DECISÃO (UE, Euratom) 2019/1963 DA COMISSÃO

de 17 de outubro de 2019

que estabelece regras de execução relativas à segurança industrial no que respeita aos contratos públicos classificados

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 249.o,

Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.o,

Tendo em conta a Decisão (UE, Euratom) 2015/443 da Comissão, de 13 de março de 2015, relativa à segurança na Comissão (1),

Tendo em conta a Decisão (UE, Euratom) 2015/444 da Comissão, de 13 de março de 2015, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (2),

Tendo em conta a Decisão (UE, Euratom) 2017/46 da Comissão, de 10 de janeiro de 2017, relativa à segurança dos sistemas de comunicação e de informação na Comissão Europeia (3),

Após consulta do Grupo de Peritos de Segurança da Comissão, em conformidade com o artigo 41.o, n.o 5, da Decisão (UE, Euratom) 2015/444,

Considerando o seguinte:

(1) Os artigos 41.o, 42.o, 47.o e 48.o da Decisão (UE, Euratom) 2015/444 preveem que sejam estabelecidas disposições mais pormenorizadas para complementar e apoiar o capítulo 6 da referida decisão na aplicação das regras em matéria de segurança industrial, que regem questões como os concursos, a celebração de contratos classificados, a credenciação de segurança da empresa, a credenciação de segurança do pessoal, as visitas e a transmissão e o transporte de informações classificadas da União Europeia (ICUE).

(2) A Decisão (UE, Euratom) 2015/444 estabelece que os contratos classificados devem ser executados em estreita cooperação com a autoridade nacional de segurança, a autoridade de segurança designada ou qualquer outra autoridade competente do Estado-Membro em causa; os Estados-Membros acordaram garantir que qualquer entidade sob a sua jurisdição que possa receber ou gerar informações classificadas originárias da Comissão possua credenciação de segurança ao nível adequado e seja capaz de providenciar uma proteção adequada equivalente à estabelecida nas regras de segurança do Conselho da União Europeia aplicáveis à proteção das informações classificadas da UE que ostentem uma marca de classificação correspondente, tal como estabelecido no Acordo entre os Estados-Membros da União Europeia, reunidos no Conselho, sobre a proteção das informações classificadas trocadas no interesse da União Europeia (2011/C 202/05) (4).

(3) O Conselho, a Comissão e a Alta Representante da União para os Negócios Estrangeiros e a Política de Segurança acordaram em assegurar a máxima coerência na aplicação das regras de segurança relativas à proteção das ICUE, tendo simultaneamente em consideração as suas necessidades institucionais e organizacionais específicas, em conformidade com as declarações anexas à ata da sessão do Conselho em que foi adotada a Decisão 2013/488/UE do Conselho (5) relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE.

(4) Por conseguinte, as regras de execução da Comissão em matéria de segurança industrial no que diz respeito aos contratos classificados devem também assegurar a máxima coerência e ter em conta as orientações sobre segurança industrial aprovadas pelo Comité de Segurança do Conselho em 13 de dezembro de 2016 e os artigos 7.o e 22.o da Diretiva 2009/81/CE do Parlamento Europeu e do Conselho (6).

(5) Em 4 de maio de 2016, a Comissão adotou uma decisão (7) que habilita o Membro da Comissão responsável pelas questões de segurança a adotar, em nome da Comissão e sob a sua responsabilidade, as regras de execução previstas no artigo 60.o da Decisão (UE, Euratom) 2015/444,

ADOTOU A PRESENTE DECISÃO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o Objeto e âmbito de aplicação 1. A presente decisão estabelece regras de execução em matéria de segurança industrial no que respeita a contratos públicos classificados com vista a apoiar a aplicação da Decisão (UE, Euratom) 2015/444, nomeadamente o capítulo 6 da mesma. 2. A presente decisão estabelece requisitos específicos que visam assegurar a proteção das informações classificadas da UE (ICUE) pelos operadores económicos na fase pré-contratual e ao longo do ciclo de vida dos contratos classificados celebrados pela Comissão Europeia, bem como em subcontratos celebrados por contratantes da Comissão. 3. A presente decisão diz respeito a informações classificadas nos seguintes níveis: a) RESTREINT UE/EU RESTRICTED; b) CONFIDENTIEL UE/EU CONFIDENTIAL; c) SECRET UE/EU SECRET.

Artigo 2.o Responsabilidade no seio da Comissão 1. Como parte das responsabilidades descritas no Regulamento Financeiro (8), cada gestor orçamental da entidade adjudicante da Comissão assegura que o contrato classificado remeta para as normas mínimas de segurança industrial estabelecidas no capítulo 6 da Decisão (UE, Euratom) 2015/444 e nas presentes regras de execução e, quando adequado, no anúncio de concurso ou no convite à apresentação de propostas, e que essas normas sejam cumpridas durante a execução. 2. Para o efeito, o gestor orçamental competente solicita, em todas as fases, o parecer da autoridade de segurança da Comissão sobre questões relacionadas com os elementos de segurança do contrato, programa ou projeto classificado e informa o responsável local de segurança sobre os contratos celebrados. A decisão sobre o nível de classificação de assuntos específicos incumbe à entidade adjudicante e deve ser tido em devida consideração o Guia da Classificação de Segurança. 3. Respeitando os requisitos das presentes regras de execução, a autoridade de segurança da Comissão coopera estreitamente com as autoridades nacionais de segurança (ANS) e as autoridades de segurança designadas (ASD) dos Estados-Membros em causa, nomeadamente no que diz respeito à credenciação de segurança da empresa (CSE) e à credenciação de segurança do pessoal (CSP), aos procedimentos de visita e aos planos de transporte.

CAPÍTULO 2

TRATAMENTO DOS CONVITES À APRESENTAÇÃO DE PROPOSTAS PARA CONTRATOS CLASSIFICADOS

Artigo 3.o Princípios básicos 1. Os contratos classificados são adjudicados apenas a operadores económicos registados num Estado-Membro, ou a operadores económicos registados num país terceiro ou estabelecidos por uma organização internacional, desde que esse país terceiro ou organização internacional tenha celebrado um acordo de segurança das informações com a União Europeia ou celebrado um convénio administrativo com a Comissão (9). 2. Antes de publicar um convite à apresentação de propostas para um contrato classificado, a entidade adjudicante determina a classificação de segurança de quaisquer informações que possam ser fornecidas aos proponentes. A entidade adjudicante determina igualmente a classificação de segurança máxima de todas as informações geradas no desempenho do contrato, programa ou projeto ou, pelo menos, o volume e o tipo de informações que previsivelmente serão gerados ou manuseados e a necessidade de um sistema de comunicação e informação (SCI) classificado. 3. A entidade adjudicante assegura que os anúncios de concurso relativos a contratos classificados fornecem informações sobre as obrigações de segurança especiais relacionadas com as informações classificadas. O anexo I apresenta um exemplo de modelo das informações para os anúncios de concurso. 4. A entidade adjudicante assegura que as informações com a classificação RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET só são divulgadas aos proponentes depois de estes terem assinado um acordo de não divulgação que obrigue os proponentes a manusear e proteger as ICUE de acordo com o disposto na Decisão (UE, Euratom) 2015/444 e nas suas regras de execução. 5. Todos os contratantes que tenham de proceder ao manuseamento ou armazenamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas suas instalações, quer durante a execução do próprio contrato classificado quer na fase pré-contratual, devem ter uma CSE ao nível exigido. São seguidamente enumerados os três cenários que poderão surgir durante a fase de adjudicação de um contrato classificado de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET: a) Nenhum acesso a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET durante a fase de concurso: Se o anúncio de concurso ou o convite à apresentação de propostas disser respeito a um contrato que envolva ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, mas não exija que o proponente manuseie essas informações na fase de concurso, um proponente que não tenha uma CSE ao nível exigido não será excluído do processo de concurso por este facto. b) Acesso a ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações da entidade adjudicante durante a fase de concurso: É concedido acesso aos proponentes que tenham uma CSP ao nível exigido e que tenham necessidade de tomar conhecimento. Antes de conceder esse acesso, a entidade adjudicante verifica, por intermédio da autoridade de segurança da Comissão, com a respetiva ANS/ASD se nesta fase é também necessária uma CSE ao abrigo das disposições legislativas e regulamentares nacionais. c) Manuseamento ou armazenamento de ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações do proponente durante a fase de concurso: Se o anúncio de concurso ou o convite à apresentação de propostas estabelecer que os proponentes procedam ao manuseamento e armazenamento de ICUE nas suas instalações, os proponentes devem ter uma CSE ao nível exigido. Em tais circunstâncias, a entidade adjudicante obtém, por intermédio da autoridade de segurança da Comissão, uma garantia da ANS/ASD competente de que foi concedida ao proponente uma CSE adequada. É concedido acesso aos proponentes que tenham uma CSP ao nível exigido e que tenham necessidade de tomar conhecimento. 6. Em princípio, não é exigida uma CSE para o acesso a informações RESTREINT UE/EU RESTRICTED, quer na fase de concurso, quer na fase de execução do contrato. Nos casos em que os Estados-Membros exijam uma CSE para contratos ou subcontratos de nível RESTREINT UE/EU RESTRICTED ao abrigo das respetivas disposições legislativas e regulamentares nacionais, conforme enumerado no anexo IV, esses requisitos nacionais não devem impor obrigações adicionais a outros Estados-Membros nem excluir proponentes, contratantes ou subcontratantes de Estados-Membros que não tenham tais requisitos para o acesso a informações RESTREINT UE/EU RESTRICTED decorrentes de contratos/subcontratos conexos ou de um concurso para esse efeito. Estes contratos devem ser executados nos Estados-Membros em conformidade com as respetivas disposições legislativas e regulamentares nacionais. 7. Quando é necessária uma CSE para a execução de um contrato classificado, a entidade adjudicante apresenta, por intermédio da autoridade de segurança da Comissão, um pedido à ANS/ASD do contratante, utilizando uma ficha de informação de credenciação de segurança da empresa (FICSE). O anexo III, apêndice D, apresenta um exemplo de FICSE (10). O contrato classificado só é adjudicado após a ANS/ASD do contratante ter confirmado a CSE do proponente. A resposta a uma FICSE é dada, na medida do possível, no prazo de dez dias úteis a contar da data do pedido.

Artigo 4.o Subcontratação em contratos classificados 1. As condições em que um contratante ao qual foi adjudicado um contrato classificado da Comissão pode proceder a subcontratação são definidas no convite à apresentação de propostas e na documentação do contrato. Nos casos em que o contrato classificado permite a subcontratação de algumas das suas partes, essa subcontratação está sujeita a uma autorização prévia escrita da entidade adjudicante. Antes de dar a sua aprovação, a entidade adjudicante consulta a autoridade de segurança da Comissão. 2. Os contratos classificados são subcontratados apenas a operadores económicos registados num Estado-Membro, ou a operadores económicos registados num país terceiro ou estabelecidos por uma organização internacional desde que esse país terceiro ou organização internacional tenha celebrado um acordo de segurança das informações com a UE ou celebrado um convénio administrativo com a Comissão (11).

CAPÍTULO 3

CELEBRAÇÃO DE CONTRATOS CLASSIFICADOS DA COMISSÃO

Artigo 5.o Princípios básicos 1. Quando da celebração de um contrato classificado, a entidade adjudicante, juntamente com a autoridade de segurança da Comissão, assegura que as obrigações do contratante em matéria de proteção das ICUE facultadas a esse contratante ou geradas na execução do contrato façam parte integrante do contrato. Os requisitos de segurança específicos do contrato assumem a forma de cláusulas adicionais de segurança (CAS). O anexo III contém um exemplo de modelo de CAS. 2. Antes de assinar um contrato classificado, a entidade adjudicante elabora, após consulta da autoridade de segurança da Comissão, um Guia da Classificação de Segurança (GCS) para as tarefas a executar e as informações geradas na execução do contrato, ou a nível do programa ou do projeto, quando aplicável. O GCS faz parte das CAS. 3. Os requisitos de segurança específicos do programa ou do projeto assumem a forma de instruções de segurança do programa (ou projeto) (ISP). As ISP podem ser elaboradas com base nas disposições do modelo de CAS que figura no anexo III. As ISP são elaboradas pelo serviço da Comissão responsável pela gestão do programa ou projeto, em estreita cooperação com a autoridade de segurança da Comissão, e submetidas a parecer ao Grupo de Peritos de Segurança da Comissão. Quando um contrato faz parte de um programa ou projeto com as suas próprias ISP, as CAS do contrato assumem uma forma simplificada e incluem uma referência às disposições de segurança estabelecidas nas ISP do programa ou projeto. 4. A entidade adjudicante é considerada a entidade de origem das informações classificadas criadas e manuseadas para a execução do contrato. 5. A entidade adjudicante, por intermédio da autoridade de segurança da Comissão, notifica as ANS/ASD de todos os contratantes e subcontratantes da celebração de contratos ou subcontratos classificados e de eventuais prorrogações ou cessações antecipadas dos mesmos. O anexo IV apresenta uma lista dos requisitos nacionais. 6. Os contratos que envolvam informações com classificação RESTREINT UE/EU RESTRICTED incluem uma cláusula contratual de segurança que torna as disposições estabelecidas no anexo III, apêndice E, vinculativas para o contratante. Esses contratos incluem CAS que estabelecem, no mínimo, os requisitos para o manuseamento de informações RESTREINT UE/EU RESTRICTED, incluindo aspetos relacionados com a garantia da informação e requisitos específicos a cumprir pelo contratante por delegação da entidade adjudicante para a acreditação do SCI do contratante responsável pelo manuseamento de informações RESTREINT UE/EU RESTRICTED. 7. No caso de serem fornecidas informações RESTREINT UE/EU RESTRICTED a proponentes ou potenciais contratantes, os requisitos mínimos referidos no n.o 6 são incluídos nas propostas ou em acordos de não divulgação relevantes celebrados na fase de concurso. 8. Quando tal é exigido pelas disposições legislativas e regulamentares nacionais dos Estados-Membros, as ANS/ASD asseguram que os contratantes ou subcontratantes sob a sua jurisdição cumpram as disposições de segurança aplicáveis à proteção de informações RESTREINT UE/EU RESTRICTED e efetuem visitas de verificação às instalações dos contratantes situadas no seu território. Se a ANS/ASD não tiver essa obrigação, a entidade adjudicante assegura que o contratante aplica as disposições de segurança estabelecidas no anexo III.

Artigo 6.o Acesso a ICUE pelo pessoal dos contratantes e subcontratantes 1. O serviço da Comissão, enquanto entidade adjudicante, assegura que os contratos classificados incluam disposições que indiquem que só será concedido acesso a ICUE ao pessoal de um contratante ou subcontratante que, para a execução do contrato ou subcontrato classificado, tenha necessidade desse acesso, se: a) Tiver sido estabelecido que estes têm necessidade de tomar conhecimento; b) Para informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, lhes tiver sido concedida uma CSP ao nível relevante pela ANS/ASD ou por qualquer outra autoridade de segurança competente; c) Estes tiverem sido informados das regras de segurança aplicáveis à proteção de ICUE e tiverem reconhecido as suas responsabilidades no que respeita à proteção dessas informações. 2. Se o contratante ou subcontratante pretender contratar um nacional de um país terceiro para um lugar que implique o acesso a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, cabe ao contratante ou subcontratante iniciar o procedimento de credenciação de segurança dessa pessoa, em conformidade com as disposições legislativas e regulamentares nacionais aplicáveis no local onde o acesso às ICUE deve ser concedido.

CAPÍTULO 4

VISITAS ASSOCIADAS A CONTRATOS CLASSIFICADOS

Artigo 7.o Princípios básicos 1. Quando a Comissão, os contratantes ou os subcontratantes precisam de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações uns dos outros para a execução de um contrato classificado, devem ser organizadas visitas em ligação com as ANS/ASD ou quaisquer outras autoridades de segurança competentes a que o assunto diga respeito. 2. As visitas referidas no n.o 1 estão sujeitas aos seguintes requisitos: a) A visita deve ter uma finalidade oficial relacionada com um contrato classificado celebrado pela Comissão; b) Os visitantes devem ter uma CSP ao nível exigido e ter necessidade de tomar conhecimento de tais informações, a fim de terem acesso a ICUE fornecidas ou geradas na execução de um contrato classificado celebrado pela Comissão.

Artigo 8.o Pedidos de visita 1. As visitas dos contratantes a instalações de outros contratantes, ou a instalações da Comissão, que impliquem o acesso a informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser organizadas de acordo com o seguinte procedimento: a) O responsável de segurança da instalação que envia o visitante deve preencher todas as partes relevantes do formulário de pedido de visita (PDV) e apresentar o pedido à ANS/ASD da instalação. O modelo de formulário PDV consta do anexo III, apêndice C; b) A ANS/ASD da instalação de envio tem de confirmar a CSP do visitante antes de apresentar o PDV à ANS/ASD da instalação de acolhimento (ou à autoridade de segurança da Comissão, se a visita for efetuada a instalações da Comissão); c) O responsável de segurança da instalação de envio obtém então da sua ANS/ASD a resposta da ANS/ASD da instalação de acolhimento (ou da autoridade de segurança da Comissão), aceitando ou recusando o PDV e d) O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita. 2. As visitas de funcionários da Comissão a instalações dos contratantes que impliquem o acesso a informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET devem ser organizadas de acordo com o seguinte procedimento: a) O visitante deve preencher todas as partes relevantes do formulário de PDV e apresentá-lo à autoridade de segurança da Comissão; b) A autoridade de segurança da Comissão confirma a CSP do visitante antes de submeter o PDV à ANS/ASD da instalação de acolhimento; c) A autoridade de segurança da Comissão obtém uma resposta da ANS/ASD da instalação de acolhimento, autorizando ou recusando o PDV; d) O PDV é considerado aprovado se não forem levantadas objeções até cinco dias úteis antes da data da visita. 3. Um PDV pode abranger uma única visita ou visitas recorrentes. No caso de visitas recorrentes, o PDV pode ser válido, no máximo, até um ano a contar da data de início solicitada. 4. O período de validade do PDV não pode exceder o período de validade da CSP do visitante. 5. Regra geral, o PDV é apresentado à autoridade de segurança competente da instalação de acolhimento pelo menos 15 dias úteis antes da data da visita.

Artigo 9.o Procedimentos relativos a visitas 1. Antes de autorizar o acesso do visitante a ICUE, o responsável de segurança da instalação de acolhimento deve cumprir todos os procedimentos e regras de segurança relativos a visitas estabelecidos pela sua ANS/ASD. 2. Os visitantes devem comprovar a sua identidade ao chegar à instalação de acolhimento mediante a apresentação do bilhete de identidade ou passaporte válido. Essas informações de identificação devem corresponder às informações fornecidas no PDV. 3. A instalação de acolhimento deve assegurar que sejam mantidos registos de todos os visitantes, incluindo os seus nomes, a organização que representam, a data de termo da CSP, a data da visita e os nomes das pessoas visitadas. Esses registos devem ser conservados por um período mínimo de cinco anos, ou mais se tal for exigido pelas regras e regulamentos nacionais do país onde está situada a instalação de acolhimento.

Artigo 10.o Visitas organizadas diretamente 1. No contexto de projetos específicos, as ANS/ASD competentes e a autoridade de segurança da Comissão podem acordar um procedimento ao abrigo do qual as visitas no âmbito de um contrato classificado específico podem ser organizadas diretamente entre o responsável de segurança do visitante e o responsável de segurança da instalação a visitar. O modelo do formulário a utilizar para este efeito é apresentado no anexo III, apêndice C. Este procedimento excecional é estabelecido nas ISP ou noutras disposições específicas. Nesses casos, não se aplicam os procedimentos estabelecidos no artigo 8.o e no artigo 9.o, n.o 1. 2. As visitas que impliquem o acesso a informações com classificação RESTREINT UE/EU RESTRICTED devem ser organizadas diretamente entre a entidade de envio e a entidade de acolhimento, sem necessidade de seguir os procedimentos estabelecidos no artigo 8.o e no artigo 9.o, n.o 1.

CAPÍTULO 5

TRANSMISSÃO E TRANSPORTE DE ICUE NA EXECUÇÃO DE CONTRATOS CLASSIFICADOS

Artigo 11.o Princípios básicos A entidade adjudicante assegura que todas as decisões relacionadas com a transferência e o transporte de ICUE estão conformes com a Decisão (UE, Euratom) 2015/444 e com as suas regras de execução, bem como com as condições do contrato classificado, incluindo o consentimento da entidade de origem.

Artigo 12.o Tratamento em formato eletrónico 1. O tratamento e a transmissão eletrónicas de ICUE processam-se nos termos estabelecidos nos capítulos 5 e 6 da Decisão (UE, Euratom) 2015/444 e nas suas regras de execução. Os sistemas de comunicação e informação que sejam propriedade de um contratante e utilizados para tratamento de ICUE na execução do contrato («SCI do contratante») estão sujeitos a acreditação pela autoridade de acreditação de segurança (AAS) responsável. Todas as transmissões eletrónicas de ICUE devem ser protegidas por produtos criptográficos aprovados nos termos do artigo 36.o, n.o 4, da Decisão (UE, Euratom) 2015/444. Devem ser aplicadas medidas TEMPEST em conformidade com o artigo 36.o, n.o 6, da referida decisão. 2. A acreditação de segurança do SCI do contratante que trata ICUE ao nível de classificação RESTREINT UE/EU RESTRICTED e qualquer interligação do mesmo pode ser delegada no responsável de segurança de um contratante, se tal for permitido pelas disposições legislativas e regulamentares nacionais. Quando essa tarefa é delegada, o contratante é responsável pela aplicação dos requisitos mínimos de segurança descritos nas CAS ao tratar informações com a classificação RESTREINT UE/EU RESTRICTED no seu SCI. No entanto, as ANS/ASD e AAS competentes continuam a ser responsáveis pela proteção das informações RESTREINT UE/EU RESTRICTED tratadas pelo contratante e a ter o direito de inspecionar as medidas de segurança tomadas pelos contratantes. Além disso, o contratante deve fornecer à entidade adjudicante e, se as disposições legislativas e regulamentares nacionais o exigirem, à AAS nacional competente, uma declaração de conformidade certificando que o SCI do contratante e as interligações conexas foram acreditados para o tratamento de ICUE ao nível RESTREINT UE/EU RESTRICTED (12).

Artigo 13.o Transporte por serviços comerciais de estafeta O transporte de ICUE por serviços comerciais de estafeta obedece às disposições relevantes das decisões da Comissão relativas às regras de execução aplicáveis ao manuseamento de informações com a classificação RESTREINT UE/EU RESTRICTED e CONFIDENTIEL UE/EU CONFIDENTIAL.

Artigo 14.o Transporte em mão própria 1. O transporte em mão própria de informações classificadas está sujeito a requisitos de segurança rigorosos. 2. As informações RESTREINT UE/EU RESTRICTED podem ser transportadas por pessoal do contratante dentro da UE, desde que sejam cumpridos os seguintes requisitos: a) O sobrescrito ou embalagem utilizado é opaco e não contém qualquer indicação sobre a classificação do seu conteúdo; b) As informações classificadas não saem das mãos do portador; c) O sobrescrito ou embalagem não é aberto durante o percurso. 3. Para informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET, o transporte em mão própria por pessoal do contratante num Estado-Membro da UE é organizado com antecedência entre a entidade expedidora e a entidade recetora. A autoridade ou instalação expedidora informa a autoridade ou instalação recetora dos dados relativos à remessa, incluindo a referência, a classificação, a hora prevista de chegada e o nome do serviço de estafeta. É permitido esse transporte em mão própria, desde que sejam cumpridos os seguintes requisitos: a) As informações classificadas são transportadas num duplo sobrescrito ou embalagem; b) O sobrescrito ou embalagem exterior está protegido e não contém qualquer indicação sobre a classificação do seu conteúdo, devendo o sobrescrito interior indicar o nível de classificação; c) As ICUE não saem das mãos do portador; d) O sobrescrito ou embalagem não é aberto durante o percurso. e) O sobrescrito ou embalagem é transportado numa pasta que possa ser fechada à chave ou num contentor aprovado similar com tamanho e peso semelhantes, que possa ser mantido permanentemente na posse do portador e não ser enviado para um compartimento de bagagens; f) O estafeta está munido de um certificado de estafeta emitido pela respetiva autoridade de segurança competente que o autoriza a transportar a remessa classificada conforme identificada. 4. Para o transporte em mão, efetuado por pessoal do contratante, de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET de um Estado-Membro da UE para outro, são aplicáveis as seguintes regras adicionais: a) O estafeta é responsável pela guarda em segurança do material classificado transportado até à sua entrega ao destinatário; b) Em caso de violação da segurança, a ANS/ASD do expedidor pode solicitar que as autoridades do país em que se verificou a violação de segurança proceda a uma investigação, comunique as suas constatações e tome as medidas legais ou outras, conforme adequado; c) O estafeta está informado de todas as obrigações de segurança a observar durante o transporte e assinou uma declaração adequada; d) As instruções destinadas ao estafeta estão apensas ao certificado de estafeta; e) O estafeta recebeu uma descrição da remessa e um itinerário; f) Os documentos são devolvidos à ANS/ASD emissora no termo da ou das deslocações ou mantidos à disposição pelo destinatário para fins de controlo; g) Caso as autoridades aduaneiras ou de imigração ou a polícia de fronteiras solicitem o exame e a inspeção da remessa, estas são autorizadas a abrir e a examinar partes suficientes da remessa que lhes permitam determinar que esta não contém outro material para além do declarado; h) As autoridades aduaneiras são instadas a respeitar a autoridade oficial dos documentos de expedição e dos documentos de autorização transportados pelo estafeta. Se uma remessa for aberta pelas autoridades aduaneiras, tal deve ser feito fora da vista de pessoas não autorizadas e, sempre que possível, na presença do estafeta. O estafeta deve solicitar que a remessa seja reembalada e que as autoridades que efetuam a inspeção voltem a selar a remessa e confirmem, por escrito, que a remessa foi aberta por elas. 5. O transporte em mão, por pessoal do contratante, de informações com classificação RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET para um país terceiro ou uma organização internacional está sujeito às disposições do acordo de segurança das informações ou do convénio administrativo celebrado, respetivamente, entre a União Europeia ou a Comissão e esse país terceiro ou organização internacional.

CAPÍTULO 6

PLANEAMENTO DE CONTINUIDADE DAS ATIVIDADES

Artigo 15.o Planos de contingência e medidas de recuperação O serviço da Comissão, enquanto entidade adjudicante, assegura que o contrato classificado exija que o contratante estabeleça planos de contingência das atividades (PCA) para fins de proteção das ICUE manuseadas na execução do contrato classificado em situações de emergência e preveja medidas de prevenção e recuperação no contexto do planeamento da continuidade das atividades, a fim de minimizar o impacto de incidentes relacionados com o manuseamento e o armazenamento de ICUE. O contratante deve informar a entidade adjudicante do seu PCA.

Artigo 16.o Entrada em vigor A presente decisão entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Feito em Bruxelas, em 17 de outubro de 2019. Pela Comissão Em nome do Presidente, Günther OETTINGER Membro da Comissão

(1) JO L 72 de 17.3.2015, p. 41.

(2) JO L 72 de 17.3.2015, p. 53.

(3) JO L 6 de 11.1.2017, p. 40.

(4) JO C 202 de 8.7.2011, p. 13.

(5) Decisão 2013/488/UE do Conselho, de 23 de setembro de 2013, relativa às regras de segurança aplicáveis à proteção das informações classificadas da UE (JO L 274 de 15.10.2013, p. 1).

(6) Diretiva 2009/81/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, relativa à coordenação dos processos de adjudicação de determinados contratos de empreitada, contratos de fornecimento e contratos de serviços por autoridades ou entidades adjudicantes nos domínios da defesa e da segurança (JO L 216 de 20.8.2009, p. 76).

(7) Decisão da Comissão de 4 de maio de 2016 relativa a uma habilitação em matéria de segurança [C(2016) 2797 final].

(8) Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União, que altera os Regulamentos (UE) n.o 1296/2013, (UE) n.o 1301/2013, (UE) n.o 1303/2013, UE n.o 1304/2013, (UE) n.o 1309/2013, (UE) n.o 1316/2013, (UE) n.o 223/2014 e (UE) n.o 283/2014, e a Decisão n.o 541/2014/UE, e revoga o Regulamento (UE, Euratom) n.o 966/2012 (JO L 193 de 30.7.2018, p. 1).

(9) A lista dos acordos celebrados pela UE e dos convénios administrativos celebrados pela Comissão Europeia, ao abrigo dos quais as informações classificadas da UE podem ser trocadas com países terceiros e organizações internacionais, pode ser consultada no sítio Web da Comissão.

(10) Outros formulários utilizados podem diferir, na sua conceção, do exemplo apresentado nas presentes regras de execução.

(11) A lista dos acordos celebrados pela UE e dos convénios administrativos celebrados pela Comissão Europeia, ao abrigo dos quais as informações classificadas da UE podem ser trocadas com países terceiros e organizações internacionais, pode ser consultada no sítio Web da Comissão.

(12) Os requisitos mínimos aplicáveis a sistemas de comunicação e informação que tratam ICUE ao nível RESTREINT UE/EU RESTRICTED constam do anexo III, apêndice E.