PT Jornal Oficial da União Europeia C 190/1

DECISÃO DA ALTA REPRESENTANTE DA UNIÃO PARA OS NEGÓCIOS ESTRANGEIROS E A POLÍTICA DE SEGURANÇA

de 19 de abril de 2013

relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa

(2013/C 190/01)

A ALTO REPRESENTANTE DA UNIÃO PARA OS NEGÓCIOS ESTRANGEIROS E A POLÍTICA DE SEGURANÇA,

Tendo em conta a Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa (1) («SEAE»),

Tendo em conta o parecer do Comité referido no artigo 9.o, n.o 6, da Decisão da Alta Representante, de 15 de junho de 2011, relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa (2),

Tendo em conta o parecer do Comité referido no artigo 10.o, n.o 1, da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa,

Considerando o seguinte:

(1) O SEAE, enquanto órgão da União Europeia (UE) funcionalmente autónomo, deve ter regras de segurança, tal como referido no artigo 10.o, n.o 1, da Decisão 2010/427/UE do Conselho;

(2) A Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança (a seguir designada «Alta Representante» ou «AR») deve decidir das regras de segurança aplicáveis ao SEAE, cobrindo todos os aspetos da segurança, para assegurar que este serviço efetue uma gestão eficaz dos riscos a que estejam sujeitos o respetivo pessoal, ativos físicos, informações e visitantes e cumpra o dever de diligência que lhe compete;

(3) Mais concretamente, deve ser garantido um nível de proteção ao pessoal colocado sob a responsabilidade do SEAE, aos ativos físicos do SEAE, incluindo sistemas de comunicação e informação, informações e visitantes, conforme com as melhores práticas seguidas no Conselho, na Comissão, nos Estados-Membros e, se for caso disso, nas organizações internacionais;

(4) As regras de segurança aplicáveis ao SEAE devem contribuir para um quadro geral completo e mais coerente na UE tendo em vista a proteção de Informações Classificadas da UE (a seguir designadas «ICUE»), com base em, e mantendo tanta coerência quanto possível com, as regras de segurança do Conselho da União Europeia (a seguir designado «o Conselho») e as disposições em matéria de segurança da Comissão Europeia;

(5) O SEAE, o Conselho e a Comissão estão empenhados em aplicar normas de segurança equivalentes para proteção das ICUE;

(6) A presente decisão é aprovada sem prejuízo dos artigos 15.o e 16.o do Tratado sobre o Funcionamento da União Europeia (TFUE) e dos instrumentos que lhe dão execução;

(7) É necessário estabelecer a organização da segurança no SEAE e a atribuição de funções de segurança no âmbito das estruturas do SEAE;

(8) A Alta Representante deve apoiar-se nas competências relevantes existentes nos Estados-Membros, no Secretariado-Geral do Conselho e na Comissão Europeia, conforme necessário;

(9) A Alta Representante deve tomar todas as medidas adequadas necessárias para aplicar essas regras com o apoio dos Estados-Membros, do Secretariado-Geral do Conselho e da Comissão,

APROVOU A PRESENTE DECISÃO:

Artigo 1.o

Objeto e âmbito de aplicação

A presente decisão estabelece as regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa (a seguir designadas «regras de segurança do SEAE»).

Nos termos do artigo 10.o, n.o 1, da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa, esta é aplicável ao pessoal do SEAE e a todo o pessoal das delegações da União, independentemente do seu estatuto administrativo ou da sua origem, e estabelece o quadro regulamentar geral para assegurar uma gestão eficaz dos riscos a que estejam sujeitos o pessoal do SEAE, tal como referido no artigo 2.o, instalações, os ativos físicos, as informações e os visitantes do SEAE.

Artigo 2.o

Definições

Para efeitos da presente decisão, entende-se por:

a) «Pessoal do SEAE», funcionários e outros agentes do SEAE, incluindo pessoal dos serviços diplomáticos dos Estados-Membros nomeados como agentes temporários e peritos nacionais destacados, na aceção do artigo 6.o da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa.

b) «Pessoal sob responsabilidade do SEAE», o pessoal do SEAE e todo o pessoal das delegações da União, independentemente do seu estatuto administrativo ou da sua origem, bem como, no contexto da presente decisão, a Alta Representante e, se for caso disso, outro pessoal residente nas instalações da Sede do SEAE.

c) «Pessoas a cargo», os membros da família do pessoal sob responsabilidade do SEAE nas delegações da União que façam parte do respetivo agregado familiar conforme notificado ao Ministério de Negócios Estrangeiros do Estado recetor.

d) «Instalações do SEAE», todos os estabelecimentos do SEAE, incluindo edifícios, escritórios, salas e outras áreas, bem como zonas em que se encontrem sistemas de comunicação e de informação (incluindo as que manuseiam ICUE), em que o SEAE realize atividades permanentes ou temporárias.

e) «Interesses de segurança do SEAE», pessoal sob responsabilidade do SEAE, instalações, pessoas a cargo, ativos físicos, incluindo sistemas de comunicação e informação, informações e visitantes do SEAE.

f) «ICUE», quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros.

Outras definições são apresentadas nos anexos relevantes e no Apêndice A.

Artigo 3.o

Dever de diligência

1. As regras de segurança do SEAE visam cumprir o dever de diligência do SEAE.

2. O dever de diligência do SEAE inclui as diligências devidas na aplicação de todas as medidas razoáveis para implementar medidas de segurança de modo a impedir danos razoavelmente previsíveis a interesses de segurança do SEAE.

Engloba componentes de proteção e segurança, incluindo os que resultam de situações de emergência ou crises, independentemente da sua natureza.

3. Tendo em conta o dever de diligência dos Estados-Membros, das instituições ou órgãos da UE e de outras partes com o pessoal em delegações da União e/ou em instalações de delegações da União, ou tal responsabilidade a cargo do SEAE quando as delegações da União estão alojadas em instalações de outras partes supramencionadas, o SEAE deve celebrar convénios administrativos com cada uma das entidades acima que especifiquem os respetivos papéis e responsabilidades, tarefas e mecanismos de cooperação.

Artigo 4.o

Segurança física e de infraestruturas

1. O SEAE deve implementar todas as medidas de segurança física adequadas (quer sejam permanentes ou temporárias), nomeadamente disposições para o controlo do acesso, em todas as instalações do SEAE, para a proteção dos interesses de segurança do SEAE. Tais medidas devem ser tidas em conta na conceção e no planeamento de novas instalações ou antes do arrendamento de instalações existentes.

2. Em países terceiros, o SEAE deve implementar também eventuais medidas adicionais de segurança física adequadas, permanentes ou temporárias, para a proteção dos respetivos interesses de segurança.

Para isso, podem impor-se obrigações ou restrições especiais ao pessoal sob responsabilidade do SEAE e às pessoas a seu cargo, por razões de segurança, durante um período específico e em zonas específicas.

3. As medidas referidas nos n.os 1 e 2 devem ser proporcionais aos riscos avaliados.

Artigo 5.o

Proteção das informações classificadas

1. A proteção das ICUE é regida pelos requisitos previstos na presente decisão e em particular no Anexo A. Cabe ao detentor de quaisquer ICUE a responsabilidade pela sua proteção nestes termos.

2. O SEAE deve assegurar que o acesso a informações classificadas será concedido apenas a quem satisfaça as condições definidas no artigo 5.o do Anexo A.

3. As condições em que os agentes locais podem ter acesso a ICUE devem também ser definidas pela Alta Representante, em conformidade com as regras para a proteção das ICUE previstas no Anexo A da presente decisão.

4. A Direção da Segurança do SEAE gere uma base de dados com o estatuto de credenciação de segurança de todo o pessoal sob responsabilidade do SEAE e dos contratantes do SEAE.

5. Quando os Estados-Membros introduzem, nas estruturas ou redes do SEAE, informações classificadas que ostentem uma marca de classificação de segurança nacional, o SEAE deve proteger essas informações nos termos dos requisitos aplicáveis às ICUE de nível equivalente, tal como estabelecido nas regras aplicáveis no Anexo A da presente decisão.

6. As zonas no SEAE onde são armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, ou com classificação de nível equivalente, são consideradas zonas de segurança em conformidade com as regras estabelecidas no anexo A da presente decisão e devem ser aprovadas pela autoridade de segurança do SEAE.

7. Os procedimentos para executar responsabilidades de Alto Representante no quadro de acordos ou nos convénios administrativos para o intercâmbio de ICUE com Estados terceiros ou organizações internacionais são descritos nos anexos A e A VI da presente decisão.

Artigo 6.o

Incidentes e emergências de segurança

1. A fim de assegurar uma resposta pronta e eficaz a incidentes de segurança, o SEAE deve definir um processo para comunicar tais incidentes e emergências, que deve estar operacional vinte e quatro horas por dia, sete dias por semana e abranger todos os tipos de incidentes de segurança ou ameaças aos interesses de segurança do SEAE (por exemplo, acidentes, conflitos, atos mal-intencionados, atos criminosos, raptos e situações de tomada de reféns, emergências médicas, incidentes com sistemas de informação e comunicação, ciberataques, etc.).

2. Deverão criar-se canais de ligação de emergência entre a Sede do SEAE, as delegações da União, o Conselho, a Comissão, os Representantes Especiais da UE e os Estados-Membros, para prestar apoio na gestão de incidentes de segurança que envolvam pessoal e das respetivas consequências, incluindo planos de contingência.

3. Esta gestão de incidentes de segurança incluirá, nomeadamente:

— procedimentos para apoiar eficazmente o processo de tomada de decisões relativo a um incidente de segurança que envolva pessoal, incluindo decisões relativas à extração ou suspensão de uma missão, e

— uma política e procedimentos para recuperação de pessoal – por exemplo, no caso de desaparecimento de pessoal ou rapto e situações de reféns – tendo em conta as responsabilidades especiais dos Estados-Membros, das Instituições da UE e do SEAE nesta matéria. A necessidade de competências específicas, no âmbito da gestão de tais operações neste contexto, deve ser considerada tendo em conta os recursos que poderão ser disponibilizados pelos Estados-Membros.

4. O SEAE deve celebrar convénios administrativos adequados para comunicar incidentes de segurança nas delegações da União. Sempre que adequado, devem informar-se os Estados-Membros, a Comissão, qualquer outra autoridade relevante, bem como os Comités de Segurança relevantes.

5. Os processos de gestão de incidentes serão executados e revistos com regularidade

Artigo 7.o

Segurança dos sistemas de comunicação e informação

1. O SEAE protege as informações tratadas nos sistemas de comunicação e informação (SCI) contra as ameaças à confidencialidade, integridade, disponibilidade, autenticidade e não rejeição.

2. A autoridade de segurança do SEAE aprova regras, uma política de segurança e um programa de segurança para proteção de todos os SCI pertencentes ao SEAE ou por ele operados, tal como definido no artigo 12.o, secção I, n.o 1.

3. As regras, a política e o programa devem estar em conformidade e a respetiva implementação será realizada em colaboração próxima com os do Conselho e da Comissão e, sempre que adequado, com as políticas de segurança aplicadas pelos Estados-Membros.

4. Todos os SCI que tratem informações classificadas devem ser submetidos a um processo de acreditação. O SEAE deve aplicar um sistema de gestão da acreditação de segurança em consulta com o Secretariado-Geral do Conselho e a Comissão.

5. Quando a proteção de ICUE manuseada pelo SEAE for assegurada por produtos criptográficos, estes devem ser aprovados pela Autoridade de Aprovação Criptográfica do SEAE sob recomendação do Comité de Segurança do Conselho.

6. A autoridade de segurança do SEAE criará, na medida do necessário, as seguintes funções em matéria de garantia de informação:

a) Uma autoridade de garantia da informação;

b) Uma autoridade TEMPEST;

c) Uma autoridade de aprovação criptográfica;

d) Uma autoridade de distribuição criptográfica.

7. Para cada sistema, a autoridade de segurança do SEAE criará as seguintes funções:

a) Uma autoridade de acreditação de segurança;

b) Uma autoridade operacional de garantia da informação.

8. As regras de execução do presente artigo no que respeita à proteção das ICUE são estabelecidas nos Anexos A e A IV.

Artigo 8.o

Quebras de segurança e comprometimento de informações classificadas

1. As quebras de segurança resultam de atos ou omissões de uma pessoa que são contrários às regras de segurança estabelecidas na presente decisão e/ou às políticas de segurança ou diretrizes que estabeleçam quaisquer medidas necessárias para a sua implementação, como aprovado nos termos do artigo 20.o, n.o 1.

2. Os comprometimentos de informações classificadas resultam da divulgação integral ou parcial das mesmas a pessoas ou identidades não autorizadas.

3. Qualquer quebra ou suspeita de quebra de segurança e qualquer comprometimento ou suspeita de comprometimento de informações classificadas será imediatamente comunicado à Direção da Segurança do SEAE, que tomará as medidas adequadas, tal como definido no anexo A.

4. Quem for responsável pela quebra das regras de segurança previstas na presente decisão, ou pelo comprometimento de informações classificadas, está passível de ação disciplinar e/ou judicial, nos termos das disposições legislativas e regulamentares aplicáveis, tal como disposto no artigo 11.o, n.o 3 do Anexo A.

Artigo 9.o

Investigação de incidentes, quebras e/ou comprometimentos de segurança e medidas corretivas

1. A Direção da Segurança do SEAE, assistida por peritos dos Estados-Membros e/ou de outras instituições da UE se apropriado, e com autorização do diretor operacional sempre que necessário, deverá:

a) Realizar investigações ou verificações, consoante o caso: i) sempre que haja conhecimento ou motivos razoáveis para presumir que houve comprometimento ou perda de informação classificada relevante para o SEAE, ii) em casos concretos ou de suspeitas de quebra de segurança ou outros incidentes de segurança ou ameaças aos interesses de segurança do SEAE;

b) Implementar quaisquer medidas corretivas necessárias resultantes de investigações, sempre que adequado.

2. Os investigadores deverão ter acesso a toda a informação necessária para a realização de tais investigações e deverão receber o apoio total de todos os serviços do SEAE nesta matéria.

Os investigadores podem tomar medidas adequadas para salvaguardar o rasto de indícios de forma equivalente à gravidade da questão sob investigação.

3. Quando o acesso a informação for relativo a dados pessoais, incluindo os constantes dos sistemas de informação e comunicação, tal acesso deve estar em conformidade com o Regulamento (CE) n.o 45/2001.

4. Quando for necessário criar uma base de dados de investigação que contenha dados pessoais, a Autoridade Europeia para a Proteção de Dados (AEPD) será notificada, tal como disposto no regulamento supramencionado.

Artigo 10.o

Gestão dos riscos de segurança

1. A fim de determinar as suas necessidades em matéria de proteção e segurança, o SEAE deve desenvolver uma metodologia global de avaliação dos riscos de segurança, em cooperação estreita com a Direção da Segurança da Comissão e, se adequado, com o Gabinete de Segurança do Secretariado-Geral do Conselho.

2. Os riscos a que os interesses de segurança do SEAE estão expostos são sujeitos a um processo de gestão. Este processo terá por objetivo determinar os riscos de segurança conhecidos, definir as medidas de segurança destinadas a reduzir esses riscos para um nível aceitável e aplicar tais medidas de acordo com o conceito de defesa em profundidade. A eficácia das medidas e o nível de risco serão sujeitos a avaliação contínua.

3. Os papéis, responsabilidades e tarefas estabelecidos na presente decisão não prejudicam a responsabilidade de cada membro do pessoal sob responsabilidade do SEAE; em particular, o pessoal da UE em missão em países terceiros deve demonstrar bom senso e discernimento no que se refere à sua própria proteção e segurança e cumprir todas as regras, regulamentos, procedimentos e instruções aplicáveis em matéria de segurança.

4. O SEAE deve tomar todas as medidas razoáveis para garantir a proteção dos seus interesses de segurança e para impedir danos razoavelmente previsíveis aos mesmos.

5. As medidas de segurança no SEAE para proteção de ICUE ao longo do seu ciclo de vida devem ser proporcionais, designadamente ao seu nível de classificação de segurança, à forma e ao volume das informações ou do material, à localização e construção das instalações que albergam ICUE e à ameaça, incluindo a avaliação local da ameaça, de atos mal-intencionados e/ou atividades criminosas, nomeadamente de espionagem, sabotagem e terrorismo.

Artigo 11.o

Sensibilização e formação em matéria de segurança

1. A autoridade de segurança do SEAE deve garantir que sejam elaborados e executados programas de sensibilização e formação em matéria de segurança e que o pessoal sob responsabilidade do SEAE e, se for caso disso, as pessoas a seu cargo, beneficiem das ações de formação e sensibilização necessárias em função dos riscos inerentes ao seu local de trabalho ou residência.

2. Antes de lhes ser facultado acesso às ICUE e, posteriormente, a intervalos regulares, o pessoal deve ser informado e reconhecer as suas responsabilidades na proteção das ICUE de acordo com as regras adotadas nos termos do artigo 5.o.

Artigo 12.o

Organização da segurança no SEAE

1. O diretor operacional é a autoridade de segurança do SEAE. Nessa qualidade, o diretor operacional garante que:

a) As medidas de segurança sejam coordenadas, conforme necessário, com as autoridades competentes dos Estados-Membros, do Secretariado-Geral do Conselho e da Comissão e, se for caso disso, de países terceiros ou de organizações internacionais, em todas as questões de segurança pertinentes para as atividades do SEAE, nomeadamente no que se refere à natureza das ameaças à segurança dos interesses de segurança do SEAE, bem como os meios de proteção contra essas ameaças;

b) Os aspetos de segurança sejam plenamente tidos em conta desde o início de todas as atividades do SEAE;

c) O acesso a informações classificadas seja concedido apenas a quem satisfaça as condições definidas no artigo 5.o do Anexo A.

d) Seja criado um sistema de registo que garanta que informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior sejam manuseadas nos termos da presente decisão no SEAE e quando comunicadas a Estados-Membros da UE, Instituições, órgãos ou agências da UE ou outros destinatários. Manter-se-á um registo separado de todas as ICUE comunicadas pelo SEAE a Estados terceiros e organizações internacionais, bem como de todas as informações classificadas recebidas de Estados terceiros e organizações internacionais;

e) Sejam realizadas as inspeções de segurança referidas no artigo 15.o;

f) Sejam realizadas investigações sobre qualquer quebra de segurança real ou suspeita, assim como sobre qualquer comprometimento real ou suspeito ou perda de informações classificadas detidas ou emanadas do SEAE, e seja solicitado às autoridades de segurança competentes que prestem assistência nessas investigações;

g) Sejam estabelecidos mecanismos e planos de gestão adequados dos incidentes e consequências, a fim de dar uma resposta pronta e eficaz a incidentes de segurança;

h) Sejam tomadas medidas adequadas caso algum indivíduo não cumpra a presente decisão;

i) Sejam instauradas medidas físicas e organizativas adequadas para a proteção dos interesses de segurança do SEAE. Neste contexto, em consulta com o secretário-geral executivo, o diretor operacional: — define a categoria de segurança das delegações, em consulta com a Comissão, — decide, após consulta à AR, quando evacuar pessoal das delegações se a situação de segurança assim o exigir, — decide que medidas aplicar para a proteção de pessoas a cargo, se for caso disso, tendo em conta convénios com instituições da UE, tal como referido no artigo 3.o, n.o 3, — aprova a política de comunicação criptográfica, nomeadamente o programa de instalação de produtos e mecanismos criptográficos.

2. O diretor operacional é assistido nesta tarefa pelo Diretor Executivo dos Serviços de Administração e Finanças, pelo Chefe da Direção da Segurança do SEAE e, quando adequado, pelo Diretor Executivo de Resposta a Crises e Coordenador Operacional.

3. Como autoridade de segurança do SEAE, o diretor operacional pode delegar tarefas neste âmbito, quando for caso disso.

4. Cada Chefe de departamento/divisão é responsável pela implementação de regras para proteção de ICUE no/a respetivo/a departamento/divisão.

Mantendo-se responsável tal como supramencionado, cada Chefe de departamento/divisão designa pessoal para uma função de Coordenador de Segurança Departamental, com recursos adequados à quantidade de ICUE manuseadas por cada departamento/divisão.

Os Coordenadores de Segurança Departamental assistem e apoiam o Chefe de departamento/divisão, sempre que adequado, na execução de tarefas relacionadas com segurança, tais como:

a) Desenvolver requisitos de segurança adicionais adequados às necessidades específicas do/a departamento/divisão;

b) Comunicar informações de segurança periódicas aos membros do/a departamento/divisão;

c) Garantir que o princípio da necessidade de tomar conhecimento é respeitado pelo/a departamento/divisão;

d) Manter uma lista atualizada de códigos e chaves de segurança;

e) Manter procedimentos e medidas de segurança;

f) Comunicar quaisquer quebras e/ou comprometimento de segurança de ICUE ao diretor e à Direção da Segurança;

g) Realizar reuniões de balanço com os membros do pessoal que deixem de exercer funções no SEAE;

h) Apresentar relatórios com regularidade a toda a hierarquia sobre as matérias de segurança do/a departamento/divisão;

i) Colaborar com a Direção da Segurança do SEAE em questões de segurança.

Qualquer atividade ou questão que possa afetar a segurança deve ser atempadamente notificada à Direção da Segurança do SEAE.

5. Cada Chefe de delegação da União é responsável pela aplicação de todas as medidas relativas à segurança da delegação da União.

1. O SEAE tem uma Direção da Segurança. A Direção deverá:

a) Gerir, coordenar, supervisionar e/ou executar todas as medidas de segurança em todas as instalações sob responsabilidade do SEAE, na Sede, na UE e em Estados terceiros;

b) Assegurar coerência e consistência com a presente decisão e com as disposições de execução de qualquer atividade que possa afetar a proteção dos interesses de segurança do SEAE;

c) Ser a principal conselheira da AR, do secretário-geral executivo e do diretor operacional em todas as questões de segurança;

d) Ser assistida pelos serviços competentes dos Estados-Membros, em conformidade com o disposto no artigo 10.o, n.o 3, da Decisão 2010/427/UE do Conselho, que estabelece a organização e o funcionamento do SEAE, a Direção da Segurança;

e) Apoiar as atividades da Autoridade de Acreditação de Segurança do SEAE através da realização de avaliações da segurança física das Condições Gerais de Segurança (CGS)/Condições Locais de Segurança (CLS) dos sistemas de comunicação e informação que manuseiam ICUE e das instalações a ser autorizadas para manuseamento e armazenamento de ICUE.

2. O Chefe da Direção da Segurança do SEAE é responsável por:

a) Assegurar a proteção geral dos interesses de segurança do SEAE;

b) Elaborar, rever e atualizar as regras de segurança, bem como coordenar medidas de segurança com as autoridades competentes dos Estados-Membros e, se for caso disso, com as autoridades competentes de Estados terceiros e organizações internacionais ligadas à UE através de acordos e/ou convénios de segurança;

c) Apoiar os procedimentos do Comité de Segurança do SEAE, tal como definido no artigo 14.o, n.o 1, da presente decisão;

d) Colaborar com quaisquer parceiros ou autoridades para além dos referidos na alínea b) em questões de segurança, se for caso disso;

e) Ordenar em termos de prioridade e apresentar propostas para a gestão do orçamento para a segurança na Sede e nas delegações da União.

3. O Chefe da Direção da Segurança do SEAE deverá:

a) Assegurar que as quebras e os comprometimentos de segurança são registados e que se iniciam e realizam investigações quando necessário;

b) Reunir-se regularmente, e sempre que necessário, para debater domínios de interesse comum com o Diretor da Segurança do Secretariado-Geral do Conselho e o Diretor da Segurança da Comissão.

4. A Direção da Segurança do SEAE deve estabelecer contacto e manter uma colaboração estreita com:

— os departamentos responsáveis pela segurança nos Ministérios de Negócios Estrangeiros dos Estados-Membros,

— as Autoridades Nacionais de Segurança (ANS) e/ou as outras autoridades de segurança competentes dos Estados-Membros, para permitir a assistência das mesmas no que compete à informação necessária para avaliar os perigos e ameaças que o SEAE, o pessoal, as atividades, os ativos e recursos e as informações classificadas do SEAE podem enfrentar no seu local de atividade habitual,

— as autoridades de segurança competentes dos Estados-Membros ou Estados de acolhimento no território em que o SEAE possa exercer atividades, no que compete a qualquer questão relacionada com a proteção do pessoal, da atividade, dos ativos e recursos e das informações classificadas enquanto se encontram no seu território,

— o Gabinete de Segurança do Secretariado-Geral do Conselho e a Direção da Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão e, quando oportuno, com os departamentos de segurança de outras instituições, órgãos e agências da UE,

— os departamentos de segurança de Estados terceiros ou organizações internacionais com vista a uma eventual coordenação útil, e

— as ANS dos Estados-Membros, no que compete a qualquer questão relativa à proteção de ICUE.

1. Cada Chefe de delegação da União é responsável pela implementação e gestão local de todas as medidas relativas à proteção dos interesses de segurança do SEAE nas instalações e competências da delegação da União.

Aplicará, em consulta com as autoridades competentes do Estado de acolhimento sempre que necessário, todas as medidas razoavelmente aplicáveis para assegurar que as medidas físicas e organizacionais adequadas estão em vigor para atingir este objetivo.

O Chefe de delegação definirá procedimentos de segurança para a proteção das pessoas a cargo, tal como definido no artigo 2.o, alínea c), quando adequado, tendo em conta qualquer convénio administrativo, tal como referido no artigo 3.o, n.o 3. O Chefe de delegação apresentará um relatório anual sobre todas as questões de segurança na sua esfera de responsabilidade ao Chefe da Direção da Segurança do SEAE.

Será assistido nessas funções pela Direção da Segurança do SEAE, pelo pessoal do SEAE na delegação que exerce tarefas e funções inerentes à segurança e por pessoal de segurança destacado caso necessário.

2. Além disso, o Chefe de delegação irá:

— criar planos de segurança e contingência detalhados para a delegação, com base em procedimentos operacionais normalizados genéricos,

— estabelecer um sistema 24/7 eficaz para gerir incidentes e emergências de segurança no âmbito da operação da delegação,

— assegurar que todo o pessoal destacado na delegação está coberto por seguro consoante as condições na área,

— assegurar que a segurança faz parte da formação inicial da delegação da União administrada a todo o pessoal destacado na delegação previamente ou na chegada à delegação, e

— assegurar que quaisquer recomendações feitas após avaliações da segurança são implementadas e apresentar relatórios escritos em intervalos regulares sobre a sua implementação e sobre outras questões de segurança à Autoridade de Segurança do SEAE.

3. Sendo responsável e responsabilizável por salvaguardar a gestão da segurança, bem como por assegurar resiliência coletiva, o Chefe de delegação pode delegar a execução das suas tarefas de segurança ao Coordenador de Segurança da Delegação («CSD»), sendo o Chefe de Delegação Adjunto ou, quando ninguém for nomeado, uma alternativa adequada.

Nomeadamente, podem atribuir-se as seguintes responsabilidades ao CSD:

— concertar-se com as autoridades competentes da nação de acolhimento e os equivalentes adequados nas embaixadas e missões diplomáticas dos Estados-Membros em questões de segurança,

— aplicar procedimentos de gestão de segurança adequados relativos aos interesses de segurança do SEAE, incluindo a proteção de ICUE,

— informar o pessoal sobre as regras de segurança que lhes são aplicáveis e sobre os riscos específicos no país de acolhimento,

— apresentar pedidos à Direção da Segurança do SEAE no que compete às posições que exigem uma Certificação de Segurança do Pessoal (CSP), e

— manter o Chefe de delegação, o Oficial de Segurança Regional (OSR) e a Direção da Segurança do SEAE permanentemente informados no que se refere a incidentes ou desenvolvimentos na zona que afetem a proteção dos interesses de segurança do SEAE.

4. O Chefe da delegação pode delegar tarefas de segurança de cariz administrativo ou técnico ao Chefe de Administração e a outros membros do pessoal da delegação.

5. A Delegação da União é assistida por um Oficial de Segurança Regional (OSR). Os OSR desempenham os papéis definidos abaixo nas delegações em cada uma das respetivas zonas geográficas de responsabilidade.

Sob certas circunstâncias, quando a situação de segurança assim o exige, um OSR pode ser destacado para uma delegação específica como residente a tempo inteiro.

Pode ser necessário que um OSR seja destacado para uma área exterior à sua zona de responsabilidade atual, incluindo a Sede em Bruxelas ou até assumir um posto residencial de acordo com a situação de segurança relevante em qualquer país e conforme exigido pela Direção da Segurança do SEAE.

6. Os OSR estão sob o controlo hierárquico imediato da Direção da Segurança do SEAE, mas sob o controlo funcional e administrativo direto do Chefe de delegação pertinente. Deverão assistir o Chefe de delegação e o pessoal da delegação na organização e implementação de todas as medidas físicas, organizacionais e processuais relativas à segurança de todo o pessoal da delegação independentemente da sua origem administrativa

7. Os OSR aconselham e apoiam o Chefe de delegação e o pessoal da delegação. Caso seja adequado, nomeadamente se um OSR for residente a tempo inteiro, pode assistir uma delegação da União na gestão e implementação da segurança, incluindo na preparação de contratos de segurança, na gestão de acreditações e nas credenciações.

Artigo 13.o

Operações PCSD e Representantes Especiais da UE

A Direção da Segurança do SEAE assiste e aconselha o Diretor da Direção-Geral de Gestão de Crises e Planeamento (DGCP), o Diretor-Geral do Estado-Maior da União Europeia (EMUE), o Comandante de Operações Civis a cargo da Capacidade Civil de Planeamento e Condução (CPCC) e os Comandantes das Operações Militares da UE no que respeita a aspetos de segurança de operações PCSD, bem como os Representantes Especiais da UE sobre aspetos de segurança do seu mandato, complementares às disposições específicas que existem neste âmbito sobre as políticas relevantes adotadas pelo Conselho.

Artigo 14.o

O Comité de Segurança do SEAE

1. É criado um Comité de Segurança do SEAE.

O Comité será presidido pelo diretor operacional, ou por um seu delegado, e reúne-se segundo as instruções do Presidente ou a pedido de qualquer dos seus membros. A Direção da Segurança do SEAE apoia o Presidente na sua função e presta assistência administrativa, quando necessário, aos procedimentos do Comité.

2. O Comité de Segurança do SEAE será composto por representantes de:

— todos os Estados-Membros,

— o Gabinete de Segurança do Secretariado-Geral do Conselho,

— a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão.

Uma delegação de um Estado-Membro para o Comité de Segurança do SEAE pode consistir em membros de:

— a Autoridade Nacional de Segurança e/ou a Autoridade de Segurança Designada,

— os departamentos responsáveis pela segurança nos Ministérios de Negócios Estrangeiros.

3. Os representantes do Comité podem ser acompanhados e aconselhados por peritos se considerarem necessário. Os representantes de outras instituições, agências ou órgãos da UE podem ser convidados a participar em debates sobre questões relevantes para a sua segurança.

4. Sem prejuízo do disposto no n.o 5, o Comité de Segurança do SEAE deverá assistir o SEAE, através de consultas, em todas as questões de segurança relevantes para as atividades do SEAE, para a Sede e as delegações da União.

Em particular, sem prejuízo do disposto no n.o 5, o Comité de Segurança do SEAE:

a) Deve ser consultado em questões de: — políticas de segurança, diretrizes, conceitos ou outros documentos metodológicos relativos à segurança, nomeadamente no que respeita à proteção de informações classificadas e às medidas a tomar em caso de incumprimento das regras de segurança por parte do pessoal do SEAE, — aspetos de segurança técnica que possam influenciar a decisão da AR de apresentar uma recomendação ao Conselho para a abertura de negociações para acordos de segurança das informações a que se refere o artigo 10.o, n.o 1, alínea a) do Anexo A, — quaisquer alterações à presente decisão.

b) Pode ser consultado ou informado, sempre que adequado, acerca de assuntos relacionados com a segurança do pessoal e dos ativos na Sede do SEAE e nas delegações da União, sem prejuízo do disposto no Artigo 3.o, n.o 3;

c) Deve ser informado de quaisquer comprometimentos ou perdas de ICUE ocorridas no SEAE.

5. Qualquer alteração às regras relacionadas com a proteção das ICUE constantes da presente decisão e do respetivo Anexo A necessitam de um parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE. Tal parecer favorável por unanimidade é também necessário previamente a:

— iniciar negociações de convénios administrativos a que se refere o artigo 10.o, n.o 1, alínea b) do Anexo A,

— divulgar informações classificadas nas circunstâncias excecionais referidas no n.o 9, n.o 11 e n.o 12 do Anexo A VI,

— assumir a responsabilidade como entidade de origem das informações nas circunstâncias referidas no artigo 10.o, n.o 4, última frase do Anexo A.

Quando for necessário um parecer favorável unânime, tal será conseguido quando não forem formuladas objeções pelas delegações dos Estados-Membros durante os procedimentos do Comité.

6. O Comité de Segurança do SEAE terá plenamente em conta as políticas e orientações em matéria de segurança em vigor no Conselho e na Comissão.

7. O Comité de Segurança do SEAE recebe a lista das inspeções anuais do SEAE e, quando finalizados, os relatórios das inspeções.

8. Organização das reuniões:

— O Comité de Segurança do SEAE reúne-se pelo menos duas vezes por ano. As reuniões adicionais, na sua configuração de pleno direito ou em ANS/ASD ou em formato de segurança do MNE, podem ser organizadas pelo Presidente ou solicitadas pelos membros do Comité.

— O Comité de Segurança do SEAE organiza as suas atividades de forma a poder formular recomendações sobre domínios de segurança específicos. Pode estabelecer outras subformações especializadas, consoante as necessidades. O Comité define os mandatos dessas subformações especializadas, as quais lhe apresentam relatórios das suas atividades.

— A Direção da Segurança do SEAE é responsável pela preparação de tópicos para debate. O presidente fixa a ordem de trabalhos provisória de cada reunião. Os membros do Comité podem propor tópicos adicionais para discussão.

Artigo 15.o

Inspeções de segurança

1. A autoridade de segurança do SEAE assegura a realização de inspeções de segurança, com regularidade, na Sede do SEAE e nas delegações da União a fim de avaliar a adequação das medidas de segurança e de verificar a sua conformidade com a presente decisão. A Direção de Segurança do SEAE pode, se adequado, destacar peritos contribuintes para participar nas inspeções de segurança às agências e aos órgãos da UE ao abrigo do Capítulo 2 do Título V do TUE.

2. As Inspeções de Segurança do SEAE são realizadas sob a autoridade da Direção da Segurança do SEAE e, se adequado, com o apoio de peritos em segurança em representação de outras instituições ou Estados-Membros da UE, nomeadamente no contexto dos convénios referidos no artigo 3.o, n.o 3.

3. O SEAE pode recorrer, conforme necessário, aos conhecimentos especializados dos Estados-Membros, do Secretariado-Geral do Conselho e da Comissão.

Quando necessário, podem convidar-se peritos em segurança competentes sediados em Missões de Estados-Membros em Estados terceiros e/ou representantes dos departamentos de segurança diplomática dos Estados-Membros a participar na inspeção de segurança da delegação da União.

4. As regras de execução deste artigo no que respeita à proteção de ICUE são estabelecidas no Anexo A III.

Artigo 16.o

Visitas de Avaliação

São organizadas visitas de avaliação para avaliar a eficácia das medidas de segurança aplicadas num Estado terceiro ou organização internacional para proteção das ICUE trocadas sob um convénio administrativo a que se refere o artigo 10.o, n.o 1, alínea b) do Anexo A.

A Direção da Segurança do SEAE pode, se adequado, destacar peritos contribuintes para participar nas visitas a Estados terceiros ou organizações internacionais com as quais a UE tenha concluído um Acordo de segurança das informações a que se refere o artigo 10.o, n.o 1, alínea a) do Anexo A.

Artigo 17.o

Planeamento da continuidade das atividades

A Direção da Segurança do SEAE apoiará o diretor operacional na gestão dos aspetos ligados à segurança dos processos de continuidade das atividades do SEAE como parte integrante do planeamento global da continuidade das atividades do SEAE.

Artigo 18.o

Conselhos de viagem para missões no exterior da UE

A Direção da Segurança do SEAE assegura a disponibilidade de conselhos de viagem no que respeita a missões do pessoal sob responsabilidade do SEAE no exterior da UE, apoiando-se nos recursos de todos os serviços competentes do SEAE, nomeadamente o Gabinete de Crise, o INTCEN, os departamentos geográficos e as delegações da União.

A Direção da Segurança do SEAE presta, sob pedido e apoiando-se nos recursos supramencionados, aconselhamento de viagem específico no que respeita a missões do pessoal sob responsabilidade do SEAE em Estados terceiros que apresentem alto risco ou um nível de risco mais elevado.

Artigo 19.o

Saúde e segurança

As regras de segurança do SEAE complementam as regras do SEAE para a proteção da saúde e segurança, tal como aprovado pela Alta Representante.

Artigo 20.o

Aplicação e revisão

1. A autoridade de segurança do SEAE aprova, após consulta com o Comité de Segurança do SEAE se adequado, políticas ou diretrizes de segurança que estabeleçam quaisquer medidas necessárias para a implementação destas regras no SEAE e cria a capacidade adequada para abranger todos os aspetos da segurança, em cooperação estreita com as autoridades de segurança competentes dos Estados-Membros e com o apoio dos serviços relevantes das Instituições da UE.

2. Em conformidade com o disposto no do artigo 4.o, n.o 5 da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa, pode recorrer-se, se necessário, a disposições transitórias através de acordos a nível dos serviços com os serviços competentes do Secretariado-Geral do Conselho e da Comissão.

3. A AR garante a coerência global na aplicação da presente decisão e reaprecia regularmente as presentes regras de segurança.

4. As regras de segurança do SEAE serão implementadas em cooperação estreita com as autoridades de segurança competentes dos Estados-Membros, com o Gabinete de Segurança do Secretariado-Geral do Conselho e com a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão

5. O SEAE assegura que todos os aspetos do processo de segurança são considerados no sistema de resposta à crise do SEAE.

6. O diretor operacional, enquanto Autoridade de Segurança, e o chefe da Direção da Segurança do SEAE asseguram a implementação da presente decisão.

Artigo 21.o

Substituição de decisões anteriores

1. A presente decisão revoga e substitui a Decisão da Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança, de 15 de junho de 2011, relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa (3).

2. A presente decisão revoga e substitui a Decisão da Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança, de 23 de fevereiro de 2011, relativa à Designação e às tarefas da Autoridade de Segurança Destacada do Serviço Europeu para a Ação Externa.

Artigo 22.o

Disposições finais

A presente decisão entra em vigor na data da sua assinatura.

Será publicada no Jornal Oficial da União Europeia.

As autoridades competentes no SEAE informam devida e prontamente todo o pessoal abrangido pela presente decisão e respetivos anexos, acerca do conteúdo, entrada em vigor e quaisquer alterações subsequentes. Feito em Bruxelas, em 19 de abril de 2013. A Alta Representante C. ASHTON

(1) JO L 201 de 3.8.2010, p. 30.

(2) JO C 304 de 15.10.2011, p. 5.

(3) JO C 304 de 15.10.2011, p. 5.

ANEXO A PRINCÍPIOS E NORMAS PARA A PROTEÇÃO DE ICUE Artigo 1.o Objeto, âmbito de aplicação e definições 1. O presente anexo define os princípios básicos e as normas mínimas de segurança aplicáveis à proteção das ICUE. 2. Estes princípios básicos e normas mínimas são aplicáveis ao SEAE e ao pessoal sob responsabilidade do SEAE, tal como referido e definido respetivamente nos artigos 1.o e 2.o da presente decisão. Artigo 2.o Definição de ICUE, classificações e marcas de segurança 1. Entende-se por «informações classificadas da UE» (ICUE) quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros. 2. As ICUE serão classificadas num dos seguintes níveis: a) TRÈS SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excecionalmente grave os interesses essenciais da União Europeia ou de um ou mais Estados-Membros. b) SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou mais Estados-Membros. c) CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou mais Estados-Membros. d) RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros. 3. As ICUE ostentam uma marca de classificação de segurança nos termos do disposto no n.o 2. Podem ostentar marcas adicionais que designem o domínio de atividade a que se referem, identifiquem a entidade de origem, limitem a distribuição, restrinjam a utilização ou indiquem a comunicabilidade. Artigo 3.o Gestão das classificações 1. O SEAE garante que as ICUE sejam devidamente classificadas e claramente identificadas como informações classificadas, e mantenham o seu nível de classificação durante o tempo necessário. 2. As ICUE não podem ser desgraduadas nem desclassificadas e nenhuma das marcas a que se refere o artigo 2.o, n.o 3, pode ser alterada ou suprimida sem o consentimento prévio, por escrito, da entidade de origem. 3. A autoridade de segurança do SEAE aprova, após consulta do Comité de Segurança do SEAE em conformidade com o artigo 14.o, n.o 5, da presente decisão, uma política de segurança para a produção de ICUE, que compreende um guia prático de classificação. Artigo 4.o Proteção das informações classificadas 1. As ICUE são protegidas nos termos da presente decisão. 2. Cabe ao detentor de quaisquer ICUE a responsabilidade pela sua proteção nos termos da presente decisão. 3. Quando os Estados-Membros introduzirem nas estruturas ou redes do SEAE informações classificadas que ostentem uma marca de classificação de segurança nacional, o SEAE protege essas informações nos termos dos requisitos aplicáveis às ICUE de nível equivalente, de acordo com a tabela de equivalências das classificações de segurança constante do Apêndice B da Decisão 2011/292/UE do Conselho, de 31 de março de 2011, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE. O SEAE estabelece procedimentos adequados para manter registos rigorosos relativos à entidade de origem de — informações classificadas recebidas pelo SEAE; e — material de referência incluído em informações classificadas emanadas do SEAE. O Comité de Segurança do SEAE será informado acerca destes procedimentos. 4. As grandes quantidades ou o acervo de ICUE podem justificar um nível de proteção correspondente a uma classificação mais elevada do que a dos seus componentes. Artigo 5.o Segurança do pessoal para manuseamento de informações classificadas da UE 1. A segurança do pessoal consiste na aplicação de medidas que se destinam a garantir que o acesso às ICUE só seja concedido a quem: — tenha necessidade de tomar conhecimento das informações; — para efeitos de acesso a informação com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, possua a credenciação de segurança para o nível adequado ou outra autorização devidamente emitida, em virtude das funções que exerce, nos termos das disposições legislativas e regulamentares nacionais; e — tenha sido informado das responsabilidades que lhe cabem. 2. Os procedimentos de certificação de segurança do pessoal (CSP) permitem verificar se determinada pessoa pode ter acesso a ICUE, tendo em conta a sua lealdade, idoneidade e fiabilidade. 3. Todas as pessoas são informadas das suas responsabilidades no que respeita à proteção das ICUE nos termos da presente decisão e reconhecem essas mesmas responsabilidades, por escrito, antes de lhes ser facultado o acesso a ICUE e, posteriormente, a intervalos regulares. 4. As regras de execução do presente artigo são estabelecidas no Anexo A I. Artigo 6.o Segurança física das informações classificadas da UE 1. A segurança física consiste na aplicação de medidas físicas e técnicas de proteção destinadas a dissuadir o acesso não autorizado a ICUE. 2. São concebidas medidas de segurança física que permitam impedir a entrada sub-reptícia ou forçada de intrusos, dissuadir, impedir e detetar ações não autorizadas e permitir uma diferenciação do pessoal no que se refere ao acesso a ICUE, segundo o princípio da necessidade de tomar conhecimento de tais informações. Essas medidas são determinadas com base num processo de gestão de risco. 3. São aplicadas medidas de segurança física em todas as instalações, edifícios, gabinetes, salas e outras zonas onde sejam manuseadas ou armazenadas ICUE, nomeadamente zonas em que se encontrem sistemas de comunicação e de informação, tal como definidos no artigo 8.o, n.o 2. 4. As zonas onde sejam armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são instituídas como zonas de segurança, nos termos do Anexo A II, e aprovadas pela autoridade de segurança do SEAE. 5. Só são utilizados equipamentos ou dispositivos aprovados para proteger as ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. 6. As regras de execução do presente artigo são estabelecidas no Anexo A II. Artigo 7.o Gestão das informações classificadas 1. A gestão das informações classificadas consiste na aplicação de medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam complementar as medidas previstas nos artigos 5.o, 6.o e 8.o e contribuir, deste modo, para dissuadir e detetar a perda ou o comprometimento deliberados ou acidentais de informações e para recuperar essas informações em caso de perda ou comprometimento. Estas medidas dizem respeito, nomeadamente, à produção, registo, cópia, tradução, transporte, manuseamento, armazenamento e destruição de ICUE. 2. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são registadas, para fins de segurança, antes da distribuição e no momento da receção. Para o efeito, as autoridades competentes do SEAE criam um sistema de registo. As informações com classificação TRÈS SECRET UE/EU TOP SECRET são inscritas em registos próprios. 3. Os serviços e instalações onde se proceda ao manuseamento ou armazenamento de ICUE são periodicamente inspecionados pela autoridade de segurança do SEAE. 4. As ICUE devem ser transmitidas entre diferentes serviços e instalações fora do perímetro das zonas fisicamente protegidas de acordo com as regras a seguir enunciadas: a) As ICUE são, regra geral, transmitidas por meios eletrónicos protegidos por produtos criptográficos aprovados nos termos do artigo 7.o n.o 5, da presente decisão e de acordo com Procedimentos Operacionais de Segurança (POS) claramente definidos; b) Se não se utilizarem os meios referidos na alínea a), as ICUE são transportadas: i) em suporte eletrónico (chaves USB, CD, discos rígidos) protegido por produtos criptográficos aprovados nos termos do artigo 7.o, n.o 5, da presente decisão, ou ii) em todos os demais casos, nas condições estipuladas pela autoridade de segurança do SEAE, de acordo com as medidas de proteção pertinentes estabelecidas na Secção V do Anexo A III. 5. As regras de execução do presente artigo são estabelecidas no Anexo A III. Artigo 8.o Proteção das ICUE manuseadas nos sistemas de comunicação e informação 1. A garantia da informação (GI) no domínio dos sistemas de comunicação e informação consiste na confiança em que esses sistemas protegem as informações neles manuseadas e funcionam como for necessário, quando for necessário, sob o controlo de utilizadores legítimos. Uma GI eficaz deve assegurar níveis adequados de confidencialidade, integridade, disponibilidade, não rejeição e autenticidade. A GI baseia-se num processo de gestão de risco. 2. Um sistema de comunicação e informação (SCI) consiste num sistema que permita o manuseamento automatizado de informações. Um sistema de comunicação e informação compreende todos os ativos necessários ao seu funcionamento, designadamente infraestrutura, organização, pessoal e recursos em matéria de informação. O presente anexo é aplicável a qualquer SCI do SEAE em que sejam manuseadas ICUE. 3. As ICUE devem ser manuseadas pelos SCI de acordo com o conceito de GI. 4. Todos os SCI que tratem ICUE devem ser submetidos a um processo de acreditação. A acreditação visa obter a garantia de que foram tomadas todas as medidas de segurança adequadas e de que foi alcançado um nível suficiente de proteção das ICUE e do próprio SCI, nos termos da presente decisão. A declaração de acreditação determina o nível máximo de classificação das informações que podem ser manuseadas pelo SCI e os termos e condições correspondentes. 5. Os SCI em que sejam manuseadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são protegidos de forma a impedir o comprometimento das informações devido a emanações eletromagnéticas não intencionais («medidas de segurança TEMPEST»). 6. Quando a proteção de ICUE for assegurada por produtos criptográficos, estes são aprovados em conformidade com o artigo 7.o, n.o 5, da presente decisão. 7. Durante a transmissão de ICUE por via eletrónica, são utilizados produtos criptográficos aprovados. Não obstante este requisito, podem ser aplicados procedimentos específicos, em circunstâncias de emergência ou configurações técnicas específicas, nos termos do Anexo A IV. 8. Em conformidade com o artigo 7.o, n.o 6, da presente decisão, as seguintes funções em matéria de GI serão criadas na medida do necessário: a) Uma Autoridade de GI (AGI); b) Uma Autoridade TEMPEST (AT); c) Uma Autoridade de Aprovação Criptográfica (AAC); d) Uma Autoridade de Distribuição Criptográfica (ADC). 9. Ao abrigo do artigo 7.o, n.o 7 da presente decisão, será criado, para cada sistema: a) Uma Autoridade de Acreditação de Segurança (AAS); b) Uma Autoridade Operacional de GI. 10. As regras de execução do presente artigo são estabelecidas no Anexo A IV. Artigo 9.o Segurança industrial 1. Entende-se por «segurança industrial» a aplicação de medidas destinadas a garantir a proteção das ICUE pelos contratantes ou subcontratantes no âmbito das negociações pré-contratuais e durante a vigência dos contratos classificados. Estes contratos não devem, regra geral, envolver o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET. 2. O SEAE pode confiar tarefas que envolvam ou impliquem o acesso a ICUE ou o seu manuseamento ou armazenamento a entidades industriais ou outras registadas num Estado-Membro ou num Estado terceiro que tenha celebrado um acordo de segurança das informações ou um convénio administrativo a que se refere o artigo 10.o, n.o 1 do Anexo A. 3. Ao adjudicar contratos classificados a entidades industriais ou outras, o SEAE, na qualidade de entidade adjudicante, garante o cumprimento das normas mínimas de segurança industrial estabelecidas na presente decisão, às quais o contrato fará referência. Assegura o cumprimento de tais normas mínimas através das ANS/ASD relevantes. 4. Os contratantes ou subcontratantes registados num determinado Estado-Membro que participem na execução de contratos ou subcontratos que exijam o manuseamento e armazenamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dentro das suas próprias instalações, seja na execução do contrato, seja na fase pré-contratual, deverão possuir uma Credenciação de Segurança da Empresa (CSE) para o nível de classificação adequado, concedida pela ANS, ASD ou por qualquer outra autoridade de segurança competente do respetivo Estado-Membro. 5. O pessoal do contratante ou subcontratante que tenha de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET para a execução de contratos classificados deve possuir uma CSP, emitida pela respetiva Autoridade Nacional de Segurança (ANS), Autoridade de Segurança Designada (ASD) ou por qualquer outra autoridade de segurança competente nos termos das disposições legislativas e regulamentares nacionais e das normas mínimas estabelecidas no Anexo A I. 6. As regras de execução do presente artigo são estabelecidas no Anexo A V. Artigo 10.o Intercâmbio de informações classificadas com Estados terceiros e organizações internacionais 1. O SEAE só pode trocar ICUE com um Estado terceiro ou uma organização internacional se: a) Estiver em vigor um acordo de segurança das informações entre a UE e um Estado terceiro ou organização internacional, celebrado nos termos do artigo 37.o do TUE e do artigo 218.o do TFUE; ou b) Estiver em vigor um convénio administrativo entre a AR e as autoridades de segurança competentes do respetivo Estado terceiro ou organização internacional, para o intercâmbio de informações com classificação, em príncipio, não superior a RESTREINT UE/EU RESTRICTED, celebrado em conformidade com o procedimento definido no artigo 14.o, n.o 5 da presente decisão; ou c) For aplicável um acordo-quadro de participação ou um acordo de participação ad hoc entre a UE e o respetivo Estado terceiro no contexto de uma operação PCSD de gestão de crises, celebrado nos termos do artigo 37.o do TUE e do artigo 218.o do TFUE, e as condições definidas nesse instrumento forem cumpridas. As exceções à regra geral supramencionada são estabelecidas na Secção V do Anexo A VI. 2. Os convénios administrativos a que se refere o n.o 1, alínea b), contêm disposições destinadas a assegurar que, ao receberem ICUE, os Estados terceiros e as organizações internacionais concedam a essas informações uma proteção que seja adequada ao respetivo nível de classificação e obedeça a normas mínimas não menos rigorosas do que as estabelecidas na presente decisão. O intercâmbio de informações com base em acordos a que se refere o n.o 1, alínea c) deve ser limitado a informações respeitantes a operações PCSD em que o Estado terceiro em questão participa com base neste acordos e em conformidade com respetivas disposições. 3. As visitas a Estados terceiros ou organizações internacionais, a que se refere o artigo 16.o da presente decisão, são organizadas a fim de avaliar a eficácia das medidas de segurança aplicadas para proteção das ICUE trocadas. 4. A decisão de comunicar ICUE detidas pelo SEAE a um Estado terceiro ou organização internacional é tomada caso a caso, em função da natureza e do teor dessas informações, da necessidade que o destinatário tenha de tomar conhecimento das mesmas, e das vantagens que daí advenham para a UE. O SEAE deve solicitar o consentimento, por escrito, de qualquer entidade que tenha fornecido informações classificadas como material de referência para ICUE de que a SEAE seja a entidade de origem, a fim de estabelecer que não existem objeções à comunicação das mesmas. Se as informações classificadas cuja comunicação se pretende não emanarem do SEAE, o SEAE solicita à entidade de origem que dê, por escrito, o consentimento prévio para a sua comunicação. Todavia, se o SEAE não conseguir identificar a entidade de origem, a autoridade de segurança do SEAE assume a responsabilidade em seu lugar, após obtenção do parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE. 5. As regras de execução do presente artigo são estabelecidas no Anexo A VI. Artigo 11.o Quebras de segurança e comprometimento de informações classificadas 1. Qualquer quebra ou suspeita de quebra de segurança e qualquer comprometimento ou suspeita de comprometimento de informações classificadas será imediatamente comunicado à Direção da Segurança do SEAE, que informará, sempre que adequado, a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão, bem como o Gabinete de Segurança do Secretariado-Geral do Conselho, o(s) Estado(s)-Membro(s) em questão ou outra entidade relevante. 2. Sempre que haja conhecimento ou motivos razoáveis para presumir que houve comprometimento ou perda de informações classificadas, a Direção da Segurança do SEAE informa desse facto a Direção da Segurança da Comissão, o Gabinete de Segurança do Secretariado-Geral do Conselho ou a ANS do(s) Estado(s)-Membro(s) em questão, ou outra entidade relevante, conforme adequado, e toma as medidas apropriadas nos termos das disposições legislativas e regulamentares pertinentes para: a) Avaliar os danos eventualmente causados aos interesses da UE ou dos Estados-Membros; b) Tomar as medidas adequadas para impedir novas ocorrências; c) Salvaguardar provas; d) Garantir que o caso seja investigado por elementos do pessoal não diretamente envolvidos na quebra de segurança, a fim de determinar os factos ocorridos; e) Notificar as autoridades competentes dos efeitos da ocorrência e da ação tomada; e f) Informar a entidade de origem. 3. Os membros do pessoal sob responsabilidade do SEAE que são responsáveis pela violação das regras de segurança estabelecidas na presente decisão são passíveis de ação disciplinar nos termos das disposições regulamentares aplicáveis. Quem for responsável pelo comprometimento ou pela perda de informações classificadas é passível de ação disciplinar e/ou judicial nos termos das disposições legislativas e regulamentares aplicáveis. A Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão, o Gabinete de Segurança do Secretariado-Geral do Conselho ou a ANS do(s) Estado(s)-Membro(s) em questão, ou outra entidade relevante, devem ser imediatamente informados, sempre que adequado. 4. No decorrer de uma investigação a um comprometimento ou quebra de segurança, o Chefe da Direção da Segurança do SEAE pode suspender o acesso da pessoa em questão às ICUE e às instalações do SEAE. A Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão, o Gabinete de Segurança do Secretariado-Geral do Conselho ou a ANS do(s) Estado(s)-Membro(s) ou outra entidade relevante, devem ser imediatamente informados da presente decisão.

ANEXO A I REQUISITOS DE SEGURANÇA DO PESSOAL I. INTRODUÇÃO 1. O presente anexo estabelece as regras de execução do artigo 5.o do Anexo A. Nele se definem não só os critérios a ter em conta pelo SEAE para determinar se, com base nas suas lealdade, idoneidade e fiabilidade, uma dada pessoa pode ser autorizada a ter acesso a ICUE, mas também os procedimentos administrativos e de investigação a seguir para esse efeito. 2. A «Certificação de Segurança do Pessoal» (CSP) para acesso a ICUE consiste numa declaração de uma autoridade competente de um Estado-Membro feita depois de concluída uma investigação de segurança conduzida pelas autoridades competentes de um Estado-Membro, e pela qual se atesta que uma dada pessoa pode aceder a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, desde que tenha sido comprovada a sua «necessidade de tomar conhecimento»; diz-se da pessoa nestas condições que «possui credenciação de segurança»; 3. O «Certificado de Credenciação de Segurança do Pessoal» (CCSP) é um certificado emitido pela autoridade de segurança do SEAE que indica a credenciação de segurança de uma pessoa e apresenta o nível de ICUE a que a mesma pode ter acesso, o período de validade da CSP e o prazo de validade do próprio certificado. 4. A «Autorização para acesso a ICUE» é uma autorização dada pela Autoridade de Segurança do SEAE, tomada nos termos da presente decisão após emissão de uma CSP pelas autoridades competentes de um Estado-Membro, e pela qual se atesta que uma dada pessoa pode aceder a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, desde que tenha sido comprovada a sua «necessidade de tomar conhecimento»; diz-se da pessoa nestas condições que «possui credenciação de segurança». II. AUTORIZAÇÃO DE ACESSO ÀS ICUE 5. O acesso a informações com classificação RESTREINT UE/EU RESTRICTED não exige uma credenciação de segurança e é concedido após: a) Identificação do vínculo de natureza estatuária ou contratual ao SEAE; b) Confirmação da necessidade de tomar conhecimento de tais informações; c) Comunicação das regras e procedimentos de segurança aplicáveis à proteção das ICUE à pessoa e reconhecimento pela mesma, por escrito, das suas responsabilidades no que respeita à proteção dessas informações em conformidade com a presente decisão. 6. Ninguém pode ser autorizado a ter acesso a informações da UE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior sem que: a) Tenha ficado comprovada a sua necessidade de tomar conhecimento de tais informações; b) Lhe tenha sido conferida a CSP para o nível adequado ou outra autorização devidamente emitida em virtude das funções que exerce nos termos das disposições legislativas e regulamentares nacionais; e c) Tenha sido informado das regras e procedimentos de segurança aplicáveis à proteção das ICUE e tenha reconhecido, por escrito, as suas responsabilidades no que respeita à proteção dessas informações. 7. O SEAE identificará os cargos que, nas respetivas estruturas, exigem o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior e para os quais é, por esse motivo, necessária uma CSP para o nível adequado, a que se refere o supramencionado artigo 4.o. 8. O pessoal do SEAE deve declarar se têm cidadania em mais do que um país. Procedimento de solicitação de CSP no SEAE 9. No que respeita ao pessoal do SEAE, a Autoridade do SEAE Investida do Poder de Nomeação enviará o questionário de segurança do pessoal, preenchido, à ANS do Estado-Membro de nacionalidade da pessoa, solicitando que seja levada a cabo uma investigação de segurança para o nível de ICUE às quais a pessoa deverá ter acesso. 10. Quando uma pessoa tem cidadania em mais do que um país, o pedido de verificação será endereçado à ANS do país correspondente à nacionalidade a partir da qual a pessoa foi recrutada. 11. Se o SEAE tomar conhecimento de informações relevantes para a investigação de segurança a respeito de alguém que tenha solicitado uma CSP, o SEAE informará desse facto a ANS competente, nos termos das regras e regulamentações pertinentes. 12. Após a conclusão da investigação de segurança, a ANS competente notifica a Direção da Segurança do SEAE do resultado da referida investigação. a) Se da investigação de segurança se concluir que não há garantidamente conhecimento de fatores desfavoráveis que ponham em dúvida a lealdade, a idoneidade e a fiabilidade da pessoa, a Autoridade do SGC Investida do Poder de Nomeação pode conceder à pessoa em questão uma CSP UE e autorizá-la a ter acesso a ICUE até ao nível adequado e até determinada data; b) O SEAE toma todas as medidas adequadas para que as condições ou restrições impostas pela ANS sejam devidamente implementadas. A ANS é informada do resultado. c) Se da investigação de segurança se não concluir pela existência dessa garantia, a Autoridade de Segurança do SEAE notificará do facto a pessoa em causa, que poderá pedir para ser ouvida pela referida Autoridade. A Autoridade de Segurança do SEAE poderá pedir à ANS competente quaisquer outros esclarecimentos que esta possa prestar nos termos das respetivas disposições legislativas e regulamentares nacionais. Se as conclusões se confirmarem, não será concedida uma Autorização para acesso a ICUE. Neste caso, o SEAE toma todas as medidas adequadas para que seja negado ao candidato qualquer acesso a ICUE. 13. A investigação de segurança, em conjunto com os resultados obtidos, em que o SEAE baseia a sua decisão de conceder ou não uma autorização para acesso a ICUE, ficará sujeita às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela Autoridade de Segurança do SEAE são passíveis de recurso nos termos do Estatuto dos Funcionários da União Europeia e do Regime Aplicável aos Outros Agentes da União Europeia, previstos no Regulamento (CEE, Euratom, CECA) n.o 259/68 (1) (a seguir designado «Estatuto do Pessoal»). 14. A garantia em que se baseia a CSP, desde que se mantenha válida, abrangerá quaisquer funções que a pessoa em causa venha a desempenhar no SEAE, no Secretariado-Geral do Conselho ou na Comissão. 15. Se o período de serviço da pessoa não tiver começado no prazo de 12 meses a contar da notificação dos resultados da investigação de segurança à Autoridade de Segurança do SEAE, ou se houver uma interrupção de 12 meses ou mais no serviço durante a qual a pessoa não exerça funções no SEAE, em outras Instituições, agências ou órgãos da UE ou na administração de um Estado-Membro, que exija acesso a informação classificada, os referidos resultados serão remetidos à ANS competente, para confirmação de que continuam a ser válidos e pertinentes. 16. Se o SEAE tomar conhecimento de informações a respeito da existência de qualquer risco para a segurança que provenha de alguém que tenha uma CSP válida, o SEAE informará desse facto a ANS competente, nos termos das regras e regulamentações pertinentes. Quando a ANS comunicar ao SEAE que retirou a alguém que possua uma Autorização válida para acesso a ICUE a garantia que lhe fora dada nos termos do ponto 12, alínea a), a Autoridade de Segurança do SEAE pode pedir à ANS quaisquer esclarecimentos que esta possa prestar nos termos das respetivas disposições legislativas e regulamentares nacionais. Se as informações desfavoráveis forem confirmadas, a Autorização supramencionada será retirada e a pessoa em causa será excluída do acesso às ICUE e afastada de funções no âmbito das quais esse acesso seja possível ou a pessoa possa prejudicar a segurança. 17. A decisão de retirar uma Autorização para acesso a ICUE a um membro do pessoal do SEAE e, se necessário, as razões que a motivaram serão notificadas à pessoa em causa, que pode pedir para ser ouvida pela Autoridade de Segurança do SEAE. As informações prestadas pela ANS ficarão sujeitas às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela Autoridade de Segurança do SEAE são passíveis de recurso nos termos do Estatuto do Pessoal. 18. Antes de assumirem funções, os peritos nacionais destacados para um cargo no SEAE que exija o acesso a informação com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deverão apresentar à Autoridade de Segurança do SEAE uma CSP válida para efeitos de acesso ao nível pertinente das ICUE. O processo supramencionado deve ser gerido pelo Estado-Membro remetente. Registos de CSP 19. O SEAE manterá uma base de dados com o estatuto de credenciação de segurança de todo o pessoal sob responsabilidade do SEAE e do pessoal dos contratantes do SEAE. Esses registos incluirão o nível das ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de concessão e o período de validade da CSP. 20. Devem estabelecer-se procedimentos de coordenação adequados com os Estados-Membros e outras Instituições, agências e órgãos da UE para garantir que o SEAE possui um registo rigoroso e abrangente dos estatutos de credenciação de segurança de todo o pessoal sob responsabilidade do SEAE e dos funcionários dos contratantes do SEAE. 21. A Autoridade de Segurança do SEAE poderá emitir um Certificado de Credenciação de Segurança do Pessoal (CCSP), indicando o nível de ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), o período de validade da CSP e o prazo de validade do próprio certificado. Isenção do requisito de Credenciação de Segurança do Pessoal 22. Quem estiver devidamente autorizado a aceder a ICUE em virtude das funções que exerce nos termos das respetivas disposições legislativas e regulamentares nacionais deve ser informado pela Direção da Segurança do SEAE, consoante adequado, das suas obrigações de segurança no que respeita à proteção das ICUE. III. EDUCAÇÃO E SENSIBILIZAÇÃO PARA A SEGURANÇA 23. Antes de serem autorizadas a aceder a ICUE, todas as pessoas confirmarão por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. O SEAE conservará um registo dessas declarações escritas. 24. Todas as pessoas autorizadas a aceder a ICUE ou que precisem de manusear ICUE serão inicialmente sensibilizadas e periodicamente informadas das ameaças existentes para a segurança e deverão comunicar imediatamente às autoridades de segurança competentes qualquer atitude ou atividade que considerem suspeita ou pouco habitual. 25. Todas as pessoas com acesso a ICUE são sujeitas a medidas contínuas de segurança do pessoal (isto é, acompanhamento posterior) durante o período em que manuseiam ICUE. A segurança contínua do pessoal é da responsabilidade de: a) Pessoas com acesso a ICUE: as pessoas são pessoalmente responsáveis pela sua conduta de segurança e deverão comunicar imediatamente às autoridades de segurança competentes qualquer atitude ou atividade que considerem suspeita ou pouco habitual e quaisquer circunstâncias pessoais que possam afetar a sua CSP ou a Autorização para acesso a ICUE. b) Superiores hierárquicos: são responsáveis por garantir que o pessoal tem conhecimento das medidas e responsabilidades de segurança para proteção das ICUE, por controlar a conduta de segurança do pessoal e por lidar pessoalmente com questões de segurança preocupantes ou comunicar às autoridades de segurança adequadas quaisquer informações adversas que possam afetar a CSP do pessoal ou a Autorização para acesso a ICUE. c) Intervenientes no domínio da segurança da organização de segurança do SEAE a que se refere o artigo 12.o da presente decisão: são responsáveis por realizar reuniões de sensibilização em matéria de segurança para assegurar que o pessoal na sua área é informado periodicamente, por fomentar uma cultura de segurança forte na sua área de responsabilidade, por definir medidas de controlo da conduta de segurança do pessoal e por comunicar às autoridades de segurança adequadas quaisquer informações adversas que possam afetar a CSP de alguém. d) O SEAE e os Estados-Membros: estabelecerão os canais necessários para comunicar informação que possa afetar a CSP de alguém ou a Autorização para acesso a ICUE. 26. Quem deixar de exercer funções que exijam acesso a ICUE será informado de que deverá continuar a salvaguardar as ICUE e, se necessário, confirmará por escrito essa sua obrigação. IV. CIRCUNSTÂNCIAS EXCECIONAIS 27. Por motivos de urgência devidamente justificados pelo interesse do SEAE e enquanto se aguarda a conclusão de uma investigação de segurança exaustiva, a Autoridade de Segurança do SEAE, após consulta à ANS do Estado-Membro de nacionalidade do interessado e sob reserva dos resultados da verificação inicial de que não há conhecimento de informações desfavoráveis, pode conceder aos funcionários e outros agentes do SEAE uma autorização temporária de acesso a ICUE para uma função concreta. Deverá completar-se uma investigação de segurança completa assim que possível. Essas autorizações temporárias terão uma validade não superior a seis meses e não permitirão o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET. Todas as pessoas a quem tenha sido concedida uma autorização temporária confirmarão por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. O SEAE conservará um registo dessas declarações escritas. 28. Quando devam ser atribuídas a alguém funções que exijam uma CSP de nível superior ao que a pessoa possui, a atribuição pode ser feita a título temporário, desde que: a) A necessidade urgente de acesso a ICUE de nível superior seja justificada, por escrito, pelo superior hierárquico da pessoa em causa; b) O acesso seja limitado a ICUE específicas de apoio às funções exercidas; c) A pessoa em causa possua uma CSP válida; d) Tenham sido iniciados os trâmites necessários para obter autorização para o nível de acesso exigido para essas funções; e) A autoridade competente tenha feito verificações satisfatórias das quais se tenha concluído que a pessoa em causa não infringiu as regras de segurança de forma grave nem reiterada; f) A atribuição de funções à pessoa em causa seja aprovada pela autoridade competente do SEAE; e g) a ANS/ASD pertinente que emitiu a CSP da pessoa tenha sido consultada e não se tenha recebido qualquer objeção; h) A exceção, incluindo uma descrição das informações para as quais tenha sido aprovado o acesso, seja averbada no registo responsável ou num registo que dele dependa 29. O procedimento acima descrito será utilizado para um único acesso a ICUE de nível superior àquele para o qual tenha sido concedida credenciação de segurança à pessoa em causa. Não se recorrerá repetidamente a este procedimento. 30. Em circunstâncias muito excecionais, como sejam as missões em ambiente hostil ou os períodos de crescente tensão internacional, quando as medidas de emergência o exijam, nomeadamente para salvar vidas humanas, a AR, o secretário-geral executivo ou o diretor operacional poderão conceder, por escrito, acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET a pessoas que não possuam a necessária CSP, desde que tal autorização seja absolutamente necessária e não haja dúvidas razoáveis quanto à lealdade, à idoneidade e à fiabilidade da pessoa em causa. Será conservado registo desta autorização, com a descrição das informações para as quais tenha sido aprovado acesso. 31. No caso de informações com classificação TRÈS SECRET UE/EU TOP SECRET, este acesso de emergência será limitado aos nacionais da UE que tenham sido autorizados a aceder ao equivalente nacional do nível TRÈS SECRET UE/EU TOP SECRET ou às informações com classificação SECRET UE/EU SECRET. 32. O Comité de Segurança do SEAE será informado dos casos em que se recorra ao procedimento descrito nos pontos 29 e 30. 33. Será anualmente apresentado ao Comité de Segurança do SEAE um relatório sobre o recurso aos procedimentos estabelecidos na presente secção. V. PARTICIPAÇÃO EM REUNIÕES NA SEDE DO SEAE E NAS DELEGAÇÕES DA UNIÃO. 34. As pessoas que devam participar em reuniões na Sede do SEAE e nas delegações da União em que sejam discutidas informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior só poderão fazê-lo depois de confirmado o seu estatuto de CSP. No caso de representantes dos Estados-Membros, agentes do SGC e da Comissão, o CCSP, ou outra prova de CSP, será enviado pelas autoridades competentes à Direção da Segurança do SEAE, ao Coordenador de Segurança da delegação da União ou, a título excecional, apresentado pela própria pessoa. Se necessário, poderá ser usada uma lista consolidada de nomes, com a indicação da prova de CSP relevante. 35. Se for retirada a CSP para efeitos de acesso a ICUE a alguém cuja presença seja necessária, em virtude das funções que exerce, em reuniões na Sede do SEAE ou numa delegação da União em que se debatem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, a autoridade competente informará do facto o SEAE. VI. ACESSO POTENCIAL A ICUE 36. Quem for recrutado para trabalhar em circunstâncias em que possa ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior ficará sujeito aos procedimentos de credenciação de segurança adequados ou será permanentemente escoltado. 37. Os estafetas, guardas e escoltas devem possuir a credenciação de segurança para o nível adequado ou ser de outro modo sujeitos a uma investigação adequada nos termos das disposições legislativas e regulamentares nacionais, ser informados, em intervalos regulares, dos procedimentos de segurança aplicáveis à proteção das ICUE e do seu dever de proteção das informações que lhes forem confiadas ou a que possam ter acesso inadvertidamente. (1) JO L 56 de 4.3.1968, p. 1

ANEXO A II SEGURANÇA FÍSICA DAS INFORMAÇÕES CLASSIFICADAS DA UE I. INTRODUÇÃO 1. O presente anexo estabelece as regras de execução do artigo 6.o do Anexo A. Nele se definem os requisitos mínimos para a proteção física de instalações, edifícios, gabinetes, salas e outras zonas em que sejam manuseadas e armazenadas ICUE, e, nomeadamente, zonas que alberguem SCI. 2. Serão concebidas medidas de segurança física para impedir o acesso não autorizado a ICUE: a) Assegurando que as ICUE sejam devidamente manuseadas e armazenadas; b) Permitindo a diferenciação do pessoal no que se refere ao acesso a ICUE com base na sua necessidade de tomar conhecimento de tais informações e, se for caso disso, na respetiva credenciação de segurança; c) Dissuadindo, impedindo e detetando ações não autorizadas; e d) Impedindo ou retardando a entrada sub-reptícia ou forçada de intrusos. II REQUISITOS E MEDIDAS DE SEGURANÇA FÍSICA 3. O SEAE aplicará um processo de gestão de risco à proteção das ICUE nas suas instalações, por forma a assegurar que seja concedido um nível de proteção física proporcional ao risco avaliado. No processo de gestão de risco serão tidos em conta todos os fatores pertinentes, nomeadamente: a) O nível de classificação das ICUE; b) A forma e o volume das ICUE, tendo em conta que as grandes quantidades ou acervos de ICUE podem justificar a aplicação de medidas de proteção mais rigorosas; c) A envolvente e a estrutura dos edifícios ou zonas que albergam as ICUE; d) A avaliação de ameaças em países terceiros conforme desenvolvida pelo INTCEN com base em relatórios específicos das delegações da União, e e) A avaliação da ameaça representada pelos serviços de informações que tenham por alvo a UE ou os Estados-Membros, pelos atos de sabotagem ou de terrorismo, bem como por outras atividades subversivas ou criminosas. 4. A autoridade de segurança do SEAE determinará, aplicando o conceito de defesa em profundidade, qual a combinação adequada de medidas de segurança física a implementar. Estas podem incluir uma ou mais das seguintes: a) Um perímetro: uma barreira física que resguarda os limites de uma zona que precisa de ser protegida; b) Sistemas de deteção de intrusos (IDS): podem ser utilizados IDS para aumentar o nível de segurança proporcionado pelo perímetro ou para substituir ou apoiar o pessoal de segurança em salas e edifícios; c) Controlo do acesso: o controlo do acesso poderá ser exercido em relação a um local, a um edifício ou edifícios de determinado local, ou a zonas ou salas de um edifício. O controlo poderá ser exercido por processos eletrónicos ou eletromecânicos, efetuado pelo pessoal de segurança e/ou por um rececionista, ou por quaisquer outros meios físicos; d) Pessoal de segurança: poderá nomeadamente recorrer-se a pessoal de segurança devidamente formado, supervisionado e, se necessário, com a devida credenciação de segurança para dissuadir todos aqueles que planeiem uma intrusão dissimulada; e) Televisão em circuito fechado (CCTV): o pessoal de segurança poderá utilizar um sistema de CCTV para verificar incidentes e alarmes de IDS em locais de grandes dimensões ou nos perímetros; f) Luzes de segurança: poderão ser utilizadas luzes de segurança para dissuadir os potenciais intrusos e proporcionar a iluminação necessária para uma vigilância efetiva, efetuada quer diretamente pelo pessoal de segurança, quer indiretamente através de um sistema de CCTV; e g) Quaisquer outras medidas físicas adequadas que sejam concebidas para dissuadir ou detetar o acesso não autorizado ou evitar que as ICUE se percam ou sejam danificadas. 5. A Direção da Segurança do SEAE pode efetuar buscas nas entradas e saídas, que funcionarão como elemento dissuasor da introdução não autorizada de material ou da saída não autorizada de ICUE das instalações ou edifícios. 6. Quando houver risco de olhares indiscretos sobre ICUE, mesmo que acidentalmente, serão tomadas as medidas necessárias para neutralizar esse risco. 7. Na fase de planeamento e conceção de novas instalações, deverão ser definidos os requisitos de segurança física e as respetivas especificações funcionais. Em instalações já existentes, os requisitos de segurança física serão aplicados em toda a medida do possível. III. EQUIPAMENTO PARA A PROTEÇÃO FÍSICA DAS ICUE 8. Aquando da aquisição de equipamento (por exemplo, contentores de segurança, máquinas trituradoras, fechaduras de porta, sistemas eletrónicos de controlo de acesso, sistemas de deteção de intrusos, sistemas de alarme) para proteção física das ICUE, a autoridade de segurança do SEAE certificar-se-á de que o equipamento satisfaz as normas técnicas e os requisitos mínimos aprovados. 9. As especificações técnicas do equipamento a utilizar na proteção física das ICUE serão estabelecidas em diretrizes de segurança aprovadas pelo Comité de Segurança do SEAE. 10. Os sistemas de segurança serão regularmente sujeitos a inspeção e o equipamento será objeto de manutenção regular. Nos trabalhos de manutenção serão tidos em conta os resultados das inspeções, a fim de garantir que o equipamento continue a funcionar nas melhores condições. 11. Em cada inspeção será reavaliada a eficácia de cada medida de segurança e do sistema de segurança em geral. IV. ZONAS FISICAMENTE PROTEGIDAS 12. Serão estabelecidos dois tipos de zonas fisicamente protegidas, ou os seus equivalentes nacionais, para assegurar a proteção física das ICUE: a) Zonas Administrativas e b) Zonas de Segurança (incluindo as Zonas Tecnicamente Seguras). 13. A autoridade de segurança do SEAE determinará que uma dada zona preenche os requisitos para ser designada Zona Administrativa, Zona de Segurança ou Zona Tecnicamente Segura. 14. No caso das Zonas Administrativas: a) Será estabelecido um perímetro visivelmente definido que permita o controlo de pessoas e, se possível, de veículos; b) Só poderão ter acesso sem escolta as pessoas devidamente autorizadas pela Direção da Segurança do SEAE; e c) Quaisquer outras pessoas serão permanentemente escoltadas ou sujeitas a controlos equivalentes. 15. No caso das Zonas de Segurança: a) Será estabelecido um perímetro visivelmente definido, em que qualquer entrada ou saída será controlada por meio de um sistema de livre-trânsito ou de reconhecimento de pessoas; b) Só poderão ter acesso sem escolta as pessoas com a devida credenciação de segurança para o nível em questão e especificamente autorizadas a entrar nessa zona por terem necessidade de tomar conhecimento das ICUE em causa; c) Quaisquer outras pessoas serão permanentemente escoltadas ou sujeitas a controlos equivalentes. 16. Nos casos em que a entrada numa Zona de Segurança represente, para todos os efeitos práticos, um acesso direto às informações classificadas que nela se encontrem, aplicam-se ainda os seguintes requisitos: a) Haverá uma indicação clara do nível de classificação de segurança mais elevado das informações normalmente conservadas nessa zona; b) Todos os visitantes deverão pedir autorização específica para entrar nessa zona, ser permanentemente escoltados e possuir a devida credenciação de segurança, a menos que sejam tomadas medidas para assegurar que não seja possível ter acesso às ICUE; c) Os equipamentos eletrónicos deverão permanecer fora dessa zona. 17. As Zonas de Segurança a proteger contra escutas serão designadas Zonas Tecnicamente Seguras. A estas zonas aplicam-se ainda os seguintes requisitos: a) Serão equipadas com sistemas de deteção de intrusos (IDS), fechadas à chave quando não estiverem ocupadas e guardadas quando ocupadas. Todas as chaves serão controladas de acordo com a Secção VI do presente anexo; b) Serão sujeitas a controlo todas as pessoas ou material que nelas penetrem; c) Serão sujeitas a inspeção física e/ou técnica regular, consoante o que a autoridade de segurança do SEAE exigir. Essa inspeção será igualmente efetuada na sequência de qualquer entrada não autorizada ou de suspeitas dessa possibilidade; e d) Serão desprovidas de dispositivos não autorizados como linhas de comunicação, telefones ou outros aparelhos de comunicação, bem como equipamento elétrico ou eletrónico; 18. Não obstante o disposto no ponto 17, alínea d) e em circunstâncias em que a ameaça seja considerada elevada, qualquer tipo de aparelho de comunicações e equipamento elétrico ou eletrónico será inspecionado pela autoridade de segurança do SEAE antes de ser utilizado em zonas onde decorram reuniões ou se trabalhe com informações com classificação SECRET UE/EU SECRET e superior, por forma a garantir que nenhuma informação inteligível seja transmitida por esse equipamento, ilícita ou inadvertidamente, para fora do perímetro da Zona de Segurança. 19. As Zonas de Segurança que não estejam ocupadas por pessoal em serviço 24 horas por dia serão, se necessário, inspecionadas no final das horas normais de serviço e a intervalos aleatórios fora dessas horas, a menos que esteja instalado um sistema de deteção de intrusos. 20. Poderão ser temporariamente criadas Zonas de Segurança e Zonas Tecnicamente Seguras no interior de determinada Zona Administrativa para a realização de uma reunião classificada ou para qualquer outro fim semelhante. 21. Para cada Zona de Segurança serão estabelecidos procedimentos operacionais de segurança que estipulem: a) O nível das ICUE que podem ser manuseadas ou armazenadas nessa zona; b) As medidas de vigilância e de proteção a manter; c) As pessoas autorizadas a aceder sem escolta à zona por terem necessidade de tomar conhecimento das ICUE em causa e possuírem a devida credenciação de segurança; d) Se necessário, os procedimentos respeitantes a escoltas ou à proteção das ICUE quando se autorize o acesso de outras pessoas a essa zona; e) Quaisquer outras medidas e procedimentos relevantes. 22. Serão construídas casas-fortes dentro das Zonas de Segurança. As paredes, o chão, os tetos, as janelas e as portas com sistema de fecho serão aprovados pela autoridade de segurança do SEAE e beneficiarão de proteção equivalente à de um contentor de segurança aprovado para armazenamento de ICUE com o mesmo nível de classificação. V. MEDIDAS DE PROTEÇÃO FÍSICA PARA O MANUSEAMENTO E ARMAZENAMENTO DE ICUE 23. As ICUE com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas: a) Em Zonas de Segurança; b) Em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas; ou c) Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas as transporte nas condições estabelecidas nos pontos 30 a 42 do Anexo A III e se tenha comprometido a respeitar as medidas de compensação estabelecidas nas instruções emitidas pela autoridade de segurança do SEAE, a fim de assegurar que as ICUE fiquem protegidas do acesso por parte de pessoas não autorizadas. 24. As ICUE com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório apropriado e fechado à chave, numa Zona Administrativa ou Zona de Segurança. As referidas ICUE poderão ser temporariamente armazenadas fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas se tenha comprometido a respeitar as medidas de compensação estabelecidas nas instruções emitidas pela autoridade de segurança do SEAE. 25. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET podem ser manuseadas: a) Em Zonas de Segurança; b) Em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas; ou c) Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas: i) as transporte nas condições estabelecidas nos pontos 30 a 42 do Anexo A III; ii) se tenha comprometido a respeitar as medidas de compensação estabelecidas nas instruções emitidas pela autoridade de segurança do SEAE, a fim de assegurar que as ICUE fiquem protegidas do acesso por parte de pessoas não autorizadas; iii) mantenha as ICUE permanentemente sob o seu controlo pessoal; e iv) no caso de documentos em suporte papel, tenha informado desse facto o registo competente. 26. As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET serão armazenadas em Zonas de Segurança, dentro de um contentor de segurança ou de uma casa-forte. 27. As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET serão manuseadas em Zonas de Segurança. 28. As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET serão armazenadas em Zonas de Segurança na Sede, numa das seguintes condições: a) Num contentor de segurança, de acordo com o estabelecido no ponto 8, com um ou vários dos seguintes controlos suplementares: i) proteção ou verificação permanente por pessoal de segurança ou de serviço com credenciação de segurança; ii) um IDS aprovado, conjugado com pessoal de segurança incumbido das situações de emergência; ou b) Numa casa-forte com IDS, conjugada com pessoal de segurança incumbido das situações de emergência. 29. As regras a que deve obedecer o transporte de ICUE fora das zonas fisicamente protegidas são estabelecidas no Anexo A III. VI. CONTROLO DAS CHAVES E COMBINAÇÕES DE FECHADURAS DE SEGREDO UTILIZADAS PARA PROTEÇÃO DAS ICUE 30. A autoridade de segurança do SEAE definirá procedimentos para a gestão das chaves e das combinações das fechaduras de segredo dos gabinetes, salas, casas-fortes e contentores de segurança. Tais procedimentos deverão assegurar a proteção contra o acesso não autorizado. 31. As combinações deverão ser memorizadas pelo menor número possível de pessoas que precisem de as conhecer. As combinações dos contentores de segurança e das casas-fortes em que sejam conservadas ICUE deverão ser mudadas: a) Após receção de novos contentores; b) Sempre que mude o pessoal que conhece a combinação; c) Sempre que haja conhecimento ou suspeita de comprometimento; d) Sempre que uma fechadura tenha sido objeto de manutenção ou reparação; e e) Pelo menos de 12 em 12 meses.

ANEXO A III GESTÃO DAS INFORMAÇÕES CLASSIFICADAS I. INTRODUÇÃO 1. O presente anexo estabelece as regras de execução do artigo 7.o do Anexo A. Nele se definem as medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam contribuir para dissuadir e detetar a perda ou comprometimento deliberados ou acidentais de informações e para recuperar essas informações em caso de perda ou comprometimento. II. GESTÃO DAS CLASSIFICAÇÕES Classificações e marcas 2. As informações serão classificadas se precisarem de proteção em virtude da sua confidencialidade. 3. A entidade de origem das ICUE será responsável pela determinação do nível de classificação de segurança, nos termos das diretrizes de classificação relevantes, e pela divulgação das informações. 4. O nível de classificação das ICUE será determinado nos termos do artigo 2.o, n.o 2 do Anexo A e mediante remissão para a política de segurança a aprovar nos termos do artigo 3.o, n.o 3 do Anexo A. 5. As informações classificadas do Estados-Membros trocadas com o SEAE deverão receber o mesmo nível de proteção que as ICUE de classificação equivalente. A tabela de equivalências relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE pode ser consultada no Apêndice B da Decisão 2011/292/UE do Conselho, de 31 de março de 2011. 6. A classificação de segurança e, se aplicável, a data ou o acontecimento específico após os quais pode ser desgraduada ou desclassificada, deverão ser clara e corretamente indicados, independentemente do suporte em que as ICUE sejam apresentadas: papel, oral, eletrónico ou outro. 7. Cada uma das partes de um determinado documento (páginas, parágrafos, secções, anexos, apêndices, adendas e elementos apensos) poderá exigir classificações diferentes, devendo ostentar a marca correspondente, inclusivamente quando for armazenado em suporte eletrónico. 8. Na medida do possível, os documentos que contenham partes com níveis de classificação diferentes serão estruturados de forma a que as partes com um nível de classificação diferente possam ser facilmente identificadas e, se necessário, destacadas. 9. A classificação geral de um documento ou dossiê deverá ser pelo menos tão elevada quanto a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o produto final será analisado para determinar o seu nível geral de classificação de segurança, uma vez que poderá justificar uma classificação mais elevada que a das partes que o compõem. 10. A classificação de uma carta ou nota de envio deverá ser tão elevada quanto a mais alta classificação dos seus anexos. A entidade de origem deverá indicar claramente a que nível é classificada a carta ou nota quando destacada dos anexos, para o que deverá utilizar uma marca adequada, por exemplo: CONFIDENTIEL UE/EU CONFIDENTIAL Sem anexo(s) RESTREINT UE/EU RESTRICTED Marcas 11. Para além de uma das marcas de classificação previstas no artigo 2.o, n.o 2 do Anexo A, as ICUE poderão ostentar outras marcas, tais como: a) Um identificador para designar a entidade de origem; b) Eventuais advertências, códigos ou acrónimos que especifiquem o domínio de atividade a que o documento diz respeito, uma distribuição especial baseada na necessidade de ter conhecimento ou restrições de utilização; c) Marcas relativas à comunicabilidade; 12. Após a decisão de comunicação das ICUE a um Estado terceiro ou a uma Organização Internacional, a Direção da Segurança do SEAE procederá ao envio das informações classificadas em causa, que ostentarão uma marca relativa à comunicabilidade, indicando o Estado terceiro ou organização internacional a que as ICUE serão comunicadas. 13. Uma lista de marcas autorizadas será aprovada pela Autoridade de Segurança do SEAE. Marcas de classificação abreviadas 14. Para indicar o nível de classificação de certos parágrafos de determinado texto, podem ser utilizadas marcas de classificação sob forma de abreviaturas normalizadas. As abreviaturas não substituem as marcas de classificação por extenso. 15. Nos documentos classificados da UE, podem ser utilizadas, para indicar o nível de classificação de secções ou blocos do texto com menos de uma página, as seguintes abreviaturas normalizadas: TRES SECRET UE/EU TOP SECRET TS-UE/EU-TS SECRET UE/EU SECRET S-UE/EU-S CONFIDENTIEL UE/EU CONFIDENTIAL C-UE/EU-C RESTREINT UE/EU RESTRICTED R-UE/EU-R Produção de ICUE 16. Ao produzir um documento classificado da UE: a) Todas as páginas serão marcadas de forma clara com o nível de classificação; b) Todas as páginas serão numeradas; c) O documento ostentará um número de referência e o assunto, que não constituem por si só informação classificada, a menos que estejam marcados como tal; d) O documento será datado; e) Os documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior que devam ser distribuídos em vários exemplares ostentarão um número de exemplar em todas as páginas. 17. Quando não for possível aplicar o disposto no ponto 15 às ICUE, deverão ser tomadas outras medidas adequadas nos termos das diretrizes de segurança a estabelecer ao abrigo da presente decisão. Desgraduação e desclassificação de ICUE 18. Aquando da produção de ICUE, a entidade de origem indicará, sempre que possível, especialmente se se tratar de informações com classificação RESTREINT UE/EU RESTRICTED, se estas podem ser desgraduadas ou desclassificadas em determinada data ou após um dado acontecimento. 19. O SEAE analisará regularmente as ICUE que se encontrem na sua posse, a fim de apurar se o respetivo nível de classificação continua a ser aplicável. O SEAE estabelecerá um sistema para proceder, pelo menos de cinco em cinco anos, à reanálise do nível de classificação das ICUE registadas que tiver produzido. Essa reanálise não será necessária se a entidade de origem tiver indicado à partida o momento específico em que as informações serão automaticamente desgraduadas ou desclassificadas e se nelas tiver sido aposta a marca correspondente. III. REGISTO DE ICUE PARA EFEITOS DE SEGURANÇA 20. Será estabelecido um registo central na SEDE. Será estabelecido um registo responsável para cada entidade orgânica do SEAE em que sejam manuseadas ICUE, subordinado ao registo central, para assegurar que as informações classificadas da UE sejam manuseadas nos termos da presente decisão. Os registos serão considerados Zonas de Segurança, tal como definidas no Anexo A. Cada delegação da União estabelece o próprio registo de ICUE. A autoridade de segurança do SEAE designa um Chefe do Registo para estes registos. 21. Para efeitos d