação local da ameaça de atos mal-intencionados e/ou atividades criminosas, nomeadamente de espionagem, sabotagem e terrorismo.

3. Os planos de emergência têm em conta a necessidade de proteger as ICUE em situações de emergência, a fim de evitar o acesso ou a divulgação não autorizados ou a perda de integridade ou disponibilidade.

4. Os planos de continuidade das atividades incluem medidas de prevenção e recuperação destinadas a minimizar o impacto de quaisquer falhas ou incidentes graves sobre o manuseamento e armazenamento das ICUE.

Artigo 6.o

Execução da presente decisão

1. Se necessário, o Conselho, por recomendação do Comité de Segurança, aprova políticas de segurança que estabeleçam medidas de execução da presente decisão.

2. O Comité de Segurança pode definir, ao seu nível, diretrizes de segurança para apoio ou complemento da presente decisão e das políticas de segurança aprovadas pelo Conselho.

Artigo 7.o

Requisitos de segurança do pessoal

1. A segurança do pessoal consiste na aplicação de medidas que se destinam a garantir que o acesso às ICUE só seja concedido a quem: — tenha necessidade de tomar conhecimento, — possua a credenciação de segurança para o nível adequado, consoante as necessidades, e — tenha sido informado das responsabilidades que lhe cabem.

2. São definidos procedimentos de credenciação de segurança do pessoal que permitam verificar se determinada pessoa pode ter acesso a ICUE, tendo em conta a sua lealdade, idoneidade e fiabilidade.

3. Todo o pessoal do SGC que, no exercício das suas funções, tenha de manusear ou aceder a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deve receber a credenciação de segurança para o nível adequado antes de lhe ser facultado o acesso às referidas ICUE. Esse pessoal deve ser autorizado pela entidade competente para proceder a nomeações no SGC a aceder a ICUE até determinado nível e até determinada data.

4. O pessoal dos Estados-Membros a que se refere o artigo 15. o , n. o 3, que, no exercício das suas funções, possa ter de aceder a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deve possuir a credenciação de segurança para o nível adequado ou outra autorização devidamente emitida em virtude das funções que exerce, nos termos das disposições legislativas e regulamentares nacionais antes de lhe ser facultado o acesso às referidas ICUE.

5. Antes de lhes ser facultado o acesso a ICUE e, posteriormente, a intervalos regulares, todas as pessoas são informadas das suas responsabilidades no que respeita à proteção das ICUE nos termos da presente decisão e reconhecem essas mesmas responsabilidades.

6. As regras de execução do presente artigo são estabelecidas no Anexo I.

Artigo 8.o

Segurança física

1. A segurança física consiste na aplicação de medidas físicas e técnicas de proteção destinadas a impedir o acesso não autorizado a ICUE.

2. São concebidas medidas de segurança física que permitam impedir a entrada sub-reptícia ou forçada de intrusos, dissuadir, impedir e detetar ações não autorizadas e permitir uma diferenciação do pessoal no que se refere ao acesso a ICUE, segundo o princípio da necessidade de tomar conhecimento de tais informações. Essas medidas são determinadas com base num processo de gestão de risco.

3. São aplicadas medidas de segurança física em todas as instalações, edifícios, gabinetes, salas e outras zonas onde sejam manuseadas ou armazenadas ICUE, nomeadamente zonas em que se encontrem sistemas de comunicação e de informação, tal como definidos no artigo 10. o , n. o 2.

4. As zonas onde sejam armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são instituídas como zonas de segurança, nos termos do Anexo II, e aprovadas pela autoridade de segurança competente.

5. Só são utilizados equipamentos ou dispositivos aprovados para proteger as ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou superior.

6. As regras de execução do presente artigo são estabelecidas no Anexo II.

Artigo 9.o

Gestão das informações classificadas

1. A gestão das informações classificadas consiste na aplicação de medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam complementar as medidas previstas nos artigos 7. o , 8. o e 10. o e contribuir, deste modo, para dissuadir e detetar a perda ou o comprometimento deliberados ou acidentais de informações. Estas medidas dizem respeito, nomeadamente, à produção, registo, cópia, tradução, desgraduação, desclassificação, transporte e destruição de ICUE.

2. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são registadas, para fins de segurança, antes da distribuição e no momento da receção. Para o efeito, as autoridades competentes do SGC e dos Estados-Membros criam um sistema de registo. As informações com classificação TRÈS SECRET UE/EU TOP SECRET são inscritas em registos próprios.

3. Os serviços e instalações onde se proceda ao manuseamento ou armazenamento de ICUE são periodicamente inspecionados pela autoridade de segurança competente.

4. As ICUE são transmitidas entre diferentes serviços e instalações fora do perímetro das zonas fisicamente protegidas de acordo com as regras a seguir enunciadas: a) As ICUE são, regra geral, transmitidas por meios eletrónicos protegidos por produtos criptográficos aprovados nos termos do artigo 10.o, n.o 6; b) Se não se utilizarem os meios referidos na alínea a), as ICUE são transportadas: i) em suporte eletrónico (por exemplo, chaves USB, CD, discos rígidos) protegido por produtos criptográficos aprovados nos termos do artigo 10.o, n.o 6, ou ii) em todos os demais casos, nas condições estipuladas pela autoridade de segurança competente, de acordo com as medidas de proteção pertinentes estabelecidas no Anexo III.

5. As regras de execução do presente artigo são estabelecidas nos Anexos III e IV.

Artigo 10.o

Proteção das ICUE manuseadas nos sistemas de comunicação e informação

1. A garantia da informação (GI) no domínio dos sistemas de comunicação e informação consiste na confiança em que esses sistemas protegem as informações neles manuseadas e funcionam como for necessário, quando for necessário, sob o controlo de utilizadores legítimos. Uma GI eficaz deve assegurar níveis adequados de confidencialidade, integridade, disponibilidade, não rejeição e autenticidade. A GI baseia-se num processo de gestão de risco.

2. Um «sistema de comunicação e informação» (SCI) consiste num sistema que permita o manuseamento automatizado de informações. Um SCI compreende todos os ativos necessários ao seu funcionamento, designadamente infraestrutura, organização, pessoal e recursos em matéria de informação. A presente decisão é aplicável aos SCI em que sejam manuseadas ICUE.

3. As ICUE são manuseados pelos SCI de acordo com o conceito de GI.

4. Todos os SCI são submetidos a um processo de acreditação. A acreditação visa obter a garantia de que foram tomadas todas as medidas de segurança adequadas e de que foi alcançado um nível suficiente de proteção das ICUE e do próprio SCI, nos termos da presente decisão. A declaração de acreditação determina o nível máximo de classificação das informações que podem ser manuseadas pelo SCI e os termos e condições correspondentes.

5. São aplicadas medidas de segurança para proteger os SCI em que sejam manuseadas informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior contra o risco de comprometimento de tais informações devido a emanações eletromagnéticas não intencionais («medidas de segurança TEMPEST»). Essas medidas de segurança devem ser proporcionais ao risco de exploração e ao nível de classificação das informações.

6. Quando a proteção das ICUE for assegurada por produtos criptográficos, estes são aprovados de acordo com o seguinte procedimento: a) A confidencialidade das informações com classificação SECRET UE/EU SECRET ou superior é protegida por produtos criptográficos aprovados pelo Conselho, na qualidade de Autoridade de Aprovação Criptográfica (AAC), por recomendação do Comité de Segurança; b) A confidencialidade das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou RESTREINT UE/EU RESTRICTED é protegida por produtos criptográficos aprovados pelo Secretário-Geral do Conselho («Secretário-Geral»), na qualidade de AAC, por recomendação do Comité de Segurança.

Não obstante o disposto na alínea b), as ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou RESTREINT UE/EU RESTRICTED podem ser protegidas dentro dos sistemas nacionais dos Estados-Membros por produtos criptográficos aprovados pelas AAC dos próprios Estados-Membros.

7. Durante a transmissão de ICUE por via eletrónica, são utilizados produtos criptográficos aprovados. Não obstante este requisito, podem ser aplicados procedimentos específicos, em circunstâncias de emergência ou configurações técnicas específicas, nos termos do Anexo IV.

8. As autoridades competentes do SGC e dos Estados-Membros, respetivamente, criam as seguintes funções em matéria de GI: a) Autoridade de GI (AGI); b) Autoridade TEMPEST (AT); c) Autoridade de Aprovação Criptográfica (AAC); d) Autoridade de Distribuição Criptográfica (ADC).

9. Para cada sistema, as autoridades competentes do SGC e dos Estados-Membros, respetivamente, criarão as seguintes entidades: a) Autoridade de Acreditação de Segurança (AAS); b) Autoridade Operacional de GI.

10. As regras de execução do presente artigo são estabelecidas no Anexo IV.

Artigo 11.o

Segurança industrial

1. Entende-se por «segurança industrial» a aplicação de medidas destinadas a garantir a proteção das ICUE pelos contratantes ou subcontratantes no âmbito das negociações pré-contratuais e durante a vigência dos contratos classificados. Estes contratos não devem envolver o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET.

2. O SGC pode confiar tarefas que envolvam ou impliquem o acesso a ICUE ou o seu manuseamento ou armazenamento a entidades industriais ou outras registadas num Estado-Membro ou num Estado terceiro que tenha celebrado um acordo ou um convénio administrativo nos termos do artigo 13. o , n. o 2, alíneas a) ou b).

3. Ao adjudicar contratos classificados a entidades industriais ou outras, o SGC, na qualidade de entidade adjudicante, garante o cumprimento das normas mínimas de segurança industrial estabelecidas na presente decisão, às quais o contrato fará referência.

4. As Autoridades Nacionais de Segurança (ANS), as Autoridades de Segurança Designadas (ASD) ou quaisquer outras autoridades competentes dos Estados-Membros garantem, na medida em que as disposições legislativas e regulamentares nacionais o permitirem, que os contratantes e subcontratantes registados nos respetivos territórios tomem todas as medidas adequadas para proteger as ICUE no âmbito das negociações pré-contratuais ou da execução dos contratos classificados.

5. As ANS, ASD ou quaisquer outras autoridades competentes dos Estados-Membros garantem, nos termos das disposições legislativas e regulamentares nacionais, que os contratantes ou subcontratantes registados nos respetivos Estados-Membros que participem na execução de contratos ou subcontratos que exijam acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dentro das suas próprias instalações, seja na execução do contrato, seja na fase pré-contratual, possuam uma Credenciação de Segurança de Empresa (CSE) para o nível de classificação adequado.

6. É concedida ao pessoal do contratante ou subcontratante que tenha de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET para a execução de contratos classificados uma Credenciação de Segurança do Pessoal (CSP), emitida pela respetiva ANS, ASD ou por qualquer outra autoridade de segurança competente nos termos das disposições legislativas e regulamentares nacionais e das normas mínimas estabelecidas no Anexo I.

7. As regras de execução do presente artigo são estabelecidas no Anexo V.

Artigo 12.o

Partilha de ICUE

1. O Conselho determina as condições em que pode partilhar ICUE que se encontrem na sua posse com outras instituições, organismos, serviços ou agências, da União. Pode ser estabelecido um quadro adequado para esse efeito, nomeadamente mediante a celebração de acordos interinstitucionais, ou outras disposições necessárias para esse fim.

2. Qualquer quadro dessa natureza deve assegurar que as ICUE sejam objeto de uma proteção adequada ao respetivo nível de classificação e nos termos dos princípios básicos e das normas mínimas, que devem ser equivalentes aos estabelecidos na presente decisão.

Artigo 13.o

Intercâmbio de informações classificadas com Estados terceiros e organizações internacionais

1. Quando o Conselho determinar que é necessário proceder ao intercâmbio de ICUE com um Estado terceiro ou uma organização internacional, é estabelecido um quadro adequado para esse efeito.

2. Para estabelecer esse quadro e definir regras recíprocas em matéria de proteção das informações classificadas trocadas: a) A União celebra acordos com Estados terceiros ou organizações internacionais sobre os procedimentos de segurança para o intercâmbio e a proteção de informações classificadas («acordos de segurança das informações»); ou b) O Secretário-Geral pode celebrar convénios administrativos em nome do SGC nos termos do ponto 17 do Anexo VI sempre que o nível de classificação das ICUE a comunicar não seja, regra geral, superior a RESTREINT UE/EU RESTRICTED.

3. Os acordos de segurança das informações ou os convénios administrativos a que se refere o n. o 2 contêm disposições destinadas a assegurar que, ao receberem ICUE, os Estados terceiros e as organizações internacionais concedam a essas informações uma proteção que seja adequada ao respetivo nível de classificação e obedeça a normas mínimas não menos rigorosas do que as estabelecidas na presente decisão.

4. A decisão de comunicar ICUE emanadas do Conselho a um Estado terceiro ou organização internacional é tomada caso a caso pelo Conselho, em função da natureza e do teor dessas informações, da necessidade que o destinatário tenha de tomar conhecimento das mesmas, e das vantagens que daí advenham para a União. Se as informações classificadas cuja comunicação se pretende não emanarem do Conselho, o SGC solicita à entidade de origem que dê, por escrito, o consentimento prévio para a sua comunicação. Se não for possível identificar a entidade de origem, o Conselho assume a responsabilidade em seu lugar.

5. São organizadas visitas de avaliação para avaliar a eficácia das medidas de segurança aplicadas num Estado terceiro ou organização internacional para proteção das ICUE facultadas ou trocadas.

6. As regras de execução do presente artigo são estabelecidas no Anexo VI.

Artigo 14.o

Quebras de segurança e comprometimento de ICUE

1. As quebras de segurança resultam de atos ou omissões de uma pessoa que são contrários às regras de segurança estabelecidas na presente decisão.

2. O comprometimento de ICUE ocorre quando, em consequência de uma quebra de segurança, estas são, no todo ou em parte, divulgadas a pessoas não autorizadas.

3. As quebras de segurança de que haja conhecimento ou suspeita devem ser imediatamente comunicadas à autoridade de segurança competente.

4. Sempre que haja conhecimento ou motivos razoáveis para presumir que houve comprometimento ou perda de ICUE, a ANS, ou outra autoridade competente, toma todas as medidas adequadas, nos termos das disposições legislativas e regulamentares pertinentes, para: a) Informar a entidade de origem; b) Garantir que o caso seja investigado por elementos do pessoal não diretamente envolvidos na quebra de segurança, a fim de determinar os factos ocorridos; c) Avaliar os danos eventualmente causados aos interesses da União ou dos Estados-Membros; d) Tomar as medidas adequadas para impedir novas ocorrências; e e) Notificar as autoridades competentes das medidas que tiverem sido tomadas.

5. Quem for responsável pela violação das regras de segurança estabelecidas na presente decisão pode ser passível de ação disciplinar nos termos das disposições regulamentares aplicáveis. Quem for responsável pelo comprometimento ou pela perda de ICUE é passível de ação disciplinar e/ou judicial nos termos das disposições legislativas e regulamentares aplicáveis.

Artigo 15.o

Responsabilidade pela execução

1. O Conselho toma todas as medidas necessárias para assegurar a coerência global da aplicação da presente decisão.

2. O Secretário-Geral toma todas as medidas necessárias para assegurar que, no manuseamento ou armazenamento de ICUE ou de quaisquer outras informações classificadas, a presente decisão é cumprida pelos funcionários e outros agentes do SGC, pelo pessoal destacado para o SGC e pelas entidades a que o SGC tenha adjudicado contratos, tanto nas instalações utilizadas pelo Conselho como no interior do SGC.

3. Os Estados-Membros tomam todas as medidas necessárias, nos termos das respetivas disposições legislativas e regulamentares nacionais, para assegurar que, quando forem manuseadas ou armazenadas ICUE, a presente decisão é respeitada: a) Pelo pessoal das Representações Permanentes dos Estados-Membros junto da União Europeia, bem como pelos delegados nacionais que participem em reuniões do Conselho ou das suas instâncias preparatórias, ou que tomem parte noutras atividades do Conselho; b) Por outros elementos do pessoal das administrações nacionais dos Estados-Membros, incluindo o pessoal destacado para essas administrações, quer exerçam a sua atividade no território do respetivo Estado-Membro, quer no estrangeiro; c) Por quaisquer outras pessoas nos Estados-Membros que, em virtude das funções que exercem, estejam devidamente autorizadas a aceder às ICUE; e d) Pelas entidades a que os Estados-Membros tenham adjudicado contratos, quer no território dos Estados-Membros, quer no estrangeiro.

Artigo 16.o

Organização da segurança no Conselho

1. No âmbito da sua missão de assegurar a coerência global da aplicação da presente decisão, o Conselho aprova: a) Os acordos a que se refere o artigo 13.o, n.o 2, alínea a); b) As decisões que autorizem ou consintam a comunicação de ICUE emanadas do Conselho ou detidas pelo Conselho a Estados terceiros e organizações internacionais, de acordo com o princípio do consentimento da entidade de origem; c) Um programa de visitas anuais de avaliação recomendado pelo Comité de Segurança, para a realização de visitas de avaliação de serviços e instalações dos Estados-Membros, de organismos, agências e entidades da União que apliquem a presente decisão ou os seus princípios, bem como de visitas de avaliação a Estados terceiros e organizações internacionais a fim de avaliar da eficácia das medidas aplicadas para proteção das ICUE; e d) Políticas de segurança, tal como previsto no artigo 6.o, n.o 1.

2. O Secretário-Geral é a Autoridade de Segurança do SGC, cabendo-lhe nessa qualidade: a) Executar a política de segurança do Conselho e proceder regularmente à sua reapreciação; b) Estabelecer a coordenação com as ANS dos Estados-Membros em todas as questões de segurança relacionadas com a proteção das informações classificadas relevantes para as atividades do Conselho; c) Conceder a funcionários e outros agentes do SGC e peritos nacionais destacados autorização para acederem a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, nos termos do artigo 7.o, n.o 3; d) Se necessário, ordenar a investigação de casos concretos ou de suspeitas de comprometimento ou perda de informações classificadas detidas pelo Conselho ou emanadas do Conselho, e solicitar às autoridades de segurança competentes que prestem assistência nessas investigações; e) Proceder à inspeção periódica dos mecanismos de segurança destinados a proteger as informações classificadas nas instalações do SGC; f) Proceder a visitas periódicas para avaliar os mecanismos de segurança destinados a proteger as ICUE nos organismos, agências e entidades da União que apliquem a presente decisão ou os seus princípios; g) Proceder, em conjunto e de comum acordo com a ANS competente, a avaliações periódicas dos mecanismos de segurança destinados a proteger as ICUE nos serviços e instalações dos Estados-Membros; h) Garantir que as medidas de segurança são coordenadas, conforme necessário, com as autoridades competentes dos Estados-Membros responsáveis pela proteção das informações classificadas e, se necessário, com Estados terceiros ou organizações internacionais, no que respeita, designadamente, à natureza das ameaças à segurança das ICUE e aos meios de proteção contra essas ameaças; e i) Celebrar os convénios administrativos a que se refere o artigo 13.o, n.o 2, alínea b).

O Gabinete de Segurança do SGC está à disposição do Secretário-Geral para o assistir no desempenho dessas funções.

3. Para efeitos da execução do artigo 15.o, n.o 3, cabe aos Estados-Membros: a) Designar uma ANS, a constar da lista do Apêndice C, responsável pelos mecanismos de segurança destinados a proteger as ICUE, de modo a que: i) as ICUE detidas por qualquer serviço, organismo ou agência nacional, público ou privado, quer dentro, quer fora do país, sejam protegidas nos termos da presente decisão, ii) os mecanismos de segurança destinados a proteger as ICUE sejam periodicamente inspecionados ou avaliadas, iii) todas as pessoas empregadas pelas administrações nacionais ou por um contratante a quem seja facultado o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL, ou superior, possuam a credenciação de segurança adequada ou outra autorização devidamente emitida, em virtude das funções que exercem, nos termos das disposições legislativas e regulamentares nacionais, iv) sejam criados os programas de segurança necessários para minimizar o risco de perda ou comprometimento das ICUE, v) as questões de segurança relacionadas com a proteção das ICUE sejam tratadas em coordenação com as outras autoridades nacionais competentes, nomeadamente aquelas a que se refere a presente decisão, e vi) seja dada resposta aos pedidos de credenciação de segurança adequados, em particular os apresentados por qualquer organismo, agência, entidade ou operação da União estabelecido ao abrigo do Título V, Capítulo 2, do TUE, e pelos Representantes Especiais da UE (REUE) e membros das respetivas equipas que apliquem a presente decisão ou os seus princípios; b) Assegurar que as suas autoridades competentes prestem informações e aconselhamento ao respetivo Governo, e através dele ao Conselho, sobre a natureza das ameaças à segurança das ICUE e os meios de as proteger dessas ameaças.

Artigo 17.o

Comité de Segurança

1. É criado um Comité de Segurança. O Comité de Segurança fica incumbido de analisar e avaliar todas as questões de segurança abrangidas pela presente decisão e de dirigir recomendações ao Conselho, consoante as necessidades.

2. O Comité de Segurança é composto por representantes das ANS dos Estados-Membros, nele participando um representante da Comissão e do SEAE. O Comité de Segurança é presidido pelo Secretário-Geral ou pelo delegado que este designar. Reúne-se conforme as instruções do Conselho, ou a pedido do Secretário-Geral ou de uma ANS.

Os representantes dos organismos, das agências e das entidades da União que apliquem a presente decisão ou os seus princípios podem ser convidados a participar nas reuniões quando forem tratadas questões que lhes digam respeito.

3. O Comité de Segurança organiza as suas atividades de forma a poder formular recomendações sobre domínios de segurança específicos. O Comité cria uma subformação especializada para as questões de GI, para além de outras subformações especializadas, consoante as necessidades. O Comité define os mandatos dessas subformações especializadas, as quais lhe apresentam relatórios das suas atividades e, se necessário, eventuais recomendações a dirigir ao Conselho.

Artigo 18.o

Substituição de anteriores decisões

1. A presente decisão revoga e substitui a Decisão 2011/292/UE do Conselho ( 1 ).

2. Todas as ICUE classificadas nos termos da Decisão 2001/264/CE do Conselho ( 2 ) e da Decisão 2011/292/UE continuam a ser protegidas nos termos das disposições pertinentes da presente decisão.

Artigo 19.o

Entrada em vigor

A presente decisão entra em vigor na data da sua publicação no Jornal Oficial da União Europeia.









ANEXOS

ANEXO I Requisitos de segurança do pessoal ANEXO II Segurança física ANEXO III Gestão das informações classificadas ANEXO IV Proteção das ICUE manuseadas em SCI ANEXO V Segurança industrial ANEXO VI Intercâmbio de informações classificadas com Estados terceiros e organizações internacionais









ANEXO I

REQUISITOS DE SEGURANÇA DO PESSOAL

I. INTRODUÇÃO

1. O presente anexo estabelece as regras de execução do artigo 7.o. Nele se definem os critérios a ter em conta para determinar se, com base na sua lealdade, idoneidade e fiabilidade, uma dada pessoa pode ser autorizada a ter acesso a ICUE, mas também os procedimentos administrativos e de investigação a seguir para esse efeito.

II. CONCESSÃO DE ACESSO A ICUE

2. O acesso a informações classificadas só pode ser concedido às pessoas depois de:

a) Ter ficado comprovada a sua necessidade de tomar conhecimento de tais informações;

b) Terem sido informadas das regras e procedimentos de segurança aplicáveis à proteção das ICUE e terem reconhecido as suas responsabilidades no que respeita à proteção dessas informações; e

c) No caso de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior: — lhes ter sido concedida a CSP para o nível adequado ou outra autorização devidamente emitida em virtude das funções que exercem nos termos das disposições legislativas e regulamentares nacionais, ou — no caso de funcionários e outros agentes do SGC, ou peritos nacionais destacados, lhes tenha sido dada autorização de acesso a ICUE pela entidade competente para proceder a nomeações no SGC, até determinado nível e até determinada data, nos termos dos pontos 16 a 25.

3. Os Estados-Membros e o SGC identificarão os cargos que, nas respetivas estruturas, precisam de ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior e para os quais é, por esse motivo, exigida uma credenciação de segurança para o nível adequado.

III. REQUISITOS DA CREDENCIAÇÃO DE SEGURANÇA DO PESSOAL

4. Depois de terem recebido um pedido devidamente autorizado, as ANS ou outras autoridades nacionais competentes serão responsáveis por assegurar que sejam realizadas investigações de segurança a respeito dos respetivos cidadãos que precisem de ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. As normas de investigação respeitarão as disposições legislativas e regulamentares nacionais com vista à emissão de uma CSP ou à concessão de uma garantia da pessoa a quem será dada autorização de acesso a ICUE, conforme adequado.

5. Se a pessoa residir no território de outro Estado-Membro ou de um Estado terceiro, as autoridades nacionais competentes solicitarão assistência à autoridade competente do Estado de residência, nos termos das disposições legislativas e regulamentares nacionais. Os Estados-Membros prestar-se-ão mutuamente assistência na condução das investigações de segurança, nos termos das disposições legislativas e regulamentares nacionais.

6. Quando as disposições legislativas e regulamentares nacionais o permitirem, as ANS ou outras autoridades nacionais competentes podem realizar investigações a respeito de cidadãos que não sejam nacionais e que precisem de ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. As normas de investigação respeitarão as disposições legislativas e regulamentares nacionais.

Critérios da investigação de segurança

7. A lealdade, a idoneidade e a fiabilidade de uma dada pessoa para efeitos de atribuição de uma credenciação de segurança para acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior serão determinadas por meio de uma investigação de segurança. A autoridade nacional competente procederá a uma avaliação global baseada nos resultados da investigação de segurança. Os principais critérios a usar para esse efeito devem consistir nomeadamente em ponderar, na medida em que tal seja possível à luz das disposições legislativas e regulamentares nacionais, se a pessoa:

a) Cometeu ou tentou cometer, conspirou com alguém ou auxiliou alguém a cometer algum ato de espionagem, terrorismo, sabotagem, traição ou sedição;

b) Está ou esteve associada a espiões, terroristas, sabotadores, ou a indivíduos razoavelmente suspeitos de o ser, ou associada a representantes de organizações ou Estados estrangeiros, incluindo serviços de informações estrangeiros, que possam ameaçar a segurança da União e/ou dos Estados-Membros, a menos que tais associações tenham sido autorizadas no cumprimento de funções oficiais;

c) É ou foi membro de alguma organização que vise, por meios violentos, subversivos ou outros meios ilegais, nomeadamente, derrubar o Governo ou alterar a ordem constitucional, a forma de governo ou as políticas de um Estado-Membro;

d) É, ou foi, apoiante de alguma organização descrita na alínea c), ou está, ou esteve, estreitamente associada a membros de tais organizações;

e) Reteve, ocultou, deturpou ou falseou deliberadamente informações importantes, especialmente em matéria de segurança, ou mentiu deliberadamente ao preencher um questionário de segurança do pessoal ou durante uma entrevista para efeitos de segurança;

f) Foi condenada por uma ou várias infrações penais;

g) Tem um historial de dependência do álcool, de consumo de drogas ilegais e/ou de abuso de drogas legais;

h) Tem, ou teve, uma conduta que possa suscitar o risco de vulnerabilidade à chantagem ou a pressões;

i) Demonstrou, por atos ou palavras, falta de honestidade, lealdade, fiabilidade ou idoneidade;

j) Infringiu de forma grave ou reiterada as regulamentações de segurança, ou tentou, ou conseguiu, realizar atividades não autorizadas no domínio dos sistemas de comunicação e informação; e

k) Pode estar sujeita a pressões (por exemplo, possuindo uma ou mais nacionalidades extra UE ou por intermédio de familiares ou pessoas próximas potencialmente vulneráveis em relação a serviços de informações estrangeiros, grupos terroristas ou outras organizações ou indivíduos com atividades subversivas, cujos interesses possam ameaçar os interesses de segurança da União e/ou dos Estados-Membros).

8. Se necessário, e nos termos das disposições legislativas e regulamentares nacionais, também podem considerar-se pertinentes no quadro da investigação de segurança os antecedentes médicos e financeiros da pessoa.

9. Se necessário, e nos termos das disposições legislativas e regulamentares nacionais, também podem considerar-se pertinentes no quadro da investigação de segurança a conduta e a situação do cônjuge, de um coabitante ou familiar próximo da pessoa.

Requisitos de investigação para acesso a ICUE

Primeira atribuição de uma credenciação de segurança

10. A credenciação de segurança inicial para acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET baseia-se numa investigação de segurança que abranja pelo menos os últimos cinco anos, ou o período compreendido entre os 18 anos de idade e o momento presente, consoante o período mais curto, consistindo, nomeadamente, no seguinte:

a) Preenchimento de um questionário nacional de segurança do pessoal para o nível de ICUE a que o elemento do pessoal poderá ter necessidade de aceder; uma vez preenchido, o questionário será enviado à autoridade de segurança competente;

b) Controlo de identidade/cidadania/nacionalidade — Será verificada a data de nascimento, a naturalidade, bem como a identidade. Será determinada a cidadania e/ou a nacionalidade, passada e presente; tal inclui a avaliação de qualquer vulnerabilidade a pressões por parte de fontes estrangeiras, devido por exemplo a uma residência ou associação anteriores; e

c) Controlo dos registos nacionais e locais — Será feita uma verificação nos registos nacionais de segurança e nos registos criminais centrais, caso estes existam, e/ou noutros registos governamentais e policiais equivalentes. Serão verificados os registos dos serviços de polícia competentes nos locais onde a pessoa tenha residido ou trabalhado.

11. A credenciação de segurança inicial para acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET basear-se-á numa investigação de segurança que abranja pelo menos os últimos dez anos, ou o período compreendido entre os 18 anos de idade e o momento presente, consoante o período mais curto. No caso de serem realizadas entrevistas conforme estabelecido na alínea e), as investigações abrangerão pelo menos os últimos sete anos, ou o período compreendido entre os 18 anos de idade e o momento presente, consoante o período mais curto. Além dos critérios indicados no ponto 7 acima, serão investigados, na medida em que tal seja possível à luz das disposições legislativas e regulamentares nacionais, os elementos que adiante se enumeram antes de ser concedida a CSP TRÈS SECRET UE/EU TOP SECRET; esses elementos poderão ser também investigados antes de ser concedida uma CSP CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, quando as disposições legislativas e regulamentares nacionais o exijam:

a) Situação financeira — Serão pedidas informações sobre a situação financeira a fim de avaliar qualquer vulnerabilidade a pressões nacionais ou estrangeiras em virtude de sérias dificuldades financeiras, ou para descobrir qualquer enriquecimento inexplicado;

b) Educação — Serão pedidas informações para verificar o percurso seguido em escolas, universidades e outros estabelecimentos de ensino frequentados desde os 18 anos de idade, ou durante um período considerado apropriado pela autoridade investigadora;

c) Emprego — Serão pedidas informações sobre o atual e os anteriores empregos, fazendo referência a fontes como registos de emprego, relatórios de desempenho ou eficiência, e a entidades patronais ou supervisores;

d) Serviço militar — Se for caso disso, será verificado o serviço nas forças armadas e o tipo de passagem à disponibilidade; e

e) Entrevistas — Quando previstas e admissíveis nos termos da legislação nacional, serão efetuadas uma ou mais entrevistas. Serão também realizadas entrevistas com outras pessoas que estejam em posição de fazer uma avaliação imparcial dos antecedentes, atividades, lealdade, idoneidade e fiabilidade da pessoa em causa. No caso de ser prática nacional pedir referências à pessoa investigada, as pessoas que derem essas referências serão entrevistadas, a menos que haja boas razões para não o fazer.

12. Se necessário, e nos termos das disposições legislativas e regulamentares nacionais, poderão ser efetuadas investigações adicionais para aprofundar todas as informações pertinentes de que se disponha sobre a pessoa, bem como para corroborar ou refutar as informações desfavoráveis.

Renovação de uma credenciação de segurança

13. Depois da primeira atribuição de uma credenciação de segurança, e desde que a pessoa em causa tenha prestado ininterruptamente serviço numa administração nacional ou no SGC e continue a precisar de ter acesso a ICUE, a credenciação de segurança será revista, para efeitos de renovação, a intervalos não superiores a cinco anos para uma credenciação TRÈS SECRET UE/EU TOP SECRET e a dez anos para credenciações SECRET UE/EU SECRET e CONFIDENTIEL UE/EU CONFIDENTIAL, com efeitos a partir da data da notificação dos resultados da última investigação de segurança que lhes tenha servido de base. Todas as investigações com vista à renovação de uma credenciação de segurança abrangerão o período decorrido desde a última investigação.

14. Para a renovação das credenciações de segurança, serão investigados os elementos descritos nos pontos 10 e 11.

15. Os pedidos de renovação serão feitos em tempo útil, tendo em conta o período necessário para efetuar as investigações de segurança. Não obstante, se a ANS ou qualquer outra autoridade nacional competente tiver recebido o pedido de renovação e o correspondente questionário de segurança do pessoal antes do termo de validade da credenciação de segurança, e a necessária investigação de segurança ainda não tiver sido concluída, a autoridade nacional competente poderá prorrogar a validade da credenciação de segurança existente por um período de, no máximo, 12 meses, se tal for admissível nos termos das disposições legislativas e regulamentares nacionais. Se, findo este período de 12 meses, a investigação de segurança ainda não estiver concluída, a pessoa em causa será afetada a funções que não exijam uma credenciação de segurança.

Procedimentos de autorização no SGC

16. No que respeita aos funcionários e outros agentes do SGC, a Autoridade de Segurança do SGC enviará o questionário de segurança do pessoal, preenchido, à ANS do Estado-Membro de nacionalidade da pessoa, solicitando que seja levada a cabo uma investigação de segurança para o nível de ICUE às quais a pessoa deverá ter acesso.

17. Se o SGC tomar conhecimento de informações relevantes para a investigação de segurança a respeito de alguém que tenha solicitado uma credenciação de segurança para aceder a ICUE, o SGC informará desse facto a ANS competente, nos termos das regras e regulamentações pertinentes.

18. Concluída a investigação de segurança, a ANS competente comunicará à Autoridade de Segurança do SGC os resultados dessa investigação, utilizando para o efeito a minuta estipulada pelo Comité de Segurança.

a) Se da investigação de segurança se concluir que não há garantidamente conhecimento de fatores desfavoráveis que ponham em dúvida a lealdade, a idoneidade e a fiabilidade da pessoa, a entidade competente para proceder a nomeações no SGC pode conceder à pessoa em questão a autorização para ter acesso a ICUE até ao nível adequado e até determinada data;

b) Se da investigação de segurança se não concluir pela existência dessa garantia, a entidade competente para proceder a nomeações no SGC notificará do facto a pessoa em causa, que poderá pedir para ser ouvida pela referida Autoridade. A entidade competente para proceder a nomeações no SGC poderá pedir à ANS competente quaisquer outros esclarecimentos que esta possa prestar nos termos das respetivas disposições legislativas e regulamentares nacionais. Se as conclusões se confirmarem não será concedida a autorização de acesso a ICUE.

19. A investigação de segurança, bem como os resultados obtidos ficarão sujeitos às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela entidade competente para proceder a nomeações no SGC são passíveis de recurso nos termos do Estatuto dos Funcionários da União Europeia e do Regime aplicável aos outros Agentes da União Europeia, previstos no Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho ( 3 ) («Estatuto e Regime Aplicável»).

20. Antes de assumirem funções, os peritos nacionais destacados para um lugar no SGC que exija o acesso a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deverão apresentar à Autoridade de Segurança do SGC um Certificado de Credenciação de Segurança do Pessoal (CCSP) válido para efeitos de acesso a ICUE, com base na qual a entidade competente para proceder a nomeações emite a autorização de acesso às ICUE.

21. O SGC aceitará uma autorização de acesso às ICUE que seja concedida por qualquer outra instituição, organismo ou agência da União, desde que se mantenha válida. A autorização abrangerá quaisquer funções que a pessoa em causa venha a desempenhar no SGC. A instituição, organismo ou agência da União na qual a pessoa assume funções informará a ANS competente da mudança de empregador.

22. Se o período de serviço da pessoa não tiver começado no prazo de 12 meses a contar da notificação dos resultados da investigação de segurança à entidade competente para proceder a nomeações no SGC, ou se houver uma interrupção de 12 meses no serviço durante a qual a pessoa não exerça funções no SGC ou na administração de um Estado-Membro, os referidos resultados serão remetidos à ANS competente, para confirmação de que continuam a ser válidos e pertinentes.

23. Se o SGC tomar conhecimento de informações a respeito da existência de qualquer risco para a segurança que provenha de alguém que tenha autorização de acesso a ICUE, o SGC informará desse facto a ANS competente, nos termos das regras e regulamentações pertinentes, e poderá suspender o acesso às ICUE ou revogar a autorização para lhes aceder.

24. Quando a ANS comunicar ao SGC que retirou a garantia concedida nos termos do ponto 18, alínea a), em relação a uma pessoa que tenha autorização de acesso a ICUE, a entidade competente para proceder a nomeações no SGC pode pedir à ANS quaisquer esclarecimentos que esta possa prestar nos termos das respetivas disposições legislativas e regulamentares nacionais. Se as informações desfavoráveis forem confirmadas, a autorização será retirada e a pessoa em causa será excluída do acesso às ICUE e afastada de funções no âmbito das quais esse acesso seja possível ou a pessoa possa prejudicar a segurança.

25. A decisão de retirar ou suspender a um funcionário ou agente do SGC a autorização de acesso a ICUE e, se necessário, as razões que a motivaram serão notificadas à pessoa em causa, que pode pedir para ser ouvida pela entidade competente para proceder a nomeações. As informações prestadas pela ANS ficarão sujeitas às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela entidade competente para proceder a nomeações no SGC são passíveis de recurso nos termos do Estatuto e do Regime Aplicável.

Registos de credenciações de segurança e autorizações

26. Os Estados-Membros e o SGC manterão, respetivamente, registos das CSP e das autorizações concedidas para o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. Esses registos especificarão, pelo menos, o nível das ICUE a que a pessoa pode ter acesso, a data em que a credenciação de segurança foi atribuída e o seu período de validade.

27. A autoridade de segurança competente poderá emitir um CCSP, indicando o nível de ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), o período de validade da CSP para efeitos de acesso a ICUE ou da autorização de acesso a ICUE e o prazo de validade do próprio certificado.

Isenção do requisito de CSP

28. O acesso a ICUE por parte de pessoas devidamente autorizadas nos Estados-Membros em virtude das funções que exercem será determinado nos termos das disposições legislativas e regulamentares nacionais; essas pessoas serão informadas das suas obrigações de segurança no que respeita à proteção das ICUE.

IV. FORMAÇÃO E SENSIBILIZAÇÃO PARA A SEGURANÇA

29. Todas as pessoas a quem tenha sido conferida uma credenciação de segurança confirmarão por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à Proteção das ICUE e as consequências do comprometimento de ICUE. Os Estados-Membros e o SGC, consoante o caso, conservarão um registo dessas declarações escritas.

30. Todas as pessoas autorizadas a aceder a ICUE ou que precisem de manusear ICUE serão inicialmente sensibilizadas e periodicamente informadas das ameaças existentes para a segurança e deverão comunicar imediatamente às autoridades de segurança competentes qualquer atitude ou atividade que considerem suspeita ou pouco habitual.

31. Quem deixar de exercer funções que exijam acesso a ICUE será informado de que deverá continuar a salvaguardar as ICUE e, se necessário, confirmará por escrito essa sua obrigação.

V. CIRCUNSTÂNCIAS EXCECIONAIS

32. Quando as disposições legislativas e regulamentares nacionais o permitirem, a credenciação de segurança atribuída por uma autoridade nacional competente de um Estado-Membro para acesso a informações classificadas nacionais pode, temporariamente, até à concessão de uma CSP para acesso a ICUE, permitir que funcionários nacionais tenham acesso a ICUE até ao nível equivalente especificado na tabela de equivalências que figura no Apêndice B, se esse acesso temporário for do interesse da União. Quando as disposições legislativas e regulamentares nacionais não permitam esse acesso temporário às ICUE, as ANS informarão desse facto o Comité de Segurança.

33. Por motivos de urgência devidamente justificados pelo interesse do serviço e enquanto se aguarda a conclusão de uma investigação de segurança exaustiva, a entidade competente para proceder a nomeações no SGC, após consulta à ANS do Estado-Membro de nacionalidade do interessado e sob reserva dos resultados da verificação inicial de que não há conhecimento de informações desfavoráveis, pode conceder aos funcionários e outros agentes do SGC uma autorização temporária de acesso a ICUE para uma função concreta. Essas autorizações temporárias terão uma validade não superior a seis meses e não permitirão o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET. Todas as pessoas a quem tenha sido concedida uma autorização temporária confirmarão por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. O SGC conservará um registo dessas declarações escritas.

34. Quando devam ser confiadas a alguém funções que exijam uma credenciação de segurança de nível superior ao que a pessoa possui, a atribuição pode ser feita a título temporário, desde que:

a) A necessidade urgente de acesso a ICUE de nível superior seja justificada, por escrito, pelo superior hierárquico da pessoa em causa;

b) O acesso seja limitado a ICUE específicas de apoio às funções exercidas;

c) A pessoa possua uma CSP válida ou uma autorização de acesso a ICUE;

d) Tenham sido iniciados os trâmites necessários para obter autorização para o nível de acesso exigido para essas funções;

e) A autoridade competente tenha feito verificações satisfatórias das quais se tenha concluído que a pessoa em causa não infringiu as regras de segurança de forma grave nem reiterada;

f) A atribuição de funções à pessoa em causa seja aprovada pela autoridade competente; e

g) A exceção, incluindo uma descrição das informações para as quais tenha sido aprovado o acesso, seja averbada no registo responsável ou num registo que dele dependa.

35. O procedimento acima descrito será utilizado para um único acesso a ICUE de nível superior àquele para o qual tenha sido concedida credenciação de segurança à pessoa em causa. Não se recorrerá repetidamente a este procedimento.

36. Em circunstâncias muito excecionais, como sejam as missões em ambiente hostil ou os períodos de crescente tensão internacional, quando as medidas de emergência o exijam, nomeadamente para salvar vidas humanas, os Estados-Membros e o Secretário-Geral poderão conceder, por escrito, acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET a pessoas que não possuam a necessária credenciação de segurança, desde que tal autorização seja absolutamente necessária e não haja dúvidas razoáveis quanto à lealdade, à idoneidade e à fiabilidade da pessoa em causa. Será conservado registo desta autorização, com a descrição das informações para as quais tenha sido aprovado acesso.

37. No caso de informações com classificação TRÈS SECRET UE/EU TOP SECRET, este acesso de emergência será limitado aos nacionais da União que tenham sido autorizados a aceder ao equivalente nacional do nível TRÈS SECRET UE/EU TOP SECRET ou às informações com classificação SECRET UE/EU SECRET.

38. O Comité de Segurança será informado dos casos em que se recorra ao procedimento descrito nos pontos 36 e 37.

39. Quando as disposições legislativas e regulamentares nacionais dos Estados-Membros prevejam regras mais rigorosas a respeito de autorizações temporárias, atribuição temporária de funções, acesso único ou acesso de emergência a informações classificadas, os procedimentos previstos na presente secção serão aplicados apenas dentro dos limites definidos nas referidas disposições legislativas e regulamentares nacionais.

40. Será anualmente apresentado ao Comité de Segurança um relatório sobre o recurso aos procedimentos estabelecidos na presente secção.

VI. PARTICIPAÇÃO EM REUNIÕES DO CONSELHO

41. Sob reserva do ponto 28, as pessoas que devam participar em reuniões do Conselho ou das suas instâncias preparatórias em que sejam discutidas informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior só poderão fazê-lo depois de confirmado o estatuto da sua credenciação de segurança. No caso dos delegados, o CCSP, ou outra prova de credenciação de segurança, será enviado pelas autoridades nacionais competentes ao Gabinete de Segurança do SGC ou, a título excecional, apresentado pelo próprio delegado. Se necessário, poderá ser usada uma lista consolidada de nomes, com a indicação da prova de credenciação de segurança relevante.

42. Se, por razões de segurança, for retirada a CSP para efeitos de acesso a ICUE de alguém cuja presença em reuniões do Conselho ou das suas instâncias preparatórias seja necessária em virtude das funções que exerce, a autoridade competente informará do facto o SGC.

VII. ACESSO POTENCIAL A ICUE

43. Os estafetas, guardas e escoltas devem possuir a credenciação de segurança para o nível adequado ou ser de outro modo sujeitos a uma investigação adequada nos termos das disposições legislativas e regulamentares nacionais, ser informados dos procedimentos de segurança aplicáveis à proteção das ICUE e alertados para o seu dever de proteção das informações que lhes forem confiadas.









ANEXO II

SEGURANÇA FÍSICA

I. INTRODUÇÃO

1. O presente anexo estabelece as regras de execução do artigo 8.o. Nele se definem os requisitos mínimos para a proteção física de instalações, edifícios, gabinetes, salas e outras zonas em que sejam manuseadas e armazenadas ICUE, e, nomeadamente, zonas que alberguem SCI.

2. Serão concebidas medidas de segurança física para impedir o acesso não autorizado a ICUE:

a) Assegurando que as ICUE sejam devidamente manuseadas e armazenadas;

b) Permitindo a diferenciação do pessoal no que se refere ao acesso a ICUE com base na sua necessidade de tomar conhecimento de tais informações e, se for caso disso, na respetiva credenciação de segurança;

c) Dissuadindo, impedindo e detetando ações não autorizadas; e

d) Impedindo ou retardando a entrada sub-reptícia ou forçada de intrusos.

II. REQUISITOS E MEDIDAS DE SEGURANÇA FÍSICA

3. As medidas de segurança física serão selecionadas com base na avaliação de risco feita pelas autoridades competentes. Tanto o SGC como os Estados-Membros aplicarão um processo de gestão de risco à proteção das ICUE nas suas instalações, por forma a assegurar que seja concedido um nível de proteção física proporcional ao risco avaliado. No processo de gestão de risco serão tidos em conta todos os fatores pertinentes, nomeadamente:

a) O nível de classificação das ICUE;

b) A forma e o volume das ICUE, tendo em conta que as grandes quantidades ou acervos de ICUE podem justificar a aplicação de medidas de proteção mais rigorosas;

c) A envolvente e a estrutura dos edifícios ou zonas que albergam as ICUE; e

d) A avaliação da ameaça representada pelos serviços de informações que tenham por alvo a União ou os Estados-Membros, pelos atos de sabotagem ou de terrorismo, bem como por outras atividades subversivas ou criminosas.

4. A autoridade de segurança competente determinará, aplicando o conceito de defesa em profundidade, qual a combinação adequada de medidas de segurança física a implementar, que pode ser constituída por uma ou mais das que a seguir se enunciam:

a) Perímetro: barreira física que resguarda os limites de uma zona que precisa de ser protegida;

b) Sistemas de deteção de intrusos (IDS): podem ser utilizados IDS para aumentar o nível de segurança proporcionado pelo perímetro ou para substituir ou apoiar o pessoal de segurança em salas e edifícios;

c) Controlo do acesso: o controlo do acesso poderá ser exercido em relação a um local, a um edifício ou edifícios de determinado local, ou a zonas ou salas de um edifício. O controlo poderá ser exercido por processos eletrónicos ou eletromecânicos, efetuado pelo pessoal de segurança e/ou por um rececionista, ou por quaisquer outros meios físicos;

d) Pessoal de segurança: poderá nomeadamente recorrer-se a pessoal de segurança devidamente formado, supervisionado e, se necessário, com a devida credenciação de segurança para dissuadir todos aqueles que planeiem uma intrusão dissimulada;

e) Televisão em circuito fechado (CCTV): o pessoal de segurança poderá utilizar um sistema de CCTV para verificar incidentes e alarmes de IDS em locais de grandes dimensões ou nos perímetros;

f) Luzes de segurança: poderão ser utilizadas luzes de segurança para dissuadir os potenciais intrusos e proporcionar a iluminação necessária para uma vigilância efetiva, efetuada quer diretamente pelo pessoal de segurança, quer indiretamente através de um sistema de CCTV; e

g) Quaisquer outras medidas físicas adequadas que sejam concebidas para dissuadir ou detetar o acesso não autorizado ou evitar que as ICUE se percam ou sejam danificadas.

5. A autoridade competente pode ser autorizada a efetuar buscas nas entradas e saídas, que funcionarão como elemento dissuasor da introdução não autorizada de material ou da saída não autorizada de ICUE das instalações ou edifícios.

6. Quando houver risco de olhares indiscretos sobre ICUE, mesmo que acidentalmente, serão tomadas as medidas necessárias para neutralizar esse risco.

7. Na fase de planeamento e conceção de novas instalações, deverão ser definidos os requisitos de segurança física e as respetivas especificações funcionais. Em instalações já existentes, os requisitos de segurança física serão aplicados em toda a medida do possível.

III. EQUIPAMENTO PARA A PROTEÇÃO FÍSICA DAS ICUE

8. Aquando da aquisição de equipamento (por exemplo, contentores de segurança, máquinas trituradoras, fechaduras de porta, sistemas eletrónicos de controlo de acesso, sistemas de deteção de intrusos, sistemas de alarme) para proteção física das ICUE, a autoridade de segurança competente certificar-se-á de que o equipamento satisfaz as normas técnicas e os requisitos mínimos aprovados.

9. As especificações técnicas do equipamento a utilizar na proteção física das ICUE serão estabelecidas em diretrizes de segurança aprovadas pelo Comité de Segurança.

10. Os sistemas de segurança serão regularmente sujeitos a inspeção e o equipamento será objeto de manutenção regular. Nos trabalhos de manutenção serão tidos em conta os resultados das inspeções, a fim de garantir que o equipamento continue a funcionar nas melhores condições.

11. Em cada inspeção será reavaliada a eficácia de cada medida de segurança e do sistema de segurança em geral.

IV. ZONAS FISICAMENTE PROTEGIDAS

12. Serão estabelecidos dois tipos de zonas fisicamente protegidas, ou os seus equivalentes nacionais, para assegurar a proteção física das ICUE:

a) Zonas Administrativas; e

b) Zonas de Segurança (incluindo as Zonas Tecnicamente Seguras).

Na presente decisão, todas as referências às Zonas Administrativas e Zonas de Segurança, incluindo as Zonas Tecnicamente Seguras, devem ser igualmente entendidas como referências aos seus equivalentes nacionais.

13. A autoridade de segurança competente determinará que uma dada zona preenche os requisitos para ser designada Zona Administrativa, Zona de Segurança ou Zona Tecnicamente Segura.

14. No caso das Zonas Administrativas:

a) Será estabelecido um perímetro visivelmente definido que permita o controlo de pessoas e, se possível, de veículos;

b) Só poderão ter acesso sem escolta as pessoas devidamente autorizadas pela autoridade competente; e

c) Quaisquer outras pessoas serão permanentemente escoltadas ou sujeitas a controlos equivalentes.

15. No caso das Zonas de Segurança:

a) Será estabelecido um perímetro visivelmente definido, em que qualquer entrada ou saída será controlada por meio de um sistema de livre-trânsito ou de reconhecimento de pessoas;

b) Só poderão ter acesso sem escolta as pessoas com a devida credenciação de segurança e especificamente autorizadas a entrar nessa zona por terem necessidade de tomar conhecimento das ICUE em causa; e

c) Quaisquer outras pessoas serão permanentemente escoltadas ou sujeitas a controlos equivalentes.

16. Nos casos em que a entrada numa Zona de Segurança represente, para todos os efeitos práticos, um acesso direto às informações classificadas que nela se encontrem, aplicam-se ainda os seguintes requisitos:

a) Deve haver uma indicação clara do nível de classificação de segurança mais elevado das informações normalmente conservadas nessa zona;

b) Todos os visitantes devem pedir autorização específica para entrar nessa zona, ser permanentemente escoltados e possuir a devida credenciação de segurança, a menos que sejam tomadas medidas para assegurar que não seja possível ter acesso às ICUE,

17. As Zonas de Segurança a proteger contra escutas serão designadas Zonas Tecnicamente Seguras. A estas zonas aplicam-se ainda os seguintes requisitos:

a) Serão equipadas com IDS, fechadas à chave quando não estiverem ocupadas e guardadas quando ocupadas. Todas as chaves serão controladas de acordo com a secção VI;

b) Serão sujeitas a controlo todas as pessoas ou material que nelas penetrem;

c) Serão sujeitas a inspeção física e/ou técnica regular, consoante o que a autoridade de segurança competente exigir. Essa inspeção será igualmente efetuada na sequência de qualquer entrada não autorizada ou de suspeitas dessa possibilidade; e

d) Serão desprovidas de dispositivos não autorizados como linhas de comunicação, telefones ou outros aparelhos de comunicação, bem como equipamento elétrico ou eletrónico.

18. Não obstante o disposto na alínea d) do ponto 17, e em circunstâncias em que a ameaça para as ICUE seja considerada elevada, qualquer tipo de aparelho de comunicações e equipamento elétrico ou eletrónico será inspecionado pela autoridade de segurança competente antes de ser utilizado em zonas onde decorram reuniões ou se trabalhe com informações com classificação SECRET UE/EU SECRET e superior, por forma a garantir que nenhuma informação inteligível seja transmitida por esse equipamento, ilícita ou inadvertidamente, para fora do perímetro da Zona de Segurança.

19. As Zonas de Segurança que não estejam ocupadas por pessoal em serviço 24 horas por dia serão, se necessário, inspecionadas no final das horas normais de serviço e a intervalos aleatórios fora dessas horas, a menos que esteja instalado um sistema de deteção de intrusos.

20. Poderão ser temporariamente criadas Zonas de Segurança e Zonas Tecnicamente Seguras no interior de determinada Zona Administrativa para a realização de uma reunião classificada ou para qualquer outro fim semelhante.

21. Para cada Zona de Segurança serão estabelecidos procedimentos operacionais de segurança que estipulem:

a) O nível das ICUE que podem ser manuseadas ou armazenadas nessa zona;

b) As medidas de vigilância e de proteção a manter;

c) As pessoas autorizadas a aceder sem escolta à zona por terem necessidade de tomar conhecimento das ICUE em causa e possuírem a devida credenciação de segurança;

d) Se necessário, os procedimentos respeitantes a escoltas ou à proteção das ICUE quando se autorize o acesso de outras pessoas a essa zona; e

e) Quaisquer outras medidas e procedimentos relevantes.

22. Serão construídas casas-fortes dentro das Zonas de Segurança. As paredes, o chão, os tetos, as janelas e as portas com sistema de fecho serão aprovados pela autoridade de segurança competente e beneficiarão de proteção equivalente à de um contentor de segurança aprovado para armazenamento de ICUE com o mesmo nível de classificação.

V. MEDIDAS DE PROTEÇÃO FÍSICA PARA O MANUSEAMENTO E ARMAZENAMENTO DE ICUE

23. As ICUE com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas:

a) Em Zonas de Segurança;

b) Em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas; ou

c) Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas as transporte nas condições estabelecidas nos pontos 28 a 41 do Anexo III e se tenha comprometido a respeitar as medidas de compensação estabelecidas nas instruções emitidas pela autoridade de segurança competente, a fim de assegurar que as ICUE fiquem protegidas do acesso por parte de pessoas não autorizadas.

24. As ICUE com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório apropriado e fechado à chave, numa Zona Administrativa ou Zona de Segurança. As referidas ICUE poderão ser temporariamente armazenadas fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas se tenha comprometido a respeitar as medidas de compensação estabelecidas nas instruções emitidas pela autoridade de segurança competente.

25. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET podem ser manuseadas:

a) Em Zonas de Segurança;

b) Em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas; ou

c) Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas: i) as transporte nas condições estabelecidas nos pontos 28 a 41 do Anexo III, ii) se tenha comprometido a respeitar as medidas de compensação estabelecidas nas instruções emitidas pela autoridade de segurança competente, a fim de assegurar que as ICUE fiquem protegidas do acesso por parte de pessoas não autorizadas, iii) mantenha as ICUE permanentemente sob o seu controlo pessoal, e iv) no caso de documentos em suporte papel, tenha informado desse facto o registo competente.

26. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET serão armazenadas em Zonas de Segurança, seja num contentor de segurança ou numa casa-forte.

27. As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET serão manuseadas em Zonas de Segurança.

28. As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET serão armazenadas em Zonas de Segurança, numa das seguintes condições:

a) Num contentor de segurança, de acordo com o estabelecido no ponto 8, com pelo menos um dos seguintes controlos suplementares: i) proteção ou verificação permanente por pessoal de segurança ou de serviço com credenciação de segurança, ii) um IDS aprovado, conjugado com pessoal de segurança incumbido das situações de emergência;

b) Numa casa-forte com IDS, conjugada com pessoal de segurança incumbido das situações de emergência.

29. As regras a que deve obedecer o transporte de ICUE fora das zonas fisicamente protegidas são estabelecidas no Anexo III.

VI. CONTROLO DAS CHAVES E COMBINAÇÕES DE FECHADURAS DE SEGREDO UTILIZADAS PARA PROTEÇÃO DAS ICUE

30. A autoridade de segurança competente definirá procedimentos para a gestão das chaves e das combinações das fechaduras de segredo dos gabinetes, salas, casas-fortes e contentores de segurança. Tais procedimentos deverão assegurar a proteção contra o acesso não autorizado.

31. As combinações deverão ser memorizadas pelo menor número possível de pessoas que precisem de as conhecer. As combinações dos contentores de segurança e das casas-fortes em que sejam conservadas ICUE deverão ser mudadas:

a) Aquando da receção de um novo contentor;

b) Sempre que mude o pessoal que conhece a combinação;

c) Sempre que haja conhecimento ou suspeita de comprometimento;

d) Sempre que uma fechadura tenha sido objeto de manutenção ou reparação; e

e) Pelo menos de 12 em 12 meses.









ANEXO III

GESTÃO DAS INFORMAÇÕES CLASSIFICADAS

I. INTRODUÇÃO

1. O presente anexo estabelece as regras de execução do artigo 9.o. Nele se definem as medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam contribuir para dissuadir e detetar a perda ou comprometimento deliberados ou acidentais dessas informações.

II. GESTÃO DAS CLASSIFICAÇÕES

Classificações e marcas

2. As informações serão classificadas se precisarem de proteção em virtude da sua confidencialidade.

3. A entidade de origem das ICUE será responsável pela determinação do nível de classificação de segurança, nos termos das diretrizes de classificação relevantes, e pela divulgação inicial das informações.

4. O nível de classificação das ICUE será determinado nos termos do artigo 2.o, n.o 2, e mediante remissão para a política de segurança a aprovar nos termos do artigo 3.o, n.o 3.

5. A classificação de segurança deverá ser clara e corretamente indicada, independentemente do suporte em que a ICUE seja apresentada: papel, oral, eletrónico ou outro.

6. Cada uma das partes de um determinado documento (páginas, parágrafos, secções, anexos, apêndices, adendas e elementos apensos) poderá exigir classificações diferentes, devendo ostentar a marca correspondente, inclusivamente quando for armazenado em suporte eletrónico.

7. A classificação geral de um documento ou dossiê deverá ser pelo menos tão elevada quanto a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o produto final será analisado para determinar o seu nível geral de classificação de segurança, uma vez que poderá justificar uma classificação mais elevada que a das partes que o compõem.

8. Na medida do possível, os documentos que contenham partes com níveis de classificação diferentes serão estruturados de forma a que as partes com um nível de classificação diferente possam ser facilmente identificadas e, se necessário, destacadas.

9. A classificação de uma carta ou nota de envio deverá ser tão elevada quanto a mais alta classificação dos seus anexos. A entidade de origem deverá indicar claramente a que nível é classificada a carta ou nota quando destacada dos anexos, para o que deverá utilizar uma marca adequada, por exemplo:

CONFIDENTIEL UE/EU CONFIDENTIAL

Sem anexo(s) RESTREINT UE/EU RESTRICTED

Marcas

10. Para além de uma das marcas de classificação previstas no artigo 2.o, n.o 2, as ICUE poderão ostentar outras marcas, tais como:

a) Um identificador para designar a entidade de origem;

b) Eventuais advertências, códigos ou acrónimos que especifiquem o domínio de atividade a que o documento diz respeito, uma distribuição especial baseada na necessidade de ter conhecimento ou restrições de utilização;

c) Marcas relativas à comunicabilidade; ou

d) Se for caso disso, a data ou o acontecimento específico após os quais podem ser desgraduadas ou desclassificadas.

Marcas de classificação abreviadas

11. Para indicar o nível de classificação de certos parágrafos de determinado texto, podem ser utilizadas marcas de classificação sob forma de abreviaturas normalizadas. As abreviaturas não substituem as marcas de classificação por extenso.

12. Nos documentos classificados da UE, podem ser utilizadas, para indicar o nível de classificação de secções ou blocos do texto com menos de uma página, as seguintes abreviaturas normalizadas:







TRÈS SECRET UE/EU TOP SECRET TS-UE/EU-TS SECRET UE/EU SECRET S-UE/EU-S CONFIDENTIEL UE/EU CONFIDENTIAL C-UE/EU-C RESTREINT UE/EU RESTRICTED R-UE/EU-R

Produção de ICUE

13. Ao produzir um documento classificado da UE:

a) Todas as páginas serão marcadas de forma clara com o nível de classificação;

b) Todas as páginas serão numeradas;

c) O documento ostentará um número de referência e o assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal;

d) O documento será datado; e

e) Os documentos com classificação SECRET UE/EU SECRET ou superior que devam ser distribuídos em vários exemplares ostentarão um número de exemplar em todas as páginas.

14. Quando não for possível aplicar o disposto no ponto 13 às ICUE, deverão ser tomadas outras medidas adequadas nos termos das diretrizes de segurança a estabelecer ao abrigo do artigo 6.o, n.o 2.

Desgraduação e desclassificação de ICUE

15. Aquando da produção de ICUE, a entidade de origem indicará, sempre que possível, especialmente se se tratar de informações com classificação RESTREINT UE/EU RESTRICTED, se as ICUE podem ser desgraduadas ou desclassificadas em determinada data ou após um dado acontecimento.

16. O SGC analisará regularmente as ICUE que se encontrem na sua posse, a fim de apurar se o respetivo nível de classificação continua a ser aplicável. O SGC estabelecerá um sistema para proceder, pelo menos de cinco em cinco anos, à reanálise do nível de classificação das ICUE que tiver produzido. Essa reanálise não será necessária se a entidade de origem tiver indicado à partida que as informações serão automaticamente desgraduadas ou desclassificadas e se nelas tiver sido aposta a marca correspondente.

III. REGISTO DE ICUE PARA EFEITOS DE SEGURANÇA

17. Será designado um registo responsável para cada entidade orgânica do SGC e das administrações nacionais dos Estados-Membros em que sejam manuseadas ICUE para assegurar que as informações classificadas da UE sejam manuseadas nos termos da presente decisão. Os registos serão considerados Zonas de Segurança, tal como definidas no Anexo II.

18. Para efeitos da presente decisão, entende-se por «registo para efeitos de segurança» («registo») a aplicação de procedimentos que registem o ciclo de vida do material, incluindo a sua divulgação e destruição.

19. Todo o material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e superior será inscrito em registos próprios à entrada e à saída de uma entidade orgânica.

20. O Registo Central do SGC registará todas as informações classificadas comunicadas pelo Conselho e pelo SGC a Estados terceiros e organizações internacionais, bem como todas as informações classificadas recebidas de Estados terceiros e organizações internacionais.

21. Os SCI podem executar os procedimentos de registo recorrendo aos seus próprios processos.

22. O Conselho aprovará uma política de segurança aplicável ao registo de ICUE para efeitos de segurança.

Registos de informações com classificação TRÈS SECRET UE/EU TOP SECRET

23. Será designado nos Estados-Membros e no SGC um registo que atuará como autoridade central de receção e envio de informações com classificação TRÈS SECRET UE/EU TOP SECRET. Se necessário, poderão ser designados registos dependentes do registo central, a fim de manusear essas informações para efeitos de registo.

24. Os registos dependentes não poderão enviar documentos com classificação TRÈS SECRET UE/EU TOP SECRET diretamente a outros registos dependentes adstritos ao mesmo registo central TRÈS SECRET/EU TOP SECRET nem ao exterior sem a aprovação expressa deste último, concedida por escrito.

IV. CÓPIA E TRADUÇÃO DE DOCUMENTOS CLASSIFICADOS DA UE

25. Os documentos com classificação TRÈS SECRET UE/EU TOP SECRET não serão copiados nem traduzidos sem o consentimento prévio da entidade de origem, dado por escrito.

26. Os documentos com classificação SECRET UE/EU SECRET ou inferior poderão ser copiados ou traduzidos por ordem do detentor se a respetiva entidade de origem não tiver imposto restrições à sua cópia ou tradução.

27. As medidas de segurança aplicáveis ao documento original serão igualmente aplicáveis às respetivas cópias e traduções.

V. TRANSPORTE DE ICUE

28. O transporte de ICUE fica sujeito às medidas de proteção estabelecidas nos pontos 30 a 41. Quando as ICUE forem transportadas por meios eletrónicos, e não obstante o artigo 9.o, n.o 4, as medidas de proteção a seguir estabelecidas poderão ser complementadas pelas contramedidas técnicas adequadas que a autoridade de segurança competente determinar, a fim de minimizar o risco de perda ou comprometimento.

29. As autoridades de segurança competentes do SGC e dos Estados-Membros emitirão instruções para o transporte de ICUE, nos termos da presente decisão.

No interior de um edifício ou bloco de edifícios

30. As ICUE transportadas dentro de um edifício ou bloco de edifícios deverão ser cobertas para evitar que o seu conteúdo possa ser visto.

31. No interior de um edifício ou bloco de edifícios, as informações com classificação TRÈS SECRET UE/EU TOP SECRET deverão ser transportadas num envelope de segurança que ostente apenas o nome do destinatário.

Dentro do território da União

32. As ICUE transportadas entre edifícios ou instalações dentro do território da União devem ser acondicionadas de uma forma que as proteja da divulgação não autorizada.

33. O transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dentro do território da União será efetuado por um dos seguintes meios:

a) Estafeta militar, correio oficial ou mala diplomática, consoante o caso;

b) Transporte por mão própria, desde que: i) as ICUE não saiam das mãos do portador, a menos que se encontrem armazenadas nos termos dos requisitos estabelecidos no Anexo II, ii) as ICUE não sejam abertas pelo caminho nem lidas em locais públicos, iii) as pessoas em causa sejam informadas das suas responsabilidades em matéria de segurança, e iv) as pessoas em causa recebam, se necessário, um certificado de estafeta;

c) Serviços postais ou serviços comerciais de estafeta, desde que: i) sejam aprovados pela ANS competente, nos termos das disposições legislativas e regulamentares nacionais, e ii) apliquem medidas de proteção adequadas nos termos dos requisitos mínimos a estabelecer nas diretrizes de segurança ao abrigo do artigo 6.o, n.o 2.

Em caso de transporte de um Estado-Membro para outro, o disposto na alínea c) fica limitado a informações com classificação até CONFIDENTIEL UE/EU CONFIDENTIAL.

34. As informações com classificação RESTREINT UE/EU RESTRICTED podem também ser transportadas por serviços postais ou serviços comerciais de estafeta. Não é necessário um certificado de estafeta para o transporte dessas informações.

35. O material classificado CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET (por exemplo, equipamento ou maquinaria) que não possa ser transportado pelos meios a que se refere o ponto 33 será transportado como mercadoria por transportadoras comerciais nos termos do Anexo V.

36. O transporte de informações com classificação TRÈS SECRET UE/EU TOP SECRET entre edifícios ou instalações dentro do território da União será efetuado por estafeta militar, correio oficial ou mala diplomática, consoante o caso.

Do território da União para o território de um Estado terceiro

37. As ICUE transportadas do território da União para o território de um Estado terceiro devem ser acondicionadas de uma forma que as proteja da divulgação não autorizada.

38. O transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET do território da União para o território de um Estado terceiro será efetuado por um dos seguintes meios:

a) Estafeta militar ou mala diplomática;

b) Transporte por mão própria, desde que: i) o volume ostente um selo oficial ou esteja acondicionado de modo a indicar que se trata de remessa oficial que não deverá ser sujeita a inspeção aduaneira ou de segurança, ii) as pessoas em causa possuam um certificado de estafeta que identifique o volume e as autorize a transportá-lo, iii) as ICUE não saiam das mãos do portador, a menos que se encontrem armazenadas nos termos dos requisitos estabelecidos no Anexo II, iv) as ICUE não sejam abertas pelo caminho nem lidas em locais públicos, e v) as pessoas em causa sejam informadas das suas responsabilidades em matéria de segurança.

39. O transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET comunicadas pela União a um Estado terceiro ou organização internacional deverá cumprir as disposições relevantes ao abrigo de um acordo de segurança das informações ou de um convénio administrativo nos termos do artigo 13.o, n.o 2, alíneas a) ou b).

40. As informações com classificação RESTREINT UE/EU RESTRICTED podem também ser transportadas por serviços postais ou serviços comerciais de estafeta.

41. O transporte de informações com classificação TRÈS SECRET UE/EU TOP SECRET do território da União para o território de um Estado terceiro será efetuado por estafeta militar ou mala diplomática.

VI. DESTRUIÇÃO DE ICUE

42. Os documentos classificados da UE que deixem de ser necessários podem ser destruídos, sem prejuízo das regras e regulamentações pertinentes em matéria de arquivo.

43. Os documentos que devam ser registados nos termos do artigo 9.o, n.o 2, serão destruídos pelo registo responsável por ordem do detentor ou de uma autoridade competente. Os livros de registos e outras informações a registar serão atualizados em conformidade.

44. A destruição dos documentos com classificação SECRET UE/EU SECRET ou TRÈS SECRET UE/EU TOP SECRET será efetuada na presença de uma testemunha, que possuirá uma credenciação equivalente, pelo menos, ao nível de classificação dos documentos a destruir.

45. O funcionário do registo e a testemunha, sempre que a presença desta última seja exigida, assinarão um certificado de destruição, que será arquivado no registo. O registo conservará os certificados de destruição dos documentos TRÈS SECRET UE/EU TOP SECRET durante um período mínimo de dez anos e os dos documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET durante um período mínimo de cinco anos.

46. Os documentos classificados, incluindo os documentos com classificação RESTREINT UE/EU RESTRICTED, serão destruídos por métodos que respeitem as normas relevantes da União ou normas equivalentes ou que tenham sido aprovados pelos Estados-Membros nos termos das normas técnicas nacionais, de modo a impedir a sua reconstituição total ou parcial.

47. A destruição dos suportes informáticos de ICUE será efetuada nos termos do ponto 37 do Anexo IV.

48. Em caso de emergência, se houver um risco iminente de divulgação não autorizada, as ICUE serão destruídas pelo seu detentor de tal modo que não possam ser reconstituídas integral ou parcialmente. A entidade e o registo de origem serão informados da destruição de emergência das ICUE registadas.

VII. VISITAS DE AVALIAÇÃO

49. O termo «visita de avaliação» a seguir utilizado designa:

a) Qualquer inspeção ou visita de avaliação efetuada nos termos do artigo 9.o, n.o 3, e do artigo 16.o, n.o 2, alíneas e), f) e g);

b) Qualquer visita de avaliação efetuada nos termos do artigo 13.o, n.o 5,

a fim de avaliar a eficácia das medidas aplicadas para proteção das ICUE.

50. Serão efetuadas visitas de avaliação para, nomeadamente:

a) Garantir o respeito das normas mínimas aplicáveis à proteção de ICUE estabelecidas na presente decisão;

b) Realçar a importância da segurança e de uma gestão de risco eficaz nas entidades inspecionadas;

c) Recomendar contramedidas destinadas a atenuar as consequências específicas da perda de confidencialidade, integridade ou disponibilidade de informações classificadas; e

d) Reforçar os programas que as autoridades de segurança tenham em curso em matéria de educação e sensibilização para a segurança.

51. Antes do final de cada ano civil, o Conselho aprovará o programa das visitas de avaliação para o ano seguinte, previsto no artigo 16.o, n.o 1, alínea c). As datas concretas de cada visita de avaliação serão determinadas de comum acordo com o organismo ou agência ou da União, o Estado-Membro, o Estado terceiro ou a organização internacional em questão.

Realização de visitas de avaliação

52. Serão efetuadas visitas de avaliação para controlar as regras, regulamentações e procedimentos pertinentes da entidade visitada e verificar se as suas práticas cumprem as normas mínimas e os princípios básicos estabelecidos na presente decisão e nas disposições que regem o intercâmbio de informações classificadas com essa mesma entidade.

53. As visitas de avaliação serão efetuadas em duas fases. Se necessário, antes da visita propriamente dita será organizada uma reunião preparatória com a entidade em questão. Após essa reunião preparatória, a equipa de avaliação definirá, de comum acordo com a entidade em questão, um programa pormenorizado das visitas de avaliação que abranja todas as áreas da segurança. A equipa de avaliação deverá ter acesso a todos os locais em que sejam manuseadas ICUE, designadamente registos e pontos de presença de SCI.

54. As visitas de avaliação às administrações nacionais de Estados-Membros, Estados terceiros e organizações internacionais serão efetuadas em plena cooperação com os funcionários da entidade, Estado terceiro ou organização internacional visitada.

55. As visitas de avaliação a organismos, agências e entidades da União que apliquem a presente decisão ou os seus princípios serão conduzidas com a assistência de peritos da ANS em cujo território o organismo ou a agência estiver localizado.

56. No caso das visitas de avaliação a organismos, agências ou entidades da União que apliquem a presente decisão ou os seus princípios, bem como a Estados terceiros e organizações internacionais, poderá ser solicitada a assistência e o contributo de peritos da ANS, segundo regras de pormenor a aprovar pelo Comité de Segurança.

Relatórios

57. No final da visita de avaliação, serão apresentadas à entidade visitada as principais conclusões e recomendações. Em seguida, será elaborado um relatório sobre a visita de avaliação. Caso tenham sido propostas medidas corretivas e formuladas recomendações, devem constar do relatório os elementos necessários para corroborar as conclusões tiradas. O relatório será enviado à autoridade competente da entidade visitada.

58. No caso de visitas de avaliação efetuadas às administrações nacionais dos Estados-Membros:

a) O projeto de relatório de avaliação será remetido à ANS interessada para verificar se está factualmente correto e se não contém informações com classificação superior a RESTREINT UE/EU RESTRICTED; e

b) A menos que a ANS interessada do Estado-Membro solicite que a distribuição geral seja suspensa, os relatórios de avaliação serão facultados ao Comité de Segurança. Será atribuída ao relatório a classificação RESTREINT UE/EU RESTRICTED.

Será elaborado, sob a responsabilidade da Autoridade de Segurança do SGC (Gabinete de Segurança), um relatório periódico destacando os ensinamentos recolhidos das visitas de avaliação efetuadas nos Estados-Membros durante um período determinado, relatório esse que será analisado pelo Comité de Segurança.

59. No caso das visitas de avaliação efetuadas a Estados terceiros e organizações internacionais, o relatório será distribuído ao Comité de Segurança. O relatório terá, no mínimo, a classificação RESTREINT UE/EU RESTRICTED. As eventuais medidas corretivas serão verificadas durante uma visita posterior e comunicadas ao Comité de Segurança.

60. Os relatórios das visitas de avaliação a qualquer organismo, agência ou entidade da União que aplique a presente decisão ou os seus princípios serão distribuídos ao Comité de Segurança. O projeto de relatório da visita de avaliação será remetido à agência ou organismo interessado para verificar se está factualmente correto e se não contém informações com classificação superior a RESTREINT UE/EU RESTRICTED. As eventuais medidas corretivas serão verificadas durante uma visita posterior e comunicadas ao Comité de Segurança.

61. A Autoridade de Segurança do SGC efetuará inspeções regulares às entidades orgânicas do SGC para os efeitos previstos no ponto 50.

Lista de controlo

62. A Autoridade de Segurança do SGC (Gabinete de Segurança) elaborará e atualizará uma lista de controlo dos pontos a verificar durante uma visita de avaliação. A referida lista de controlo será remetida ao Comité de Segurança.

63. As informações necessárias para completar a lista de controlo serão obtidas, nomeadamente durante a visita, junto dos serviços de gestão da segurança da entidade inspecionada. Uma vez completada com as respostas pormenorizadas, a lista de controlo será classificada de comum acordo com a entidade inspecionada. Esta lista não fará parte do relatório de inspeção.









ANEXO IV

PROTEÇÃO DAS ICUE MANUSEADAS EM SCI

I. INTRODUÇÃO

1. O presente anexo estabelece as regras de execução do artigo 10.o.

2. Para a segurança e o correto funcionamento das operações em SCI, são essenciais as seguintes propriedades e conceitos de GI:

Autenticidade : a garantia de que a informação é genuína e provém de fonte fidedigna;

Disponibilidade : a propriedade de estar acessível e de poder ser utilizada a pedido de uma entidade autorizada;

Confidencialidade : a propriedade de a informação não ser divulgada a pessoas ou entidades não autorizadas ou segundo processos não autorizados;

Integridade : a propriedade de salvaguardar o caráter exato e completo da informação e dos ativos;

Não rejeição : a capacidade de provar que um ato ou acontecimento teve lugar, de modo a que esse acontecimento ou ato não possa ser subsequentemente negado.

II. PRINCÍPIOS DA GARANTIA DA INFORMAÇÃO

3. As disposições adiante estabelecidas constituirão a base da segurança dos SCI em que sejam manuseadas ICUE. Serão definidos nas políticas e diretrizes de segurança em matéria de GI requisitos de pormenor para a execução das presentes disposições.

Gestão dos riscos de segurança

4. A gestão dos riscos de segurança constituirá parte integrante da definição, desenvolvimento, exploração e manutenção do SCI. A gestão de risco (avaliação, tratamento, aceitação e comunicação) será conduzida como um processo iterativo em que participem conjuntamente os representantes dos proprietários do sistema, as autoridades de projeto, as autoridades operacionais e as autoridades de aprovação de segurança, seguindo um processo de avaliação dos riscos comprovado, transparente e plenamente compreensível para todos. O alcance do SCI e os seus ativos serão claramente definidos logo no início do processo de gestão de risco.

5. As autoridades competentes analisarão as potenciais ameaças ao SCI e farão avaliações rigorosas e atualizadas da ameaça que reflitam o ambiente operacional vigente. Atualizarão constantemente o seu conhecimento das questões relacionadas com as vulnerabilidades e procederão periodicamente à reanálise da avaliação das vulnerabilidades por forma a acompanhar a evolução do ambiente das tecnologias da informação (TI).

6. O objetivo de tratar os riscos de segurança consistirá em aplicar um conjunto de medidas de segurança que resulte num compromisso satisfatório entre os requisitos do utilizador, os custos e o risco de segurança residual.

7. Os requisitos, a escala e o grau de pormenor específicos determinados pela AAS competente para proceder à acreditação de um SCI serão proporcionais ao risco avaliado, tendo em conta todos os fatores pertinentes, nomeadamente o nível de classificação das ICUE manuseadas no SCI. A acreditação incluirá uma declaração formal de risco residual e a aceitação do risco residual por uma autoridade responsável.

Segurança ao longo do ciclo de vida do SCI

8. Haverá que garantir a segurança ao longo de todo o ciclo de vida do SCI, desde o início até à retirada de serviço.

9. Para cada fase do ciclo de vida, será identificado o papel de cada um dos intervenientes no SCI e a interação entre eles em termos de segurança do sistema.

10. Os SCI, incluindo as medidas de segurança, de caráter técnico e outras, serão sujeitos a ensaios de segurança durante o processo de acreditação, a fim de assegurar o nível de garantia adequado e de verificar se os sistemas estão corretamente implementados, integrados e configurados.

11. Serão periodicamente efetuadas avaliações, inspeções e análises de segurança durante o funcionamento e a manutenção dos SCI, e quando ocorrerem circunstâncias excecionais.

12. A documentação de segurança do SCI evoluirá ao longo do seu ciclo de vida enquanto parte integrante do processo de gestão da mudança e da configuração.

Melhores práticas

13. O SGC e os Estados-Membros cooperarão no desenvolvimento das melhores práticas de proteção das ICUE manuseadas nos SCI. As orientações de melhores práticas apresentarão medidas de segurança de natureza técnica, material, organizativa e processual para os SCI, de comprovada eficácia na luta contra determinadas ameaças e vulnerabilidades.

14. A proteção das ICUE manuseadas nos SCI basear-se-á na experiência adquirida pelas entidades envolvidas na GI, tanto dentro como fora da União.

15. A divulgação e a subsequente aplicação das melhores práticas ajudarão a atingir um nível de garantia equivalente nos vários SCI que são explorados pelo SGC e pelos Estados-Membros e em que são manuseadas ICUE.

Defesa em profundidade

16. Para atenuar os riscos que pesam sobre os SCI, será posta em prática uma série de medidas de segurança, de natureza técnica e não técnica, organizadas em múltiplos estratos de defesa, a saber:

a) Dissuasão : medidas de segurança dissuasivas da concretização de planos hostis de ataque ao SCI;

b) Prevenção : medidas de segurança destinadas a impedir ou bloquear um ataque ao SCI;

c) Deteção : medidas de segurança destinadas a descobrir a ocorrência de um ataque ao SCI;

d) Resistência : medidas de segurança destinadas a limitar o impacto do ataque a um conjunto mínimo de informações ou ativos do SCI e a prevenir mais danos; e

e) Recuperação : medidas de segurança destinadas a restabelecer uma situação segura para o SCI.

O grau de rigor destas medidas de segurança será determinado após uma avaliação dos riscos.

17. A ANS, ou outra autoridade competente, certificar-se-á de que:

a) São implementadas capacidades de ciberdefesa para responder a ameaças suscetíveis de ultrapassar as fronteiras de uma organização ou de um país; e

b) As respostas são coordenadas e as informações sobre essas ameaças e incidentes, e os riscos deles resultantes, são partilhadas (capacidades de resposta a emergências informáticas).

Princípio da minimalidade e do menor privilégio

18. A fim de evitar riscos desnecessários, só serão ativadas as funcionalidades, os dispositivos e os serviços essenciais para satisfazer os requisitos operacionais.

19. Para limitar os danos que possam resultar de acidentes, de erros ou da utilização não autorizada dos recursos do SCI, os seus utilizadores e processos automatizados beneficiarão unicamente de acesso, privilégios ou autorizações que forem indispensáveis ao desempenho das suas funções.

20. Os procedimentos de registo cumpridos pelo SCI serão, sempre que necessário, verificados no âmbito do processo de acreditação.

Sensibilização para a Garantia da Informação

21. A sensibilização para os riscos e para as medidas de segurança disponíveis constitui a primeira linha de defesa da segurança dos sistemas de comunicação e informação. Mais concretamente, todos os elementos do pessoal envolvido no ciclo de vida dos SCI, incluindo os utilizadores, deverão compreender que:

a) As falhas de segurança podem prejudicar significativamente os sistemas de comunicação e informação;

b) A interconexão e a interdependência podem causar prejuízos a terceiros; e

c) Cada um tem a sua parte de responsabilidade e deverá prestar contas pela segurança do SCI, em função do papel que desempenha nos sistemas e processos.

22. A fim de assegurar uma boa perceção das responsabilidades em matéria de segurança, os cursos de formação e sensibilização para a GI serão obrigatórios para todo o pessoal envolvido, incluindo os funcionários que ocupem lugares de direção e os utilizadores dos SCI.

Avaliação e aprovação de produtos de segurança informática

23. O necessário grau de confiança nas medidas de segurança, definido como um nível de garantia, será determinado à luz dos resultados do processo de gestão de risco e de acordo com as políticas e diretrizes de segurança relevantes.

24. O nível de garantia será verificado mediante a utilização de metodologias e processos reconhecidos internacionalmente ou aprovados a nível nacional, entre os quais se destacam a avaliação, os controlos e as auditorias.

25. Os produtos criptográficos de proteção de ICUE serão avaliados e aprovados por uma Autoridade nacional de Aprovação Criptográfica (AAC) de um Estado-Membro.

26. Antes de a sua aprovação ser recomendada ao Conselho ou ao Secretário-Geral, nos termos do artigo 10.o, n.o 6, os produtos criptográficos deverão ter sido submetidos com êxito a uma segunda avaliação por uma Autoridade de Avaliação Habilitada (AQUA) de um Estado-Membro que não esteja envolvido na conceção nem no fabrico do equipamento. O grau de pormenor exigido na segunda avaliação dependerá do nível de classificação máximo previsto para as ICUE a proteger pelos referidos produtos. O Conselho aprovará uma política de segurança aplicável à avaliação e aprovação de produtos criptográficos.

27. Quando tal se justifique por razões operacionais específicas, o Conselho ou o Secretário-Geral, consoante o caso, podem, por recomendação do Comité de Segurança, dispensar os requisitos previstos nos pontos 25 ou 26 do presente anexo e conceder uma aprovação provisória por um período específico, nos termos do artigo 10.o, n.o 6.

28. O Conselho pode, deliberando com base numa recomendação do Comité de Segurança, aceitar o processo de avaliação, seleção e aprovação de produtos criptográficos de um Estado terceiro ou organização internacional e, consequentemente, considerar tais produtos criptográficos aprovados para proteger as ICUE comunicadas a esse Estado terceiro ou organização internacional.

29. A AQUA é uma AAC de um Estado-Membro que tenha sido acreditada com base em critérios definidos pelo Conselho para realizar a segunda avaliação dos produtos criptográficos destinados a proteger as ICUE.

30. O Conselho aprovará uma política de segurança aplicável à qualificação e aprovação de produtos não criptográficos de segurança informática.

Transmissão dentro de Zonas Administrativas e de Segurança

31. Não obstante o disposto na presente decisão, quando a transmissão de ICUE se realizar dentro de Zonas de Segurança ou Zonas Administrativas, poderá ser utilizada a transmissão não cifrada ou a cifragem a um nível inferior, com base nos resultados de um processo de gestão de risco e sob reserva de aprovação da AAS.

Interconexão segura dos SCI

32. Para efeitos da presente decisão, entende-se por «interconexão» a conexão direta, unidirecional ou multidirecional, de dois ou mais sistemas informáticos para efeitos de partilha de dados e de outro