EURÓPSKA KOMISIA V Bruseli22. 3. 2022 COM(2022) 119 final 2022/0084(COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o bezpečnosti informácií v inštitúciách, orgánoch, úradoch a agentúrach Únie {SWD(2022) 65 final} - {SWD(2022) 66 final}



DÔVODOVÁ SPRÁVA 1.KONTEXT NÁVRHU •Dôvody a ciele návrhu Tento návrh je súčasťou Stratégie EÚ pre bezpečnostnú úniu, ktorú prijala Komisia 24. júla 2020 a v ktorej sa stanovuje jej záväzok zabezpečiť pridanú hodnotu Európskej únie pre vnútroštátne úsilie v oblasti bezpečnosti. Súčasťou tohto záväzku je iniciatíva na zjednodušenie interných právnych rámcov pre bezpečnosť informácií vo všetkých inštitúciách a orgánoch Únie. Kľúčovou vlastnosťou strategického programu na roky 2019 – 2024 prijatého Európskou radou v júni 2019 je ochrana našich spoločností pred neustále sa vyvíjajúcimi hrozbami pre informácie, s ktorými manipulujú inštitúcie a orgány. Vo svojich záveroch Európska rada vyzvala najmä „inštitúcie EÚ spolu s členskými štátmi, aby vypracovali opatrenia na posilnenie odolnosti a zlepšenie bezpečnostnej kultúry Európskej únie proti kybernetickým a hybridným hrozbám z prostredia mimo EÚ a na lepšiu ochranu informačných a komunikačných sietí EÚ a jej rozhodovacích procesov pred škodlivými činnosťami všetkého druhu“. V rovnakom duchu dospela v decembri 2019 Rada pre všeobecné záležitosti k záveru, že inštitúcie a orgány EÚ by mali s podporou členských štátov vypracovať a vykonávať komplexný súbor opatrení na zaistenie svojej bezpečnosti. Ide o vypočutie dlhodobej požiadavky Bezpečnostného výboru Rady na preskúmanie spoločného základu bezpečnostných predpisov Rady, Komisie a Európskej služby pre vonkajšiu činnosť. V súčasnosti majú inštitúcie a orgány Únie buď vlastné predpisy v oblasti bezpečnosti informácií vychádzajúce z ich rokovacieho poriadku alebo zakladajúceho aktu, alebo nemajú v tejto oblasti vôbec žiadne predpisy. Je to tak najmä v prípade niektorých malých subjektov, ktoré nemajú vôbec žiadne formálne politiky v oblasti bezpečnosti informácií. V dôsledku stále sa zvyšujúceho objemu citlivých neutajovaných skutočností a utajovaných skutočností Európskej únie, ktoré si musia inštitúcie a orgány Únie medzi sebou vymieňať, a vzhľadom na dramatický vývoj panorámy hrozieb je európska administratíva vystavená útoku vo všetkých svojich oblastiach činnosti. Informácie, s ktorými manipulujú naše inštitúcie a orgány, sú pre aktérov hrozieb veľmi príťažlivé a treba ich primerane chrániť. To si vyžaduje rýchle opatrenie zamerané na posilnenie ich ochrany. Z toho dôvodu a s cieľom zvýšiť ochranu informácií, s ktorými manipuluje európska administratíva, sa táto iniciatíva zameriava na zjednodušenie rôznych právnych rámcov inštitúcií a orgánov Únie v tejto oblasti prostredníctvom: •stanovenia harmonizovaných a komplexných kategórií informácií, ako aj spoločných predpisov v oblasti manipulácie s informáciami pre všetky inštitúcie a orgány Únie, •vytvorenia efektívneho programu spolupráce v oblasti bezpečnosti informácii medzi inštitúciami a orgánmi Únie, v rámci ktorého bude možné posilniť súdržnú kultúru bezpečnosti informácií v celej európskej administratíve, •modernizácie politík v oblasti bezpečnosti informácií na všetkých stupňoch utajenia/kategorizácie vo všetkých inštitúciách a orgánoch Únie, s prihliadnutím na digitálnu transformáciu a rozvoj telepráce ako štrukturálnej praxe. •Súlad s existujúcimi ustanoveniami v tejto oblasti politiky Táto iniciatíva je v súlade so širokou škálou politík EÚ v oblasti bezpečnosti a bezpečnosti informácií. V roku 2016 prijali Európsky parlament a Rada smernicu o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii. Táto smernica predstavovala prvé legislatívne opatrenie na úrovni celej EÚ, ktorého cieľom bolo zintenzívniť spoluprácu medzi členskými štátmi v oblasti kybernetickej bezpečnosti. Hoci Komisia v decembri 2020 prijala návrh na preskúmanie tohto nástroja, ktorým sa zavádzajú opatrenia dohľadu pre vnútroštátne orgány, administratíva Únie do rozsahu jeho pôsobnosti nepatrí. V rovnakom duchu a s cieľom prispieť k úsiliu členských štátov v oblasti bezpečnosti je mimoriadne dôležité, aby inštitúcie a orgány Únie dosiahli vysokú úroveň ochrany svojich informácií a súvisiacich informačných a komunikačných systémov, aby mohli zaručiť bezpečnosť informácií. V júli 2020 Komisia prijala stratégiu pre bezpečnostnú úniu s komplexným záväzkom EÚ prispievať k úsiliu členských štátov vo všetkých oblastiach bezpečnosti. Táto stratégia sa týka rokov 2020 až 2025 a obsahuje štyri hlavné piliere opatrení: nadčasové bezpečnostné prostredie, riešenie vyvíjajúcich sa hrozieb, ochrana Európanov pred terorizmom a organizovanou trestnou činnosťou a pevný európsky bezpečnostný ekosystém. Viaceré témy, ktoré sa riešia v rámci uvedených pilierov, sa zameriavajú na bezpečnosť informácií, kybernetickú bezpečnosť, spoluprácu a výmenu informácií a kritickú infraštruktúru. V súlade so stratégiou EÚ pre bezpečnostnú úniu navrhuje Európska komisia vytvoriť minimálny súbor predpisov v oblasti bezpečnosti informácií vo všetkých inštitúciách a orgánoch Únie, ktorý vyvolá potrebu záväzných a prísnych spoločných noriem pre bezpečnú výmenu informácií. Táto iniciatíva predstavuje záväzok inštitúcií a orgánov zaviesť v európskej administratíve rovnakú úroveň ambícií v oblasti bezpečnosti, aká sa vyžaduje od členských štátov. Komisia a vysoký predstaviteľ pre zahraničné veci a bezpečnostnú politiku predložili 16. decembra 2020 novú stratégiu kybernetickej bezpečnosti EÚ. Stanovujú sa v nej priority a kľúčové opatrenia s cieľom budovať odolnosť, autonómiu, vedúce postavenie a operačnú kapacitu Európy vzhľadom na rastúce a zložité hrozby pre jej sieťové a informačné systémy a presadzovať globálny a otvorený kybernetický priestor a medzinárodné partnerstvá v jeho rámci. Rovnako dôležité je, aby inštitúcie a orgány Únie prispievali k dosahovaniu týchto priorít tým, že stanovia rovnocenné požiadavky v oblasti bezpečnosti informácií a kybernetickej bezpečnosti.

Cieľom tohto návrhu je spolu s návrhom nariadenia, ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie, doplniť regulačný vzor Stratégie EÚ pre bezpečnostnú úniu o osobitné požiadavky európskej administratívy. Vzhľadom na to, že bezpečnosť informácií a kybernetická bezpečnosť spolu navzájom súvisia, by sa mal zabezpečiť súdržný prístup k ochrane neutajovaných skutočností v rámci týchto dvoch návrhov. •Súlad s ostatnými politikami Únie Pri tejto iniciatíve sa prihliada aj na ostatné politiky Únie, ktoré majú význam pre bezpečnosť informácií. V oblasti ochrany údajov existuje nariadenie (EÚ) 2018/1725 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktoré platí pre administratívu Európskej únie aj Európskeho spoločenstva pre atómovú energiu (ďalej len „Euratom“). Okrem toho musíme uviesť, že v prípade niektorých inštitúcií a orgánov Únie prijali zákonodarcovia EÚ osobitné príslušné predpisy v oblasti ochrany osobných údajov. V oblasti transparentnosti vychádza tento návrh zo zásad zakotvených v nariadení (ES) č. 1049/2001 o prístupe verejnosti k dokumentom Európskeho parlamentu, Rady a Komisie, ktoré sa týkajú ďalších príslušných predpisov. 2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právny základ Vzhľadom na cieľ a obsah tohto návrhu je najvhodnejším právnym základom článok 298 Zmluvy o fungovaní Európskej únie (ZFEÚ) a článok 106a Zmluvy o založení Európskeho spoločenstva pre atómovú energiu. Článok 298 ZFEÚ bol zavedený Lisabonskou zmluvou a zákonodarcom sa v ňom umožňuje zaviesť ustanovenia na vytvorenie efektívnej a nezávislej administratívy, ktorá bude podporovať inštitúcie, orgány, úrady a agentúry pri vykonávaní ich poslania. Efektívna a nezávislá administratíva závisí od bezpečnosti svojich informácií. Na plnenie svojho poslania musia mať inštitúcie a orgány Únie k dispozícii bezpečné prostredie pre informácie, s ktorými každodenne manipulujú a uchovávajú. Okrem toho by sa poskytnutím spoločnej základnej úrovne pre normy povinnej pre všetkých zaručila vysoká úroveň bezpečnosti, znížilo riziko slabých článkov pri podpore interoperability medzi inštitúciami a orgánmi a posilnili synergie, čím by sa zvýšila odolnosť administratívy proti vyvíjajúcim sa hrozbám. Ďalej sa s celkovým cieľom dosiahnuť vysokú spoločnú úroveň bezpečnosti utajovaných skutočností EÚ a neutajovaných skutočností, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, v tomto návrhu umožňuje európskej administratíve lepšie sa chrániť pred zasahovaním zvonka a špionážnymi činnosťami. V článku 298 ZFEÚ sa Únii umožňuje stanoviť spoločné predpisy pre celú európsku administratívu s cieľom zabezpečiť, aby všetky inštitúcie a orgány Únie nakladali s utajovanými skutočnosťami EÚ a neutajovanými skutočnosťami podobne. V tomto nariadení sa ako také stanovujú predpisy platné pre administratívu a na jeho základe sa môžu nepriamo ukladať povinnosti iba jednotlivcom plniacim úlohy v mene tejto administratívy alebo na zmluvnom základe (nepatria k nim komisári, zástupcovia členských štátov pôsobiaci v Rade, členovia Európskeho parlamentu, sudcovia únijných súdov ani členovia Európskeho dvora audítorov). Podľa článku 298 ZFEÚ Európsky parlament a Rada konajú prostredníctvom nariadenia a v súlade s riadnym legislatívnym postupom. V prípade tohto návrhu je potrebný aj dodatočný právny základ, keďže sa týka informácií v súvislosti s niektorými činnosťami Európskeho spoločenstva pre atómovú energiu. Tieto informácie nie sú utajovanými skutočnosťami Euratomu, ale inštitúcie a orgány Únie s nimi nakladajú v rámci všeobecného režimu utajovaných skutočností EÚ. Takýmto ďalším právnym základom je článok 106a Zmluvy o založení Európskeho spoločenstva pre atómovú energiu, ktorým sa článok 298 ZFEÚ stáva platným aj pre uvedené činnosti Euratomu. •Subsidiarita (v prípade inej ako výlučnej právomoci) Podľa zásady subsidiarity stanovenej v článku 5 ods. 3 Zmluvy o Európskej únii by sa mali opatrenia na úrovni EÚ prijímať len vtedy, ak zamýšľané ciele nemôžu uspokojivo dosiahnuť samotné členské štáty, a preto je možné ich z dôvodu rozsahu alebo účinkov navrhovanej činnosti lepšie dosiahnuť na úrovni EÚ. Keďže len Únia môže prijať predpisy týkajúce sa utajovaných skutočností EÚ a citlivých neutajovaných skutočností, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, zásada subsidiarity sa neuplatňuje. •Proporcionalita Vytvorenie spoločnej základnej úrovne v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie je potrebné na podporu nezávislej a efektívnej administratívy.

V súlade so zásadou proporcionality stanovenou v článku 5 ods. 4 ZEÚ nie sú ustanovenia nariadenia príliš normatívne a ponechávajú priestor na rôzne úrovne konkrétnych opatrení v súlade s úrovňou vyspelosti bezpečnosti jednotlivých inštitúcií a orgánov Únie. Okrem toho má riešenie obmedzený vplyv na základné práva jednotlivcov. Návrh teda neprekračuje rámec nevyhnutný na riešenie problému spočívajúceho v neexistujúcom spoločnom súbore predpisov v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie. •Výber nástroja Za vhodný právny nástroj sa na základe článku 298 ZFEÚ považuje nariadenie. Jeho použitie je odôvodnené prevažujúcou mierou prvkov, ktoré si vyžadujú jednotné uplatňovanie bez voľného uváženia inštitúcií a orgánov Únie pri ich vykonávaní, a ktorými sa vytvára minimálny horizontálny rámec. 3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU •Hodnotenia ex post/kontroly vhodnosti existujúcich právnych predpisov Neuplatňuje sa. •Konzultácie so zainteresovanými stranami Komisia uskutočnila rozsiahle konzultácie s kľúčovými zainteresovanými stranami o najrôznejších aspektoch predpisov v oblasti bezpečnosti informácií inštitúcií a orgánov Únie. Celkovým cieľom konzultačných činností bolo získať relevantné vstupné informácie na prípravu legislatívnej iniciatívy týkajúcej sa predpisov v oblasti bezpečnosti informácií, ktoré by boli spoločné pre všetky inštitúcie a orgány Únie. Cieľom konzultácií bolo získať vstupné informácie o: •problémoch týkajúcich sa existujúceho rámca bezpečnosti informácií v inštitúciách a orgánoch Únie, ktoré by sa mali podľa zainteresovaných strán riešiť v iniciatíve, •relevantnosti, účinnosti, efektívnosti a pridanej hodnote iniciatívy, •očakávaných vplyvoch iniciatívy a ďalších možných dôsledkoch pre zainteresované strany. Pri príprave tohto legislatívneho návrhu Komisia uskutočnila konzultácie s týmito kategóriami zainteresovaných strán: 1.inštitúciami, orgánmi, úradmi a agentúrami Únie; 2.národnými bezpečnostnými orgánmi v členských štátoch; 3.výskumníkmi z JRC. Vzhľadom na konkrétne vlastnosti tejto iniciatívy, ktorá sa uplatňuje výlučne na inštitúcie a orgány Únie a má len malý vplyv na európskych občanov a podniky, sa útvary Komisie rozhodli uprednostniť získanie názorov príslušných skupín zainteresovaných strán. Preto sa neuskutočnila žiadna osobitná verejná konzultácia k tejto legislatívnej iniciatíve. Počas konzultačného procesu útvary Komisie využívali tieto metódy a formy konzultácie: 1.možnosť všetkých zainteresovaných strán poskytnúť spätnú väzbu k úvodnému posúdeniu vplyvu prostredníctvom platformy Komisie „Vyjadrite svoj názor“;

2.cielený dotazník určený expertom na bezpečnosť informácií v inštitúciách a orgánoch Únie prostredníctvom portálu EU Survey; 3.cielený dotazník určený národným bezpečnostným orgánom členských štátov prostredníctvom portálu EU Survey; 4.žiadosť o vypracovanie prispôsobeného posúdenia rizík základného majetku v oblasti bezpečnosti informácií a 5.viaceré stretnutia a výmeny informácií s partnermi z inštitúcií, orgánov, úradov a agentúr, ako aj z národných bezpečnostných orgánov členských štátov. Hlavnými vstupnými informáciami, ktoré vyplynuli z konzultačných činností, sú podľa Komisie tieto: •Fragmentácia príslušných právnych rámcov medzi našimi inštitúciami a orgánmi spôsobuje značnú duplicitu úsilia o vytvorenie a zachovanie interných predpisov, ako aj neinteroperabilné postupy pri manipulácii s informáciami. V prípade členských štátov sa z dôvodu rozmanitosti uvedených predpisov zvyšuje riziko ich nepochopenia, nesprávneho výkladu a nedodržiavania. •Hoci by sa stanovením základnej úrovne v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie vytvoril ekosystém so štandardizovanými bezpečnostnými predpismi a zavedenými najlepšími postupmi, je potrebné prihliadnuť na rozmanitosť a rozdielne prevádzkové prostredie jednotlivých inštitúcií a orgánov Únie a mali by sa umožniť aj lokálne riešenia. •V tejto iniciatíve sa musí prihliadať na nezávislosť a rôzne úrovne vyspelosti bezpečnosti jednotlivých inštitúcií a orgánov Únie, ktoré budú naďalej plne zodpovedné za organizáciu svojej bezpečnosti informácií. •Získavanie a využívanie expertízy Komisia pri konzultáciách so zainteresovanými stranami využila vlastné zdroje. Riaditeľstvo GR HR pre bezpečnosť zabezpečilo súvisiace prieskumy, videokonferencie a ďalšie semináre. Táto úloha si vyžadovala výber účastníkov a organizáciu podujatí, ako aj spracovanie získaných vstupných informácií. Spoločné výskumné centrum (JRC) vykonalo posúdenie rizika hlavného majetku v oblasti bezpečnosti informácií, na základe ktorého sa vypracovala analýza vplyvu. •Posúdenie vplyvu Táto iniciatíva je určená výlučne inštitúciám a orgánom Únie a má obmedzený vplyv na členské štáty a jednotlivcov. Nebolo teda potrebné vypracovať podrobné posúdenie vplyvu, keďže nebol určený žiadny jednoznačný ani významný vplyv na občanov a podniky. Na webovom sídle Europa bol uverejnený komplexný plán, ku ktorému sa získala spätná väzba od príslušných zainteresovaných strán. •Regulačná vhodnosť a zjednodušenie Neuplatňuje sa. •Základné práva EÚ sa zaväzuje zabezpečovať vysoké normy ochrany základných práv. Touto iniciatívou sa zabezpečuje úplné dodržiavanie základných práv zakotvených v Charte základných práv Európskej únie, a to takto: •Právo na dobrú správu vecí verejných Posilnením bezpečnosti informácií, s ktorými sa manipuluje pri riešení záležitostí európskych občanov, prispievajú inštitúcie a orgány Únie k dodržiavaniu zásady dobrej správy vecí verejných. •Ochrana osobných údajov

Každé spracovanie osobných údajov v rámci tohto návrhu sa bude uskutočňovať v dôveryhodnom prostredí a pri plnom dodržaní nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725. •Právo na prístup k dokumentom Verejný prístup k dokumentom s utajovanými skutočnosťami EÚ a citlivými neutajovanými skutočnosťami sa naďalej v plnej miere riadi nariadením Európskeho parlamentu a Rady (ES) č. 1049/2001. •Právo na duševné vlastníctvo Pri manipulácii s neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ a pri ich uchovávaní chránia inštitúcie a orgány Únie duševné vlastníctvo v súlade so smernicou Európskeho parlamentu a Rady 2001/29/ES. •Sloboda prejavu a právo na informácie Hoci má každý slobodu prijímať a rozširovať informácie a myšlienky bez zasahovania orgánov verejnej moci, Únii to nebráni stanovovať podmienky prístupu k určitým druhom informácií podľa ich stupňa dôvernosti, podmienky manipulácie s takýmito informáciami a ich uchovávania. Uplatňovanie týchto slobôd môže podliehať podmienkam a obmedzeniam stanoveným v zákone, ktoré sú v demokratickej spoločnosti nevyhnutné, aby sa zabránilo zverejneniu dôverných informácií prijatých v záujme bezpečnosti EÚ. 4.VPLYV NA ROZPOČET V tomto návrhu sa vyžaduje pridelenie jedného úradníka v skupine AD a jedného asistenta v triede AST do stáleho sekretariátu koordinačnej skupiny v riaditeľstve pre bezpečnosť GR pre ľudské zdroje a bezpečnosť, ktorých poskytne Komisia. V prípade inštitúcií a orgánov sa v dôsledku zlepšenia bezpečnosti informácií očakávajú úspory nákladov vyplývajúce zo spoločných úloh a úloh spolupráce, ako aj zo zabránenia možným hospodárskym škodám, ktoré by boli dôsledkom bezpečnostných incidentov. Na druhej strane môže byť finančné úsilie na vykonávanie nových právnych predpisov súčasťou existujúcich programov na zlepšenie bezpečnosti informácií v jednotlivých inštitúciách a orgánoch Únie. 5.ĎALŠIE PRVKY •Plány vykonávania, spôsob monitorovania, hodnotenia a podávania správ V návrhu sa stanovuje povinnosť Komisie podávať každé tri roky Európskemu parlamentu a Rade správu o vykonávaní tohto nariadenia, ako aj o fungovaní systému riadenia z tohto nariadenia. Okrem toho Komisia každých päť rokov vyhodnotí toto nariadenie na účely posúdenia jeho skutočnej výkonnosti a na základe tohto hodnotenia stanoví, či sú potrebné úpravy právnych predpisov. •Podrobné vysvetlenie konkrétnych ustanovení návrhu Tento návrh je štruktúrovaný v rámci požiadaviek na manipuláciu s neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ a požiadaviek na ich uchovávanie, keďže tieto skutočnosti tvoria hlavný predmet úpravy iniciatívy a ich posilnená ochrana predstavuje jej hlavný účel. Predmet úpravy a rozsah pôsobnosti (článok 1 a článok 2) Cieľom tohto nariadenia je vytvoriť minimálny súbor predpisov v oblasti bezpečnosti informácií platný pre všetky inštitúcie a orgány Únie. Vzťahuje sa na všetky informácie, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, a to aj na informácie súvisiace s činnosťami Európskeho spoločenstva pre atómovú energiu, s výnimkou utajovaných skutočností Euratomu. Toto nariadenie sa týka neutajovaných skutočností aj utajovaných skutočností EÚ.

Vymedzenie pojmov a všeobecné zásady (články 3 až 5) Vymedzenie pojmov uvedené v článku 3 vychádza zo súčasných predpisov o bezpečnosti informácií, ktoré samostatne prijali inštitúcie a orgány Únie. Okrem všeobecných zásad právnych predpisov Únie, akými sú transparentnosť, proporcionalita, efektívnosť a zodpovednosť, sa v tomto nariadení stanovujú hlavné záväzné usmernenia týkajúce sa napríklad samostatného procesu riadenia rizík v oblasti bezpečnosti informácií vykonávaného jednotlivými inštitúciami a orgánmi Únie a posúdenia ich informácií na účely ich správnej kategorizácie. Riadenie a organizácia bezpečnosti (články 6 až 8) Všetky inštitúcie a orgány Únie spolupracujú v rámci Medziinštitucionálnej koordinačnej skupiny pre bezpečnosť informácií, ktorá sa uznáša konsenzom a v spoločnom záujme inštitúcií a orgánov Únie. V tejto koordinačnej skupine zasadajú bezpečnostné orgány všetkých inštitúcií a orgánov a prijímajú sa usmerňovacie dokumenty o vykonávaní tohto nariadenia. Pravidelne spolupracuje s národnými bezpečnostnými orgánmi členských štátov, ktoré zasadajú vo Výbore pre bezpečnosť informácií. Zriaďuje sa päť podskupín zložených z expertov zastupujúcich jednotlivé inštitúcie a orgány, ktorých cieľom je uľahčiť postupy a ďalšie praktické aspekty súvisiace s bezpečnosťou informácií. Všetky inštitúcie a orgány Únie musia určiť bezpečnostný orgán zodpovedný za vymedzenie interných politík v oblasti bezpečnosti informácií a za ich vykonávanie. Bezpečnostný orgán zriaďuje osobitné orgány, ako napríklad orgán pre informačnú bezpečnosť, operačný orgán pre informačnú bezpečnosť, orgán bezpečnostnej certifikácie, orgán pre TEMPEST, kryptografický schvaľovací orgán a kryptografický distribučný orgán, ktoré môžu byť z dôvodov efektívnosti alebo zdrojov delegované na inú inštitúciu alebo orgán. Informačná bezpečnosť a komunikačné a informačné systémy (články 9 až 11) Nariadením sa zriaďuje podskupina pre informačnú bezpečnosť s cieľom posilniť súdržnosť medzi predpismi v oblasti bezpečnosti informácií a základnou úrovňou kybernetickej bezpečnosti v inštitúciách a orgánoch Únie, ako sa vymedzuje v nariadení, ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie. Inštitúcie a orgány Únie musia vyhovovať zásadám uvedeným v týchto článkoch a prijať samostatné interné predpisy týkajúce sa konkrétnych bezpečnostných opatrení, ktoré zodpovedajú ich vlastným bezpečnostným prostrediam. Neutajované skutočnosti (články 12 až 17 a príloha I) V nariadení sa stanovujú tri kategórie neutajovaných skutočností: informácie na verejné použitie, bežné informácie a citlivé neutajované skutočnosti. Vymedzujú sa všetky kategórie informácií a na ich ochranu sa stanovujú podmienky ich označovania a manipulácie s nimi. Na koordinovanie úsilia o dosiahnutie rovnocennosti medzi konkrétnymi kategóriami stanovenými niektorými inštitúciami a orgánmi Únie a spoločnými kategóriami stanovenými v nariadení sa v návrhu zriaďuje podskupina pre neutajované skutočnosti. Utajované skutočnosti EÚ (články 18 až 58 a prílohy II až VI) Keďže ide o najrozsiahlejšiu kapitolu návrhu, rozdeľuje sa do siedmich oddielov takto: Všeobecné ustanovenia, Personálna bezpečnosť, Fyzická bezpečnosť, Správa utajovaných skutočností EÚ, Ochrana v komunikačných a informačných systémoch, Priemyselná bezpečnosť a Spoločné využívanie utajovaných skutočností EÚ a výmena utajovaných skutočností. V oddiele so všeobecnými ustanoveniami sa stanovujú štyri úrovne utajovaných skutočností EÚ: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED, ako aj povinnosť inštitúcií a orgánov Únie prijať potrebné bezpečnostné opatrenia na základe výsledkov procesu riadenia rizík v oblasti bezpečnosti informácií. Zostávajúce oddiely sa zameriavajú na normy ochrany utajovaných skutočností EÚ, ktoré sa týkajú ich konkrétnych oblastí. Podrobnosti o tejto ochrane utajovaných skutočností EÚ sa uvádzajú v prílohách II až V. V prílohe VI sa nachádza ekvivalenčná tabuľka utajovaných skutočností EÚ obsahujúca stupne utajenia využívané členskými štátmi a Európskym spoločenstvom pre atómovú energiu. S cieľom uľahčiť príslušné procesy v tejto oblasti a zabrániť duplicite úsilia sa nariadením zriaďujú podskupiny pre informačnú bezpečnosť, neutajované skutočnosti, fyzickú bezpečnosť, certifikáciu komunikačných a informačných systémov, manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie a pre spoločné využívanie utajovaných skutočností EÚ a výmenu utajovaných skutočností. Záverečné ustanovenia (články 59 až 62)

V záverečných ustanoveniach sa zabezpečuje prechod zo súčasných predpisov a postupov na nový právny rámec stanovený týmto nariadením. Týkajú sa interných predpisov o bezpečnosti informácií, ktoré v súčasnosti platia v inštitúciách a orgánoch Únie, uznania hodnotiacich návštev vykonaných pred začatím uplatňovania nariadenia, zaobchádzania s administratívnymi dohodami uzavretými v minulosti a pokračovania konkrétnych bezpečnostných rámcov platných pre dohody o grantoch. Toto nariadenie sa má začať uplatňovať po dvoch rokoch odo dňa nadobudnutia jeho účinnosti. 2022/0084 (COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o bezpečnosti informácií v inštitúciách, orgánoch, úradoch a agentúrach Únie EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE, so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 298, so zreteľom na Zmluvu o založení Európskeho spoločenstva pre atómovú energiu, a najmä na jej článok 106a, so zreteľom na návrh Európskej komisie, po postúpení návrhu legislatívneho aktu národným parlamentom, konajúc v súlade s riadnym legislatívnym postupom, keďže: (1)V súčasnosti majú inštitúcie a orgány Únie buď vlastné predpisy v oblasti bezpečnosti informácií vychádzajúce z ich rokovacieho poriadku alebo zakladajúceho aktu, alebo nemajú vôbec žiadne takéto predpisy. V uvedenej súvislosti všetky inštitúcie a orgány Únie vynakladajú značné úsilie na prijatie odlišných prístupov, čo vedie k tomu, že výmena informácií nie je vždy spoľahlivá. Nedostatočný spoločný prístup bráni nasadzovaniu spoločných nástrojov vychádzajúcich z dohodnutého súboru predpisov na základe bezpečnostných potrieb informácií, ktoré sa majú chrániť. (2)Hoci sa dosiahol pokrok pri zavádzaní konzistentnejších predpisov na ochranu utajovaných skutočností Európskej únie a neutajovaných skutočností, interoperabilita príslušných systémov je naďalej obmedzená, čo bráni hladkému prenosu informácií medzi jednotlivými inštitúciami a orgánmi Únie. Je preto potrebné vyvinúť ďalšie úsilie na to, aby sa umožnil medziinštitucionálny prístup k spoločnému využívaniu utajovaných skutočností EÚ a citlivých neutajovaných skutočností, a to určením spoločných kategórií informácií a spoločných kľúčových zásad manipulácie s informáciami. Takisto by sa mal stanoviť základ na zjednodušenie postupov spoločného využívania utajovaných skutočností EÚ a citlivých neutajovaných skutočností medzi inštitúciami a orgánmi Únie a s členskými štátmi. (3)Preto by sa mali stanoviť príslušné predpisy na zabezpečenie spoločnej úrovne bezpečnosti informácií vo všetkých inštitúciách a orgánoch Únie. Mali by predstavovať komplexný a súdržný všeobecný rámec ochrany utajovaných skutočností EÚ a neutajovaných skutočností a zabezpečovať rovnocennosť základných zásad a minimálnych noriem. (4)Nedávna pandémia viedla k významnej zmene pracovných postupov, ktorá spočívala v tom, že nástroje diaľkovej komunikácie sa stali normou. Preto bolo množstvo postupov, ktoré boli ešte stále do istej miery papierové, rýchlo upravených tak, aby sa umožnilo elektronické spracovanie a výmena informácií. Tento vývoj si vyžaduje zmeny v oblasti manipulácie s informáciami a ochrany informácií. V tomto nariadení sa nové pracovné postupy zohľadňujú. (5)V tomto nariadení sa vytvorením minimálnej spoločnej úrovne ochrany utajovaných skutočností EÚ a neutajovaných skutočností zabezpečuje, aby mali inštitúcie a orgány Únie pri vykonávaní svojho poslania podporu efektívnej a nezávislej administratívy. Zároveň si všetky inštitúcie a orgány Únie ponechávajú nezávislosť pri určovaní spôsobu vykonávania predpisov stanovených v tomto nariadení v súlade s vlastnými bezpečnostnými potrebami. Toto nariadenie v žiadnom prípade nebráni inštitúciám a orgánom Únie v plnení ich poslania, ktorým ich poverili právne predpisy EÚ, ani nezasahuje do ich inštitucionálnej autonómie. (6)Týmto nariadením nie sú dotknuté nariadenie (Euratom) č. 3/1958, nariadenie (EHS) č. 31, (ESAE) č. 11, ktorým sa ustanovuje Služobný poriadok úradníkov a Podmienky zamestnávania ostatných zamestnancov Európskeho hospodárskeho spoločenstva a Európskeho spoločenstva pre atómovú energiu, nariadenie Európskeho parlamentu a Rady (ES) č. 1049/2001, nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725, nariadenie Rady (EHS, Euratom) č. 354/83, nariadenie Európskeho parlamentu a Rady (EÚ, Euratom) 2018/1046, nariadenie Európskeho parlamentu a Rady (EÚ) 2021/697, nariadenie Európskeho parlamentu a Rady (EÚ) [...], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie. (7)S cieľom zachovať osobitnú povahu činností Európskeho spoločenstva pre atómovú energiu regulovaných nariadením Rady Európskeho spoločenstva pre atómovú energiu č. 3/1958 by sa toto nariadenie nemalo uplatňovať na utajované skutočnosti Euratomu. Všetky informácie týkajúce sa ostatných činností Euratomu, na ktoré sa nevzťahuje nariadenie č. 3/1958, by však mali patriť do rozsahu pôsobnosti tohto nariadenia.

(8)S cieľom zaviesť formálnu štruktúru spolupráce medzi inštitúciami a orgánmi Únie v oblasti bezpečnosti informácií je potrebné zriadiť medziinštitucionálnu koordinačnú skupinu (ďalej len „koordinačná skupina“), v ktorej budú zastúpené bezpečnostné orgány všetkých inštitúcií a orgánov Únie. Koordinačná skupina nemá rozhodovacie právomoci a mala by zabezpečovať posilňovanie súdržnosti politík v oblasti bezpečnosti informácií a podieľať sa na harmonizácii postupov a nástrojov v rámci informačnej bezpečnosti vo všetkých inštitúciách a orgánoch Únie. (9)Úsilie koordinačnej skupiny musia podporovať experti z rôznych oblastí bezpečnosti informácií: kategorizácie a označovania, komunikačných a informačných systémov, certifikácie, fyzickej bezpečnosti a spoločného využívania utajovaných skutočností EÚ a výmeny utajovaných skutočností. S cieľom zabrániť duplicite úsilia v inštitúciách a orgánoch Únie by sa mali zriadiť tematické podskupiny. Okrem toho by mala byť koordinačná skupina v prípade potreby schopná zriaďovať ďalšie podskupiny poverené špecifickými úlohami. (10)Koordinačná skupina by mala úzko spolupracovať s národnými bezpečnostnými orgánmi členských štátov na posilňovaní bezpečnosti informácií v Únii. Preto by sa mal na účely poskytovania poradenstva koordinačnej skupine zriadiť Výbor pre bezpečnosť informácií. (11)Keďže spoločné orgány zastupujúce všetky inštitúcie a orgány Únie sa zriaďujú na základe zásady spolupráce, všetky inštitúcie a orgány by mali byť naďalej plne zodpovedné za bezpečnosť informácií v rámci vlastnej organizácie. Všetky inštitúcie a orgány Únie by mali mať bezpečnostný orgán a v prípade potreby aj ďalšie orgány so špecifickými povinnosťami vo vzťahu k bezpečnosti informácií. (12)Zásada riadenia rizík v oblasti bezpečnosti informácií by mala byť jadrom politiky, ktorú má v tejto oblasti vypracovať každá inštitúcia a orgán Únie. Keďže musia byť splnené minimálne požiadavky stanovené v tomto nariadení, všetky inštitúcie a orgány Únie by mali prijať osobitné bezpečnostné opatrenia na ochranu informácií vyplývajúce z výsledkov interného posúdenia rizík. Rovnako by sa mali technické prostriedky na ochranu informácií prispôsobiť konkrétnej situácii jednotlivých inštitúcií a orgánov. (13)Vzhľadom na rozmanitosť kategórií neutajovaných skutočností, ktoré inštitúcie a orgány Únie vypracovali na základe vlastných predpisov v oblasti bezpečnosti informácií, a s cieľom zabrániť oneskorenému vykonávaniu tohto nariadenia by mali mať inštitúcie a orgány Únie možnosť ponechať si na interné účely alebo pri výmene informácií s konkrétnymi partnermi z iných inštitúcií a orgánov alebo z členských štátov vlastný systém označovania. (14)Na účely prispôsobenia sa novým postupom telepráce by sa mali siete používané na prepájanie služieb vzdialeného prístupu v rámci inštitúcie alebo orgánu Únie chrániť primeranými bezpečnostnými opatreniami. (15)Keďže inštitúcie a orgány Únie často využívajú dodávateľov a externé zdroje, je dôležité zaviesť spoločné ustanovenia týkajúce sa zamestnancov dodávateľov vykonávajúcich úlohy v súvislosti s bezpečnosťou informácií. (16)Hmotnoprávne pravidlá prístupu k utajovaným skutočnostiam EÚ v interných predpisoch rôznych inštitúcií a orgánov Únie sú v súčasnosti zosúladené, stále však panujú značné rozdiely, pokiaľ ide o názvy a požadované postupy. Tým sa zaťažujú národné bezpečnostné orgány členských štátov, ktoré sa musia prispôsobovať rôznym požiadavkám. Preto je potrebné vypracovať spoločný slovník pojmov a spoločné postupy v oblasti personálnej bezpečnosti, čím sa zjednoduší spolupráca s národnými bezpečnostnými orgánmi členských štátov a obmedzí riziko prezradenia utajovaných skutočností EÚ. (17)Vzhľadom na rozmanitosť zdrojov medzi inštitúciami a orgánmi Únie a s cieľom uľahčiť ich príslušné postupy a prax možno úlohy súvisiace s bezpečnostnými previerkami zveriť Komisii, aby sa zabezpečilo pokračovanie dlhodobej praxe v oblasti bezpečnostných previerok a prispelo k centralizácii úloh pridelených jednotlivým bezpečnostným orgánom. (18)Ochrana utajovaných skutočností EÚ sa zabezpečuje aj technickými a organizačnými opatreniami, ktoré sa uplatňujú na priestory, budovy, miestnosti, kancelárie alebo zariadenia inštitúcií a orgánov Únie, v ktorých sa o utajovaných skutočnostiach EÚ diskutuje, s týmito skutočnosťami manipuluje alebo sa tieto skutočnosti uchovávajú. V tomto nariadení sa stanovuje vykonávanie procesu riadenia rizika bezpečnosti informácií v oblasti fyzickej bezpečnosti, na základe ktorého sa inštitúciám a orgánom Únie umožní vybrať si vhodné bezpečnostné opatrenia pre svoje pracoviská. (19)Všetky inštitúcie a orgány Únie, ktoré manipulujú s utajovanými skutočnosťami EÚ alebo tieto skutočnosti uchovávajú, by mali na svojich pracoviskách zriadiť fyzicky chránené priestory, s cieľom zabezpečiť rovnakú úroveň ochrany príslušných úrovní pre utajované skutočnosti EÚ, s ktorými sa v nich manipuluje a ktoré sa tam uchovávajú. Uvedené priestory by mali byť označené ako administratívne priestory a zabezpečené priestory a mali by zodpovedať spoločným minimálnym normám ochrany utajovaných skutočností EÚ. (20)Pôvodcovská kontrola predstavuje dôležitú zásadu správy utajovaných skutočností EÚ, preto je potrebné ju jednoznačne stanoviť a vypracovať. V tomto zmysle sa vytvorením utajovaných skutočností EÚ zveruje pôvodcovi zodpovednosť, ktorá by sa mala vzťahovať na celý životný cyklus príslušného dokumentu s utajovanými skutočnosťami EÚ. (21)Inštitúcie a orgány Únie tradične vyvíjajú svoje komunikačné a informačné systémy nezávisle, pričom nevenujú dostatočnú pozornosť ich interoperabilite medzi všetkými inštitúciami a orgánmi Únie. Preto je potrebné zaviesť minimálne bezpečnostné požiadavky na komunikačné a informačné systémy, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ aj s neutajovanými skutočnosťami a v ktorých sa tieto skutočnosti uchovávajú, aby sa zaručila hladká výmena informácií s príslušnými zainteresovanými stranami. (22)S cieľom dosiahnuť jednotný štandard certifikácie komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa tieto skutočnosti uchovávajú, by mali inštitúcie a orgány Únie spolupracovať v skupine zriadenej na tento účel. Odporúča sa, aby uvedený štandard používali všetky inštitúcie a orgány Únie s cieľom prispieť k všeobecnej úrovni ochrany utajovaných skutočností EÚ. Ak však ide o organizačnú autonómiu, rozhodnutie je naďalej na príslušnom orgáne každej inštitúcie alebo orgánu. (23)Všetky inštitúcie a orgány Únie by mali postupovať rovnako a pri uzatváraní a vykonávaní utajovaných zmlúv alebo dohôd o grantoch uplatňovať rovnaké opatrenia. Preto je potrebné jednoznačne stanoviť povinné aj nepovinné prvky utajovaných zmlúv a dohôd o grantoch. Pri opatreniach na ochranu utajovaných skutočností EÚ v súvislosti s utajovanými zmluvami a dohodami o grantoch by sa však malo prihliadať aj na predpisy, ktoré už osobitne v tejto oblasti vypracovali inštitúcie a orgány Únie spoločne s členskými štátmi. (24)Úzka spolupráca medzi inštitúciami a orgánmi Únie, ako aj množstvo synergií, ktoré medzi nimi vznikli, sa týkajú aj spoločného využívania veľkého objemu informácií. Z dôvodu bezpečnosti utajovaných skutočností by sa mala posúdiť dôveryhodnosť inštitúcií alebo orgánov EÚ, ktoré majú manipulovať s utajovanými skutočnosťami EÚ určeného stupňa utajenia a uchovávať ich. (25)Okrem toho by sa spoločné využívanie utajovaných skutočností EÚ inštitúciami a orgánmi Únie a výmena informácií s medzinárodnými organizáciami a tretími krajinami mali regulovať primeranými bezpečnostnými opatreniami na ochranu uvedených informácií. Na predpokladané dohody o bezpečnosti informácií sa uplatňujú ustanovenia článku 218 zmluvy. (26)Dohody o bezpečnosti informácií majú zabezpečovať celkový právny rámec výmeny utajovaných skutočností Únie s tretími krajinami a medzinárodnými organizáciami. Takisto je potrebné umožniť inštitúciám a orgánom Únie uzatvárať administratívne dohody s konkrétnym partnerom z tretej krajiny alebo medzinárodnej organizácie na účely výmeny utajovaných skutočností EÚ. (27)V tomto nariadení sa stanovuje rámec spoločný pre všetky inštitúcie a orgány Únie. S cieľom zabrániť nadmernej administratívnej záťaži inštitúcií a orgánov Únie v procese prispôsobenia ich interných bezpečnostných predpisov predpisom stanoveným v tomto nariadení by sa toto nariadenie malo začať uplatňovať po dvoch rokoch od nadobudnutia svojej účinnosti.

(28)V súlade s odsekmi 22 a 23 Medziinštitucionálnej dohody z 13. apríla 2016 o lepšej tvorbe práva by mala Komisia vyhodnotiť toto nariadenie s cieľom posúdiť jeho skutočné účinky a potrebu akýchkoľvek ďalších opatrení. Komisia by mala predložiť Európskemu parlamentu a Rade správu o vykonávaní tohto nariadenia, a to najneskôr tri roky odo dňa začatia jeho uplatňovania. (29)S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 42 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 a európsky dozorný úradník pre ochranu údajov vydal stanovisko ... PRIJALI TOTO NARIADENIE: Kapitola 1

Všeobecné ustanovenia Článok 1 Predmet úpravy 1.V tomto nariadení sa stanovujú predpisy v oblasti bezpečnosti informácií pre všetky inštitúcie a orgány Únie. Článok 2 Rozsah pôsobnosti 1.Toto nariadenie sa uplatňuje na všetky informácie, s ktorými manipulujú a ktoré uchovávajú inštitúcie a orgány Únie, vrátane informácií súvisiacich s činnosťami Európskeho spoločenstva pre atómovú energiu, s výnimkou utajovaných skutočností Euratomu. 2.Uplatňuje sa na tieto stupne dôvernosti informácií: a)tri stupne neutajovaných skutočností: verejné použitie, bežné použitie a citlivé neutajované skutočnosti; b)štyri stupne utajovaných skutočností EÚ: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET. 3.Tieto stupne sa určujú na základe škôd, ktoré by mohli vzniknúť po neoprávnenom zverejnení oprávneným súkromným aj verejným záujmom vrátane záujmov Únie, inštitúcií a orgánov Únie a členských štátov alebo iných zainteresovaných strán, pričom podľa uvedených stupňov sa uplatňujú primerané ochranné opatrenia. Článok 3 Vymedzenie pojmov Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov: a)„informácie“ sú všetky údaje v ústnej, vizuálnej, elektronickej, magnetickej alebo fyzickej podobe alebo vo forme veci, zariadenia alebo technológie, pričom zahŕňajú aj reprodukcie, preklady a veci vo fáze vývoja; b)„bezpečnosť informácií“ je zabezpečovanie hodnovernosti, dostupnosti, dôvernosti, integrity a nespochybniteľnosti informácií; c)„manipulácia“ s informáciami je akýkoľvek možný úkon v súvislosti s informáciami, ktorý sa môže vykonať počas ich životného cyklu; zahŕňa ich vytváranie, zhromažďovanie, evidenciu, priradenie stupňa dôvernosti, spracúvanie, zobrazenie, konzultovanie, prepravu, prenos, zníženie stupňa utajenia, zrušenie utajenia, archivovanie a zničenie;

d)„uchovávanie“ je uloženie informácií na akomkoľvek nosiči s cieľom zabezpečiť ich dostupnosť v budúcnosti; e)„inštitúcie a orgány Únie“ sú inštitúcie, orgány, úrady a agentúry Únie zriadené Zmluvou o Európskej únii, Zmluvou o fungovaní Európskej únie, Zmluvou o založení Európskeho spoločenstva pre atómovú energiu alebo legislatívnym aktom alebo na ich základe; f)„utajované skutočnosti Euratomu“ sú informácie v zmysle nariadenia Rady Európskeho spoločenstva pre atómovú energiu č. 3/1958; g)„bezpečnostný orgán“ je bezpečnostná funkcia každej inštitúcie a každého orgánu Únie, ktorá je určená v súlade s jej rokovacím poriadkom alebo zakladajúcim aktom; h)„proces riadenia rizík v oblasti bezpečnosti informácií“ je celý proces zameraný na rozpoznávanie, kontrolu a minimalizáciu neistých udalostí, ktoré môžu mať vplyv na bezpečnosť organizácie alebo systémov, ktoré používa; zahŕňa všetky činnosti týkajúce sa rizík vrátane ich posudzovania, riešenia, akceptácie a oznamovania; i)„majetok“ je všetko, čo má hodnotu pre inštitúciu alebo orgán Únie, ich prevádzkové činnosti a kontinuitu vrátane informačných zdrojov, ktoré pomáhajú plniť ich poslanie; j)„operačné bezpečnostné postupy“ sú súbor zdokumentovaných postupov podľa prílohy III na prevádzku zabezpečeného priestoru, komunikačného a informačného systému alebo iného bezpečnostného majetku či služby s cieľom zabezpečiť ich účinnosť; k)„komunikačný a informačný systém“ alebo „CIS“ je akýkoľvek systém umožňujúci manipuláciu s informáciami a ich uchovávanie v elektronickej podobe vrátane všetkého majetku potrebného na jeho prevádzku; l)„informačná bezpečnosť“ je istota, že komunikačné a informačné systémy ochránia informácie, s ktorými sa v nich manipuluje a ktoré uchovávajú, a budú fungovať vtedy a tak, ako majú, pod dohľadom oprávnených používateľov, pričom zabezpečia primeranú úroveň hodnovernosti, dostupnosti, dôvernosti, integrity a nespochybniteľnosti; m)„certifikácia“ je formálne povolenie, ktoré orgán bezpečnostnej certifikácie vydá pre komunikačný a informačný systém na spracovanie utajovaných skutočností EÚ s vopred určeným stupňom utajenia alebo pre zabezpečený priestor na ich uchovávanie; n)„certifikačný proces“ sú kroky a úlohy potrebné pred certifikáciou; o)„bezpečnostné opatrenia TEMPEST“ sú opatrenia na ochranu každého komunikačného a informačného systému, v rámci ktorého sa manipuluje s informáciami so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším a v rámci ktorého sa takéto informácie uchovávajú, pred vyzradením takýchto informácií prostredníctvom neúmyselného elektromagnetického vyžarovania; p)„CERT-EU“ je centrum kybernetickej bezpečnosti pre inštitúcie a orgány Únie v zmysle nariadenia Európskeho parlamentu a Rady (EÚ) [...], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie; q)„incident v oblasti bezpečnosti informácií“ je každá udalosť, ktorá môže ohroziť hodnovernosť, dostupnosť, dôvernosť, integritu alebo nespochybniteľnosť uchovávaných, prenášaných alebo spracúvaných informácií; r)„potreba poznať“ je nutnosť, aby osoba v záujme plnenia úloh inštitúcie alebo orgánu EÚ mala prístup k určeným informáciám, s ktorými daná inštitúcia alebo orgán Únie manipuluje alebo ich uchováva; s)„nulová dôvera“ je bezpečnostný model, súbor zásad navrhovania systémov a koordinovaná stratégia kybernetickej bezpečnosti a riadenia systému založená na uznaní existencie hrozieb v rámci tradičných hraníc siete aj mimo nich; t)„označenie“ je značka pridelená informáciám, aby sa zabezpečilo uplatňovanie primeraných bezpečnostných opatrení; u)„bezpečnostné označenie“ je označenie stupňa dôvernosti informácií; v)„označenie distribúcie“ je označenie adresátov v rámci inštitúcie alebo orgánu Únie, z ktorého informácie im určené pochádzajú;; w)„označenie prístupnosti“ je označenie adresátov mimo inštitúcie alebo orgánu Únie, z ktorého informácie pre nich povolené pochádzajú;

x)„vlastník systému“ je osoba zodpovedná za celkové obstaranie, vývoj, integráciu, modifikáciu, prevádzku, údržbu a odstavenie komunikačného a informačného systému; y)„hrozba pre bezpečnosť informácií“ je udalosť alebo činiteľ, v prípade ktorých možno odôvodnene očakávať, že nepriaznivo ovplyvnia bezpečnosť informácií, ak sa na ne nebude reagovať alebo ak sa nad nimi nezíska kontrola; z)„zraniteľnosť“ je slabá stránka, citlivé miesto alebo chyba majetku, systému, procesu alebo kontroly, ktorú možno zneužiť v rámci jednej alebo viacerých hrozieb; aa)„riziko“ je možný nepriaznivý účinok danej hrozby spočívajúci v možnom zneužití vnútorných alebo vonkajších zraniteľností inštitúcie alebo orgánu Únie alebo niektorého z používaných systémov, ktorého dôsledkom je poškodenie oprávnených súkromných aj verejných záujmov, pričom sa meria ako kombinácia pravdepodobnosti výskytu hrozieb a ich vplyvu; ab)„zvyškové riziko“ je riziko, ktoré zostáva po vykonaní bezpečnostných opatrení; ac)„posúdenie rizika“ je identifikácia hrozieb a zraniteľností a vykonanie analýzy súvisiacich rizík, t. j. analýzy pravdepodobnosti a následkov; ad)„ošetrenie rizika“ je zmiernenie, odstránenie a obmedzenie rizika (prostredníctvom vhodnej kombinácie technických, fyzických, organizačných a procesných opatrení), prenesenie rizika alebo jeho monitorovanie; ae)„európsky certifikát kybernetickej bezpečnosti“ je certifikát v zmysle článku 2 ods. 11 nariadenia (EÚ) 2019/881; af)„držiteľ“ je riadne oprávnená osoba, u ktorej sa zistila potreba poznať a ktorá má v držbe informáciu, ktorá si vyžaduje ochranu, a preto zodpovedá za jej ochranu; ag)„vec“ je každý dokument, nosič dát alebo prístroj či zariadenie vyrobené alebo v procese výroby; ah)„utajovaná skutočnosť Európskej únie“ alebo je každá informácia alebo vec označená stupňom utajenia EÚ, ktorej neoprávnené zverejnenie by mohlo v rôznej miere poškodiť záujmy Únie alebo jedného či viacerých jej členských štátov; ai)„povolenie na prístup k utajovaným skutočnostiam EÚ“ je rozhodnutie bezpečnostného orgánu, ktorým sa môže úradníkovi, inému štátnemu zamestnancovi alebo vyslanému národnému expertovi inštitúcie alebo orgánu Únie udeliť na stanovený čas prístup k utajovaným skutočnostiam EÚ až do určitého stupňa utajenia; aj)„národný bezpečnostný orgán“ alebo „NSA“ je orgán štátnej správy členského štátu, ktorý nesie konečnú zodpovednosť za bezpečnosť utajovaných skutočností v danom členskom štáte; ak)„určený bezpečnostný orgán“ alebo „DSA“ je orgán členského štátu (NSA alebo akýkoľvek iný príslušný orgán) zodpovedný za poskytovanie usmernení a pomoci pri vykonávaní postupov v oblasti priemyselnej bezpečnosti alebo pri previerkach, prípadne obidvoch; al)„bezpečnostné vyšetrovanie“ sú vyšetrovacie postupy vykonávané príslušným vnútroštátnym orgánom členského štátu v súlade s jeho vnútroštátnym právom a právnymi predpismi s cieľom získať ubezpečenie, že nie je známe nič, čo by bránilo udeliť určitej osobe bezpečnostnú previerku do určeného stupňa utajenia (CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyššieho); am)„fyzická bezpečnosť“ je uplatňovanie fyzických, technických a organizačných opatrení na priestory, budovy, miestnosti, kancelárie alebo zariadenia inštitúcie alebo orgánu Únie, ktoré si vyžadujú ochranu pred neoprávneným prístupom k informáciám, s ktorými sa v nich manipuluje, ktoré sa v nich uchovávajú alebo o ktorých sa v nich diskutuje; an)„pracoviská“ sú priestory, budovy, miestnosti, kancelárie alebo zariadenia inštitúcie alebo orgánu Únie; ao)„hĺbková ochrana“ je druh bezpečnosti, pri ktorej sa využíva viacero nezávislých úrovní bezpečnostných kontrol, aby v prípade zlyhania jednej vrstvy zabezpečila obranu ďalšia vrstva; ap)„kryptografický materiál“ sú kryptografické algoritmy, hardvérové a softvérové kryptografické moduly a produkty vrátane údajov o ich implementácii, príslušnej dokumentácie a kryptografických kľúčov; aq)„kryptografický produkt“ je produkt, ktorého primárnou a hlavnou funkciou je poskytovať bezpečnostné služby (hodnovernosť, dostupnosť, dôvernosť, integritu a nespochybniteľnosť) prostredníctvom jedného alebo viacerých kryptografických mechanizmov;

ar)„pôvodca“ je inštitúcia alebo orgán Únie, členský štát, tretia krajina alebo medzinárodná organizácia, v ktorej právomoci sa utajované skutočnosti vytvorili alebo zaviedli do štruktúr Únie; as)„dokument“ je každý obsah bez ohľadu na príslušné médium (na papieri, v elektronickej forme, vo forme magnetického záznamu alebo v inej forme) v písomnej podobe alebo ako vizuálny alebo audiovizuálny záznam; at)„evidencia na bezpečnostné účely“ je uplatňovanie postupov, ktorými sa zaznamenáva životný cyklus veci vrátane jej distribúcie a zničenia; au)„zrušenie utajenia“ je odňatie bezpečnostného utajenia; av)„zníženie stupňa utajenia“ je preklasifikovanie na nižší stupeň utajenia; aw)„utajovaná zmluva“ je rámcová zmluva alebo zmluva podľa nariadenia Európskeho parlamentu a Rady (EÚ, Euratom) 2018/1046, ktorú inštitúcia alebo orgán Únie uzavrie s dodávateľom na dodávku hnuteľného alebo nehnuteľného majetku, vykonanie prác alebo poskytnutie služieb, ktorých plnenie si vyžaduje alebo zahŕňa manipuláciu s utajovanými skutočnosťami EÚ vrátane ich vytvárania alebo uchovávania; ax)„utajovaná dohoda o grante“ je dohoda, ktorou inštitúcia alebo orgán Únie udelí grant, ako sa uvádza v hlave VIII nariadenia (EÚ, Euratom) 2018/1046, a ktorej plnenie si vyžaduje alebo zahŕňa manipuláciu s utajovanými skutočnosťami EÚ vrátane ich vytvorenia alebo uchovávania; ay)„utajovaná subdodávateľská zmluva“ je zmluva, ktorú dodávateľ alebo príjemca z inštitúcie alebo orgánu Únie uzavrel so subdodávateľom na dodávku hnuteľného alebo nehnuteľného majetku, vykonanie prác alebo poskytnutie služieb, a ktorej plnenie si vyžaduje alebo zahŕňa manipuláciu s utajovanými skutočnosťami EÚ vrátane ich vytvárania alebo uchovávania; az)„bezpečnostné pokyny pre program alebo projekt“ alebo „PSI“ je zoznam bezpečnostných postupov, ktoré sa uplatňujú v rámci konkrétneho programu alebo projektu s cieľom štandardizovať bezpečnostné postupy; ba)„bezpečnostná doložka“ alebo „SAL“ je súbor osobitných zmluvných podmienok vydaných verejným obstarávateľom alebo orgánom poskytujúcim grant, v ktorom sa stanovujú bezpečnostné požiadavky alebo prvky zmluvy alebo grantu vyžadujúce si bezpečnostnú ochranu a ktorý tvorí neoddeliteľnú súčasť každej utajovanej zmluvy alebo dohody o grante, ktorá si vyžaduje prístup k utajovaným skutočnostiam EÚ alebo v rámci ktorej sa takéto utajované skutočnosti vytvárajú; bb)„sprievodca stupňami utajenia“ alebo „SCG“ je dokument, v ktorom sa opisujú prvky programu, projektu, zmluvy alebo dohody o grante, ktoré sú utajené, pričom sa v ňom uvádzajú uplatniteľné stupne utajenia. Článok 4 Všeobecné zásady 1.Všetky inštitúcie a orgány Únie zodpovedajú za vykonávanie ustanovení tohto nariadenia v rámci svojej organizácie s prihliadnutím na vlastný proces riadenia rizika v oblasti bezpečnosti informácií. 2. Nedodržiavanie tohto nariadenia, najmä neoprávnené zverejňovanie informácií so stupňami dôvernosti uvedenými v článku 2 ods. 2, s výnimkou informácií určených na verejné použitie, podlieha vyšetrovaniu a môže viesť k zodpovednosti zamestnancov v súlade so zmluvami alebo príslušnými služobnými predpismi. 3.Inštitúcie a orgány Únie posudzujú všetky informácie, s ktorými manipulujú a ktoré uchovávajú, aby ich mohli kategorizovať v súlade so stupňami dôvernosti uvedenými v článku 2 ods. 2. 4.Inštitúcie a orgány Únie určujú potreby v oblasti bezpečnosti všetkých informácií, s ktorými manipulujú a ktoré uchovávajú, na základe týchto aspektov: a)hodnovernosť: záruka, že informácie sú pravé a pochádzajú z dôveryhodných zdrojov; b)dostupnosť: prístupnosť a použiteľnosť na požiadanie oprávneného subjektu; c)dôvernosť: nesprístupnenie informácií neoprávneným jednotlivcom, subjektom alebo procesom;

d)integrita; skutočnosť, že informácie sú úplné a úplnosť informácií nebola upravená; e)nespochybniteľnosť: schopnosť preukázať, že sa činnosť alebo udalosť uskutočnila, takže túto činnosť alebo udalosť nie je možné následne poprieť. 5.V prípade každého komunikačného a informačného systému, za ktorý zodpovedajú, určia inštitúcie a orgány Únie najvyšší stupeň dôvernosti informácií, s ktorými sa môže v danom komunikačnom a informačnom systéme manipulovať a ktoré sa v ňom môžu uchovávať, vykonávajú posúdenia rizík bezpečnosti informácií a pravidelne monitorujú potreby v oblasti bezpečnosti, ako aj správne vykonávanie určených ochranných opatrení. 6.Všetky inštitúcie a orgány Únie zabezpečujú činnosti odbornej prípravy a zvyšovania informovanosti o manipulácii s neutajovanými skutočnosťami a utajovanými skutočnosťami EÚ a o ich uchovávaní. Inštitúcie a orgány Únie, ktoré manipulujú s utajovanými skutočnosťami EÚ a uchovávajú ich, organizujú pre všetkých jednotlivcov oprávnených na prístup k utajovaným skutočnostiam EÚ povinnú odbornú prípravu aspoň každých päť rokov. Príslušné inštitúcie a orgány Únie organizujú osobitnú odbornú prípravu týkajúcu sa špecifických funkcií vykonávaných v rámci úloh v oblasti bezpečnosti informácií. Inštitúcia alebo orgán Únie môže koordinovať takéto činnosti odbornej prípravy a zvyšovania informovanosti s ostatnými inštitúciami a orgánmi Únie. Článok 5 Proces riadenia rizika v oblasti bezpečnosti informácií 1.Každá inštitúcia a každý orgán Únie zavedie proces riadenia rizík v oblasti bezpečnosti informácií na ochranu informácií, s ktorými manipuluje a ktoré uchováva. 2.Proces riadenia rizika v oblasti bezpečnosti informácií zahŕňa tieto kroky: a)identifikácia hrozieb a zraniteľnosti; b)posúdenie rizika; c)ošetrenie rizika; d)akceptácia rizika; e)oznamovanie rizika. 3.Pri procese riadenia rizika v oblasti bezpečnosti informácií sa prihliada na všetky faktory relevantné pre dotknutú inštitúciu alebo dotknutý orgán, a najmä na: a)stupeň dôvernosti informácie a súvisiace právne záväzky; b)formu a objem informácií a zariadení alebo komunikačných a informačných systémov, v rámci ktorých sa s informáciami manipuluje alebo v ktorých sa informácie uchovávajú; c)osoby, ktoré majú prístup k informáciám na pracovisku alebo na diaľku; d)okolité prostredie a štruktúru budov alebo priestorov, v ktorých sa informácie uchovávajú;

e)hrozby zacielené na Úniu, inštitúcie a orgány Únie alebo členské štáty v podobe kybernetických útokov, útokov na dodávateľské reťazce, špionáže, sabotáže a teroristických, podvratných alebo iných trestných činností; f)kontinuitu prevádzky a obnovu systému po havárii; g)výsledky kontrol, auditov, prípadne hodnotiacich návštev. Kapitola 2

Riadenie a organizácia bezpečnosti Článok 6 Medziinštitucionálna koordinačná skupina pre bezpečnosť informácií 1.Zriaďuje sa Medziinštitucionálna koordinačná skupina pre bezpečnosť informácií (ďalej len „koordinačná skupina“). Pozostáva zo všetkých bezpečnostných orgánov v rámci inštitúcií a orgánov Únie a má mandát vymedziť ich vlastnú spoločnú politiku v oblasti bezpečnosti informácií. 2.Koordinačná skupina na základe konsenzu a v spoločnom záujme všetkých inštitúcií a orgánov Únie: a)prijíma rokovací poriadok a ročné spoločné ciele a priority; b)prijíma rozhodnutia o zriadení tematických podskupín a ich mandáte; c)vypracúva v spolupráci s Medziinštitucionálnou radou pre kybernetickú bezpečnosť usmerňovacie dokumenty o vykonávaní tohto nariadenia podľa článku 9 nariadenia EÚ [...], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie; d)zriaďuje špecializované platformy na spoločné využívanie najlepších postupov a poznatkov týkajúcich sa spoločných tém súvisiacich s bezpečnosťou informácií, ako aj na poskytovanie pomoci v prípade incidentov v oblasti bezpečnosti informácií; e)zabezpečuje potrebné koordinovanie bezpečnostných opatrení s príslušnými národnými bezpečnostnými orgánmi na účely ochrany utajovaných skutočností EÚ. 3.Koordinačná skupina určí spomedzi svojich členov predsedu a dvoch podpredsedov na obdobie 3 rokov. 4.Koordinačná skupina sa stretáva aspoň raz ročne na podnet svojho predsedu alebo na žiadosť inštitúcie alebo orgánu Únie. 5.Koordinačná skupina má administratívnu podporu stáleho sekretariátu, ktorý poskytuje Komisia. 6.Všetky inštitúcie alebo orgány Únie sú primerane zastúpené v koordinačnej skupine a prípadne v tematických podskupinách. 7.Inštitúcie a orgány Únie upozornia koordinačnú skupinu na každý významný vývoj politiky v oblasti bezpečnosti informácií v rámci svojej organizácie. 8.Koordinačnej skupine pri plnení úloh uvedených v odseku 2 písm. e) pomáha výbor pre bezpečnosť informácií. Tento výbor tvorí jeden zástupca z každého národného bezpečnostného orgánu a predsedá mu sekretariát koordinačnej skupiny uvedený v odseku 5. Výbor pre bezpečnosť informácií má poradnú úlohu.

Článok 7 Tematické podskupiny 1.Koordinačná skupina vytvorí tieto stále tematické podskupiny na uľahčenie vykonávania tohto nariadenia: a)podskupina pre informačnú bezpečnosť; b)podskupina pre neutajované skutočnosti; c)podskupina pre fyzickú bezpečnosť; d)podskupina pre certifikáciu komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú; e)podskupina pre spoločné využívanie utajovaných skutočností EÚ a výmenu utajovaných skutočností. 2.V prípade potreby môže koordinačná skupina zriadiť ad hoc podskupiny pre konkrétnu úlohu a na obmedzený čas. 3.Ak nie je v ich mandáte ustanovené inak, podskupiny sú založené na otvorenom členstve zastupujúcom príslušnú inštitúciu alebo príslušný orgán Únie. Členmi podskupín sú odborníci v príslušnej oblasti pôsobnosti. 4.Sekretariát koordinačnej skupiny uvedený v článku 5 ods. 5 podporuje prácu všetkých podskupín a zabezpečuje komunikáciu medzi členmi. Článok 8 Organizácia bezpečnosti 1.Každá inštitúcia a každý orgán Únie určí bezpečnostný orgán, ktorý prevezme povinnosti pridelené týmto nariadením a prípadne jeho vnútornými bezpečnostnými predpismi. Pri vykonávaní svojich úloh má každý bezpečnostný orgán podporu oddelenia alebo úradníka povereného úlohami v oblasti bezpečnosti informácií. 2.Bezpečnostný orgán každej inštitúcie a orgánu Únie v prípade potreby prijme vnútorné vykonávacie predpisy na ochranu informácií v súlade s ich osobitným poslaním, ktorým ich poverili právne predpisy EÚ, a na základe ich inštitucionálnej autonómie. 3.Každý bezpečnostný orgán v prípade potreby pôsobí aj ako: a)orgán pre informačnú bezpečnosť zodpovedný za vypracovanie bezpečnostných politík a bezpečnostných usmernení v oblasti informačnej bezpečnosti a monitorovanie ich účinnosti a vhodnosti; b)operačný orgán pre informačnú bezpečnosť zodpovedný za vypracovanie bezpečnostnej dokumentácie, najmä operačných bezpečnostných postupov a šifrovacej stratégie v rámci certifikačného procesu komunikačných a informačných systémov; c)orgán bezpečnostnej certifikácie zodpovedný za certifikáciu zabezpečených priestorov a CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú; d)orgán pre TEMPEST zodpovedný za schvaľovanie opatrení prijatých na ochranu pred vyzradením utajovaných skutočností EÚ prostredníctvom neúmyselného elektrického vyžarovania;

e)kryptografický schvaľovací orgán zodpovedný za schvaľovanie používania šifrovacích technológií na základe žiadosti vlastníka systému; f)kryptografický distribučný orgán zodpovedný za distribúciu kryptografických materiálov používaných na ochranu utajovaných skutočností EÚ (šifrovacie zariadenie, kryptografické kľúče, certifikáty a súvisiace autentifikátory) príslušným používateľom. 4.Zodpovednosti jedného alebo viacerých orgánov uvedených v odseku 3 možno delegovať na inú inštitúciu alebo iný orgán Únie, ak decentralizované zaisťovanie bezpečnosti prinesie významné úspory z hľadiska účinnosti, zdrojov alebo času. Kapitola 3

Informačná bezpečnosť a komunikačné a informačné systémy (CIS) Článok 9 Zásady informačnej bezpečnosti 1.Posúdenie potrieb bezpečnosti informácií sa zohľadňuje v prípade všetkých komunikačných a informačných systémov vrátane interných, externých a hybridných komunikačných a informačných systémov, a to od začiatku ich vytvárania alebo vo fáze obstarávania. 2.Každý komunikačný a informačný systém, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ alebo v ktorom sa takéto skutočnosti uchovávajú, musí byť certifikovaný v súlade s kapitolou 5, oddielom 5. Každý komunikačný a informačný systém, v ktorom sa manipuluje s citlivými neutajovanými skutočnosťami alebo v ktorom sa takéto skutočnosti uchovávajú, musí spĺňať minimálne požiadavky na citlivé neutajované skutočnosti v komunikačných a informačných systémoch stanovené v kapitole 4. Článok 10 Podskupina pre informačnú bezpečnosť 1.Podskupina pre informačnú bezpečnosť, ako sa uvádza v článku 7 ods. 1 písm. a), má tieto úlohy a povinnosti: a)poskytovanie usmernení a najlepších postupov týkajúcich sa označovania, manipulácie a uchovávania informácií v CIS v úzkej spolupráci s Medziinštitucionálnou radou pre kybernetickú bezpečnosť podľa článku 9 nariadenia EÚ [XXX], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie; b)vytvorenie systému metaúdajov pre označenia a všetky potrebné technické informácie s cieľom prispieť k interoperabilnej a bezproblémovej výmene informácií medzi inštitúciami a orgánmi Únie pri prepojení ich príslušných komunikačných a informačných systémov; c)prispievanie k súdržnosti medzi predpismi v oblasti bezpečnosti informácií a základnou úrovňou kybernetickej bezpečnosti vo všetkých inštitúciách a orgánoch Únie podľa článku 5 nariadenia EÚ [XXX], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie. Článok 11 Požiadavky na komunikačné a informačné systémy 1.Inštitúcie a orgány Únie informujú používateľov o úrovniach dôvernosti informácií, s ktorými možno manipulovať a ktoré možno uchovávať v komunikačnom a informačnom systéme. Ak sa v komunikačnom a informačnom systéme manipuluje s viacerými úrovňami dôvernosti a spracúvajú sa viaceré úrovne dôvernosti, použijú sa metaúdaje a vizuálne označenia, aby sa zabezpečilo rozlíšenie rôznych úrovní. 2.Inštitúcie a orgány Únie určia používateľov komunikačného a informačného systéme pred tým, ako im poskytnú prístup k akejkoľvek inej úrovni dôvernosti, než je verejné použitie. Používatelia musia byť overení na úrovni zabezpečenia, ktorá je primeraná úrovni dôvernosti. V prípade potreby sa použije spoločný bezpečný systém identifikácie. 3.Pre všetky komunikačné a informačné systémy sa vedú primerané bezpečnostné záznamy, aby sa zabezpečilo rýchle vyšetrovanie v prípade narušenia bezpečnosti alebo úniku informácií. Takéto záznamy sa uchovávajú počas obdobia stanoveného v posúdení vplyvu na činnosť alebo v príslušných bezpečnostných politikách, a to nespochybniteľným spôsobom. Ak sa v komunikačnom a informačnom systéme manipuluje s utajovanými skutočnosťami EÚ alebo sa v ňom uchovávajú takéto skutočnosti, musia sa viesť záznamy súvisiace s potrebou poznať a prístupom k informáciám až do zrušenia utajenia informácií. Bezpečnostný orgán musí mať možnosť vyhľadávať bezpečnostné záznamy a získať k nim prístup.

4.Inštitúcie a orgány Únie prijmú vnútorné pravidlá bezpečnosti komunikačných a informačných systémov s cieľom stanoviť vhodné bezpečnostné opatrenia v súlade s bezpečnostnými potrebami informácií, s ktorými sa má manipulovať a ktoré sa majú uchovávať, pričom sa zohľadnia jurisdikcie, v ktorých sa informácie uchovávajú, do ktorých sa prenášajú a v ktorých sa s nimi manipuluje. Medzi tieto opatrenia podľa potreby patria: a)obmedzenia zemepisnej polohy; b)zváženie možných konfliktov záujmov, bojkotov alebo pokút týkajúcich sa dodávateľov; c)zmluvné ustanovenia na zaistenie bezpečnosti informácií; d)šifrovanie neaktívnych a prenášaných informácií; e)obmedzenia prístupu k informáciám inštitúcií a orgánov Únie pre personál dodávateľa; f)ochrana osobných údajov v súlade s platnými právnymi predpismi o ochrane údajov. 5.Inštitúcie a orgány Únie spravujú svoje komunikačné a informačné systémy v súlade s týmito zásadami: a)každý komunikačný a informačný systém má vlastníka systému alebo operačný orgán pre informačnú bezpečnosť, ktorý je zodpovedný za jeho bezpečnosť; b)musí sa vykonať proces riadenia rizika v oblasti bezpečnosti informácií pokrývajúci aspekty informačnej bezpečnosti; c)bezpečnostné požiadavky a operačné bezpečnostné postupy sa formálne vymedzia, vykonávajú, kontrolujú a preskúmavajú; d)incidenty v oblasti bezpečnosti informácií sa formálne zaznamenávajú a sledujú v súlade s nariadením Ú [XXX], ktorým sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie. Kapitola 4

Neutajované skutočnosti Článok 12 Informácie na verejné použitie 1.Informácie určené na verejné použitie alebo oficiálne uverejnenie alebo už uverejnené, ktoré možno bez obmedzení zdieľať v rámci inštitúcií a orgánov Únie alebo mimo nich, sa kategorizujú ako informácie na verejné použitie, tak sa nimi manipuluje a uchovávajú sa. 2.Inštitúcie a orgány Únie môžu informácie uvedené v odseku 1 označiť textom „PUBLIC USE“. 3.Všetky inštitúcie a orgány Únie zabezpečia integritu a dostupnosť informácií na verejné použitie vhodnými opatreniami na základe bezpečnostných potrieb. Článok 13 Bežné informácie

1.Informácie určené na použitie inštitúciou alebo orgánom Únie pri výkone svojich funkcií, ktoré nie sú ani citlivé neutajované, ani na verejné použitie, sa kategorizujú ako bežné informácie, tak sa nimi manipuluje a uchovávajú sa. Táto kategória zahŕňa všetky informácie bežnej pracovnej úrovne spracúvané v príslušnej inštitúcii alebo príslušnom orgáne Únie. 2.Bežné informácie môžu byť označené vizuálne alebo v metaúdajoch, ak je to potrebné na zabezpečenie ich ochrany, najmä ak sa spoločne využívajú mimo inštitúcií a orgánov Únie. V takom prípade sa použije označenie „EU NORMAL“ alebo „názov alebo skratka inštitúcie alebo orgánu Únie NORMAL“ (podľa individuálneho prípadu). 3.Inštitúcie a orgány Únie vymedzia štandardné ochranné opatrenia pre bežné informácie, pričom zohľadnia usmernenia podskupiny pre neutajované skutočnosti a všetky špecifické riziká súvisiace s ich úlohami a činnosťami. 4.Bežné informácie sa mimo inštitúcií a orgánov Únie poskytujú iba fyzickým alebo právnickým osobám s potrebou poznať. Článok 14 Citlivé neutajované skutočnosti 1.Inštitúcie a orgány Únie kategorizujú ako citlivé neutajované skutočnosti všetky informácie, ktoré nie sú utajené, ale ktoré musia chrániť z dôvodu zákonných povinností alebo z dôvodu škody, ktorá môže vzniknúť ich neoprávneným zverejnením pre oprávnené súkromné a verejné záujmy vrátane záujmov inštitúcií a orgánov Únie, členských štátov alebo jednotlivcov, pričom s týmito informáciami manipulujú ako s citlivými neutajovanými skutočnosťami a uchovávajú ich tak. 2.Každá inštitúcia a každý orgán Únie identifikuje citlivé neutajované skutočnosti viditeľným bezpečnostným označením a vymedzí zodpovedajúce pokyny na manipuláciu s nimi v súlade s prílohou I. 3.Inštitúcie a orgány Únie chránia citlivé neutajované skutočnosti uplatňovaním primeraných opatrení, pokiaľ ide o manipuláciu s nimi a ich uchovávanie. Takéto skutočnosti možno v rámci inštitúcií a orgánov Únie sprístupniť iba osobám s potrebou poznať na plnenie pridelených úloh. 4.Citlivé neutajované skutočnosti sa mimo inštitúcií a orgánov Únie vymieňajú iba s fyzickými a právnickými osobami, ktoré majú potrebu poznať a zároveň dodržiavajú pokyny na manipuláciu priložené k informáciám. Všetky zúčastnené strany musia byť oboznámené s príslušnými pokynmi na manipuláciu s informáciami. Článok 15 Ochrana neutajovaných skutočností a interoperabilita 1.Inštitúcie a orgány Únie zavedú postupy na nahlasovanie a riadenie akéhokoľvek incidentu alebo podozrenia na incident, ktorý by mohol viesť k ohrozeniu bezpečnosti neutajovaných skutočností. 2.Inštitúcie a orgány Únie v prípade potreby použijú označenia uvedené v článkoch 12, 13 a 14. Výnimočne sa môžu interne použiť iné ekvivalentné označenia, a to aj vo vzťahu s ich konkrétnymi náprotivkami z iných inštitúcií a orgánov Únie alebo z členských štátov, ak s tým súhlasia všetky strany. Takáto výnimka sa oznámi podskupine pre neutajované skutočnosti, ako sa uvádza v článku 7 ods. 1 písm. b). 3.Stanovia sa zmluvné záruky s cieľom zabezpečiť ochranu bežných informácií a citlivých neutajovaných skutočností spracúvaných externe poskytovanými službami. Záruky sú navrhnuté tak, aby zaručovali aspoň rovnakú úroveň ochrany, akú poskytuje toto nariadenie, a zahŕňajú záväzky týkajúce sa dôvernosti a nezverejňovania informácií, ktoré musia podpísať všetci príslušní poskytovatelia služieb zapojení do poskytovania externých systémov. Článok 16 Podskupina pre neutajované skutočnosti 1.Podskupina pre neutajované skutočnosti, ako sa uvádza v článku 7 ods. 1 písm. b), má tieto úlohy a povinnosti: a)zefektívnenie postupov týkajúcich sa manipulácie s neutajovanými skutočnosťami a ich uchovávania a vypracovania príslušných usmernení; b)koordinácia s podskupinou pre informačnú bezpečnosť uvedenou v článku 7 ods. 1 písm. a) v záležitostiach týkajúcich sa systémov manipulácie s neutajovanými skutočnosťami a ich uchovávania;

c)vypracovanie pokynov pre manipuláciu pre rôzne úrovne dôvernosti neutajovaných skutočností; d)pomoc inštitúciám a orgánom Únie pri stanovovaní rovnocennosti medzi ich konkrétnymi kategóriami neutajovaných skutočností a kategóriami ustanovenými v článkoch 12, 13 a 14; e)uľahčenie spoločného využívania neutajovaných skutočností inštitúciami a orgánmi Únie poskytovaním pomoci a usmernení. Článok 17 Manipulácia s citlivými neutajovanými skutočnosťami a ich uchovávanie v komunikačných a informačných systémoch 1.Inštitúcie a orgány Únie zabezpečia, aby komunikačné a informačné systémy spĺňali tieto minimálne požiadavky pri manipulácii s citlivými neutajovanými skutočnosťami a ich uchovávaní: a)pri prístupe k citlivým neutajovaným skutočnostiam sa vykonáva silná autentifikácia a citlivé neutajované skutočnosti sa pri prenose a uchovávaní šifrujú; b)za šifrovacie kľúče používané na uchovávanie zodpovedajú inštitúcie alebo orgány Únie zodpovedné za prevádzku CIS; c)citlivé neutajované skutočnosti sa uchovávajú a spracúvajú v Únii; d)zmluvné ustanovenia týkajúce sa bezpečnosti personálu, majetku a informácií sa zahrnú do všetkých zmlúv o outsourcingu; e)interoperabilné metaúdaje sa použijú na zaznamenanie úrovne dôvernosti elektronických dokumentov a na uľahčenie automatizácie bezpečnostných opatrení; f)inštitúcie a orgány Únie zavedú opatrenia na predchádzanie únikom údajov a ich odhaľovanie s cieľom chrániť citlivé neutajované skutočnosti; g)používa sa bezpečnostné vybavenie s európskym certifikátom kybernetickej bezpečnosti, ak je k dispozícii; h)vykonávanie bezpečnostných opatrení založených na potrebe poznať a nulovej dôvere s cieľom minimalizovať prístup poskytovateľov služieb a dodávateľov k citlivým neutajovaným skutočnostiam. 2.Akákoľvek odchýlka od minimálnych požiadaviek uvedených v odseku 1 podlieha schváleniu príslušnou úrovňou riadenia danej inštitúcie alebo daného orgánu Únie na základe posúdenia rizika pokrývajúceho právne a technické riziká pre bezpečnosť citlivých neutajovaných skutočností. 3.Orgán pre informačnú bezpečnosť príslušnej inštitúcie alebo príslušného orgánu Únie môže kedykoľvek počas životného cyklu komunikačného a informačného systému kontrolovať súlad so zásadami uvedenými v odseku 1. Kapitola 5

Utajované skutočnosti EÚ Oddiel 1

Všeobecné ustanovenia Článok 18 Stupne utajenia a označenia

1.Utajované skutočnosti EÚ sa utajujú na jednom z týchto stupňov a označujú sa takto: a)TRÈS SECRET UE/EU TOP SECRET: informácia alebo vec, neoprávnená manipulácia s ktorou by mohla mimoriadne vážne poškodiť základné záujmy Únie alebo jedného alebo viacerých jej členských štátov; b)SECRET UE/EU SECRET: informácia alebo vec, ktorej neoprávnené sprístupnenie by mohlo vážne poškodiť základné záujmy Únie alebo jedného alebo viacerých jej členských štátov; c)CONFIDENTIEL UE/EU CONFIDENTIAL: informácia alebo vec, ktorej neoprávnené sprístupnenie by mohlo poškodiť základné záujmy Únie alebo jedného alebo viacerých jej členských štátov; d)RESTREINT UE/EU RESTRICTED: informácia alebo vec, ktorej neoprávnené sprístupnenie by mohlo byť nevýhodné pre záujmy Únie alebo jedného alebo viacerých jej členských štátov. 2.Koordinačná skupina prijme usmerňovacie dokumenty o vytváraní a utajovaní utajovaných skutočností EÚ. Článok 19 Vhodnosť manipulácie s utajovanými skutočnosťami EÚ a ich uchovávania 1.Každá inštitúcia a každý orgán Únie môže manipulovať s utajovanými skutočnosťami EÚ a uchovávať ich, ak sú splnené tieto podmienky: a)v súlade s týmto nariadením stanoví predpisy a postupy zabezpečujúce ochranu skutočností pre daný stupeň utajenia a b)vykonala sa hodnotiaca návšteva v súlade s článkom 53 a následne sa potvrdilo, že môže chrániť utajované skutočnosti EÚ v súlade s týmto nariadením a prípadne inými príslušnými predpismi a postupmi. 2.Podmienky stanovené v odseku 1 sa u členov podskupiny pre spoločné využívanie a výmenu utajovaných skutočností EÚ uvedenej v článku 7 ods. 1 písm. e) považujú za štandardne splnené. Článok 20 Ochrana utajovaných skutočností EÚ 1.Držiteľ každej utajovanej skutočnosti EÚ je zodpovedný za jej ochranu. 2.Ak členský štát poskytne utajované skutočnosti s národným označením stupňa utajenia do štruktúr alebo sietí inštitúcie alebo orgánu Únie, táto inštitúcia alebo tento orgán ochráni tieto skutočnosti v súlade so zodpovedajúcim označením stupňa utajenia stanoveným v dohode medzi vládami členských štátov Európskej únie, ktoré sa zišli na zasadnutí Rady, o ochrane utajovaných skutočností, ktoré sa vymieňajú v záujme Európskej únie. Zodpovedajúca ekvivalenčná tabuľka je uvedená v prílohe VI k tomuto nariadeniu. 3.Súbor utajovaných skutočností EÚ si môže vyžadovať ochranu na úrovni, ktorá zodpovedá vyššiemu stupňu utajenia, ako je stupeň utajenia jeho jednotlivých častí. Článok 21 Proces riadenia bezpečnostných rizík utajovaných skutočností EÚ 1.Bezpečnostný orgán každej inštitúcie a každého orgánu Únie schvaľuje bezpečnostné opatrenia na ochranu utajovaných skutočností EÚ počas ich životného cyklu v súlade s výsledkom posúdenia rizík vykonaným príslušnou inštitúciou alebo príslušným orgánom Únie.

2.Bezpečnostné opatrenia prijaté každou inštitúciou a každým orgánom Únie zodpovedajú stupňu utajenia skutočností, s ktorými sa manipuluje a ktoré sa uchovávajú, ich forme a objemu, umiestneniu a ochranným prvkom zariadení, v ktorých sa s utajovanými skutočnosťami EÚ manipuluje a v ktorých sa uchovávajú, a lokálne posúdenej hrozbe škodlivých alebo trestných činností. 3.Všetky inštitúcie a orgány Únie stanovia: a)pohotovostné plány na zaistenie bezpečnosti utajovaných skutočností EÚ počas núdzových situácií; b)plány na zabezpečenie kontinuity činností obsahujúce preventívne a nápravné opatrenia zamerané na minimalizáciu dôsledkov významného zlyhania alebo bezpečnostných incidentov pri manipulácii s utajovanými skutočnosťami EÚ a ich uchovávaní. Článok 22 Narušenie bezpečnosti a vyzradenie utajovaných skutočností EÚ 1.Konanie alebo opomenutie zo strany inštitúcie alebo orgánu Únie alebo osoby, ktoré je v rozpore s týmto nariadením, sa považuje za narušenie bezpečnosti. 2.Utajované skutočnosti EÚ sa považujú za vyzradené, ak boli v dôsledku porušenia úplne alebo čiastočne sprístupnené jednej alebo viacerým osobám, ktoré nemajú oprávnenie na prístup k týmto skutočnostiam. 3.Akékoľvek vyzradenie alebo podozrenie z vyzradenia utajovaných skutočností EÚ sa bezodkladne oznámi bezpečnostnému orgánu príslušnej inštitúcie alebo príslušného orgánu Únie, ktorý vykoná bezpečnostné vyšetrovanie a prijme aspoň tieto opatrenia: a)informuje pôvodcu; b)zabezpečí, že na účely zistenia skutočností prípad vyšetria členovia personálu, ktorých sa narušenie bezpečnosti netýka bezprostredne; c)vyhodnotí možné poškodenie záujmov Únie alebo členských štátov; d)prijme vhodné opatrenia na predchádzanie opätovnému výskytu; e)informuje príslušné orgány o skutočnom vyzradení alebo podozrení z vyzradenia a prijatých opatreniach. Oddiel 2

Personálna bezpečnosť Článok 23 Základné zásady 1.Bezpečnostný orgán inštitúcie alebo orgánu Únie môže osobám poskytnúť prístup k utajovaným skutočnostiam EÚ, ak sú splnené všetky tieto podmienky: a)tieto osoby majú potrebu poznať utajované skutočnosti; b)osoby boli poučené o bezpečnostných predpisoch a postupoch na ochranu utajovaných skutočností EÚ a príslušných bezpečnostných normách a usmerneniach a písomne potvrdili svoje povinnosti v súvislosti s ochranou takýchto utajovaných skutočností;

c)v prípade utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším boli tieto osoby bezpečnostne preverené a oprávnené na príslušný stupeň. 2.Inštitúcie a orgány Únie zohľadnia lojalitu, dôveryhodnosť a spoľahlivosť osoby na základe bezpečnostného vyšetrovania, ktoré vykonali príslušné orgány členského štátu, ktorého je žiadateľ občanom alebo štátnym príslušníkom. 3.Inštitúcie a orgány Únie môžu akceptovať bezpečnostné previerky tretích krajín a medzinárodných organizácií, s ktorými má Únia uzatvorenú dohodu o bezpečnosti utajovaných skutočností. 4.Inštitúcie a orgány Únie môžu riadiť procesy previerky autonómne alebo môžu požiadať Komisiu o dohodu o úrovni poskytovaných služieb na účely bezpečnostnej previerky. Ak sa uzatvorí dohoda o úrovni poskytovaných služieb, bezpečnostný orgán Komisie je v súvislosti s otázkami bezpečnostnej previerky kontaktným miestom medzi bezpečnostnými úradmi príslušnej inštitúcie a príslušného orgánu Únie a príslušnými vnútroštátnymi orgánmi členských štátov. 5.Bezpečnostný orgán každej inštitúcie a každého orgánu Únie vedie záznamy o bezpečnostných previerkach, poučeniach, písomných potvrdeniach a povoleniach na prístup k utajovaným skutočnostiam EÚ. 6.Inštitúcie a orgány Únie, ktoré s Komisiou uzatvoria dohodu o úrovni poskytovaných služieb, sprístupnia bezpečnostnému orgánu Komisie príslušné záznamy týkajúce sa minimálne úrovne utajovaných skutočností EÚ, ku ktorým môže mať osoba prístup, dátumu vydania povolenia na prístup k utajovaným skutočnostiam EÚ a obdobia jeho platnosti. V odôvodnených prípadoch sa tieto záznamy sprístupnia ostatným inštitúciám a orgánom Únie s dohodou o úrovni poskytovaných služieb. Článok 24 Povolenie na prístup k utajovaným skutočnostiam EÚ 1.Každá inštitúcia a každý orgán Únie určí v rámci svojej organizácie pozície, ktoré si vyžadujú prístup k utajovaným skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, aby držiteľ mohol vykonávať svoje povinnosti. 2.Ak je potrebné, aby osoba získala oprávnenie na prístup k skutočnostiam so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším, príslušná inštitúcia alebo príslušný orgán o tom informuje príslušný bezpečnostný orgán, ktorý splní formality požadované v bode 1 prílohy II. 3.Bezpečnostný orgán každej inštitúcie a každého orgánu Únie je zodpovedný za udeľovanie, pozastavenie, zrušenie a obnovenie povolení na prístup k utajovaným skutočnostiam EÚ pre svojich zamestnancov. 4.Za výnimočných okolností, ktoré sú riadne odôvodnené v záujme služby a vykonania úplného bezpečnostného vyšetrovania, môže bezpečnostný orgán inštitúcie alebo orgánu Únie udeliť osobám dočasné povolenie na prístup k utajovaným skutočnostiam EÚ pre konkrétnu pozíciu bez toho, aby boli dotknuté ustanovenia o obnovení povolenia na prístup k utajovaným skutočnostiam EÚ a po overení príslušným národným bezpečnostným orgánom. 5.Inštitúcie a orgány Únie dodržujú postupy pre správu povolení na prístup k utajovaným skutočnostiam EÚ stanovené v prílohe II. Článok 25 Uznávanie povolení na prístup k utajovaným skutočnostiam EÚ 1.Povolenie na prístup k utajovaným skutočnostiam EÚ do určenej úrovne platí vo všetkých inštitúciách alebo orgánoch Únie, ku ktorým je osoba pridelená. 2.Inštitúcie a orgány Únie akceptujú povolenia na prístup k utajovaným skutočnostiam EÚ udelené inou inštitúciou alebo iným orgánom Únie. 3.Ak držiteľ povolenia na prístup k utajovaným skutočnostiam EÚ začne pracovať v inej inštitúcii alebo inom orgáne Únie, táto inštitúcia alebo tento orgán Únie oznámi zmenu zamestnávateľa príslušnému národnému bezpečnostnému orgánu prostredníctvom príslušného bezpečnostného orgánu. Článok 26

Poučenia o utajovaných skutočnostiach EÚ 1.Bezpečnostný orgán inštitúcie alebo orgánu Únie poučí všetky osoby, ktoré potrebujú získať prístup k utajovaným skutočnostiam EÚ, o akomkoľvek ohrození bezpečnosti a o ich povinnosti nahlásiť akúkoľvek podozrivú činnosť. Poučenie sa uskutoční pred udelením prístupu k utajovaným skutočnostiam EÚ a následne aspoň každých 5 rokov. 2.Každá osoba po uskutočnení poučenia uvedeného v odseku 1 písomne potvrdí, že porozumela svojim povinnostiam týkajúcim sa ochrany utajovaných skutočností EÚ a následkom v prípade ich vyzradenia. 3.Poučenie uvedené v odseku 1 obsahuje tieto informácie: a)každá osoba, ktorá je zodpovedná za porušenie bezpečnostných predpisov stanovených v tomto nariadení, môže byť disciplinárne stíhaná podľa platných pravidiel a iných právnych predpisov; b)každá osoba, ktorá je zodpovedná za vyzradenie alebo stratu utajovaných skutočností EÚ, môže podliehať disciplinárnemu alebo súdnemu konaniu podľa platných zákonov, pravidiel a iných právnych predpisov. 4.Ak osoby, ktorým bolo udelené povolenie na prístup k utajovaným skutočnostiam EÚ, už takýto prístup nepožadujú, inštitúcie a orgány Únie zabezpečia, aby si tieto osoby boli vedomé svojich povinností v súvislosti s trvalou ochranou utajovaných skutočností EÚ, a aby ich v prípade potreby písomne potvrdili. 5.Úlohu vytvárať a riadiť poučenia o utajovaných skutočnostiach EÚ si môžu rozdeliť inštitúcie a orgány Únie za predpokladu, že sa zohľadnia ich špecifické požiadavky. Oddiel 3

Fyzická bezpečnosť Článok 27 Základné zásady 1.Každá inštitúcia a každý orgán Únie určí opatrenia fyzickej bezpečnosti primerané pre svoje pracoviská v súlade s prílohou III a zásadou hĺbkovej ochrany na základe posúdenia rizika vykonaného ich bezpečnostným orgánom. Opatrenia zabezpečia tieto ciele: a)zabrániť prístupu k utajovaným skutočnostiam EÚ alebo násilnému vstupu narušiteľa; b)odradiť od neoprávnených činností, zamedziť a odhaliť ich a čo najskôr reagovať na bezpečnostné incidenty; c)umožniť rozdelenie pracovníkov na účely prístupu k utajovaným skutočnostiam EÚ na základe potreby poznať a v prípade potreby na základe bezpečnostnej previerky. 2.Inštitúcie a orgány Únie zavedú opatrenia fyzickej bezpečnosti pre všetky pracoviská, v ktorých sa diskutuje o utajovaných skutočnostiach EÚ, v ktorých sa uchovávajú alebo v ktorých sa s nimi manipuluje, vrátane oblastí, v ktorých sú umiestnené komunikačné a informačné systémy, ako sa uvádza v oddiele 5 tejto kapitoly. 3.Na fyzickú ochranu utajovaných skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším sa používa iba bezpečnostné vybavenie schválené bezpečnostným orgánom inštitúcie alebo orgánu Únie. 4.Inštitúcie a orgány Únie môžu po uzavretí dohody zdieľať zabezpečené priestory uvedené v prílohe III na manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie. Článok 28 Podskupina pre fyzickú bezpečnosť

1.Podskupina pre fyzickú bezpečnosť, ako sa uvádza v článku 7 ods. 1 písm. c), má tieto úlohy a povinnosti: a)pripraviť usmerňovacie dokumenty týkajúce sa záležitostí fyzickej bezpečnosti; b)vymedziť všeobecné bezpečnostné kritériá na obstaranie zariadení, ako sú bezpečnostné úschovné objekty, skartovacie stroje, zámky dverí, elektronické systémy na kontrolu vstupu, systémy detekcie prienikov a poplachové systémy, na fyzickú ochranu utajovaných skutočností EÚ; c)pomáhať inštitúciám a orgánom Únie pri určovaní primeraných bezpečnostných opatrení pre ich pracoviská; d)navrhnúť kompenzačné opatrenia na ochranu utajovaných skutočností EÚ, keď sa s utajovanými skutočnosťami EÚ manipuluje mimo fyzicky chránených priestorov inštitúcie a orgánu Únie. Článok 29 Fyzická ochrana utajovaných skutočností EÚ 1.Na zabezpečenie fyzickej ochrany utajovaných skutočností EÚ inštitúcie a orgány Únie zriadia tieto fyzicky chránené priestory: a)administratívne zóny uvedené v prílohe III; b)prípadne zabezpečené priestory vrátane triedy I, triedy II a technicky zabezpečených priestorov, ako sa uvádza v prílohe III. 2.Bezpečnostný orgán príslušnej inštitúcie a príslušného orgánu Únie vykoná vnútornú kontrolu s cieľom overiť, či sú splnené podmienky na to, aby bol priestor zriadený ako administratívna zóna alebo zabezpečený priestor podľa prílohy III. Ak sa v správe o kontrole uvádza, že podmienky sú splnené, bezpečnostný orgán môže pre zabezpečený priestor vydať certifikáciu na ochranu utajovaných skutočností EÚ až do uvedenej úrovne na obdobie najviac 5 rokov. Bezpečnostný orgán príslušnej inštitúcie alebo príslušného orgánu Únie je zodpovedný za vykonanie recertifikačného procesu svojich zabezpečených priestorov pred skončením platnosti certifikácie alebo ak sa v certifikovanom priestore vykonali zmeny. 3.Každá inštitúcia a každý orgán Únie prijme postupy správy kľúčov a nastavení kombinácií pre kancelárie, miestnosti, komorové trezory a bezpečnostné úschovné objekty pre úroveň CONFIDENTIEL UE/EU-CONFIDENTIAL a pre vyššie úrovne. 4.Bezpečnostný orgán môže povoliť prehliadky pri vstupe a odchode s cieľom odradiť od nepovoleného prinesenia vecí alebo nepovoleného odnesenia utajovaných skutočností EÚ z pracovísk a odhaliť ich. 5.Inštitúcie a orgány Únie stanovia opatrenia na fyzickú ochranu utajovaných skutočností EÚ v súlade s prílohou III. Oddiel 4

Správa utajovaných skutočností EÚ Článok 30 Základné zásady 1.Inštitúcie a orgány Únie zaznamenávajú, archivujú, uchovávajú a nakoniec likvidujú svoje dokumenty týkajúce sa utajovaných skutočností EÚ, odoberajú z nich vzorky alebo ich prenášajú do príslušných archívov v súlade s politikou a pravidlami uchovávania špecifickými pre súbory každej inštitúcie a orgánu Únie. 2.Všetky inštitúcie a orgány Únie, ktoré sú pôvodcom utajovaných skutočností EÚ, určia stupeň utajenia týchto skutočností pri ich vytvorení a v súlade s článkom 18 ods. 1.

3.Inštitúcie a orgány Únie jasne informujú príjemcov o stupni utajenia, a to buď prostredníctvom označenia utajenia, alebo prostredníctvom oznámenia, ak sa informácie poskytujú ústne. 4.Bezpečnostné opatrenia uplatniteľné na pôvodný dokument sa uplatňujú aj na návrhy, kópie a preklady. 5.Inštitúcie a orgány Únie stanovia opatrenia na správu utajovaných skutočností EÚ v súlade s prílohou IV. Článok 31 Vytváranie utajovaných skutočností EÚ 2. Inštitúcie a orgány Únie, pod vedením ktorých sa utajované skutočnosti EÚ vytvárajú, zabezpečia splnenie týchto požiadaviek: a)každá strana sa zreteľne označí stupňom utajenia; b)každá strana sa očísluje; c)na dokumente sa uvedie referenčné číslo, prípadne registračné číslo a predmet, ktoré samy osebe nie sú utajovanou skutočnosťou EÚ, pokiaľ sa tak neoznačia; d)na dokumente sa uvedie dátum vytvorenia; e)uvedú sa všetky prílohy a doplnky, podľa možnosti na prvej strane; f)na každej strane dokumentov so stupňom utajenia SECRET UE/EU SECRET alebo vyšším, ktoré sa distribuujú vo viacerých vyhotoveniach, sa uvedie číslo vyhotovenia. Elektronické vyhotovenia, ktoré sa distribuujú mimo systému držby, musia mať jedinečný identifikátor založený na elektronickom podpise. Článok 32 Pôvodcovská kontrola 1.Inštitúcia alebo orgán Únie, v ktorej právomoci sa dokument s utajovanými skutočnosťami EÚ vytvára, má pôvodcovskú kontrolu nad týmto dokumentom. Pôvodca určí stupeň utajenia dokumentu a je zodpovedný za jeho počiatočnú distribúciu. Bez toho, aby bolo dotknuté nariadenie 1049/2001, je potrebné získať predchádzajúci písomný súhlas pôvodcu predtým, ako sa skutočnosti: a)zruší utajenie alebo sa zníži jeho stupeň utajenia; b)použijú na iné účely, než určil pôvodca; c)postúpia akémukoľvek subjektu mimo inštitúcie alebo orgánu Únie, ktorý je držiteľom skutočnosti, vrátane tretej krajiny alebo medzinárodnej organizácie, inej inštitúcie alebo iného orgánu Únie, členských štátov, dodávateľa alebo potenciálneho dodávateľa, príjemcu alebo potenciálneho príjemcu; d)skopírujú a preložia v prípade stupňa utajenia TRES SECRET-UE/EU-TOP SECRET. 2.Ak pôvodcu dokumentu s utajovanými skutočnosťami EÚ nemožno identifikovať, pôvodcovskú kontrolu uplatňuje inštitúcia alebo orgán Únie, ktorý je držiteľom danej utajovanej skutočnosti.

3.Pôvodcovia akéhokoľvek dokumentu s utajovanými skutočnosťami EÚ vedú záznamy o všetkých utajovaných zdrojoch použitých na výrobu utajovaných dokumentov vrátane podrobností o zdrojoch pôvodne z členských štátov, medzinárodných organizácií alebo tretích krajín. Agregované utajované skutočnosti sa podľa potreby označia tak, aby sa zachovala identifikácia pôvodcov použitých utajovaných zdrojových materiálov. Článok 33 Označenia stupňov utajenia 1.Dokumenty s utajovanými skutočnosťami EÚ môžu podľa potreby okrem jedného z označení stupňa utajenia obsahovať aj ďalšie označenia, ako napríklad označenie distribúcie alebo prístupnosti či označenie pôvodcu. 2.Rôzne časti dokumentu s utajovanými skutočnosťami EÚ si môžu vyžadovať rôzne stupne utajenia a musia byť podľa toho označené. Celkový stupeň utajenia dokumentu alebo spisu zodpovedá minimálne najvyššiemu stupňu utajenia jeho jednotlivej časti. 3.Dokumenty, ktoré obsahujú časti podliehajúce rozdielnym stupňom utajenia, sa usporadúvajú tak, aby sa časti s iným stupňom utajenia dali ľahko identifikovať a v prípade potreby oddeliť. Článok 34 Systém registrov utajovaných skutočností EÚ 1.Všetky inštitúcie a orgány Únie, ktoré manipulujú so skutočnosťami alebo uchovávajú skutočnosti so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIEL alebo vyšším, zriadia jeden alebo viacero registrov utajovaných skutočností EÚ s cieľom zabezpečiť ich evidenciu na bezpečnostné účely, keď prichádzajú do inštitúcie alebo orgánu Únie alebo ich opúšťajú. 2.Všetky registre utajovaných skutočností EÚ sa zriaďujú v zabezpečených priestoroch podľa prílohy III. 3.Inštitúcie a orgány Únie poveria kontrolného úradníka registra správou každého registra utajovaných skutočností EÚ. Kontrolný úradník registra musí mať príslušnú bezpečnostnú previerku a musí byť oprávnený v súlade s článkom 24. Inštitúcie a orgány Únie zabezpečia pre svojho kontrolného úradníka registra riadnu odbornú prípravu. Článok 35 Zníženie stupňa utajenia a zrušenie utajenia 1.Skutočnosti sú utajené, iba pokým sa vyžaduje, aby boli chránené. V prípade utajovaných skutočností EÚ, ktoré už nepotrebujú pôvodný stupeň utajenia, sa ich stupeň utajenia zníži na nižší stupeň. V prípade utajovaných skutočností EÚ, ktoré už nie je potrebné považovať za utajované, sa ich utajenie zruší. 2.Ak je to možné, predovšetkým v prípade utajovaných skutočností EÚ so stupňom utajenia RESTREINT UE/EU RESTRICTED, pôvodca v čase vytvorenia utajovanej skutočnosti EÚ uvedie, či je možné znížiť jej stupeň utajenia alebo utajenie zrušiť k určitému dátumu alebo po istej udalosti. 3.Inštitúcie alebo orgány Únie, ktoré sú pôvodcom, sú zodpovedné za rozhodnutie, či možno stupeň utajenia dokumentu s utajovanými skutočnosťami EÚ znížiť alebo zrušiť utajenie. Pravidelne preskúmajú danú skutočnosť a posúdia riziká, a to aspoň raz za päť rokov, aby rozhodli, či je pôvodný stupeň utajenia stále primeraný. 4.Inštitúcie a orgány Únie, ktoré sú držiteľom utajovaných skutočností EÚ, ktorých nie sú pôvodcom, nesmú znížiť stupeň utajenia tohto dokumentu ani zrušiť jeho utajenie, ani zmeniť či odstrániť žiadne z označení uvedených v článku 18 ods. 1 bez predchádzajúceho písomného súhlasu pôvodcu. 5.Inštitúcie a orgány Únie môžu čiastočne znížiť stupeň utajenia alebo zrušiť utajenie utajovaných skutočností EÚ, ktoré vytvoria. V takýchto prípadoch sa vyhotoví výpis so zníženým stupňom utajenia alebo zrušením utajenia. 6.Inštitúcie a orgány Únie informujú prijímajúcu organizáciu utajovaných skutočností EÚ o znížení stupňa utajenia alebo zrušení utajenia. Článok 36

Označenia na dokumentoch so zníženým stupňom utajenia a zrušením utajenia 1.Ak sa inštitúcie a orgány Únie rozhodnú zrušiť utajenie dokumentu s utajovanými skutočnosťami EÚ, zváži sa, či sa dokument distribučne označí ako citlivá neutajovaná skutočnosť. 2.Pôvodné označenie stupňa utajenia navrchu a naspodku každej strany sa viditeľne prečiarkne s použitím funkcie „prečiarknuté“ pri elektronických formátoch, resp. ručne pri vytlačených kópiách. Pôvodné označenie stupňa utajenia sa neodstráni. 3.Prvá strana alebo titulná strana sa opatrí pečiatkou „downgraded“ (znížený stupeň utajenia) alebo „declassified“ (zrušenie utajenia) a doplnia sa podrobnosti o orgáne, ktorý je za zníženie stupňa utajenia alebo zrušenie utajenia zodpovedný, ako aj príslušný dátum. Zníženie stupňa utajenia alebo zrušenie utajenia elektronických dokumentov s utajovanými skutočnosťami EÚ sa preukazuje elektronickým podpisom na základe poverenia ich pôvodcu. Článok 37 Zničenie a vymazanie utajovaných skutočností EÚ 1.Inštitúcie a orgány Únie preskúmajú utajované skutočnosti EÚ v tlačenej forme aj v CIS aspoň každých 5 rokov, aby určili, či sa majú zničiť alebo vymazať. Ak dôjde k zničeniu alebo vymazaniu utajovaných skutočností EÚ, dajú sa pokyny každému, kto dané utajované skutočnosti EÚ predtým prijal. 2.Inštitúcie a orgány Únie môžu zničiť duplikáty utajovaných skutočností EÚ, ktoré už nie sú potrebné, pričom zohľadnia príslušné pravidlá správy dokumentov pre originály. 3.Inštitúcie a orgány Únie zničia iba tlačené kópie skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL alebo vyšším podľa ich kontrolného úradníka registra. Kontrolný úradník registra zodpovedajúcim spôsobom aktualizuje logové súbory a ostatné evidenčné záznamy a uchováva základné metaúdaje zničeného dokumentu. Zničenie dokumentov so stupňom utajenia SECRET UE/EU SECRET a vyšším vykonáva kontrolný úradník registra iba za prítomnosti svedka, ktorý má bezpečnostnú previerku minimálne pre stupeň utajenia ničeného dokumentu. 4.Kontrolný úradník registra a prípadne svedok podpíšu protokol o zničení, ktorý sa archivuje v registri. Protokol sa uchováva najmenej 5 rokov v prípade skutočností so stupňom utajenia CONFIDENTIEL UE/EU CONFIDENTIAL a SECRET-UE/EU-SECRET a najmenej 10 rokov v prípade skutočností so stupňom utajenia TRES SECRET-UE/EU-TOP SECRET. Článok 38 Evakuácia a zničenie utajovaných skutočností EÚ v núdzových situáciách 1.Každá inštitúcia a každý orgán Únie vypracuje núdzové plány evakuácie a zničenia na základe miestnych podmienok na ochranu utajovaných skutočností EÚ, pri ktorých hrozí významné riziko, že sa dostanú do nepovolaných rúk. Prevádzkové podrobnosti núdzových plánov evakuácie a zničenia sú samy osebe utajované na stupni utajenia RESTREINT UE/EU RESTRICTED. 2.V prípade núdzovej situácie, keď existuje bezprostredné riziko neoprávneného zverejnenia utajovaných skutočností EÚ, inštitúcie a orgány Únie utajované skutočnosti EÚ evakuujú. Ak evakuácia nie je možná, utajované skutočnosti EÚ sa zničia tak, aby sa nedali vcelku ani čiastočne obnoviť. 3.Pôvodca a register pôvodu sa informujú o núdzovej evakuácií alebo núdzovom zničení evidovaných utajovaných skutočností EÚ. 4.Pri aktivácii núdzových plánov sa prioritne evakuujú alebo ničia utajované skutočnosti EÚ s vyšším stupňom zabezpečenia vrátane kódovacieho zariadenia. Článok 39

Archivácia 1.Inštitúcie a orgány Únie rozhodnú, či a kedy budú archivovať utajované skutočnosti EÚ, a o príslušných praktických opatreniach v súlade so svojou politikou správy dokumentov. 2.Dokumenty s utajovanými skutočnosťami EÚ sa neprenášajú do historických archívov Európskej únie. Oddiel 5

Ochrana utajovaných skutočností EÚ v komunikačných a informačných systémoch (CIS) Článok 40 Podskupina pre certifikáciu komunikačných a informačných systémov, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú Podskupina pre certifikáciu CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú, ako sa uvádza v článku 7 ods. 1 písm. d), má tieto úlohy a povinnosti: a)pomáhať inštitúciám a orgánom Únie pri ich certifikačných procesoch; b)odporučiť normu pre certifikáciu, ktorú by mali dodržiavať všetky inštitúcie a orgány Únie; c)šíriť a vymieňať si najlepšie postupy a usmernenia týkajúce sa certifikácie CIS. Článok 41 Komunikačné a informačné systémy Inštitúcie a orgány Únie musia v súvislosti s CIS, v ktorých sa manipuluje s utajovanými skutočnosťami EÚ a v ktorých sa takéto skutočnosti uchovávajú, spĺňať tieto požiadavky: a)vlastník systému alebo operačný orgán pre informačnú bezpečnosť konzultuje s orgánom bezpečnostnej certifikácie pred vývojom, obstaraním alebo spustením CIS na manipuláciu s utajovanými skutočnosťami EÚ a ich uchovávanie s cieľom určiť požiadavky na certifikáciu; b)kľúčové bezpečnostné zásady pre návrh CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, sa uplatňujú na začiatku projektu ako súčasť procesu riadenia rizík v oblasti bezpečnosti informácií, pričom sa zohľadní potreba poznať, minimálna funkčnosť, hĺbková ochrana, princíp minimálneho privilégia, oddelenie povinností a zásada štyroch očí; c)zložky uchovávania, centrálneho spracovania a správy siete CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, sa inštalujú v zabezpečenom priestore, ako sa uvádza v prílohe III; d)vykonávať „bezpečnostné opatrenia TEMPEST“, ktoré sú primerané rizikám zneužitia a stupňu utajenia daných utajovaných skutočností; e)všetci zamestnanci zapojení do prevádzky CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú, oznámia bezpečnostnému orgánu a príslušnému vlastníkovi systému alebo operačnému orgánu pre informačnú bezpečnosť všetky možné bezpečnostné nedostatky, incidenty, narušenia bezpečnosti alebo narušenia systému, ktoré môžu mať vplyv na ochranu CIS alebo utajovaných skutočností EÚ, ktoré sa v ňom nachádzajú; f)bezpečnostný orgán v prípade potreby informuje bezpečnostné orgány všetkých ostatných dotknutých inštitúcií a orgánov Únie o možných bezpečnostných nedostatkoch alebo incidentoch, ktoré by mohli mať vplyv na ich CIS, v ktorom sa manipuluje s utajovanými skutočnosťami EÚ a v ktorom sa takéto skutočnosti uchovávajú. Článok 42

Kryptografické produkty 1.Na prenos a uchovávanie utajovaných skutočností EÚ elektronickými prostriedkami sa používajú schválené kryptografické produkty. Zoznam schválených kryptografických produktov spravuje Rada na základe informácií od národných bezpečnostných orgánov. 2.Ak zoznam uvedený v odseku 1 neobsahuje žiadny vhodný produkt na zamýšľaný účel, kryptografický schvaľovací orgán dotknutej inštitúcie alebo dotknutého orgánu Únie požiada Radu o predbežné schválenie. Ak je to možné, vyberie sa kryptografický produkt, ktorý je schválený národným bezpečnostným orgánom členského štátu. Rada podnikne potrebné kroky, aby zabezpečila pridanie vhodného produktu do zoznamu. 3.Schválenia kryptografických produktov sú platné najviac 5 rokov a následne sa každý rok preskúmajú. 4.Rada zo zoznamu schválených kryptografických produktov odstráni akýkoľvek kryptografický produkt, ktorému bolo odobrané národné schválenie alebo ktorého platnosť schválenia vypršala. 5.Koordinačná skupina bude každoročne informovať Radu o všetkých kryptografických produktoch, ktoré odporúča na ho