SKLEP KOMISIJE (EU) 2022/640

z dne 7. aprila 2022

o izvedbenih pravilih za vloge in odgovornosti glavnih varnostnih akterjev

EVROPSKA KOMISIJA JE –

ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 249 Pogodbe,

ob upoštevanju Sklepa Komisije (EU, Euratom) 2015/443 z dne 13. marca 2015 o varnosti v Komisiji (1),

ob upoštevanju Sklepa Komisije (EU, Euratom) 2015/444 z dne 13. marca 2015 o varnostnih predpisih za varovanje tajnih podatkov EU (2),

ob upoštevanju naslednjega:

Sklepa (EU, Euratom) 2015/443 in (EU, Euratom) 2015/444 se uporabljata za vse službe in prostore Komisije.

Varnostni ukrepi za varovanje komunikacijskih in informacijskih sistemov v Komisiji so določeni v Sklepu Komisije (EU, Euratom) 2017/46 (3) , zlasti v členu 3 o načelih za varnost IT v Komisiji in členu 9 o lastnikih sistema.

Namen izvedbenih pravil za vloge in odgovornosti glavnih varnostnih akterjev je določiti smernice o predpogojih in nalogah, ki so za te vloge določeni v sklepih (EU, Euratom) 2015/443 in (EU, Euratom) 2015/444.

Komisija je 4. maja 2016 sprejela sklep (4) , ki člana Komisije, pristojnega za varnostne zadeve, pooblašča, da v imenu Komisije in na njeno odgovornost sprejme izvedbena pravila iz člena 60 Sklepa (EU, Euratom) 2015/444; 13. aprila 2021 je član Komisije, pristojen za varnostne zadeve, v imenu Komisije in na njeno odgovornost sprejel sklep (5) , s katerim je pooblastila za ta izvedbena pravila nadalje prenesel na generalno direktorico Generalnega direktorata za človeške vire in varnost –

SPREJELA NASLEDNJI SKLEP:

POGLAVJE 1

Splošne določbe

1. Ta sklep določa vloge in odgovornosti glavnih varnostnih akterjev, ki so v skladu s sklepoma (EU, Euratom) 2015/443 in (EU, Euratom) 2015/444 odgovorni za varovanje tajnih podatkov EU v Komisiji.

POGLAVJE 2

Generalni direktorat za človeške vire in varnost

3. Varnostni organ Komisije poskrbi za obvezno usposabljanje lokalnih uradnikov za varnost, namestnikov lokalnih uradnikov za varnost, nadzornih uradnikov registra in namestnikov nadzornih uradnikov registra o njihovih odgovornostih in nalogah.

2. Varnostni organ Komisije v skladu s členoma 3 in 7 tega sklepa opravlja svoje funkcije na naslednjih področjih, kot so določena v Sklepu (EU, Euratom) 2015/444:

posvetovanje z lastniki sistema, ponudniki sistema, varnostnimi akterji in predstavniki uporabnikov glede varnostnih politik in varnostnih smernic za zagotavljanje informacijske varnosti.

zagotavljanje, da so šifrirni izdelki izbrani v skladu s politikami, ki določajo njihovo upravičenost in urejajo njihov izbor;

razvijanje varnostnih politik in varnostnih smernic za zagotavljanje informacijske varnosti ter spremljanje njihove učinkovitosti in ustreznosti;

7. Ob uradnem obvestilu o kršitvi varovanja tajnosti ali znatni spremembi zasnove ali varnostnih ukrepov varnostnega območja ali komunikacijskega in informacijskega sistema organ za varnostno akreditacijo pregleda in po potrebi prekliče dovoljenje za obravnavanje tajnih podatkov EU, dokler ugotovljene težave niso odpravljene.

6. Po uspešni izpolnitvi zahtev za akreditacijo organ za varnostno akreditacijo izda uradno dovoljenje za obravnavanje tajnih podatkov EU v varnostnem območju ali komunikacijskem in informacijskem sistemu za navedeno najvišjo stopnjo tajnih podatkov EU in za največ pet let, odvisno od stopenj tajnosti obravnavanih tajnih podatkov EU in povezanih tveganj.

fizični inšpekcijski pregled varnostnega območja, s katerim se preveri, ali gradbeni materiali in metode, kontrole dostopa, varnostna oprema in vsi drugi predmeti izpolnjujejo zahteve, ki jih določi varnostni organ Komisije;

odobritev naročil del, ki jih izvedejo zunanji izvajalci, ob upoštevanju določb o industrijski varnosti, kot so zahteve za varnostna dovoljenja izvajalcev in njihovega osebja;

2. Organ za odobritev šifrirnih metod in izdelkov izda smernice o zahtevah za uporabo in odobritev šifrirnih tehnologij.

POGLAVJE 3

Službe Komisije

4. Vodja katere koli službe, ki ima tajne podatke EU, je odgovoren za aktiviranje načrtov za uničenje in evakuacijo v nujnih primerih, kadar je to potrebno. Načrti vključujejo nadomestno možnost za primere, ko ni mogoče stopiti v stik z vodjo službe.

2. Pred imenovanjem lokalnih uradnikov za varnost, namestnikov lokalnih uradnikov za varnost, nadzornih uradnikov registra in namestnikov nadzornih uradnikov registra vodja službe zaprosi za odobritev direktorja Direktorata za varnost Generalnega direktorata za človeške vire in varnost.

nadzornega uradnika registra in enega ali več namestnikov, kadar je to ustrezno, za vsako službo, ki vodi register tajnih podatkov EU;

lokalnega uradnika za varnost in enega ali več namestnikov, kadar je to ustrezno, za svojo službo ali kabinet;

6. V primeru varnostnega incidenta v komunikacijskem in informacijskem sistemu, pri katerem je navedeno, da ta sistem ne more več ustrezno varovati tajnih podatkov EU, lastnik sistema o tem obvesti lokalnega uradnika za varnost ter nemudoma stopi v stik z organom za varnostno akreditacijo za nasvet o nadaljnjih korakih. V tem primeru se lahko akreditacija začasno prekliče in sistem izklopi, dokler se ne sprejmejo ustrezni korektivni ukrepi.

1. Lastnik sistema čim bolj na začetku projekta za vzpostavitev komunikacijskega in informacijskega sistema za obravnavanje tajnih podatkov EU stopi v stik z organom za varnostno akreditacijo, da se določijo ustrezni varnostni standardi in zahteve ter začne postopek varnostne akreditacije.

izvaja in upravlja posebne varnostne ukrepe za komunikacijske in informacijske sisteme.

upravlja šifrirne izdelke in ravna z njimi v sodelovanju z organom za razpošiljanje šifrirnega materiala, da zagotovi ustrezno hrambo šifrirnega materiala in nadzorovanega blaga ter po potrebi oblikovanje šifrirnih spremenljivk;

sodeluje pri izboru varnostnih ukrepov in naprav TEMPEST, če se zahtevajo v varnostnem načrtu, ter v sodelovanju z organom TEMPEST zagotovi, da so varno nameščeni in vzdrževani;

sodeluje pri izboru in preizkušanju tehničnih varnostnih ukrepov, naprav in programske opreme, značilnih za sistem, zaradi nadzora nad njihovim izvajanjem in zagotovitve, da so varno nameščeni, konfigurirani in vzdrževani v skladu z ustrezno varnostno dokumentacijo;

pripravi varnostno dokumentacijo v skladu z varnostnimi politikami in smernicami, zlasti varnostni načrt, varnostno-operativne postopke, povezane s sistemom, in šifrirno dokumentacijo v okviru postopka akreditacije komunikacijskega in informacijskega sistema;

POGLAVJE 4

Lokalni uradnik za varnost

2. Vsi lokalni uradniki za varnost in namestniki lokalnih uradnikov za varnost imajo veljavno pooblastilo za dostop do tajnih podatkov EU do stopnje tajnosti SECRET UE/EU SECRET in po potrebi do stopnje tajnosti TRES SECRET UE/EU TOP SECRET. Lokalni uradnik za varnost ali namestnik lokalnega uradnika za varnost pridobi pooblastilo za dostop do tajnih podatkov pred imenovanjem.

1. Lokalni uradnik za varnost in namestniki lokalnega uradnika za varnost so uradniki ali začasni uslužbenci.

individualne pisarne, prostori in sefi znotraj varnostnega območja so zaklenjeni, kadar niso nadzorovani;

vzpostavljeni so postopki za ukrepanje v primeru alarma ali drugih izrednih razmer v varnostnem območju, vključno z evakuacijo osebja ter zagotovitvijo hitrega odziva ekipe za izredne razmere v pristojnosti varnostnega organa Komisije in zunanjih služb za izredne razmere, kot je potrebno;

lokalni uradnik za varnost zagotovi, da so sistemi za zaznavanje vdorov, ki nadzorujejo varnostno območje, ves čas aktivirani in pravilno delujejo, ter upravlja vsa povezana gesla, ključe, PIN-kode ali druge mehanizme za dostop in avtentikacijo;

snemalne in komunikacijske naprave, kot so mobilni telefoni, računalniki, fotoaparati ali druge pametne naprave, niso dovoljene v varnostnih območjih brez predhodnega dovoljenja varnostnega organa Komisije; za vsako odstopanje se vnaprej zaprosi varnostni organ Komisije; kontaktna točka je lokalni uradnik za varnost;

dostop brez spremstva v varnostno območje izven delovnega časa se dovoli samo lokalnemu uradniku za varnost zadevne službe, nadzornim uradnikom registra zadevnega varnostnega območja, njihovim namestnikom in pooblaščenemu osebju Direktorata za varnost Generalnega direktorata za človeške vire in varnost;

samo uslužbencem z veljavnim pooblastilom za dostop do tajnih podatkov in ugotovljeno potrebo po dostopu do dokumentov stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL ali višje se dovoli dostop brez spremstva v varnostno območje med delovnim časom;

Člen 13

Varnostni ključi in kombinacije

1. Lokalni uradnik za varnost je v celoti odgovoren za zagotavljanje ustreznega ravnanja s ključi in kombinacijami, ki se uporabljajo v varnostnih območjih ali za dostop v njih, ter njihove hrambe. Ključi in kombinacije se hranijo v blagajni in so zaščiteni najmanj na stopnji tajnosti gradiva, do katerega omogočajo dostop.

2. Lokalni uradnik za varnost vodi register blagajn in sob trezorjev ter posodobljen seznam vseh uslužbencev, ki imajo dostop do njih brez spremstva.

3. Lokalni uradnik za varnost vodi register ključev za blagajne in sobe trezorje, vključno z uslužbenci, katerim so dodeljeni. Za vsak izdani ključ se hrani potrdilo o prejemu, ki vključuje identifikacijo ključa, prejemnika, datum in uro.

4. Ključi in kombinacije se izdajo samo osebju, ki ima potrebo po seznanitvi in mu je bilo odobreno ustrezno pooblastilo za dostop do tajnih podatkov EU. Ko ti pogoji niso več izpolnjeni, lokalni uradnik za varnost pridobi ključ nazaj.

5. Lokalni uradnik za varnost hrani nadomestne ključe in pisne zapise vseh nastavitev kombinacij v posameznih zapečatenih, neprozornih, podpisanih in datiranih ovojnicah, ki jih zagotovijo uslužbenci, odgovorni za ključe. Te ovojnice se hranijo v blagajni, ki je namenjena za najvišjo stopnjo tajnosti gradiva, ki se hrani v zadevni blagajni ali sobi trezorju.

6. Če so ob spremembi kombinacije ali izmenjavi ključa na ovojnici vidne sledi posega ali poškodbe, lokalni uradnik za varnost to obravnava kot varnostni incident in nemudoma obvesti varnostni organ Komisije.

7. Spremembe nastavitev kombinacij blagajn v varnostnih območjih se izvajajo pod nadzorom lokalnega uradnika za varnost. Kombinacije se ponastavijo najmanj vsakih 12 mesecev ter: (a) ob prejemu nove blagajne ali namestitvi nove ključavnice (zlasti je treba nemudoma spremeniti privzete kombinacije); (b) ob sumu nepooblaščenega razkritja ali ob nepooblaščenem razkritju; (c) kadar oseba, ki pozna kombinacijo, ne potrebuje več dostopa.