COMISSÃO EUROPEIA Bruxelas, 22.3.2022 COM(2022) 119 final 2022/0084(COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à segurança da informação nas instituições, órgãos e organismos da União {SWD(2022) 65 final} - {SWD(2022) 66 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA •Razões e objetivos da proposta A presente proposta faz parte da Estratégia da UE para a União da Segurança, adotada pela Comissão em 24 de julho de 2020, e que estabelece o seu compromisso de adicionar o valor acrescentado da União Europeia aos esforços nacionais no domínio da segurança. Parte deste compromisso é a iniciativa de racionalizar os quadros jurídicos internos em matéria de segurança da informação em todas as instituições e organismos da União. Uma característica fundamental da Agenda Estratégica para 2019-2024, adotada pelo Conselho Europeu em junho de 2019, é proteger as nossas sociedades das ameaças em permanente evolução que visam as informações tratadas pelas instituições e organismos. Nas suas conclusões, o Conselho Europeu convidou «as instituições da UE a trabalharem, em conjunto com os Estados-Membros, em medidas para reforçar a resiliência e melhorar a cultura de segurança da UE contra ciberameaças e ameaças híbridas provenientes do exterior da UE, bem como para proteger melhor as redes de informação e comunicação da UE, e os seus processos de tomada de decisões, de todo o tipo de atividades mal-intencionadas». No mesmo sentido, o Conselho dos Assuntos Gerais de dezembro de 2019 concluiu que as instituições e organismos da UE, apoiados pelos Estados-Membros, devem desenvolver e aplicar um conjunto abrangente de medidas para garantir a sua segurança. Tal reflete um pedido de longa data do Comité de Segurança do Conselho no sentido de ponderar um núcleo comum de regras de segurança para o Conselho, a Comissão e o Serviço Europeu para a Ação Externa. Atualmente, as instituições e organismos da União têm as suas próprias regras em matéria de segurança da informação, com base no seu regulamento interno ou ato constitutivo, ou não dispõem de quaisquer regras de segurança da informação. Tal é sobretudo o caso de algumas pequenas entidades, que não dispõem de políticas formais de segurança da informação. Devido ao número crescente de informações sensíveis não classificadas e de informações classificadas da União Europeia (ICUE) que as instituições e organismos da União têm de partilhar entre si, e tendo em conta a evolução dramática do panorama das ameaças, a administração europeia está exposta a ataques em todas as suas áreas de atividade. As informações tratadas pelas nossas instituições e organismos são muito atrativas para os perpetradores de ameaças e devem ser devidamente protegidas. Tal exige uma ação rápida com vista a reforçar a sua proteção. Por conseguinte, e a fim de aumentar a proteção das informações tratadas pela administração europeia, a presente iniciativa visa racionalizar os diferentes quadros jurídicos das instituições e organismos da União neste domínio, nomeadamente através: •Do estabelecimento de categorias harmonizadas e abrangentes de informações, bem como de regras comuns de tratamento para todas as instituições e organismos da União; •Da criação de um sistema de cooperação simplificado em matéria de segurança da informação entre as instituições e organismos da União, capaz de promover uma cultura coerente de segurança da informação em toda a administração europeia; •Da modernização das políticas de segurança da informação a todos os níveis de classificação/categorização, para todas as instituições e organismos da União, tendo em conta a transformação digital e o desenvolvimento do teletrabalho como prática estrutural. •Coerência com as disposições vigentes no mesmo domínio de intervenção Esta iniciativa está em conformidade com uma vasta gama de políticas da UE no domínio da segurança e da segurança da informação. Em 2016, o Parlamento Europeu e o Conselho adotaram uma diretiva relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. Esta diretiva foi a primeira medida legislativa a nível da UE destinada a aumentar a cooperação entre os Estados-Membros em matéria de cibersegurança. Embora a Comissão tenha adotado, em dezembro de 2020, uma proposta de revisão deste instrumento, introduzindo medidas de supervisão para as autoridades nacionais, a administração da União ainda não é abrangida pelo seu âmbito de aplicação. No mesmo sentido, e para complementar os esforços dos Estados-Membros no domínio da segurança, é da maior importância que as instituições e organismos da União alcancem um elevado nível de proteção das suas informações e dos respetivos sistemas de informação e comunicação, a fim de salvaguardar a segurança da informação. Em julho de 2020, a Comissão adotou a Estratégia para a União da Segurança, que estabelece um compromisso global da UE no sentido de complementar os esforços dos Estados-Membros em todos os domínios da segurança. Esta estratégia decorre entre 2020 e 2025 e define quatro pilares principais de ação: um ambiente de segurança adequado às exigências do futuro, fazer face a ameaças em constante evolução, proteger os europeus do terrorismo e da criminalidade organizada e um ecossistema de segurança europeu sólido. Vários dos temas abordados no âmbito destes pilares centram-se na segurança da informação, na cibersegurança, na cooperação e no intercâmbio de informações, e nas infraestruturas críticas. Em consonância com a Estratégia para a União da Segurança, a Comissão Europeia propõe a criação de um conjunto mínimo de regras em matéria de segurança da informação em todas as instituições e organismos da União, o que dará origem a normas comuns obrigatórias e elevadas para o intercâmbio seguro de informações. Esta iniciativa representa o compromisso das instituições e organismos no sentido de estabelecer, no âmbito da administração europeia, o mesmo nível de ambição no domínio da segurança que é exigido aos Estados-Membros. Em 16 de dezembro de 2020, a Comissão e o Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança apresentaram uma nova Estratégia da UE para a Cibersegurança. Esta estratégia define as prioridades e ações-chave para reforçar a resiliência, a autonomia, a liderança e a capacidade operacional da Europa face a ameaças crescentes e complexas às suas redes e sistemas de informação, bem como para promover um ciberespaço mundial e aberto e as respetivas parcerias internacionais. É igualmente importante que as instituições e organismos da União contribuam para a concretização destas prioridades, estabelecendo requisitos equivalentes nos domínios da segurança da informação e da cibersegurança.

A presente proposta, juntamente com a proposta de regulamento que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União, procura completar o quadro regulamentar da Estratégia para a União da Segurança com requisitos específicos para a administração europeia. Tendo em conta as interligações entre a segurança da informação e a cibersegurança, deve ser assegurada uma abordagem coerente da proteção das informações não classificadas entre estas duas propostas. •Coerência com as outras políticas da União A presente iniciativa tem igualmente em conta outras políticas da União relevantes para a segurança da informação. No domínio da proteção de dados, e aplicável à administração da União Europeia e da Comunidade Europeia da Energia Atómica («Euratom»), existe o Regulamento (UE) 2018/1725 relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados. No mesmo sentido, importa mencionar que, para algumas instituições e organismos da União, os legisladores da UE adotaram regras específicas pertinentes em matéria de proteção de dados pessoais. No domínio da transparência, a presente proposta baseia-se nos princípios consagrados no Regulamento (CE) n.º 1049/2001 relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, no que diz respeito a outras regras pertinentes. 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE •Base jurídica Tendo em conta o objetivo e o conteúdo da presente proposta, a sua base jurídica mais adequada é o artigo 298.º do Tratado sobre o Funcionamento da União Europeia (TFUE) e o artigo 106.º-A do Tratado que institui a Comunidade Europeia da Energia Atómica. O artigo 298.º do TFUE foi introduzido pelo Tratado de Lisboa e permite que os legisladores estabeleçam disposições com vista à criação de uma administração eficiente e independente que apoie as instituições, órgãos e organismos no desempenho da sua missão. Uma administração eficiente e independente depende da segurança das suas informações. A fim de cumprirem a sua missão, as instituições e organismos da União beneficiarão de um ambiente seguro para as informações que tratam e armazenam diariamente. Além disso, proporcionar uma base comum de normas obrigatórias para todos garantiria um elevado nível de segurança, reduziria o risco de elos fracos no apoio à interoperabilidade entre as instituições e organismos e impulsionaria sinergias, reforçando assim a resiliência da administração face à evolução das ameaças. Ademais, com o objetivo geral de alcançar um elevado nível comum de segurança para as ICUE e as informações não classificadas tratadas e armazenadas pelas instituições e organismos da União, a presente proposta permite à administração europeia proteger-se melhor contra interferências externas e atividades de espionagem. O artigo 298.º do TFUE permite à União estabelecer regras comuns para toda a administração europeia a fim de assegurar que todas as instituições e organismos da União tratem de forma idêntica as ICUE e as informações não classificadas. Como tal, o presente regulamento estabelece regras aplicáveis à administração e pode impor indiretamente obrigações apenas às pessoas que executam funções em nome dessa administração ou numa base contratual (com exceção dos Comissários, dos Representantes dos Estados-Membros no Conselho, dos Membros do Parlamento Europeu, dos Juízes dos Tribunais da União ou dos Membros do Tribunal de Contas Europeu). Nos termos do artigo 298.º do TFUE, o Parlamento Europeu e o Conselho deliberam por meio de um regulamento e de acordo com o processo legislativo ordinário. A presente proposta necessita de uma base jurídica adicional, uma vez que abrange igualmente as informações relacionadas com algumas atividades da Comunidade Europeia da Energia Atómica. Essas informações não são informações classificadas da Euratom, mas são tratadas pelas instituições e organismos da União ao abrigo do regime geral das ICUE. Esta base jurídica adicional é o artigo 106.º-A do Tratado que institui a Comunidade Europeia da Energia Atómica, que torna o artigo 298.º do TFUE também aplicável às atividades da Euratom acima referidas. •Subsidiariedade (no caso de competência não exclusiva) De acordo com o princípio da subsidiariedade estabelecido no artigo 5.º, n.º 3, do Tratado da União Europeia, a UE apenas deve intervir quando os objetivos da ação considerada não podem ser suficientemente alcançados pelos Estados-Membros, podendo contudo, devido às dimensões ou aos efeitos da ação considerada, ser mais bem alcançados ao nível da União. Uma vez que só a União pode adotar regras que regulem as ICUE e as informações sensíveis não classificadas tratadas e armazenadas pelas instituições e pelos organismos da União, o princípio da subsidiariedade não se aplica. •Proporcionalidade É necessário estabelecer uma base comum em matéria de segurança da informação para todas as instituições e organismos da União, a fim de contribuir para uma administração independente e eficiente.

Em conformidade com o princípio da proporcionalidade consagrado no artigo 5.º, n.º 4, do TUE, as disposições do regulamento não são excessivamente prescritivas e deixam margem para diferentes níveis de ação específica, em consonância com o nível de maturidade de segurança de cada instituição e organismo da União. Além disso, a solução tem um impacto limitado nos direitos fundamentais das pessoas. Por conseguinte, a proposta não excede o necessário para resolver o problema da ausência de um conjunto comum de regras de segurança da informação para todas as instituições e organismos da União. •Escolha do instrumento Um regulamento baseado no artigo 298.º do TFUE é considerado o instrumento jurídico adequado. Justifica-se pela predominância de elementos que exigem uma aplicação uniforme que não deixe margens de execução às instituições e organismos da União e que crie um quadro horizontal mínimo. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO •Avaliações ex post/balanços de qualidade da legislação em vigor Não aplicável •Consulta das partes interessadas A Comissão procedeu a uma ampla consulta das principais partes interessadas sobre vários aspetos relacionados com as regras de segurança da informação das instituições e organismos da União. O objetivo geral das atividades de consulta era recolher contributos relevantes para a preparação de uma iniciativa legislativa sobre regras de segurança da informação comuns a todas as instituições e organismos da União. As consultas procuraram recolher contributos sobre: •Os problemas relacionados com o quadro de segurança da informação existente nas instituições e organismos da União que, segundo as partes interessadas, devem ser abordados na iniciativa; •A pertinência, a eficácia, a eficiência e o valor acrescentado da iniciativa; •Os impactos previstos da iniciativa e outras eventuais consequências para as partes interessadas. Na preparação da presente proposta legislativa, a Comissão consultou as seguintes categorias de partes interessadas: 1.Instituições, órgãos e organismos da União; 2.Autoridades nacionais de segurança nos Estados-Membros; 3.Peritos em investigação do Centro Comum de Investigação (JRC). Dada a particularidade desta iniciativa, que se aplica exclusivamente às instituições e organismos da União, com pouco impacto nos cidadãos e nas empresas europeias, os serviços da Comissão optaram por dar prioridade à recolha de opiniões junto dos grupos de partes interessadas pertinentes. Como tal, não foi realizada qualquer consulta pública especificamente para esta iniciativa legislativa. Durante o processo de consulta, os serviços da Comissão utilizaram os seguintes métodos e formas de consulta: 1.Uma oportunidade para todas as partes interessadas apresentarem observações sobre a avaliação de impacto inicial através da plataforma «Dê a sua opinião» da Comissão;

2.Um questionário específico dirigido aos peritos em segurança da informação nas instituições e organismos da União através da ferramenta em linha EU Survey; 3.Um questionário específico dirigido às autoridades nacionais de segurança dos Estados-Membros através da ferramenta em linha EU Survey; 4.Um pedido de avaliação de risco personalizada dos principais ativos de segurança da informação; e 5.Várias reuniões e intercâmbios com homólogos de instituições, órgãos e organismos, bem como das autoridades nacionais de segurança dos Estados-Membros. Como principais contributos das atividades de consulta, a Comissão salienta o seguinte: •A fragmentação dos quadros jurídicos pertinentes entre as nossas instituições e organismos gera uma duplicação significativa de esforços para criar e manter regras internas, bem como práticas não interoperáveis no tratamento das informações. Para os Estados-Membros, a diversidade destas regras aumenta os riscos de equívocos, de interpretações incorretas e de incumprimento; •Ao passo que o estabelecimento de uma base de referência para a segurança da informação para todas as instituições e organismos da União criaria um ecossistema com regras de segurança normalizadas e boas práticas implementadas, devem ser tidos em conta a diversidade e o ambiente empresarial de cada instituição e organismo da União e devem ser permitidas soluções locais; •Esta iniciativa deve respeitar a autonomia e os diferentes níveis de maturidade de segurança de cada instituição e organismo da União, que continuarão a ser plenamente responsáveis pela respetiva organização da segurança da informação; •Obtenção e utilização de conhecimentos especializados A Comissão utilizou os seus próprios recursos para realizar a consulta das partes interessadas. A Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança (DG HR) realizou o trabalho relacionado com os inquéritos, videoconferências e outros workshops. Esta tarefa envolveu a seleção dos participantes, a organização de eventos e o tratamento dos contributos recebidos. O Centro Comum de Investigação (JRC) realizou uma avaliação dos riscos dos principais ativos de segurança da informação, utilizados como base para a análise de impacto. •Avaliação de impacto A presente iniciativa dirige-se exclusivamente às instituições e organismos da União e tem um impacto limitado nos Estados-Membros e nas pessoas singulares. Por conseguinte, não foi necessário realizar uma avaliação de impacto exaustiva, uma vez que não existiam impactos claramente identificáveis ou significativos para os cidadãos e as empresas. Foi publicado no sítio Web Europa um roteiro abrangente que recolheu as observações das partes interessadas pertinentes. •Adequação e simplificação da regulamentação Não aplicável •Direitos fundamentais A UE está empenhada em assegurar elevados níveis de proteção dos direitos fundamentais. A presente iniciativa garante o pleno respeito dos direitos fundamentais consagrados na Carta dos Direitos Fundamentais da União Europeia, do seguinte modo: •O direito a uma boa administração Ao reforçar a segurança da informação tratada no contexto da gestão dos assuntos dos cidadãos europeus, as instituições e organismos da União contribuem para a realização do princípio da boa administração. •Proteção de dados pessoais

Todo o tratamento de dados pessoais no âmbito da presente proposta será efetuado em ambientes de confiança e no pleno respeito do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho. •Direito de acesso aos documentos O acesso do público às ICUE e aos documentos sensíveis não classificados continua a ser inteiramente regido pelo Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho. •Direito de propriedade intelectual No tratamento e armazenamento de informações não classificadas e ICUE, as instituições e organismos da União protegem a propriedade intelectual em conformidade com a Diretiva 2001/29/CE do Parlamento Europeu e do Conselho. •Liberdade de expressão e de informação Embora qualquer pessoa tenha a liberdade de receber e transmitir informações e ideias sem interferência da autoridade pública, tal não impede a União de estabelecer as condições de acesso, tratamento e armazenamento de determinados tipos de informações, com base no seu nível de confidencialidade. O exercício destas liberdades pode estar sujeito a condições e restrições previstas por lei e necessárias numa sociedade democrática, a fim de impedir a divulgação de informações recebidas a título confidencial e no interesse da segurança da UE. 4.IMPLICAÇÕES ORÇAMENTAIS A presente proposta exige a afetação de um funcionário AD e de um assistente AST ao Secretariado permanente do Grupo de Coordenação, que é assegurado pela Comissão, na Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança. Para as instituições e organismos, esperam-se economias de custos em termos de funções partilhadas e colaborativas, bem como de prevenção de potenciais danos económicos resultantes de incidentes de segurança, graças a melhorias na segurança da informação. Por outro lado, os esforços financeiros necessários para a aplicação da nova legislação podem ser cobertos ao abrigo dos programas de melhoria da segurança da informação existentes em cada instituição e organismo da União. 5.OUTROS ELEMENTOS •Planos de execução e acompanhamento, avaliação e prestação de informações A proposta prevê que a Comissão apresente ao Parlamento Europeu e ao Conselho, de três em três anos, um relatório sobre a aplicação do presente regulamento, incluindo o funcionamento da governação instituída pelo presente regulamento. Além disso, de 5 em 5 anos, a Comissão avaliará o presente regulamento com vista a avaliar o seu desempenho real e, com base neste, a eventual necessidade de alterar a legislação. •Explicação pormenorizada das disposições específicas da proposta A presente proposta está estruturada em torno dos requisitos para o tratamento e armazenamento de informações não classificadas e de ICUE, que são os principais temas da iniciativa e cuja proteção reforçada representa o seu objetivo subjacente. Objeto e âmbito de aplicação (artigo 1.º e artigo 2.º) O presente regulamento visa criar um conjunto mínimo de regras de segurança da informação aplicáveis a todas as instituições e organismos da União. Aplica-se a todas as informações tratadas e armazenadas pelas instituições e organismos da União, incluindo as informações relacionadas com as atividades da Comunidade Europeia da Energia Atómica, com exceção das informações classificadas da Euratom. Tanto as informações não classificadas como as ICUE são abrangidas pelo presente regulamento.

Definições e princípios gerais (artigos 3.º a 5.º) As definições constantes do artigo 3.º baseiam-se nas regras em vigor em matéria de segurança da informação adotadas separadamente pelas instituições e organismos da União. Para além dos princípios gerais da legislação da União (transparência, proporcionalidade, eficiência e responsabilidade), o presente regulamento prevê as principais orientações vinculativas, tais como o processo individual de gestão dos riscos de segurança da informação realizado por cada instituição e organismo da União e a avaliação das suas informações, a fim de serem devidamente categorizadas. Governação e organização da segurança (artigos 6.º a 8.º) Todas as instituições e organismos da União devem cooperar no âmbito de um Grupo Interinstitucional de Coordenação da Segurança da Informação, que delibera por consenso e no interesse comum das instituições e organismos da União. O Grupo de Coordenação reúne as Autoridades de Segurança de todas as instituições e organismos e elabora documentos de orientação sobre a aplicação do presente regulamento. Assegura contactos regulares com as Autoridades Nacionais de Segurança dos Estados-Membros, reunidas num Comité de Segurança da Informação. São criados cinco subgrupos compostos por peritos representantes de diferentes instituições e organismos, a fim de racionalizar os procedimentos e outros aspetos práticos relacionados com a segurança da informação. Cada instituição e organismo da União deve designar uma Autoridade de Segurança, responsável pela definição das políticas internas em matéria de segurança da informação e pela sua execução. A Autoridade de Segurança cria funções específicas, como a Autoridade de Garantia da Informação, a Autoridade Operacional de Garantia da Informação, a Autoridade de Acreditação de Segurança, a Autoridade TEMPEST, a Autoridade de Aprovação Criptográfica e a Autoridade de Distribuição Criptográfica, que podem ser delegadas noutra instituição ou organismo por razões de eficiência ou de recursos. Garantia da informação e sistemas de comunicação e informação (artigos 9.º a 11.º) O regulamento cria um subgrupo em matéria de garantia da informação com o objetivo de reforçar a coerência, em todas as instituições e organismos da União, entre as regras de segurança da informação e a base de referência em matéria de cibersegurança, como definido no regulamento que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União. As instituições e organismos da União devem respeitar os princípios mencionados nestes artigos e adotar regras internas separadas para medidas de segurança específicas, adaptadas ao seu próprio ambiente de segurança. Informações não classificadas (artigos 12.º a 17.º e anexo I) O regulamento prevê três categorias de informações não classificadas: informações para uso público, informações normais e informações sensíveis não classificadas. São definidas todas as categorias, ao mesmo tempo que são criadas as marcas e as condições de tratamento para a proteção dessas informações. A fim de coordenar o trabalho sobre a equivalência entre categorias particulares criadas por algumas instituições e organismos da União e categorias comuns previstas pelo Regulamento, a proposta cria um subgrupo sobre informações não classificadas. ICUE (artigos 18.º a 58.º e anexos II a VI) Sendo o mais volumoso da proposta, este capítulo está estruturado em sete secções, com se segue: Disposições gerais, Segurança do pessoal, Segurança física, Gestão de ICUE, Proteção nos sistemas de comunicação e informação, Segurança industrial e Partilha de ICUE e intercâmbio de informações classificadas. A secção relativa às disposições gerais prevê quatro níveis de ICUE: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED e prevê a obrigação das instituições e organismos da União de tomarem as medidas de segurança necessárias em conformidade com os resultados de um processo de gestão dos riscos de segurança da informação. Cada uma das restantes secções centra-se nas normas de proteção das ICUE, relacionadas com a sua área específica. Os pormenores relativos a esta proteção das ICUE são especificados nos Anexos II a V. O Anexo VI estabelece a tabela de equivalência entre as ICUE e as classificações de segurança dos Estados-Membros e da Comunidade Europeia da Energia Atómica. Com o objetivo de racionalizar os processos pertinentes no terreno e de evitar a duplicação de esforços, o regulamento cria subgrupos dedicados a áreas específicas, nomeadamente garantia da informação, informações não classificadas, segurança física, acreditação dos sistemas de comunicação e informação, tratamento e armazenamento de ICUE, e partilha de ICUE e intercâmbio de informações classificadas. Disposições finais (artigos 59.º a 62.º)

As disposições finais asseguram a transição das regras e procedimentos em vigor para o novo quadro jurídico criado pelo presente regulamento. Dizem respeito às regras internas em matéria de segurança da informação atualmente aplicáveis nas instituições e organismos da União, ao reconhecimento das visitas de avaliação realizadas antes do início da aplicação do regulamento, ao tratamento dos convénios administrativos anteriormente celebrados e à continuação dos quadros de segurança específicos aplicáveis às convenções de subvenção. O presente regulamento deve aplicar-se decorridos 2 anos a contar da data da sua entrada em vigor. 2022/0084 (COD) Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à segurança da informação nas instituições, órgãos e organismos da União O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 298.º, Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.º-A, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos Parlamentos nacionais, Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: 1)Atualmente, as instituições e organismos da União têm as suas próprias regras em matéria de segurança da informação, com base no seu regulamento interno ou no seu ato constitutivo, ou não dispõem de quaisquer regras dessa natureza. Neste contexto, cada instituição e organismo da União investe esforços significativos na adoção de abordagens diferentes, conduzindo a uma situação em que o intercâmbio de informações nem sempre é fiável. A ausência de uma abordagem comum dificulta a utilização de instrumentos comuns com base num conjunto acordado de regras em função das necessidades de segurança das informações a proteger. 2)Embora se tenham registado progressos no sentido de estabelecer regras mais coerentes para a proteção de informações classificadas da União Europeia («ICUE») e de informações não classificadas, a interoperabilidade dos sistemas pertinentes continua a ser limitada, impedindo uma transferência sem descontinuidades de informações entre as diferentes instituições e organismos da União. Por conseguinte, devem ser envidados mais esforços para permitir uma abordagem interinstitucional em matéria de partilha de ICUE e de informações sensíveis não classificadas, com categorias comuns de informações e princípios comuns fundamentais de tratamento dessas informações. Deve também ser prevista uma base de referência para simplificar os procedimentos de partilha de ICUE e de informações sensíveis não classificadas entre as instituições e organismos da União e com os Estados-Membros. 3)Por conseguinte, devem ser estabelecidas regras pertinentes que garantam um nível comum de segurança da informação em todas as instituições e organismos da União. Estas devem constituir um quadro geral abrangente e coerente para a proteção das ICUE e das informações não classificadas, e assegurar a equivalência dos princípios básicos e das normas mínimas. 4)A recente pandemia provocou uma mudança significativa nas práticas de trabalho, tendo as ferramentas de comunicação à distância passado a ser a norma. Por conseguinte, muitos procedimentos que ainda eram, pelo menos parcialmente, assegurados em suporte papel foram rapidamente adaptados de forma a permitir o tratamento e o intercâmbio eletrónicos de informação. Esta evolução exige alterações no que diz respeito ao tratamento e à proteção das informações. O presente regulamento tem em conta as novas práticas de trabalho. 5)Ao criar um nível mínimo comum de proteção das ICUE e das informações não classificadas, o presente regulamento contribui para assegurar que as instituições e organismos da União tenham o apoio de uma administração eficiente e independente no desempenho das suas missões. Simultaneamente, cada instituição e organismo da União mantém a sua autonomia para determinar a forma de aplicar as regras estabelecidas no presente regulamento, em consonância com as suas próprias necessidades de segurança. O presente regulamento não pode, em caso algum, impedir que as instituições e organismos da União cumpram a sua missão, confiada nos termos da legislação da UE, ou prejudicar a sua autonomia institucional. 6)O presente regulamento não prejudica o disposto no Regulamento (Euratom) n.º 3/1958, no Regulamento n.º 31 (CEE), 11.º (CEEA), que fixa o Estatuto dos Funcionários e o Regime aplicável aos outros agentes da Comunidade Económica Europeia e da Comunidade Europeia da Energia Atómica, no Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho, no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, no Regulamento (CEE, Euratom) n.º 354/83 do Conselho, no Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, no Regulamento (UE) 2021/697 do Parlamento Europeu e do Conselho, e no Regulamento (UE) [...] do Parlamento Europeu e do Conselho que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União. 7)A fim de preservar a natureza específica das atividades da Comunidade Europeia da Energia Atómica reguladas pelo Regulamento (CE) n.º 3/1958 do Conselho da Comunidade Europeia da Energia Atómica, o presente regulamento não deve aplicar-se às informações classificadas da Euratom. No entanto, todas as informações relacionadas com outras atividades Euratom não abrangidas pelo Regulamento (CE) n.º 3/1958 devem ser enquadradas no âmbito de aplicação do presente regulamento.

8)A fim de estabelecer uma estrutura formal de cooperação entre as instituições e organismos da União no domínio da segurança da informação, é necessário criar um Grupo de Coordenação Interinstitucional (a seguir designado «Grupo de Coordenação») no qual estejam representadas todas as autoridades de segurança das instituições e organismos da União. Não dispondo de poderes de decisão, o Grupo de Coordenação deve reforçar a coerência das políticas no domínio da segurança da informação e contribuir para a harmonização dos procedimentos e instrumentos de segurança da informação em todas as instituições e organismos da União. 9)O trabalho do Grupo de Coordenação necessita do apoio de peritos em diferentes domínios da segurança da informação: categorização e marcação, sistemas de comunicação e informação, acreditação, segurança física, e partilha de ICUE e intercâmbio de informações classificadas. Por conseguinte, a fim de evitar a duplicação de esforços entre as instituições e organismos da União, devem ser criados subgrupos temáticos. Além disso, sempre que necessário, o Grupo de Coordenação deve poder criar outros subgrupos com funções específicas. 10)O Grupo de Coordenação deve cooperar estreitamente com as Autoridades Nacionais de Segurança dos Estados-Membros, a fim de reforçar a segurança da informação na União. Por conseguinte, deve ser criado um Comité de Segurança da Informação dos Estados-Membros para prestar aconselhamento ao Grupo de Coordenação. 11)Embora os organismos comuns que representam todas as instituições e organismos da União sejam criados com base no princípio da cooperação, cada instituição e organismo deve continuar a ser plenamente responsável pela segurança da informação na sua organização. Cada instituição e organismo da União deve dispor de uma Autoridade de Segurança e, se necessário, de outras autoridades com responsabilidades específicas relacionadas com a segurança da informação. 12)O princípio da gestão dos riscos de segurança da informação deve estar no cerne da política a desenvolver no terreno por cada instituição e organismo da União. Embora os requisitos mínimos estabelecidos no presente regulamento devam ser cumpridos, cada instituição e organismo da União deve adotar medidas de segurança específicas para proteger as informações de acordo com os resultados de uma avaliação interna dos riscos. Do mesmo modo, os meios técnicos para proteger as informações devem ser adaptados à situação específica de cada instituição e organismo. 13)Dada a diversidade de categorias de informações não classificadas que as instituições e organismos da União desenvolveram com base nas suas próprias regras de segurança da informação, e a fim de evitar atrasos na aplicação do presente regulamento, as instituições ou organismos da União devem poder manter o seu próprio sistema de marcação para fins internos ou para o intercâmbio de informações com os seus homólogos específicos de outras instituições e organismos ou dos Estados-Membros. 14)Com o objetivo de se adaptarem às novas práticas de teletrabalho, as redes utilizadas para a ligação aos serviços de acesso remoto das instituições ou organismos da União devem ser protegidas através de medidas de segurança adequadas. 15)Uma vez que as instituições e organismos da União recorrem frequentemente a contratantes e a serviços de externalização, é importante estabelecer disposições comuns relativas ao pessoal das entidades contratantes responsável por executar tarefas relacionadas com a segurança da informação. 16)As regras substantivas relativas ao acesso a ICUE nas regras internas de várias instituições e organismos da União estão atualmente alinhadas, mas existem diferenças significativas no que diz respeito às denominações e aos procedimentos exigidos. Esta situação cria um encargo para as Autoridades Nacionais de Segurança dos Estados-Membros, que têm de se adaptar a diferentes requisitos. Por conseguinte, é necessário prever um glossário comum e procedimentos comuns no domínio da segurança do pessoal, simplificando assim a cooperação com as Autoridades Nacionais de Segurança dos Estados-Membros e limitando o risco de comprometer as ICUE. 17)Dada a disparidade de recursos entre as instituições e organismos da União e a fim de racionalizar os seus procedimentos e práticas pertinentes, as tarefas de credenciação de segurança podem ser confiadas à Comissão, a fim de dar continuidade a uma prática de longa data no domínio da credenciação de segurança e contribuir para a centralização das funções atribuídas a cada Autoridade de Segurança. 18)A proteção das ICUE é igualmente assegurada por medidas técnicas e organizativas aplicáveis às instalações, edifícios, salas ou gabinetes das instituições e organismos da União onde sejam discutidas, tratadas ou armazenadas ICUE. O presente regulamento prevê a aplicação de um processo de gestão da segurança da informação no domínio da segurança física que permita às instituições e organismos da União selecionar as medidas de segurança adequadas para as suas instalações. 19)Todas as instituições e organismos da União que tratem e armazenem ICUE devem estabelecer zonas fisicamente protegidas nas suas instalações, a fim de assegurar o mesmo nível de proteção para os níveis relevantes de classificação de ICUE tratadas e armazenadas. Essas zonas devem ser designadas Zonas Administrativas e Zonas de Segurança e devem respeitar normas mínimas comuns para a proteção das ICUE. 20)O controlo das entidades de origem é um princípio importante na gestão das ICUE, pelo que deve ser claramente definido e desenvolvido. A este respeito, a criação de ICUE confere à entidade de origem uma responsabilidade que deve abranger todo o ciclo de vida do documento de ICUE em causa. 21)Tradicionalmente, as instituições e os organismos da União têm desenvolvido os seus sistemas de comunicação e informação de forma autónoma, sem dar suficiente atenção à sua interoperabilidade entre as instituições e organismos da União. Por conseguinte, é necessário estabelecer requisitos mínimos de segurança para os Sistemas de Comunicação e Informação (SCI) que tratam e armazenam ICUE e informações não classificadas, com o objetivo de garantir um intercâmbio sem descontinuidades de informações com as partes interessadas pertinentes. 22)Com o objetivo de estabelecer uma norma única de acreditação dos SCI que tratam e armazenam ICUE, as instituições e organismos da União devem trabalhar em conjunto num grupo criado para o efeito. Recomenda-se que todos utilizem essa norma a fim de contribuir para um nível geral de proteção das ICUE. No entanto, no que diz respeito à autonomia organizativa, a decisão continua a caber à autoridade competente de cada instituição ou organismo. 23)Todas as instituições e organismos da União devem seguir os mesmos procedimentos e aplicar as mesmas medidas aquando da adjudicação e execução de contratos ou convenções de subvenção classificados. Por conseguinte, é necessário definir claramente tanto os elementos obrigatórios como os elementos facultativos dos contratos e convenções de subvenção classificados. No entanto, as medidas de proteção das ICUE relacionadas com contratos e convenções de subvenção classificados devem ter em conta as regras já desenvolvidas individualmente na área pelas instituições e organismos da União em conjunto com os Estados-Membros. 24)A estreita cooperação entre as instituições e organismos da União, bem como a multiplicidade de sinergias desenvolvidas entre eles, implica a partilha de uma grande quantidade de informações. Por razões de segurança das informações classificadas, a fiabilidade de uma instituição ou organismo da União deve ser avaliada antes que esta/este trate e armazene um nível especificado de ICUE. 25)Além disso, a partilha de ICUE entre as instituições e organismos da União e o intercâmbio de informações classificadas com organizações internacionais e países terceiros devem também ser regulamentados por medidas de segurança adequadas para a proteção dessas informações. Sempre que estejam previstos acordos em matéria de segurança da informação, devem ser aplicadas as disposições do artigo 218.º do Tratado. 26)Os acordos em matéria de segurança das informações destinam-se a assegurar o quadro jurídico geral para o intercâmbio de informações classificadas da União com países terceiros e com organizações internacionais, sendo igualmente necessário prever a possibilidade de as instituições e organismos da União celebrarem acordos administrativos com uma contraparte específica de um país terceiro ou de uma organização internacional para efeitos de intercâmbio de ICUE. 27)O presente regulamento estabelece um quadro comum para todas as instituições e organismos da União. A fim de evitar a imposição de uma carga administrativa excessiva às instituições e organismos da União no processo de adaptação das suas regras de segurança interna às regras estabelecidas no presente regulamento, este deve ser aplicável decorridos 2 anos após a sua entrada em vigor.

28)Em conformidade com os pontos 22 e 23 do Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor, a Comissão deve avaliar o presente regulamento a fim de analisar os seus efeitos reais e a necessidade de eventuais novas medidas. A Comissão deve apresentar ao Parlamento Europeu e ao Conselho um relatório sobre a aplicação do presente regulamento, o mais tardar 3 anos a contar da data de aplicação. 29)A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.º do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho e emitiu um parecer em... ADOTARAM O PRESENTE REGULAMENTO: Capítulo 1

Disposições gerais Artigo 1.º Objeto 1.O presente regulamento estabelece regras de segurança da informação para todas as instituições e organismos da União. Artigo 2.º Âmbito de aplicação 1.O presente regulamento aplica-se a todas as informações tratadas e armazenadas pelas instituições e organismos da União, incluindo as informações relacionadas com atividades da Comunidade Europeia da Energia Atómica, com exceção das informações classificadas da Euratom. 2.O presente regulamento aplica-se aos seguintes níveis de confidencialidade das informações: a)Três níveis de informações não classificadas: para uso público, normais e sensíveis não classificadas; b)Quatro níveis de informações classificadas da UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Estes níveis baseiam-se nos prejuízos que a divulgação não autorizada pode causar aos legítimos interesses privados e públicos, incluindo os da União, das instituições e organismos da União e dos Estados-Membros ou outras partes interessadas, para que possam ser aplicadas as medidas de proteção adequadas. Artigo 3.º Definições Para efeitos do presente regulamento, entende-se por: a)«Informações», quaisquer dados em formato oral, visual, eletrónico, magnético ou físico, ou sob a forma de material, equipamento ou tecnologia, incluindo reproduções, traduções e material em desenvolvimento; b)«Segurança da informação», a garantia da autenticidade, disponibilidade, confidencialidade, integridade e não rejeição da informação; c)«Tratamento» de informações, todas as atividades a que as informações possam eventualmente ser sujeitas ao longo do seu ciclo de vida; compreende a sua produção, recolha, registo, atribuição de um nível de confidencialidade, processamento, visualização, consulta, transporte, transmissão, desgraduação, desclassificação, arquivo e destruição;

d)«Armazenamento», o ato de conservar informações em qualquer suporte, a fim de assegurar a sua disponibilidade para utilização futura; e)«Instituições e organismos da União», as instituições, órgãos e organismos da União criados pelo Tratado da União Europeia, pelo Tratado sobre o Funcionamento da União Europeia, pelo Tratado que institui a Comunidade Europeia da Energia Atómica ou por um ato legislativo, ou com base nos mesmos; f)«Informações classificadas da Euratom», informações na aceção do Regulamento n.º 3/1958 do Conselho da Comunidade Europeia da Energia Atómica; g)«Autoridade de Segurança», a função de segurança de cada instituição e organismo da União, designada em conformidade com o seu regulamento interno ou com o seu ato constitutivo; h)«Processo de gestão dos riscos de segurança da informação», todo o processo de identificação, controlo e minimização de acontecimentos indeterminados que possam afetar a segurança de determinada organização ou qualquer um dos sistemas por ela utilizados; este processo abarca todas as atividades relacionadas com o risco, designadamente a avaliação, tratamento, aceitação e comunicação; i)«Ativo», tudo o que é útil para uma instituição ou organismo da União, para as suas atividades e para a continuidade destas, nomeadamente os recursos de informação que a apoiam no desempenho das suas funções; j)«Procedimentos operacionais de segurança», um conjunto de procedimentos documentados, tal como referido no anexo III, para a operação de uma Zona de Segurança, de um sistema de comunicação e informação ou de outro ativo ou serviço relacionado com a segurança, a fim de garantir a sua eficácia; k)«Sistema de comunicação e informação» ou «SCI», qualquer sistema que permita o tratamento e o armazenamento de informações em formato eletrónico, incluindo todos os ativos necessários ao seu funcionamento; l)«Garantia da informação», a certeza de que os sistemas de comunicação e informação protegem as informações neles tratadas e armazenadas e funcionam como necessário, quando necessário, sob o controlo de utilizadores legítimos, assegurando simultaneamente níveis adequados de autenticidade, disponibilidade, confidencialidade, integridade e não rejeição; m)«Acreditação», a autorização formal da Autoridade de Acreditação de Segurança para que um sistema de comunicação e informação trate, ou para que uma Zona de Segurança armazene, um nível predefinido de ICUE; n)«Processo de acreditação», as medidas e tarefas necessárias exigidas antes da acreditação; o)«Medidas de segurança TEMPEST», medidas destinadas a proteger os SCI que tratem e armazenem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior contra o risco de comprometimento de tais informações devido a emanações eletromagnéticas não intencionais; p)«CERT-UE», o Centro de Cibersegurança das instituições e organismos da União, na aceção do Regulamento (UE) [...] do Parlamento Europeu e do Conselho que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União; q)«Incidente de segurança da informação», qualquer acontecimento que possa comprometer a autenticidade, a disponibilidade, a confidencialidade, a integridade ou a não rejeição das informações armazenadas, transmitidas ou tratadas; r)«Necessidade de tomar conhecimento», a necessidade de uma pessoa aceder a determinadas informações tratadas ou armazenadas por uma instituição ou organismo da União para desempenhar as funções dessa instituição ou organismo da União; s)«Confiança zero», um modelo de segurança, um conjunto de princípios de conceção de sistemas e uma estratégia coordenada de cibersegurança e de gestão de sistemas baseada no reconhecimento da existência de ameaças dentro e fora das fronteiras tradicionais da rede; t)«Marca», um rótulo que é aplicado às informações para assegurar a aplicação das medidas de segurança adequadas; u)«Marca de segurança», uma marca que indica o nível de confidencialidade das informações; v)«Marca de distribuição», uma marca que indica os destinatários pretendidos das informações na instituição ou organismo de origem da União; w)«Marca de comunicabilidade», uma marca que indica os destinatários autorizados fora da instituição ou organismo de origem da União;

x)«Proprietário do sistema», a pessoa responsável pelo processo global de aquisição, desenvolvimento, integração, modificação, funcionamento, manutenção e retirada de funcionamento de um sistema de comunicação e informação; y)«Ameaça à segurança da informação», um acontecimento ou agente relativamente ao qual se pode razoavelmente esperar que afete negativamente a segurança da informação se não lhe for dada resposta e se não for controlado; z)«Vulnerabilidade», uma insuficiência, suscetibilidade ou falha de um ativo, sistema, processo ou controlo, suscetível de ser potenciada por uma ou mais ameaças; aa)«Risco», o potencial efeito adverso de uma determinada ameaça, suscetível de explorar as vulnerabilidades internas e externas de uma instituição ou organismo da União ou dos sistemas por eles utilizados, e de causar danos aos interesses públicos e privados legítimos, medindo-se pela combinação da probabilidade de as ameaças ocorrerem e do respetivo impacto; ab)«Risco residual», o risco que permanece após terem sido aplicadas medidas de segurança; ac)«Avaliação do risco», a identificação das ameaças e vulnerabilidades e realização da análise de risco conexa, ou seja, a análise da probabilidade e do impacto; ad)«Tratamento do risco», a atenuação, eliminação, redução (mediante uma combinação adequada de medidas técnicas, materiais, organizativas e processuais), transferência ou acompanhamento do risco; ae)«Certificado europeu de cibersegurança», um certificado na aceção do artigo 2.º, n.º 11, do Regulamento (UE) 2019/881; af)«Detentor», pessoa devidamente autorizada com necessidade comprovada de tomar conhecimento, que está na posse de informações e é consequentemente responsável pela sua proteção; ag)«Material», qualquer documento, suporte de dados ou peça de maquinaria ou equipamento, já fabricado ou em fase de fabrico; ah)«Informações classificadas da União Europeia» ou «ICUE», quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União ou de um ou mais Estados-Membros; ai)«Autorização de acesso a ICUE», a decisão tomada por uma Autoridade de Segurança de que pode ser facultado acesso a ICUE a um funcionário, outro agente ou perito nacional destacado de uma instituição ou organismo da União, até determinado nível, e até determinada data; aj)«Autoridade Nacional de Segurança» ou «ANS», uma autoridade governamental de um Estado-Membro responsável, em última instância, pela segurança das informações classificadas nesse Estado-Membro; ak)«Autoridade de Segurança Designada» ou «ASD», uma autoridade de um Estado-Membro (ANS ou qualquer outra autoridade competente) responsável por facultar orientação e prestar assistência na implementação da segurança industrial ou nos procedimentos de credenciação, ou ambos; al)«Investigação de segurança», os procedimentos de investigação conduzidos pela autoridade competente de um Estado-Membro, em conformidade com as disposições legislativas e regulamentares nacionais, a fim de obter a garantia de que não há conhecimento de circunstâncias desfavoráveis que impeçam uma dada pessoa de obter uma credenciação de segurança até um determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior); am)«Segurança física», a aplicação de medidas físicas, técnicas e organizativas a instalações, edifícios, gabinetes ou salas de uma instituição ou organismo da União que exijam proteção contra o acesso não autorizado às informações aí tratadas, armazenadas ou discutidas; an)«Locais», as instalações, edifícios, salas ou gabinetes de uma instituição ou organismo da União; ao)«Defesa em profundidade», um tipo de segurança que utiliza vários estratos independentes de controlos de segurança para assegurar que, caso um falhe, um dos outros ficará operacional; ap)«Material criptográfico», os algoritmos criptográficos, módulos criptográficos de hardware e software, e produtos que incluam regras de aplicação e documentação conexa e material de cifragem; aq)«Produto criptográfico», produto cuja funcionalidade primeira e principal é a prestação de serviços de segurança (autenticidade, disponibilidade, confidencialidade, integridade e não rejeição) através de um ou mais mecanismos criptográficos;

ar)«Entidade de origem», a instituição ou organismo da União, Estado-Membro, Estado terceiro ou organização internacional sob cuja autoridade tenham sido produzidas ou introduzidas nas estruturas da União informações classificadas; as)«Documento», qualquer conteúdo, seja qual for o seu suporte (papel, eletrónico, magnético ou outro), sob forma escrita ou em formato de registo visual ou audiovisual; at)«Registo para efeitos de segurança», a aplicação de procedimentos que registam o ciclo de vida do material, incluindo a sua divulgação e destruição; au)«Desclassificação», a eliminação de qualquer classificação de segurança; av)«Desgraduação», uma redução do nível de classificação de segurança; aw)«Contrato classificado», um contrato-quadro ou contrato, tal como referido no Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, celebrado por uma instituição ou organismo da União com um contratante para o fornecimento de bens móveis ou imóveis, a execução de obras ou a prestação de serviços, cuja execução exija ou implique o tratamento, incluindo a produção, ou o armazenamento de ICUE; ax)«Convenção de subvenção classificada», um acordo nos termos do qual uma instituição ou organismo da União concede uma subvenção, como referido no Título VIII do Regulamento (UE, Euratom) 2018/1046, cuja execução exija ou implique o tratamento, incluindo a produção, ou o armazenamento de ICUE; ay)«Subcontrato classificado», um contrato celebrado por um contratante ou beneficiário de uma instituição ou organismo da União com um subcontratante para o fornecimento de bens móveis ou imóveis, a realização de obras ou a prestação de serviços, cuja execução exija ou implique o tratamento, incluindo a criação, ou o armazenamento de ICUE; az)«Instruções de Segurança do Programa ou Projeto» ou «ISP», uma lista de procedimentos de segurança que são aplicados a um programa ou projeto específico a fim de normalizar os procedimentos de segurança; ba)«Cláusula Adicional de Segurança» ou «CAS», condições contratuais especiais, emitidas pela entidade contratante ou que concede a subvenção, que fazem parte integrante de um contrato ou convenção de subvenção classificado que implica o acesso a ICUE ou a sua produção, e nas quais são identificados os requisitos de segurança e as partes do contrato ou subvenção que exigem proteção de segurança; bb)«Guia da Classificação de Segurança» ou «GCS», um documento que descreve as partes classificadas do programa, projeto, contrato ou convenção de subvenção, especificando os níveis da classificação de segurança aplicáveis; Artigo 4.º Princípios gerais 1.Cada instituição e organismo da União é responsável pela aplicação das disposições do presente regulamento na sua organização, tendo em conta o seu próprio processo de gestão dos riscos de segurança da informação. 2. O incumprimento do presente regulamento, em particular a divulgação não autorizada de informações com os níveis de confidencialidade a que se refere o artigo 2.º, n.º 2, com exceção das informações para uso público, deve ser sujeito a investigação e pode acionar a responsabilidade do pessoal nos termos dos Tratados ou das respetivas regras aplicáveis ao pessoal. 3.As instituições e organismos da União avaliam todas as informações que tratam e armazenam, a fim de as classificar em conformidade com os níveis de confidencialidade a que se refere o artigo 2.º, n.º 2. 4.As instituições e organismos da União determinam as necessidades de segurança de todas as informações que tratam e armazenam tendo em conta os seguintes aspetos: a)Autenticidade: a garantia de que a informação é genuína e provém de fonte fidedigna; b)Disponibilidade: acessibilidade e possibilidade de ser utilizada a pedido de uma entidade autorizada; c)Confidencialidade: não divulgação de informações a pessoas, entidades ou processos não autorizados;

d)Integridade: o facto de as informações estarem completas e de a completude das informações não ter sido alterada; e)Não rejeição: a capacidade de provar que um ato ou acontecimento teve lugar, de modo a que esse acontecimento ou ato não possa ser subsequentemente negado; 5.Para cada sistema de comunicação e informação sob a sua responsabilidade, as instituições e organismos da União identificam o mais elevado nível de confidencialidade que esse sistema de comunicação e informação pode tratar e armazenar, realizam uma avaliação dos riscos para a segurança da informação e acompanham regularmente as necessidades de segurança e a correta aplicação das medidas de proteção identificadas. 6.Todas as instituições e organismos da União devem realizar ações de formação e sensibilização sobre a forma de tratar e armazenar informações não classificadas e ICUE. As instituições e organismos da União que tratam e armazenam ICUE organizam ações de formação obrigatórias, pelo menos de 5 em 5 anos, para todas as pessoas autorizadas a aceder a ICUE. As instituições e organismos da União em causa organizam ações de formação específicas para as funções específicas às quais são confiadas tarefas de segurança da informação. Uma instituição ou organismo da União pode coordenar essas ações de formação e sensibilização com outras instituições e organismos da União. Artigo 5.º Processo de gestão dos riscos de segurança da informação 1.Cada instituição e organismo da União estabelece um processo de gestão dos riscos de segurança da informação para a proteção das informações tratadas e armazenadas na referida instituição ou organismo. 2.O processo de gestão dos riscos de segurança da informação inclui as seguintes etapas: a)Identificação de ameaças e vulnerabilidades; b)Avaliação do risco; c)Tratamento do risco; d)Aceitação do risco; e)Comunicação do risco. 3.O processo de gestão dos riscos de segurança da informação tem em conta todos os fatores relevantes para a instituição ou organismo em causa, nomeadamente: a)O nível de confidencialidade das informações e as obrigações legais conexas; b)A forma e a quantidade das informações e das instalações ou SCI onde as informações são tratadas e armazenadas; c)As pessoas que acedem às informações nos próprios locais ou à distância; d)O ambiente envolvente e a estrutura dos edifícios ou zonas de armazenamento da informação;

e)As ameaças que visam a União, as instituições e organismos da União ou os Estados-Membros, provenientes de ciberataques, ataques à cadeia de abastecimento, espionagem, sabotagem, atividades terroristas, subversivas ou outras atividades criminosas; f)Continuidade das atividades e recuperação em caso de catástrofe; g)Os resultados das inspeções, auditorias ou visitas de avaliação, se for caso disso. Capítulo 2

Governação e organização da segurança Artigo 6.º Grupo Interinstitucional de Coordenação da Segurança da Informação 1.É criado um Grupo Interinstitucional de Coordenação da Segurança da Informação (a seguir designado «Grupo de Coordenação»). É composto por todas as Autoridades de Segurança das instituições e organismos da União e dispõe de um mandato para definir a sua política comum no domínio da segurança da informação. 2.Deliberando por consenso e no interesse comum de todas as instituições e organismos da União, o Grupo de Coordenação: a)Adota o seu regulamento interno e os objetivos e prioridades comuns anuais; b)Adota decisões sobre a criação de subgrupos temáticos e as respetivas atribuições; c)Elabora documentos de orientação sobre a aplicação do presente regulamento, em cooperação com o Comité Interinstitucional para a Cibersegurança a que se refere o artigo 9.º do Regulamento UE [...] que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União, se for caso disso; d)Cria plataformas específicas para a partilha de boas práticas e conhecimentos sobre temas comuns relevantes para a segurança da informação, bem como para a prestação de assistência em caso de incidentes de segurança da informação; e)Assegura que as medidas de segurança são coordenadas, na medida do necessário, com as Autoridades Nacionais de Segurança competentes para efeitos de proteção das ICUE. 3.O Grupo de Coordenação designa um presidente e dois vice-presidentes de entre os seus membros, por um período de 3 anos. 4.O Grupo de Coordenação reúne-se, pelo menos, uma vez por ano, por iniciativa do seu presidente ou a pedido de uma instituição ou organismo da União. 5.O Grupo de Coordenação tem o apoio administrativo de um secretariado permanente assegurado pela Comissão. 6.Cada instituição ou organismo da União está devidamente representado no Grupo de Coordenação e, se for caso disso, nos subgrupos temáticos. 7.As instituições e organismos da União chamam a atenção do Grupo de Coordenação para qualquer evolução significativa que diga respeito à política de segurança da informação no âmbito da sua organização. 8.Na execução das funções a que se refere o n.º 2, alínea e), o Grupo de Coordenação é assistido por um Comité de Segurança da Informação. Esse Comité é composto por um representante de cada Autoridade Nacional de Segurança e presidido pelo Secretariado do Grupo de Coordenação referido no n.º 5. O Comité de Segurança da Informação tem um papel consultivo.

Artigo 7.º Subgrupos temáticos 1.O Grupo de Coordenação cria os seguintes subgrupos temáticos permanentes a fim de facilitar a aplicação do presente regulamento: a)Um subgrupo no domínio da garantia da informação; b)Um subgrupo no domínio das informações não classificadas; c)Um subgrupo no domínio da segurança física; d)Um subgrupo no domínio da acreditação dos sistemas de comunicação e informação que tratam e armazenam ICUE; e)Um subgrupo no domínio da partilha de ICUE e do intercâmbio de informações classificadas. 2.Se necessário, o Grupo de Coordenação pode criar subgrupos ad hoc para uma função específica e por um período limitado. 3.Salvo disposição em contrário nas suas atribuições, os subgrupos baseiam-se numa composição aberta que represente a instituição ou o organismo da União em causa. Os membros dos subgrupos são peritos no respetivo domínio de competências. 4.O Secretariado do Grupo de Coordenação, a que se refere o artigo 5.º, n.º 5, apoia o trabalho de todos os subgrupos e assegura a comunicação entre os seus membros. Artigo 8.º Organização da segurança 1.Cada instituição e organismo da União designa uma Autoridade de Segurança para assumir as responsabilidades que lhe são atribuídas pelo presente regulamento e, se for caso disso, pelas suas regras internas de segurança. No desempenho das suas funções, cada Autoridade de Segurança tem o apoio do serviço ou do funcionário a quem são confiadas tarefas de segurança da informação. 2.Sempre que necessário, a Autoridade de Segurança de cada instituição e organismo da União adota regras de execução internas para a proteção da informação, em conformidade com a sua missão específica confiada nos termos da legislação da UE, e com base na sua autonomia institucional. 3.Se for caso disso, cada Autoridade de Segurança assume igualmente as seguintes funções: a)A Autoridade de Garantia da Informação fica encarregada da elaboração de políticas e diretrizes de segurança em matéria de garantia da informação e do controlo da sua eficácia e pertinência; b)A Autoridade Operacional de Garantia da Informação é responsável pela elaboração de documentação em matéria de segurança, em particular os Procedimentos Operacionais de Segurança e o plano criptográfico no âmbito do processo de acreditação dos sistemas de comunicação e informação; c)A Autoridade de Acreditação de Segurança é responsável pela acreditação das Zonas de Segurança e de SCI que tratam e armazenam ICUE; d)A Autoridade TEMPEST é responsável pela aprovação das medidas de proteção contra o comprometimento de ICUE devido a emanações eletromagnéticas não intencionais;

e)A Autoridade de Aprovação Criptográfica é responsável pela aprovação da utilização de tecnologias de encriptação com base num pedido do proprietário do sistema; f)A Autoridade de Distribuição Criptográfica é responsável pela distribuição de materiais criptográficos utilizados para proteger as ICUE (equipamento de cifragem, chaves criptográficas, certificados e autenticadores conexos) aos utilizadores em causa. 4.As responsabilidades de uma ou mais das funções a que se refere o n.º 3 podem ser delegadas noutra instituição ou organismo da União sempre que a execução descentralizada de segurança proporcione poupanças significativas em termos de eficiência, recursos ou tempo. Capítulo 3

Garantia da informação e sistemas de comunicação e informação (SCI) Artigo 9.º Princípios de garantia da informação 1.A avaliação das necessidades de segurança da informação é tida em conta desde o início da criação, ou na fase de adjudicação do contrato, no que diz respeito a todos os SCI, incluindo os SCI internos, externalizados e híbridos. 2.Qualquer SCI que trate e armazene ICUE deve ser acreditado nos termos da Secção 5 do Capítulo 5. Os SCI que tratam e armazenam informações sensíveis não classificadas devem cumprir os requisitos mínimos aplicáveis às informações sensíveis não classificadas nos SCI, estabelecidos no capítulo 4. Artigo 10.º Subgrupo no domínio da garantia da informação 1.O subgrupo no domínio da garantia da informação a que se refere o artigo 7.º, n.º 1, alínea a), tem as seguintes funções e responsabilidades: a)Fornecer orientações e boas práticas sobre a marcação, o tratamento e o armazenamento de informações nos SCI, em estreita cooperação com o Comité Interinstitucional de Cibersegurança a que se refere o artigo 9.º do Regulamento (UE) [XXX] que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União; b)Estabelecer um sistema de metadados para as marcas e todas as informações técnicas necessárias para contribuir para um intercâmbio de informações interoperável e sem descontinuidades entre as instituições e organismos da União, ao interligar os respetivos SCI; c)Contribuir para a coerência entre as regras de segurança da informação e a base de referência em matéria de cibersegurança em todas as instituições e organismos da União, a que se refere o artigo 5.º do Regulamento (UE) [XXX] que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União. Artigo 11.º Requisitos aplicáveis aos sistemas de comunicação e informação 1.As instituições e organismos da União informam os utilizadores sobre os níveis de confidencialidade das informações que podem ser tratadas e armazenadas num SCI. Sempre que um SCI trate e armazene vários níveis de confidencialidade, devem ser utilizados metadados e marcas visuais para assegurar que os diferentes níveis possam ser distinguidos. 2.As instituições e organismos da União identificam os utilizadores do SCI antes de lhes conceder acesso a outros níveis de confidencialidade que não a utilização pública. Os utilizadores são autenticados com um nível de garantia adequado ao nível de confidencialidade. Se for caso disso, deve ser utilizado um sistema de identificação comum seguro. 3.São conservados registos de segurança adequados para todos os SCI, a fim de assegurar investigações rápidas em caso de violações ou fugas de informação. Tais registos são conservados durante um período estabelecido na avaliação de impacto sobre as atividades ou nas políticas de segurança pertinentes, de forma irrefutável. Sempre que um SCI trate e armazene ICUE, os registos relacionados com a necessidade de tomar conhecimento e o acesso às informações são conservados até que as informações sejam desclassificadas. Os registos de segurança são pesquisáveis e acessíveis pela Autoridade de Segurança.

4.As instituições e organismos da União adotam regras internas em matéria de segurança dos SCI a fim de especificar as medidas de segurança adequadas, em conformidade com as necessidades de segurança das informações a tratar e armazenar, e tendo em conta as jurisdições em que as informações são armazenadas, transmitidas e tratadas. Se for caso disso, tais medidas incluem: a)Restrições à localização geográfica; b)Consideração de potenciais conflitos de interesses, boicotes ou sanções aplicáveis às entidades contratantes; c)Disposições contratuais para garantir a segurança das informações; d)Cifragem das informações armazenadas e em trânsito; e)Restrições à acessibilidade das informações das instituições e organismos da União por parte do pessoal das entidades contratantes; f)Proteção dos dados pessoais em conformidade com a legislação aplicável em matéria de proteção de dados. 5.As instituições e organismos da União gerem os respetivos SCI em conformidade com os seguintes princípios: a)Cada SCI tem um proprietário do sistema ou uma Autoridade Operacional de Garantia da Informação responsável pela sua segurança; b)É conduzido um processo de gestão dos riscos de segurança da informação que abranja os aspetos de segurança da informação; c)Os requisitos de segurança e os procedimentos operacionais de segurança são formalmente definidos, aplicados, verificados e revistos; d)Os incidentes de segurança da informação são formalmente registados e acompanhados, em conformidade com o Regulamento (UE) [XXX] que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União. Capítulo 4

Informações não classificadas Artigo 12.º Informações para uso público 1.As informações destinadas a uso público, a publicação oficial ou já divulgadas, que possam ser partilhadas sem restrições dentro ou fora das instituições e organismos da União, são categorizadas, tratadas e armazenadas como informações para uso público. 2.As instituições e organismos da União podem colocar a marca «PUBLIC USE» nas informações a que se refere o n.º 1. 3.Todas as instituições e organismos da União garantem a integridade e a disponibilidade das informações para uso público através de medidas adequadas com base nas suas necessidades de segurança. Artigo 13.º Informações normais

1.As informações destinadas a ser utilizadas por uma instituição ou organismo da União no exercício das suas funções que não sejam informações sensíveis não classificadas nem informações para uso público são categorizadas, tratadas e armazenadas como informações normais. Esta categoria abrange todas as informações de trabalho normais tratadas na instituição ou organismo da União em causa. 2.As informações normais podem ser marcadas visualmente ou em metadados, se tal for necessário para assegurar a sua proteção, em particular quando são partilhadas fora das instituições e organismos da União. Nesse caso, deve ser utilizada a menção «EU NORMAL» ou o «nome ou acrónimo da instituição ou do organismo da União NORMAL» (ajustado caso a caso). 3.As instituições e organismos da União definem medidas de proteção normalizadas para as informações normais, tendo em conta as orientações do subgrupo relativo às informações não classificadas e quaisquer riscos específicos relacionados com as suas funções e atividades. 4.As informações normais só podem ser trocadas fora das instituições e organismos da União com pessoas singulares ou coletivas que tenham necessidade de tomar conhecimento. Artigo 14.º Informações sensíveis não classificadas 1.As instituições e organismos da União categorizam, tratam e armazenam como informações sensíveis não classificadas todas as informações que não estejam classificadas, mas que devam proteger devido a obrigações legais ou devido aos danos que possam ser causados aos legítimos interesses privados e públicos, incluindo os das instituições e organismos da União, dos Estados-Membros ou das pessoas singulares pela sua divulgação não autorizada. 2.Cada instituição e organismo da União identifica as informações sensíveis não classificadas através de uma marca de segurança visível e define as correspondentes instruções de tratamento, em conformidade com o anexo I. 3.As instituições e organismos da União protegem as informações sensíveis não classificadas através da aplicação de medidas adequadas no que diz respeito ao seu tratamento e armazenamento. Tais informações só podem ser disponibilizadas no seio das instituições e organismos da União a pessoas que delas tenham necessidade de tomar conhecimento para o desempenho das funções que lhes são atribuídas. 4.As informações sensíveis não classificadas só podem ser trocadas fora das instituições e organismos da União com pessoas singulares e coletivas que delas tenham necessidade de tomar conhecimento, respeitando simultaneamente as instruções de tratamento que acompanham as informações. Todas as partes envolvidas são informadas das instruções de tratamento adequadas. Artigo 15.º Proteção das informações não classificadas e interoperabilidade 1.As instituições e organismos da União estabelecem procedimentos para a comunicação e gestão de quaisquer incidentes ou suspeitas de incidentes que possam comprometer a segurança das informações não classificadas. 2.Se necessário, as instituições e organismos da União utilizam as marcas previstas nos artigos 12.º, 13.º e 14.º. Excecionalmente, podem ser utilizadas outras marcas equivalentes internamente e relativamente aos seus homólogos específicos de outras instituições e organismos da União ou dos Estados-Membros, quando todas as partes estiverem de acordo. Essa exceção é notificada ao subgrupo responsável pelas informações não classificadas, tal como referido no artigo 7.º, n.º 1, alínea b). 3.São criadas salvaguardas contratuais para garantir a proteção das informações normais e sensíveis não classificadas tratadas por serviços externalizados. As salvaguardas são concebidas de modo a garantir, pelo menos, um nível de proteção equivalente ao previsto no presente regulamento, e incluem acordos de confidencialidade e de não divulgação a assinar por todos os prestadores de serviços pertinentes envolvidos no fornecimento dos sistemas externalizados. Artigo 16.º Subgrupo no domínio das informações não classificadas 1.O subgrupo no domínio das informações não classificadas a que se refere o artigo 7.º, n.º 1, alínea b), tem as seguintes funções e responsabilidades: a)Racionalizar os procedimentos relativos ao tratamento e armazenamento das informações não classificadas e preparar as orientações pertinentes; b)Coordenar com o subgrupo no domínio da garantia da informação a que se refere o artigo 7.º, n.º 1, alínea a), questões relacionadas com os sistemas que tratam e armazenam informações não classificadas;

c)Elaborar instruções de tratamento para os diferentes níveis de confidencialidade das informações não classificadas; d)Assistir as instituições e organismos da União no estabelecimento da equivalência entre as suas categorias específicas de informações não classificadas e as previstas nos artigos 12.º, 13.º e 14.º; e)Facilitar a partilha de informações não classificadas entre instituições e organismos da União, prestando assistência e orientação. Artigo 17.º Tratamento e armazenamento de informações sensíveis não classificadas nos SCI 1.As instituições e organismos da União asseguram que os SCI cumprem os seguintes requisitos mínimos quando tratam e armazenam informações sensíveis não classificadas: a)É criada uma autenticação forte para aceder a informações SNC e as informações SNC são cifradas na transmissão e no armazenamento; b)As chaves criptográficas utilizadas para o armazenamento são da responsabilidade da instituição ou organismo da União responsável pelo funcionamento do SCI; c)As informações SNC são armazenadas e tratadas na União; d)As disposições contratuais que abranjam a segurança do pessoal, dos ativos e das informações são incluídas em todos os contratos de externalização; e)São utilizados metadados interoperáveis para registar o nível de confidencialidade dos documentos eletrónicos e para facilitar a automatização das medidas de segurança; f)As instituições e organismos da União aplicam medidas para prevenir e detetar fugas de dados, a fim de proteger as informações sensíveis não classificadas; g)É utilizado, se disponível, equipamento de segurança detentor de um certificado europeu de cibersegurança; h)São aplicadas medidas de segurança baseadas nos princípios da necessidade de tomar conhecimento e da confiança zero para minimizar o acesso a informações sensíveis não classificadas por parte dos prestadores de serviços e das entidades contratantes. 2.Qualquer derrogação aos requisitos mínimos estabelecidos no n.º 1 está sujeita à aprovação do nível adequado de gestão da instituição ou organismo da União em causa, com base numa avaliação de risco que abranja os riscos jurídicos e técnicos para a segurança das informações sensíveis não classificadas. 3.A Autoridade de Garantia da Informação da instituição ou organismo da União em causa pode verificar a conformidade com os princípios estabelecidos no n.º 1 em qualquer momento durante o ciclo de vida de um SCI. Capítulo 5

ICUE Secção 1

Disposições gerais Artigo 18.º Classificações e marcas de segurança

1.As ICUE são classificadas num dos seguintes níveis e são marcadas do seguinte modo: a)TRES SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excecionalmente grave os interesses essenciais da União ou de um ou mais Estados-Membros; b)SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União ou de um ou mais Estados-Membros; c)CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União ou de um ou mais Estados-Membros; d)RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União ou de um ou mais Estados-Membros. 2.O Grupo de Coordenação adota documentos de orientação sobre a criação e classificação de ICUE. Artigo 19.º Aptidão para tratar e armazenar ICUE 1.Qualquer instituição e organismo da União pode tratar e armazenar ICUE caso preencha as seguintes condições: a)Estabelece regras e procedimentos em conformidade com o presente regulamento, garantindo a proteção das informações para um determinado nível de classificação; e b)Foi objeto de uma visita de avaliação nos termos do artigo 53.º, tendo-lhe sido subsequentemente atribuído um certificado que indica estar em condições de proteger as ICUE nos termos do presente regulamento e, se for caso disso, de quaisquer outras regras e procedimentos pertinentes. 2.Considera-se que as condições estabelecidas no n.º 1 estão preenchidas por defeito pelos membros do subgrupo relativo à partilha de ICUE e intercâmbio de informações classificadas a que se refere o artigo 7.º, n.º 1, alínea e). Artigo 20.º Proteção das ICUE 1.O detentor de quaisquer ICUE é responsável pela sua proteção. 2.Caso um Estado-Membro introduza nas estruturas ou redes de uma instituição ou organismo da União informações classificadas que ostentem uma marca de classificação de segurança nacional, essa instituição ou organismo deve proteger essas informações em conformidade com a marca de classificação correspondente estabelecida no Acordo entre os Estados-Membros da União Europeia, reunidos no Conselho, sobre a proteção das informações classificadas trocadas no interesse da União Europeia. A tabela de equivalências correspondente consta do anexo VI do presente regulamento. 3.Um agregado de ICUE pode justificar um nível de proteção correspondente a uma classificação mais elevada do que a de cada um dos seus componentes. Artigo 21.º Processo de gestão dos riscos de segurança das ICUE 1.A Autoridade de Segurança de cada instituição e organismo da União aprova as medidas de segurança para proteger as ICUE ao longo do seu ciclo de vida, em conformidade com o resultado de uma avaliação dos riscos efetuada pela respetiva instituição ou organismo da União.

2.As medidas de segurança tomadas por cada instituição e organismo da União devem ser proporcionais ao nível de classificação das informações tratadas e armazenadas, à sua forma e volume, à localização e às características de proteção das instalações onde são tratadas e armazenadas ICUE e à avaliação local da ameaça de atos mal-intencionados ou atividades criminosas. 3.Todas as instituições e organismos da União estabelecem: a)Planos de emergência para garantir a segurança das ICUE em situações de emergência; b)Planos de continuidade das atividades, incluindo medidas de prevenção e recuperação destinadas a minimizar o impacto de quaisquer falhas ou incidentes graves sobre o tratamento e armazenamento das ICUE. Artigo 22.º Violações da segurança e comprometimento de ICUE 1.Um ato ou omissão de uma instituição ou organismo da União ou de uma pessoa que viole o presente regulamento é considerado uma violação da segurança. 2.Considera-se haver comprometimento de ICUE quando, em consequência de uma violação da segurança, estas são, no todo ou em parte, divulgadas a uma ou mais pessoas não autorizadas a aceder a essas informações. 3.Qualquer comprometimento ou suspeita de comprometimento de ICUE deve ser imediatamente comunicado à Autoridade de Segurança da instituição ou organismo competente da União, que realizará um inquérito de segurança e tomará, pelo menos, as seguintes medidas: a)Informar a entidade de origem; b)Garantir que o caso seja investigado por elementos do pessoal não diretamente envolvidos na violação da segurança, a fim de determinar os factos ocorridos; c)Avaliar os danos eventualmente causados aos interesses da União ou dos Estados-Membros; d)Tomar as medidas adequadas para impedir novas ocorrências; e)Notificar as autoridades competentes do comprometimento real ou potencial e das medidas tomadas. Secção 2

Segurança do pessoal Artigo 23.º Princípios básicos 1.A Autoridade de Segurança de uma instituição ou organismo da União pode conceder acesso a ICUE se estiverem preenchidas todas as seguintes condições: a)As pessoas têm necessidade de tomar conhecimento de tais informações; b)As pessoas foram informadas das regras e procedimentos de segurança aplicáveis à proteção das ICUE e das normas e diretrizes de segurança pertinentes e reconheceram por escrito as suas responsabilidades no que respeita à proteção dessas informações;

c)No caso de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, as pessoas obtiveram uma credenciação de segurança e possuem autorização para o nível adequado. 2.As instituições e organismos da União devem ter em conta a lealdade, idoneidade e fiabilidade de uma dada pessoa, tal como determinado mediante uma investigação de segurança conduzida pelas autoridades competentes do Estado-Membro de que o requerente é cidadão ou nacional. 3.As instituições e organismos da União podem aceitar credenciais de segurança de países terceiros e organizações internacionais com os quais a União tenha um acordo de segurança da informação. 4.As instituições e organismos da União podem gerir os processos de credenciação de forma autónoma ou solicitar um acordo de nível de serviço («SLA») com a Comissão para efeitos de credenciação de segurança. Caso seja celebrado um SLA, a Autoridade de Segurança da Comissão é o ponto de contacto entre os serviços de segurança da instituição e do organismo da União em causa e as autoridades nacionais competentes dos Estados-Membros no contexto das questões de credenciação de segurança. 5.A Autoridade de Segurança de cada instituição e organismo da União conserva registos das suas credenciações de segurança, sessões de informação, declarações escritas e autorizações de acesso a ICUE. 6.As instituições e organismos da União que celebrem um SLA com a Comissão disponibilizam à Autoridade de Segurança da Comissão os registos pertinentes que especificam, pelo menos, o nível das ICUE a que a pessoa pode ter acesso, a data de emissão da autorização de acesso a ICUE e o seu período de validade. Sempre que tal se justifique, esses registos devem ser acessíveis a outras instituições e organismos da União com um acordo de nível de serviço. Artigo 24.º Autorização de acesso a ICUE 1.Cada instituição e organismo da União identifica os cargos na sua organização cujos titulares precisam de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior para desempenhar as suas funções. 2.Sempre que uma pessoa deva ser autorizada a aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, a instituição ou organismo em causa informará disso a Autoridade de Segurança competente, que irá proceder às formalidades exigidas no ponto 1 do anexo II. 3.A Autoridade de Segurança de cada instituição e organismo da União é responsável pela concessão, suspensão, retirada e renovação das autorizações de acesso do seu pessoal a ICUE. 4.Em circunstâncias excecionais devidamente justificadas pelo interesse do serviço e na pendência da conclusão de uma investigação de segurança exaustiva, a Autoridade de Segurança de uma instituição ou organismo da União pode conceder uma autorização temporária de acesso a ICUE para uma função específica, sem prejuízo das disposições relativas à renovação da autorização de acesso a ICUE e após verificação da Autoridade Nacional de Segurança competente. 5.As instituições e organismos da União seguem os procedimentos de gestão da autorização de acesso a ICUE constantes do anexo II. Artigo 25.º Reconhecimento das autorizações de acesso a ICUE 1.Uma autorização de acesso a ICUE até ao nível especificado é válida em qualquer instituição ou organismo da União a que a pessoa em causa esteja afetada. 2.As instituições e organismos da União aceitam autorizações de acesso a ICUE concedidas por outras instituições ou organismos da União. 3.Caso o titular de uma autorização de acesso a ICUE inicie funções noutra instituição ou organismo da União, essa instituição ou organismo da União notifica a ANS competente da mudança de empregador, através da Autoridade de Segurança competente. Artigo 26.º

Sessões de informação sobre ICUE 1.A Autoridade de Segurança de uma instituição ou organismo da União informa todas as pessoas que necessitem de aceder a ICUE sobre quaisquer ameaças à segurança e sobre a sua obrigação de comunicar qualquer atividade suspeita. A sessão de informação deve ter lugar antes de ser concedido o acesso a ICUE e, posteriormente, pelo menos de 5 em 5 anos. 2.Após terem recebido a informação a que se refere o n.º 1, todas as pessoas em causa reconhecem por escrito que compreenderam as suas obrigações em matéria de proteção das ICUE e as consequências em caso de comprometimento das ICUE. 3.A sessão de informação a que se refere o n.º 1 inclui os seguintes elementos informativos: a)O responsável pela violação das regras de segurança estabelecidas no presente regulamento é passível de ação disciplinar, em conformidade com as disposições legislativas e regulamentares aplicáveis; b)O responsável pelo comprometimento ou pela perda de ICUE é passível de ação disciplinar ou judicial, em conformidade com as disposições legislativas e regulamentares aplicáveis. 4.Caso as pessoas a quem tenha sido concedida autorização de acesso a ICUE deixem de necessitar desse acesso, as instituições e organismos da União asseguram que essas pessoas tenham conhecimento e, se for caso disso, reconheçam por escrito as suas obrigações no que respeita à continuidade da proteção das ICUE. 5.A tarefa de criar e gerir as sessões de informação sobre ICUE pode ser partilhada entre as instituições e organismos da União, desde que sejam tidos em conta os seus requisitos específicos. Secção 3

Segurança física Artigo 27.º Princípios básicos 1.Cada instituição e organismo da União determina as medidas de segurança física adequadas às suas instalações, em conformidade com o anexo III e com o princípio da defesa em profundidade, com base numa avaliação de risco efetuada pela respetiva Autoridade de Segurança. As medidas devem assegurar os seguintes objetivos: a)Impedir o acesso a ICUE ou a entrada forçada de intrusos; b)Dissuadir, impedir e detetar ações não autorizadas e responder a incidentes de segurança o mais rapidamente possível; c)Permitir a diferenciação do pessoal no que se refere ao acesso a ICUE com base na sua necessidade de tomar conhecimento de tais informações e, se for caso disso, na respetiva credenciação de segurança. 2.As instituições e órgãos da União adotam medidas de segurança física para todos os locais onde sejam discutidas, armazenadas ou tratadas ICUE, incluindo nas zonas onde se encontrem sistemas de comunicação e informação, tal como referidos na secção 5 do presente capítulo. 3.Só devem ser utilizados equipamentos de segurança aprovados pela Autoridade de Segurança de uma instituição ou organismo da União para a proteção física de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. 4.As instituições e organismos da União podem partilhar Zonas de Segurança, tal como referido no anexo III, para o tratamento e armazenamento de ICUE, após a celebração de um acordo. Artigo 28.º Subgrupo no domínio da segurança física

1.O subgrupo no domínio da segurança física a que se refere o artigo 7.º, n.º 1, alínea c), tem as seguintes funções e responsabilidades: a)Elaborar documentos de orientação relativos a questões de segurança física; b)Definir os critérios gerais de segurança para a aquisição de equipamentos como contentores de segurança, máquinas trituradoras, fechaduras de porta, sistemas eletrónicos de controlo de acesso, sistemas de deteção de intrusos e sistemas de alarme para a proteção física das ICUE; c)Assistir as instituições e organismos da União na determinação das medidas de segurança adequadas para as suas instalações; d)Propor medidas compensatórias para a proteção das ICUE quando estas são tratadas fora das zonas fisicamente protegidas de uma instituição ou organismo da União. Artigo 29.º Proteção física das ICUE 1.A fim de assegurar a proteção física das ICUE, as instituições e organismos da União estabelecem as seguintes zonas fisicamente protegidas: a)Zonas administrativas, conforme referidas no anexo III; b)Se necessário, zonas de segurança, incluindo de classe I, de classe II e zonas tecnicamente seguras, tal como referido no anexo III. 2.A Autoridade de Segurança da instituição ou organismo da União em causa realiza uma inspeção interna para verificar se uma dada zona preenche os requisitos para poder ser instituída como Zona Administrativa ou Zona de Segurança, conforme estabelecido no anexo III. Caso o relatório de inspeção indique que tais requisitos foram preenchidos, a Autoridade de Segurança pode emitir uma acreditação para uma Zona de Segurança para a proteção das ICUE até ao nível indicado, por um período não superior a 5 anos. A Autoridade de Segurança da instituição ou organismo da União em causa é responsável pela execução do processo de reacreditação das suas Zonas de Segurança, antes do termo da acreditação ou sempre que tenham sido introduzidas alterações na zona acreditada. 3.Cada instituição e organismo da União adota procedimentos para a gestão das chaves e das combinações das fechaduras de segredo dos gabinetes, salas, casas-fortes e contentores de segurança para o nível CONFIDENTIEL UE/EU-CONFIDENTIAL e para níveis superiores. 4.A Autoridade de Segurança pode autorizar a realização de buscas nas entradas e saídas para dissuadir e detetar a introdução não autorizada de material ou a saída não autorizada de ICUE das instalações. 5.As instituições e organismos da União estabelecem as medidas de proteção física das ICUE nos termos do anexo III. Secção 4

Gestão de ICUE Artigo 30.º Princípios básicos 1.As instituições e organismos da União procedem ao registo, arquivo, conservação e, por fim, à eliminação ou transferência, integral ou por amostragem, dos seus documentos de ICUE para os arquivos pertinentes, em conformidade com a política e as regras de conservação específicas para os dossiês de cada instituição e organismo da União. 2.Qualquer instituição ou organismo da União que seja a entidade de origem das ICUE determina a classificação de segurança dessas informações após a sua produção e nos termos do artigo 18.º, n.º 1.

3.As instituições e organismos da União comunicam claramente o nível de classificação aos destinatários, quer através de uma marca de classificação, quer através de um anúncio, caso em que as informações são prestadas oralmente. 4.As medidas de segurança aplicáveis ao documento original são igualmente aplicáveis aos respetivos projetos, cópias e traduções. 5.As instituições e organismos da União estabelecem as medidas de gestão das ICUE nos termos do anexo IV. Artigo 31.º Produção de ICUE 2. As instituições e organismos da União sob cuja autoridade são produzidas ICUE asseguram o cumprimento dos seguintes requisitos: a)Todas as páginas são marcadas de forma clara com o nível de classificação; b)Todas as páginas são numeradas; c)O documento ostenta um número de referência e, se for caso disso, um número de registo e o assunto, que não constituem por si só ICUE, a menos que estejam marcados como tal; d)O documento inclui a data de produção; e)Todos os anexos e apêndices são enumerados, sempre que possível, na primeira página; f)Os documentos com classificação EU SECRET ou superior que devam ser distribuídos em vários exemplares ostentam um número de exemplar em todas as páginas. As cópias eletrónicas distribuídas fora do sistema de conservação ostentam um identificador único baseado numa assinatura eletrónica. Artigo 32.º Controlo por parte da entidade de origem 1.A instituição ou organismo da União sob cuja autoridade é produzido um documento de ICUE é objeto do controlo da entidade de origem sobre esse documento. A entidade de origem determina o nível de classificação do documento e é responsável pela sua divulgação inicial. Sem prejuízo do disposto no Regulamento (CE) n.º 1049/2001, o consentimento prévio por escrito da entidade de origem deve ser obtido antes de as informações serem: a)Desclassificadas ou desgraduadas; b)Utilizadas para fins diferentes dos estabelecidos pela entidade de origem; c)Transmitidas a qualquer entidade externa à instituição ou organismo da União que detenha as informações, incluindo um país terceiro ou uma organização internacional, outra instituição ou organismo da União, Estados-Membros, uma entidade contratante ou potencial contratante, um beneficiário ou potencial beneficiário; d)Copiadas e traduzidas, no caso das informações de nível TRES SECRET-UE/EU-TOP SECRET. 2.Se a entidade de origem de um documento de ICUE não puder ser identificada, a instituição ou organismo da União que detenha essas informações classificadas é responsável por exercer o controlo que cabia à entidade de origem.

3.As entidades de origem de qualquer documento de ICUE conservam registos de todas as fontes classificadas utilizadas para a produção de documentos classificados, incluindo os dados relativos às fontes originalmente provenientes dos Estados-Membros, de organizações internacionais ou de países terceiros. Nos casos em que tal se justifique, as informações classificadas agregadas são marcadas de modo a preservar a identificação das entidades de origem dos materiais de referência classificados utilizados. Artigo 33.º Marcas de classificação 1.Se for caso disso, para além de uma das marcas de classificação de segurança, os documentos de ICUE podem ostentar outras marcas, como marcas de distribuição ou relativas à comunicabilidade ou para indicar a entidade de origem. 2.Cada uma das partes de um determinado documento de ICUE pode exigir classificações diferentes, devendo ostentar a marca correspondente. A classificação geral de um documento ou dossiê deve ser pelo menos tão elevada como a da parte desse documento classificada ao nível mais elevado. 3.Os documentos que contenham partes com níveis de classificação diferentes devem ser estruturados de forma a que as partes com um nível de classificação diferente possam ser facilmente identificadas e, se necessário, separadas. Artigo 34.º Sistema de registo de ICUE 1.Todas as instituições e organismos da União que manuseiem e armazenem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIEL ou superior devem criar um ou mais registos de ICUE, a fim de garantir o seu registo para fins de segurança quando entram ou saem de uma instituição ou organismo da União. 2.Todos os registos de ICUE devem ser estabelecidos em Zonas de Segurança, tal como referido no anexo III. 3.As instituições e organismos da União nomeiam um responsável pelo controlo do registo («RCO») para gerir cada registo de ICUE. O RCO deve possuir a credenciação de segurança adequada e dispor de uma autorização nos termos do artigo 24.º. As instituições e organismos da União devem assegurar a formação adequada dos seus RCO. Artigo 35.º Desgraduação e desclassificação 1.As informações só são classificadas enquanto necessitarem de proteção. As ICUE que já não necessitem da classificação original são desgraduadas para um nível inferior. As ICUE que já não necessitem de ser consideradas classificadas são desclassificadas. 2.Aquando da produção de ICUE, a entidade de origem indica, sempre que possível, e em particular no que se refere a informações com classificação RESTREINT UE/EU RESTRICTED, se as ICUE podem ser desgraduadas ou desclassificadas em determinada data ou após um dado acontecimento. 3.Cabe à instituição ou organismo da União de origem decidir se um documento de ICUE pode ser desgraduado ou desclassificado. Deve analisar as informações e avaliar os riscos regularmente, pelo menos de 5 em 5 anos, a fim de determinar se o nível de classificação inicial continua a ser adequado. 4.As instituições e organismos da União que detenham ICUE de que não sejam a entidade de origem não podem desgraduar ou desclassificar esse documento, nem alterar ou suprimir qualquer das marcas referidas no artigo 18.º, n.º 1, sem o consentimento prévio por escrito da entidade de origem. 5.As instituições e organismos da União podem desgraduar ou desclassificar parcialmente as ICUE que produzam. Nesse caso, deve ser produzido um extrato desgraduado ou desclassificado. 6.As instituições e organismos da União informam a organização destinatária das ICUE da sua desgraduação ou desclassificação. Artigo 36.º

Marcas nos documentos desgraduados e desclassificados 1.Sempre que as instituições e organismos da União decidam desclassificar um documento de ICUE, devem considerar se o mesmo deve ostentar uma marca de distribuição de informações sensíveis não classificadas. 2.A marca de classificação original na parte superior e inferior de cada página deve ser rasurada de forma visível, utilizando a funcionalidade «rasurado» para formatos eletrónicos, ou manualmente para impressão. A marca de classificação original não deve ser suprimida. 3.A primeira página ou a capa devem ser carimbadas como desgraduadas ou desclassificadas e completadas com os dados da autoridade responsável pela desgraduação ou desclassificação e a data correspondente. A desgraduação ou desclassificação de documentos de ICUE eletrónicos deve ser atestada por uma assinatura eletrónica sob a autoridade da entidade de origem. Artigo 37.º Destruição e supressão de ICUE 1.As instituições e organismos da União analisam as ICUE, tanto em papel como em SCI, pelo menos de 5 em 5 anos, a fim de determinar se devem ser destruídas ou suprimidas. Sempre que as ICUE sejam destruídas ou suprimidas, devem disso informar qualquer pessoa que tenha recebido anteriormente essas ICUE. 2.As instituições e organismos da União podem dest