EVROPSKA KOMISIJA Bruselj, 22.3.2022 COM(2022) 119 final 2022/0084(COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o informacijski varnosti v institucijah, organih, uradih in agencijah Unije {SWD(2022) 65 final} - {SWD(2022) 66 final}



OBRAZLOŽITVENI MEMORANDUM 1.OZADJE PREDLOGA •Razlogi za predlog in njegovi cilji Ta predlog je del strategije EU za varnostno unijo, ki jo je Komisija sprejela 24. julija 2020 in v kateri je opredelila svojo zavezo, da bo nacionalnim prizadevanjem na področju varnosti zagotovila dodano vrednost Evropske unije. V okvir tega spada pobuda za poenostavitev notranjih pravnih okvirov za informacijsko varnost v vseh institucijah in organih Unije. Ključni element strateške agende za obdobje 2019–2024, ki jo je Evropski svet sprejel junija 2019, je zaščita naših družb pred nenehno spreminjajočimi se grožnjami, usmerjenimi v podatke, ki jih obravnavajo institucije in organi. Evropski svet je v svojih sklepih zlasti pozval „[i]nstitucije EU [...], naj skupaj z državami članicami pripravijo ukrepe za okrepitev odpornosti in izboljšanje varnostne kulture EU v zvezi s kibernetskimi in hibridnimi grožnjami, ki prihajajo iz okolja zunaj EU, ter za boljšo zaščito informacijskih in komunikacijskih omrežij EU ter njenih postopkov odločanja pred raznovrstnimi zlonamernimi dejavnostmi“. Svet za splošne zadeve je decembra 2019 sklenil, da bi morali institucije in organi EU ob podpori držav članic razviti in izvajati celovit sklop ukrepov za zagotavljanje svoje varnosti. To je v skladu z dolgoletno zahtevo Varnostnega odbora Sveta po preučitvi skupnega jedra varnostnih pravil za Svet, Komisijo in Evropsko službo za zunanje delovanje. Trenutno imajo institucije in organi Unije bodisi lastna pravila za informacijsko varnost, ki temeljijo na njihovem poslovniku ali ustanovitvenem aktu, bodisi sploh nimajo takih pravil. To velja zlasti za nekatere majhne subjekte, ki nimajo uradnih politik informacijske varnosti. Zaradi vse večjih količin občutljivih netajnih podatkov in tajnih podatkov EU, ki jih morajo institucije in organi Unije izmenjevati med seboj, in ob upoštevanju dramatičnega razvoja groženj je evropska uprava izpostavljena napadom na vseh področjih svojega delovanja. Podatki, ki jih obravnavajo naše institucije in organi, so zelo privlačni za akterje groženj, zato jih je treba ustrezno zavarovati. To zahteva hitro ukrepanje za okrepitev njihovega varovanja. Zato in za večje varstvo podatkov, ki jih obravnava evropska uprava, je cilj te pobude poenostaviti različne pravne okvire institucij in organov Unije na tem področju z: •vzpostavitvijo usklajenih in celovitih kategorij podatkov ter skupnih pravil za obravnavanje za vse institucije in organe Unije; •vzpostavitvijo programa preudarnega sodelovanja na področju informacijske varnosti med institucijami in organi Unije, ki bi lahko spodbujal usklajeno kulturo informacijske varnosti v celotni evropski upravi; •posodobitvijo politik informacijske varnosti na vseh stopnjah tajnosti/kategorizacije za vse institucije in organe Unije ob upoštevanju digitalne preobrazbe in razvoja dela na daljavo kot strukturne prakse. •Skladnost z veljavnimi predpisi s področja zadevne politike Ta pobuda je v skladu s številnimi politikami EU na področju varnosti in informacijske varnosti. Evropski parlament in Svet sta leta 2016 sprejela direktivo o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji. Ta direktiva je bila prvi zakonodajni ukrep na ravni EU, katerega namen je bil okrepiti sodelovanje med državami članicami na področju kibernetske varnosti. Čeprav je Komisija decembra 2020 sprejela predlog za pregled tega instrumenta, ki uvaja nadzorne ukrepe za nacionalne organe, uprava Unije ostaja zunaj njegovega področja uporabe. Podobno je za dopolnitev prizadevanj držav članic na področju varnosti izredno pomembno, da institucije in organi Unije dosežejo visoko stopnjo varovanja svojih podatkov ter z njimi povezanih informacijskih in komunikacijskih sistemov, da bi zagotovili informacijsko varnost. Komisija je julija 2020 sprejela strategijo za varnostno unijo s celovito zavezo EU, da bo dopolnjevala prizadevanja držav članic na vseh področjih varnosti. Ta strategija se izvaja od leta 2020 do leta 2025 in opredeljuje štiri glavne stebre ukrepanja: varnostno okolje, primerno za prihodnost, obravnavanje spreminjajočih se groženj, zaščito Evropejcev pred terorizmom in organiziranim kriminalom ter trden evropski varnostni ekosistem. Več tem, obravnavanih v okviru teh stebrov, se osredotoča na varnost podatkov, kibernetsko varnost, sodelovanje in izmenjavo podatkov ter kritično infrastrukturo. Evropska komisija v skladu s strategijo za varnostno unijo predlaga oblikovanje minimalnega sklopa pravil o informacijski varnosti v vseh institucijah in organih Unije, kar bo spodbudilo obvezne in visoke skupne standarde za varno izmenjavo podatkov. Ta pobuda predstavlja prizadevanje institucij in organov, da bi v evropski upravi določili enako raven ambicij na področju varnosti, kot se zahteva od držav članic. Komisija in njen visoki predstavnik za zunanje zadeve in varnostno politiko sta 16. decembra 2020 predstavila novo strategijo EU za kibernetsko varnost. V njej so določeni prednostne naloge in ključni ukrepi za povečanje odpornosti, avtonomije, vodstvene in operativne zmogljivosti Evrope ob vse večjih in kompleksnejših grožnjah njenim omrežjem in informacijskim sistemom ter za spodbujanje globalnega in odprtega kibernetskega prostora in njegovih mednarodnih partnerstev. Enako pomembno je, da institucije in organi Unije prispevajo k uresničevanju teh prednostnih nalog z določitvijo enakovrednih zahtev na področju informacijske in kibernetske varnosti.

Ta predlog skupaj s predlogom uredbe o določitvi ukrepov za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije dopolnjuje regulativni okvir strategije za varnostno unijo s posebnimi zahtevami za evropsko upravo. Zaradi medsebojne povezanosti informacijske in kibernetske varnosti bi bilo treba med tema predlogoma zagotoviti skladen pristop k varovanju netajnih podatkov. •Skladnost z drugimi politikami Unije Ta pobuda upošteva tudi druge politike Unije, ki so pomembne za informacijsko varnost. Na področju varstva podatkov obstaja Uredba (EU) 2018/1725 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov, ki se uporablja za upravo Evropske unije in Evropske skupnosti za atomsko energijo (v nadaljnjem besedilu: Euratom). Prav tako je treba omeniti, da so zakonodajalci EU za nekatere institucije in organe Unije sprejeli posebna ustrezna pravila o varstvu osebnih podatkov. Na področju preglednosti ta predlog temelji na načelih iz Uredbe (ES) št. 1049/2001 o dostopu javnosti do dokumentov Evropskega parlamenta, Sveta in Komisije ob upoštevanju drugih ustreznih pravil. 2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST •Pravna podlaga Glede na cilj in vsebino tega predloga sta njegova najustreznejša pravna podlaga člen 298 Pogodbe o delovanju Evropske unije (PDEU) in člen 106a Pogodbe o ustanovitvi Evropske skupnosti za atomsko energijo. Člen 298 PDEU je bil uveden z Lizbonsko pogodbo, zakonodajalcem pa omogoča, da sprejmejo določbe za vzpostavitev učinkovite in neodvisne uprave, ki bo podpirala institucije, organe, urade in agencije pri opravljanju njihovih nalog. Učinkovita in neodvisna uprava je odvisna od varnosti svojih podatkov. Institucije in organi Unije imajo za uresničevanje svojega poslanstva koristi od varnega okolja za podatke, ki jih vsakodnevno obravnavajo in hranijo. Poleg tega bi se z zagotovitvijo skupnega izhodiščnega okvira standardov, obveznih za vse, zagotovila visoka raven varnosti, zmanjšalo tveganje šibkih členov pri podpiranju interoperabilnosti med institucijami in organi ter izkoristile sinergije, s čimer bi se povečala odpornost uprave na spreminjajoče se grožnje. Poleg tega ta predlog s splošnim ciljem doseči visoko skupno raven varnosti tajnih podatkov EU in netajnih podatkov, ki jih obravnavajo in hranijo institucije in organi Unije, evropski upravi omogoča boljšo zaščito pred zunanjim vmešavanjem in vohunskimi dejavnostmi. Člen 298 PDEU Uniji omogoča, da določi skupna pravila za celotno evropsko upravo, s čimer zagotovi, da vse institucije in organi Unije podobno obravnavajo tajne podatke EU in netajne podatke. Kot taka ta uredba določa pravila, ki se uporabljajo za upravo, in lahko posredno nalaga obveznosti samo posameznikom, ki opravljajo naloge v imenu te uprave ali na podlagi pogodbe (brez komisarjev, predstavnikov držav članic v Svetu, članov Evropskega parlamenta, sodnikov sodišč Unije ali članov Evropskega računskega sodišča). V skladu s členom 298 PDEU Evropski parlament in Svet odločata z uredbo in po rednem zakonodajnem postopku. Ta predlog potrebuje dodatno pravno podlago, saj zajema tudi podatke, povezane z nekaterimi dejavnostmi Evropske skupnosti za atomsko energijo. Taki podatki niso tajni podatki Euratoma, vendar jih institucije in organi Unije obravnavajo v skladu s splošnim režimom tajnih podatkov EU. Ta dodatna pravna podlaga je člen 106a Pogodbe o ustanovitvi Evropske skupnosti za atomsko energijo, zaradi katerega se člen 298 PDEU uporablja tudi za zgoraj navedene dejavnosti Euratoma. •Subsidiarnost (za neizključno pristojnost) V skladu z načelom subsidiarnosti iz člena 5(3) Pogodbe o Evropski uniji se ukrepi na ravni EU sprejmejo le, če države članice zastavljenih ciljev ne morejo zadovoljivo doseči same, temveč se zaradi obsega ali učinkov predlaganega ukrepa lažje dosežejo na ravni EU. Ker lahko samo Unija sprejme pravila, ki urejajo tajne podatke EU in občutljive netajne podatke, ki jih obravnavajo in hranijo institucije in organi Unije, se načelo subsidiarnosti ne uporablja. •Sorazmernost Vzpostavitev skupnega izhodiščnega okvira informacijske varnosti za vse institucije in organe Unije je potrebna za prispevanje k neodvisni in učinkoviti upravi.

V skladu z načelom sorazmernosti iz člena 5(4) PEU določbe Uredbe niso pretirano predpisujoče in dopuščajo različne ravni posebnih ukrepov v skladu z lastno stopnjo varnostne zrelosti vsake institucije in organa Unije. Poleg tega ima rešitev omejen vpliv na temeljne pravice posameznikov. Zato predlog ne presega tistega, kar je potrebno za rešitev težave neobstoja skupnega sklopa pravil za informacijsko varnost za vse institucije in organe Unije. •Izbira instrumenta Uredba na podlagi člena 298 PDEU se šteje za ustrezen pravni instrument. To je utemeljeno s tem, da prevladujejo elementi, ki zahtevajo enotno uporabo, ki institucijam in organom Unije ne pušča manevrskega prostora pri izvajanju ter ustvarja minimalni horizontalni okvir. 3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z DELEŽNIKI IN OCEN UČINKA •Naknadne ocene in preverjanja ustreznosti obstoječe zakonodaje Ni relevantno. •Posvetovanja z deležniki Komisija je opravila obsežno posvetovanje s ključnimi deležniki o različnih vidikih, povezanih s pravili za informacijsko varnost institucij in organov Unije. Splošni cilj posvetovanj je bil zbrati ustrezne prispevke za pripravo zakonodajne pobude o pravilih za informacijsko varnost, ki bi bila skupna vsem institucijam in organom Unije. Namen posvetovanj je bil zbrati prispevke o: •težavah, povezanih z obstoječim okvirom informacijske varnosti v institucijah in organih Unije, za katere deležniki menijo, da bi jih bilo treba obravnavati v pobudi; •ustreznosti, uspešnosti, učinkovitosti in dodani vrednosti pobude; •predvidenih učinkih pobude in morebitnih drugih posledicah za deležnike. Komisija se je pri pripravi tega zakonodajnega predloga posvetovala z naslednjimi kategorijami deležnikov: 1.institucijami, organi, uradi in agencijami Unije; 2.nacionalnimi varnostnimi organi v državah članicah; 3.strokovnjaki za raziskave iz Skupnega raziskovalnega središča. Glede na posebno značilnost te pobude, ki velja izključno za institucije in organe Unije ter ima majhen vpliv na evropske državljane in podjetja, so se službe Komisije odločile dati prednost zbiranju stališč ustreznih skupin deležnikov. Zato ni bilo opravljeno javno posvetovanje posebej za to zakonodajno pobudo. Med postopkom posvetovanja so službe Komisije uporabile naslednje metode in oblike posvetovanja: 1.priložnost za vse zainteresirane strani, da predložijo povratne informacije o začetni oceni učinka prek platforme Komisije „Povejte svoje mnenje“;

2.ciljno usmerjen vprašalnik, namenjen strokovnjakom za informacijsko varnost v institucijah in organih Unije prek spletne ankete EU; 3.ciljno usmerjen vprašalnik, naslovljen na nacionalne varnostne organe držav članic prek spletne ankete EU; 4.zahtevo za prilagojeno oceno tveganja ključnih sredstev informacijske varnosti ter 5.številna srečanja in izmenjave s kolegi iz institucij, organov, uradov in agencij ter nacionalnih varnostnih organov držav članic. Komisija kot glavne rezultate posvetovanj izpostavlja naslednje: •razdrobljenost ustreznih pravnih okvirov med našimi institucijami in organi povzroča znatno podvajanje prizadevanj za oblikovanje in ohranjanje notranjih pravil ter neinteroperabilne prakse pri obravnavanju podatkov. Raznolikost teh pravil za države članice povečuje tveganje napačnega razumevanja, napačne razlage in neupoštevanja pravil; •z vzpostavitvijo izhodiščnega okvira informacijske varnosti za vse institucije in organe Unije bi se ustvaril ekosistem s standardiziranimi varnostnimi pravili in izvajanimi dobrimi praksami, vendar bi bilo treba upoštevati raznolikost in različno poslovno okolje vsake institucije in organa Unije ter omogočiti lokalne rešitve; •ta pobuda mora upoštevati avtonomijo in različne stopnje varnostne zrelosti posameznih institucij in organov Unije, ki bodo še naprej v celoti odgovorni za svojo organizacijo informacijske varnosti. •Zbiranje in uporaba strokovnih mnenj Komisija je za posvetovanje z deležniki uporabila lastna sredstva. Direktorat za varnost Generalnega direktorata za človeške vire in varnost je opravil s tem povezano delo v zvezi z raziskavami, videokonferencami in drugimi delavnicami. Ta naloga je vključevala izbiro udeležencev in organizacijo dogodkov ter obdelavo prejetih prispevkov. Skupno raziskovalno središče (JRC) je izvedlo oceno tveganja glavnih sredstev informacijske varnosti, ki je bila uporabljena kot podlaga za analizo učinka. •Ocena učinka Ta pobuda je namenjena izključno institucijam in organom Unije ter ima omejen vpliv na države članice in posameznike. Zato ni bilo treba izvesti celovite ocene učinka, saj ni bilo jasno prepoznavnih ali pomembnih učinkov na državljane in podjetja. Celovit načrt je bil objavljen na spletišču Europa, v njem pa so bile zbrane povratne informacije ustreznih deležnikov. •Ustreznost in poenostavitev ureditve Ni relevantno. •Temeljne pravice EU je zavezana zagotavljanju visokih standardov varstva temeljnih pravic. Ta pobuda zagotavlja popolno spoštovanje temeljnih pravic, kot so določene v Listini Evropske unije o temeljnih pravicah. •Pravica do dobrega upravljanja Institucije in organi Unije z izboljšanjem varnosti podatkov, ki jih obravnavajo pri obravnavi zadev evropskih državljanov, prispevajo k uresničevanju načela dobrega upravljanja. •Varstvo osebnih podatkov

Vsa obdelava osebnih podatkov v okviru tega predloga bi se izvajala v zaupanja vrednih okoljih in ob polnem spoštovanju Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta. •Pravica dostopa do dokumentov Dostop javnosti do tajnih podatkov EU in občutljivih netajnih dokumentov še vedno v celoti ureja Uredba (ES) št. 1049/2001 Evropskega parlamenta in Sveta. •Pravica intelektualne lastnine Institucije in organi Unije pri obravnavanju in hrambi netajnih podatkov in tajnih podatkov EU varujejo intelektualno lastnino v skladu z Direktivo 2001/29/ES Evropskega parlamenta in Sveta. •Svoboda izražanja in obveščanja Čeprav ima vsakdo pravico do prejemanja in izmenjave podatkov in zamisli brez vmešavanja javnega organa, to Uniji ne preprečuje, da določi pogoje za dostop do nekaterih vrst podatkov, njihovo obravnavanje in hrambo glede na njihovo stopnjo zaupnosti. Za uresničevanje teh svoboščin lahko veljajo pogoji in omejitve, ki jih določa zakon in so potrebni v demokratični družbi, da se prepreči razkritje podatkov, prejetih zaupno in v interesu varnosti EU. 4.PRORAČUNSKE POSLEDICE Ta predlog zahteva dodelitev enega uradnika AD in enega pomočnika AST za stalni sekretariat koordinacijske skupine, ki ga zagotavlja Komisija, v varnostni direktorat Generalnega direktorata za človeške vire in varnost. Za institucije in organe se pričakujejo prihranki pri stroških zaradi skupnih in sodelovalnih nalog ter preprečevanja morebitne gospodarske škode zaradi kibernetskih incidentov zaradi izboljšanja informacijske varnosti. Po drugi strani pa so lahko finančna prizadevanja, potrebna za izvajanje nove zakonodaje, zajeta v okviru obstoječih programov za izboljšanje informacijske varnosti v posameznih institucijah in organih Unije. 5.DRUGI ELEMENTI •Načrti za izvajanje ter ureditev spremljanja, ocenjevanja in poročanja Predlog določa, da mora Komisija Evropskemu parlamentu in Svetu vsaka tri leta poročati o izvajanju te uredbe, vključno z delovanjem upravljanja, vzpostavljenega s to uredbo. Poleg tega Komisija vsakih pet let oceni to uredbo, da bi ocenila njeno dejansko uspešnost in na podlagi tega, ali so potrebne kakršne koli spremembe zakonodaje. •Natančnejša pojasnitev posameznih določb predloga Ta predlog temelji na zahtevah za obravnavanje in hrambo netajnih podatkov in tajnih podatkov EU, ki so glavni predmet pobude in katerih boljše varovanje je njen temeljni namen. Predmet urejanja in področje uporabe (člen 1 in člen 2) Namen te uredbe je oblikovati minimalni sklop pravil za informacijsko varnost, ki bodo veljala za vse institucije in organe Unije. Nanaša se na vse podatke, ki jih obravnavajo in hranijo institucije in organi Unije, vključno s podatki, povezanimi z dejavnostmi Evropske skupnosti za atomsko energijo, razen tajnih podatkov Euratoma. Ta uredba zajema netajne podatke in tajne podatke EU.

Opredelitve pojmov in splošna načela (členi 3 do 5) Opredelitve pojmov iz člena 3 temeljijo na veljavnih pravilih o informacijski varnosti, ki so jih ločeno sprejeli institucije in organi Unije. Poleg splošnih načel zakonodaje Unije, tj. preglednosti, sorazmernosti, učinkovitosti in odgovornosti, ta uredba določa glavne zavezujoče smernice, kot so ločen postopek za obvladovanje tveganja za informacijsko varnost, ki ga izvaja vsaka institucija in organ Unije, ter ocena njihovih podatkov za njihovo ustrezno kategorizacijo. Upravljanje in organizacija varnosti (členi 6 do 8) Vse institucije in organi Unije sodelujejo v medinstitucionalni koordinacijski skupini za informacijsko varnost, ki deluje soglasno ter v skupnem interesu institucij in organov Unije. Koordinacijska skupina združuje varnostne organe vseh institucij in organov ter pripravlja smernice za izvajanje te uredbe. Redno se povezuje z nacionalnimi varnostnimi organi držav članic, združenimi v odboru za informacijsko varnost. Za poenostavitev postopkov in drugih praktičnih vidikov, povezanih z informacijsko varnostjo, je ustanovljenih pet podskupin, ki jih sestavljajo strokovnjaki iz različnih institucij in organov. Vsaka institucija in organ Unije mora imenovati varnostni organ, ki je odgovoren za opredelitev notranjih politik na področju informacijske varnosti in njihovo izvajanje. Varnostni organ vzpostavi posebne funkcije, kot so organ za zagotavljanje informacijske varnosti, operativni organ za zagotavljanje informacijske varnosti, organ za varnostno akreditacijo, organ TEMPEST, organ za odobritev šifrirnih metod in izdelkov in organ za razpošiljanje šifrirnega materiala, ki se lahko zaradi učinkovitosti ali virov prenesejo na drugo institucijo ali organ. Zagotavljanje informacijske varnosti ter komunikacijski in informacijski sistemi (členi 9 do 11) Z Uredbo je ustanovljena podskupina za zagotavljanje informacijske varnosti, katere cilj je v institucijah in organih Unije povečati skladnost med pravili za informacijsko varnost in izhodiščnim okvirom kibernetske varnosti, kot so v Uredbi opredeljeni v v zvezi z ukrepi za skupno visoko raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije. Institucije in organi Unije morajo spoštovati načela iz teh členov in sprejeti ločena notranja pravila za posebne varnostne ukrepe, prilagojene njihovemu varnostnemu okolju. Netajni podatki (členi 12 do 17 in Priloga I) Uredba določa tri kategorije netajnih podatkov: podatki za javno uporabo, običajni podatki in občutljivi netajni podatki. Vse kategorije so opredeljene, za varovanje takih podatkov pa so določene oznake in pogoji za njihovo obravnavanje. Za uskladitev dela v zvezi z enakovrednostjo med določenimi kategorijami, ki so jih vzpostavili nekatere institucije in organi Unije, in skupnimi kategorijami iz Uredbe je s predlogom ustanovljena podskupina za netajne podatke. Netajni podatki EU (členi 18 do 58 in priloge II do VI) To poglavje, ki je najobsežnejše v predlogu, je razdeljeno na sedem oddelkov: Splošne določbe, Varnost osebja, Fizična varnost, Upravljanje tajnih podatkov EU, Varovanje v komunikacijskih in informacijskih sistemih, Industrijska varnost ter Souporaba tajnih podatkov EU in izmenjava tajnih podatkov. Oddelek o splošnih določbah določa štiri stopnje tajnosti tajnih podatkov EU: TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED ter določa obveznost institucij in organov Unije, da sprejmejo potrebne varnostne ukrepe v skladu z rezultati postopka za obvladovanje tveganja za informacijsko varnost. Vsi preostali oddelki se osredotočajo na standarde varovanja tajnih podatkov EU, povezane z njihovim specifičnim področjem. Podrobnosti za takšno varovanje tajnih podatkov EU so določene v prilogah II do V. Priloga VI vsebuje preglednico enakovrednih stopenj tajnosti podatkov EU z varnostnimi klasifikacijami držav članic in Evropske skupnosti za atomsko energijo. Za poenostavitev ustreznih postopkov na tem področju in preprečitev podvajanja prizadevanj so z Uredbo ustanovljene podskupine za zagotavljanje informacijske varnosti, za netajne podatke, za fizično varnost, za akreditacijo komunikacijskih in informacijskih sistemov, ki obravnavajo in hranijo tajne podatke EU, ter za souporabo tajnih podatkov EU in izmenjavo tajnih podatkov. Končne določbe (členi 59 do 62)

Končne določbe zagotavljajo prehod s sedanjih pravil in postopkov na nov pravni okvir, ki ga določa ta uredba. Nanašajo se na notranja pravila o informacijski varnosti, ki se trenutno uporabljajo v institucijah in organih Unije, priznavanje ocenjevalnih obiskov, opravljenih pred začetkom uporabe Uredbe, obravnavo predhodno sklenjenih upravnih dogovorov in nadaljevanje posebnih varnostnih okvirov, ki se uporabljajo za sporazume o nepovratnih sredstvih. Ta uredba naj bi se začela uporabljati po dveh letih od datuma začetka veljavnosti. 2022/0084 (COD) Predlog UREDBA EVROPSKEGA PARLAMENTA IN SVETA o informacijski varnosti v institucijah, organih, uradih in agencijah Unije EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA – ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 298 Pogodbe, ob upoštevanju Pogodbe o ustanovitvi Evropske skupnosti za atomsko energijo in zlasti člena 106a Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1)Institucije in organi Unije imajo trenutno lastna pravila za informacijsko varnost, ki temeljijo na njihovem poslovniku ali ustanovitvenem aktu, ali sploh nimajo takih pravil. V takem okviru vsaka institucija in organ Unije vlaga veliko truda v sprejetje različnih pristopov, zaradi česar izmenjava podatkov ni vedno zanesljiva. Neobstoj skupnega pristopa ovira uporabo skupnih orodij, ki bi temeljila na dogovorjenem sklopu pravil glede na varnostne potrebe podatkov, ki jih je treba zavarovati. (2)Čeprav je bil dosežen napredek pri doslednejših pravilih za varovanje tajnih podatkov EU in netajnih podatkov, je interoperabilnost ustreznih sistemov še vedno omejena, kar preprečuje nemoten prenos podatkov med različnimi institucijami in organi Unije. Zato so potrebna nadaljnja prizadevanja, da se omogoči medinstitucionalni pristop k izmenjavi tajnih podatkov EU in občutljivih netajnih podatkov s skupnimi kategorijami podatkov in skupnimi ključnimi načeli njihovega obravnavanja. Predvideti bi bilo treba tudi izhodiščni okvir za poenostavitev postopkov za izmenjavo tajnih podatkov EU in občutljivih netajnih podatkov med institucijami in organi Unije ter z državami članicami. (3)Zato bi bilo treba določiti ustrezna pravila, ki bi zagotavljala skupno raven informacijske varnosti v vseh institucijah in organih Unije. Predstavljati bi morala celovit in skladen splošni okvir za varovanje tajnih podatkov EU in netajnih podatkov ter zagotavljati enakovrednost osnovnih načel in minimalnih standardov. (4)Nedavna pandemija je povzročila precejšnjo spremembo delovnih praks, saj so orodja za komunikacijo na daljavo postala pravilo. Zato so bili številni postopki, ki so še vedno vsaj deloma temeljili na papirju, hitro prilagojeni, da bi omogočili elektronsko obdelavo in izmenjavo podatkov. Ta razvoj zahteva spremembe pri obravnavanju in varovanju podatkov. Ta uredba upošteva nove delovne prakse. (5)Ta uredba vzpostavlja minimalno skupno raven varovanja tajnih podatkov EU in netajnih podatkov, s čimer prispeva k zagotavljanju, da imajo institucije in organi Unije pri opravljanju svojih nalog podporo učinkovite in neodvisne uprave. Hkrati vsaka institucija in organ Unije ohranja avtonomijo pri določanju načina izvajanja pravil iz te uredbe v skladu s svojimi varnostnimi potrebami. Ta uredba v nobenem primeru institucijah in organom Unije ne preprečuje, da izpolnjujejo svoje naloge, kakor jih določa zakonodaja EU, ali posega v njihovo institucionalno avtonomijo. (6)Ta uredba ne posega v Uredbo (Euratom) št.3/1958, Uredbo št. 31 (EGS), 11 (ESAE), ki določa kadrovske predpise za uradnike in pogoje za zaposlitev drugih uslužbencev Evropske gospodarske skupnosti in Evropske skupnosti za atomsko energijo, Uredbo (ES) št. 1049/2001 Evropskega parlamenta in Sveta, Uredbo (EU) 2018/1725 Evropskega parlamenta in Sveta, Uredbo Sveta (EGS, Euratom) št. 354/83, Uredbo (EU, Euratom) 2018/1046 Evropskega parlamenta in Sveta, Uredbo (EU) 2021/697 Evropskega parlamenta in Sveta ter Uredbo (EU) [...] Evropskega parlamenta in Sveta o ukrepih za skupno visoko raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije. (7)Da bi se ohranila posebna narava dejavnosti Evropske skupnosti za atomsko energijo, ki jih ureja Uredba št. 3/1958 Sveta Evropske skupnosti za atomsko energijo, se ta uredba ne bi smela uporabljati za tajne podatke Euratoma. Vendar bi morali vsi podatki, povezani z drugimi dejavnostmi Euratoma, ki niso zajete z Uredbo št. 3/1958, spadati na področje uporabe te uredbe.

(8)Za vzpostavitev formalne strukture sodelovanja med institucijami in organi Unije na področju informacijske varnosti je treba ustanoviti medinstitucionalno koordinacijsko skupino (v nadaljnjem besedilu: koordinacijska skupina), v kateri bodo zastopani vsi varnostni organi institucij in organov Unije. Ne da bi imela koordinacijska skupina pooblastila za odločanje, bi morala povečati skladnost politik na področju informacijske varnosti ter prispevati k uskladitvi postopkov in orodij informacijske varnosti v institucijah in organih Unije. (9)Za delo koordinacijske skupine je potrebna podpora strokovnjakov z različnih področij informacijske varnosti: kategorizacija in označevanje, komunikacijski in informacijski sistemi, akreditacija, fizična varnost ter souporaba tajnih podatkov EU in izmenjava tajnih podatkov. Da bi se preprečilo podvajanje prizadevanj v institucijah in organih Unije, bi bilo treba ustanoviti tematske podskupine. Poleg tega bi morala koordinacijska skupina po potrebi imeti možnost ustanoviti še druge podskupine s posebnimi nalogami. (10)Koordinacijska skupina bi morala tesno sodelovati z nacionalnimi varnostnimi organi držav članic, da bi se okrepila informacijska varnost v Uniji. Zato bi bilo treba ustanoviti odbor držav članic za informacijsko varnost, ki bi svetoval koordinacijski skupini. (11)Čeprav so skupni organi, ki predstavljajo vse institucije in organe Unije, ustanovljeni na podlagi načela sodelovanja, bi morali biti vse institucije in organi še naprej v celoti odgovorni za varnost podatkov v svoji organizaciji. Vse instituciji in organi Unije bi morali imeti varnostni organ in po potrebi druge organe, odgovorne za posebne pristojnosti v zvezi z informacijsko varnostjo. (12)Načelo obvladovanja tveganja za informacijsko varnost bi moralo biti jedro politike, ki naj bi jo na tem področju oblikovali vse institucije in organi Unije. Čeprav morajo biti izpolnjene minimalne zahteve iz te uredbe, bi morala vsaka institucija in organ Unije sprejeti posebne varnostne ukrepe za varovanje podatkov v skladu z rezultati notranje ocene tveganja. Prav tako bi bilo treba tehnična sredstva za varovanje podatkov prilagoditi specifičnemu položaju vsake institucije in organa. (13)Glede na raznolikost kategorij netajnih podatkov, ki so jih institucije in organi Unije razvili na podlagi lastnih pravil o informacijski varnosti, in da bi se preprečile zamude pri izvajanju te uredbe, bi morale imeti institucije ali organi Unije možnost ohraniti lasten sistem označevanja za notranje namene ali pri izmenjavi podatkov z ustreznimi kolegi iz drugih institucij in organov ali iz držav članic. (14)Zaradi prilagajanja novim praksam dela na daljavo bi bilo treba omrežja, ki se uporabljajo za povezavo s storitvami dostopa na daljavo institucije ali organa Unije, zaščititi z ustreznimi varnostnimi ukrepi. (15)Ker institucije in organi Unije pogosto uporabljajo izvajalce in zunanje izvajanje, je pomembno oblikovati skupne določbe v zvezi z osebjem izvajalcev, ki opravlja naloge, povezane z informacijsko varnostjo. (16)Materialnopravna pravila v zvezi z dostopom do tajnih podatkov EU v notranjih pravilih različnih institucij in organov Unije so trenutno usklajena, vendar obstajajo velike razlike glede poimenovanj in zahtevanih postopkov. To predstavlja breme za nacionalne varnostne organe držav članic, ki se morajo prilagoditi različnim zahtevam. Zato je treba zagotoviti skupen glosar in skupne postopke na področju varnosti osebja ter tako poenostaviti sodelovanje z nacionalnimi varnostnimi organi držav članic in omejiti tveganje ogrožanja tajnih podatkov EU. (17)Zaradi razlik v virih med institucijami in organi Unije ter za poenostavitev njihovih ustreznih postopkov in praks se lahko naloge varnostnega preverjanja zaupajo Komisiji, da se zagotovi nadaljevanje dolgoletne prakse na področju varnostnega preverjanja in prispeva k centralizaciji nalog, dodeljenih posameznim varnostnim organom. (18)Varovanje tajnih podatkov EU je zagotovljeno tudi s tehničnimi in organizacijskimi ukrepi, ki se uporabljajo v prostorih, stavbah, sobah, pisarnah ali objektih institucij in organov Unije, v katerih se razpravlja o tajnih podatkih EU ali v katerih se takšni podatki obravnavajo ali hranijo. Ta uredba določa izvajanje postopka upravljanja informacijske varnosti na področju fizične varnosti, ki bi institucijam in organom omogočil, da izberejo ustrezne varnostne ukrepe za svoje lokacije. (19)Vse institucije in organi Unije, ki obravnavajo in hranijo tajne podatke EU, bi morali na svojih lokacijah vzpostaviti fizično zaščitena območja za zagotovitev enake ravni varovanja za ustrezne stopnje tajnosti tajnih podatkov EU, ki se na njih obravnavajo in hranijo. Ta območja bi morala biti označena kot upravna in varovana območja ter upoštevati skupne minimalne standarde za varovanje tajnih podatkov EU. (20)Nadzor tvorca je pomembno načelo pri upravljanju tajnih podatkov EU, zato ga je treba jasno določiti in razviti. V zvezi s tem se z ustvarjanjem tajnih podatkov EU na tvorca prenese odgovornost, ki bi morala zajemati celoten življenjski cikel zadevnega dokumenta s tajnimi podatki EU. (21)Institucije in organi Unije običajno samostojno razvijajo svoje komunikacijske in informacijske sisteme, pri čemer ne namenjajo dovolj pozornosti njihovi interoperabilnosti v vseh institucijah in organih Unije. Zato je treba uvesti minimalne varnostne zahteve v zvezi s komunikacijskimi in informacijskimi sistemi (KIS), ki obravnavajo in hranijo tajne podatke EU in netajne podatke, da bi se zagotovila nemotena izmenjava podatkov z ustreznimi deležniki. (22)Institucije in organi Unije bi morali sodelovati v skupini, ustanovljeni za ta namen, da bi dosegli enoten standard za akreditacijo KIS, ki obravnavajo in hranijo tajne podatke EU. Priporočljivo je, da vsi uporabljajo ta standard in tako prispevajo k splošni ravni varovanja tajnih podatkov EU. Vendar kar zadeva organizacijsko avtonomijo, o tem še naprej odloča pristojni organ vsake institucije ali organa. (23)Vse institucije in organi Unije bi morali uporabljati enake postopke in ukrepe pri dodeljevanju in izvajanju pogodb s tajnimi podatki ali tajnih sporazumov o nepovratnih sredstvih. Zato je treba jasno določiti obvezne in neobvezne elemente pogodb s tajnimi podatki in tajnih sporazumov o nepovratnih sredstvih. Vendar bi bilo treba pri ukrepih za varovanje tajnih podatkov EU v zvezi s pogodbami s tajnimi podatki in tajnimi sporazumi o nepovratnih sredstvih upoštevati pravila, ki so jih institucije in organi Unije skupaj z državami članicami že ločeno razvili na tem področju. (24)Tesno sodelovanje med institucijami in organi Unije ter številne sinergije, ki so se razvile med njimi, vključujejo izmenjavo velike količine podatkov. Zaradi varovanja tajnih podatkov bi bilo treba oceniti, ali je institucija ali organ Unije vreden zaupanja, preden začne obravnavati in hraniti tajne podatke EU z določeno stopnjo tajnosti. (25)Poleg tega bi bilo treba souporabo tajnih podatkov EU med institucijami in organi Unije ter izmenjavo tajnih podatkov z mednarodnimi organizacijami in tretjimi državami urediti z ustreznimi varnostnimi ukrepi za varovanje takih podatkov. Kadar so predvideni sporazumi o varovanju tajnosti podatkov, bi bilo treba uporabiti določbe člena 218 Pogodbe. (26)Sporazumi o varovanju tajnosti podatkov naj bi zagotavljali splošni pravni okvir za izmenjavo tajnih podatkov Unije s tretjimi državami in mednarodnimi organizacijami, poleg tega je treba institucijam in organom Unije omogočiti, da za izmenjavo tajnih podatkov EU sklenejo upravne dogovore s sorodno institucijo ali organom iz tretje države ali mednarodne organizacije. (27)Ta uredba vzpostavlja skupni okvir za vse institucije in organe Unije. Da se institucijam in organom Unije ne bi naložilo pretirano upravno breme pri prilagajanju njihovih notranjih varnostnih pravil pravilom, določenim v tej uredbi, bi se morala ta uredba začeti uporabljati dve leti po njenem začetku veljavnosti.

(28)V skladu z odstavkoma 22 in 23 Medinstitucionalnega sporazuma z dne 13. aprila 2016 o boljši pripravi zakonodaje bi morala Komisija to uredbo oceniti, da bi ocenila njene dejanske učinke in potrebo po nadaljnjem ukrepanju. Vsaj vsaka tri leta od datuma začetka uporabe te uredbe bi morala Evropskemu parlamentu in Svetu predložiti poročilo o njenem izvajanju. (29)V skladu s členom 42 Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal ... – SPREJELA NASLEDNJO UREDBO: Poglavje 1

Splošne določbe Člen 1 Predmet urejanja 1.Ta uredba določa pravila za informacijsko varnost za vse institucije in organe Unije. Člen 2 Področje uporabe 1.Ta uredba se uporablja za vse podatke, ki jih obravnavajo in hranijo institucije in organi Unije, vključno s podatki, povezanimi z dejavnostmi Evropske skupnosti za atomsko energijo, razen tajnih podatkov Euratoma. 2.Uporablja se za naslednje stopnje zaupnosti podatkov: (a)tri stopnje netajnih podatkov: za javno uporabo, običajni podatki in občutljivi netajni podatki; (b)štiri stopnje tajnih podatkov EU: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRÈS SECRET UE/EU TOP SECRET. 3.Te stopnje temeljijo na škodi, ki bi jo nepooblaščeno razkritje lahko povzročilo zakonitim javnim in zasebnim interesom, vključno z interesi Unije, institucij in organov Unije, držav članic ali drugih deležnikov, tako da se lahko uporabijo ustrezni zaščitni ukrepi. Člen 3 Opredelitev pojmov V tej uredbi se uporabljajo naslednje opredelitve pojmov: (a)„podatki“ pomenijo vse podatke v ustni, vizualni, elektronski, magnetni ali fizični obliki ali v obliki gradiva, opreme ali tehnologije ter vključujejo reprodukcijo, prevode in gradivo v nastajanju; (b)„informacijska varnost“ pomeni zagotavljanje avtentičnosti, razpoložljivosti, zaupnosti, celovitosti in nezatajljivosti podatkov; (c)„obravnavanje“ podatkov pomeni vse možne dejavnosti, v katere so lahko vključeni podatki v celotnem življenjskem ciklu; zajema njihovo ustvarjanje, zbiranje, vpis, dodelitev stopnje zaupnosti, obdelavo, prikaz, iskanje, prenašanje, pošiljanje, znižanje stopnje tajnosti, preklic stopnje tajnosti, arhiviranje in uničenje;

(d)„hramba“ pomeni shranjevanje podatkov na katerem koli mediju, da se zagotovi njihova razpoložljivost za prihodnjo uporabo; (e)„institucije in organi Unije“ pomenijo institucije, organe, urade in agencije Unije, ustanovljene s Pogodbo o Evropski uniji, Pogodbo o delovanju Evropske unije, Pogodbo o ustanovitvi Evropske skupnosti za atomsko energijo ali zakonodajnim aktom ali na njihovi podlagi; (f)„tajni podatki Euratoma“ pomenijo podatke v smislu Uredbe št. 3/1958 Sveta Evropske skupnosti za atomsko energijo; (g)„varnostni organ“ pomeni varnostno funkcijo vsake institucije in organa Unije, ki je določena v skladu z njenim poslovnikom ali ustanovitvenim aktom; (h)„postopek za obvladovanje tveganja za informacijsko varnost“ pomeni celoten postopek opredelitve, nadzorovanja in čim večje omejitve negotovih dogodkov, ki bi lahko negativno vplivali na varnost organizacije ali sistemov, ki jih uporablja; zajema vse dejavnosti, povezane s tveganjem, vključno z njegovo oceno, obravnavo, sprejemanjem in obveščanjem o njem; (i)„sredstvo“ pomeni vse, kar je pomembno za institucijo ali organ Unije, njegove dejavnosti in njegovo kontinuiteto, vključno z viri podatkov, ki podpirajo njegov namen; (j)„varnostno-operativni postopki“ pomenijo sklop dokumentiranih postopkov iz Priloge III za delovanje varovanega območja, komunikacijskega in informacijskega sistema ali drugega sredstva ali storitve, povezane z varnostjo, da se zagotovi njegova učinkovitost; (k)„komunikacijski in informacijski sistem“ ali „KIS“ pomeni kakršen koli sistem, ki omogoča obravnavanje in hrambo podatkov v elektronski obliki, vključno z vsemi sredstvi, potrebnimi za njegovo delovanje; (l)„zagotavljanje informacijske varnosti“ pomeni gotovost, da bodo komunikacijski in informacijski sistemi varovali podatke, ki jih obravnavajo in hranijo, in da bodo pod nadzorom zakonitih uporabnikov delovali tako, kot je potrebno in ko je potrebno, ob zagotavljanju ustreznih ravni avtentičnosti, razpoložljivosti, zaupnosti, celovitosti in nezatajljivosti; (m)„akreditacija“ pomeni uradno dovoljenje organa za varnostno akreditacijo komunikacijskemu in informacijskemu sistemu za obdelavo ali varnostnemu območju za hrambo tajnih podatkov EU z vnaprej določeno stopnjo tajnosti; (n)„akreditacijski postopek“ pomeni ukrepe in naloge, ki so potrebni pred akreditacijo; (o)„varnostni ukrepi TEMPEST“ pomenijo ukrepe za zaščito vseh KIS, ki obravnavajo in hranijo podatke stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, pred ogrožanjem takih podatkov zaradi nenamernega elektromagnetnega oddajanja; (p)„CERT-EU“ pomeni center za kibernetsko varnost za institucije in organe Unije v smislu Uredbe (EU) [...] Evropskega parlamenta in Sveta o ukrepih za skupno visoko raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije; (q)„informacijskovarnostni incident“ pomeni vsak dogodek, ki bi lahko ogrozil verodostojnost, razpoložljivost, zaupnost, celovitost ali nezatajljivost hranjenih, prenesenih ali obdelanih podatkov; (r)„potreba po seznanitvi“ pomeni potrebo posameznika po dostopu do določenih podatkov, ki jih obravnava ali hrani institucija ali organ Unije, zaradi izpolnjevanja nalog zadevne institucije ali organa Unije; (s)„ničelno zaupanje“ pomeni varnostni model, sklop načel zasnove sistemov ter usklajeno strategijo za kibernetsko varnost in upravljanje sistema na podlagi zavedanja, da grožnje obstajajo znotraj in zunaj tradicionalnih meja omrežja; (t)„oznaka“ pomeni oznako, ki se uporablja za podatke, da se zagotovi uporaba ustreznih varnostnih ukrepov; (u)„varnostna oznaka“ pomeni oznako, ki označuje stopnjo zaupnosti podatkov; (v)„oznaka za razpošiljanje“ pomeni oznako, ki označuje predvidene naslovnike podatkov v izvorni instituciji ali organu Unije; (w)„oznaka za posredovanje“ pomeni oznako, na kateri so navedeni dovoljeni naslovniki zunaj izvorne institucije ali izvornega organa Unije;

(x)„lastnik sistema“ pomeni posameznika, ki je odgovoren za celotno nabavo, razvoj, integracijo, spreminjanje, delovanje, vzdrževanje in umik komunikacijskega in informacijskega sistema; (y)„grožnja za informacijsko varnost“ pomeni dogodek ali dejavnik, za katerega se lahko upravičeno pričakuje, da bo negativno vplival na informacijsko varnost, če se nanj ne odzove in se ga ne nadzoruje; (z)„ranljivost“ pomeni pomanjkljivost, dovzetnost ali napako sredstva, sistema, postopka ali nadzora, ki jo lahko izkoristi ena ali več groženj; (aa)„tveganje“ pomeni morebiten škodljiv učinek določene grožnje, ki lahko izkoristi notranje in zunanje ranljivosti institucije ali organa Unije ali sistemov, ki jih uporablja, ter povzroči škodo zakonitim javnim in zasebnim interesom, izmerjen kot kombinacija verjetnosti pojava groženj in njihovega učinka; (ab)„preostalo tveganje“ pomeni tveganje, ki ostane po izvedbi varnostnih ukrepov; (ac)„ocena tveganja“ pomeni opredelitev groženj in ranljivosti ter izvedbo s tem povezane analize tveganja, tj. analize verjetnosti in učinka; (ad)„obravnava tveganja“ pomeni ublažitev tveganja, njegovo odpravo, zmanjšanje (z ustrezno kombinacijo tehničnih, fizičnih, organizacijskih ali postopkovnih ukrepov), prenos ali spremljanje; (ae)„evropski certifikat kibernetske varnosti“ pomeni certifikat v smislu člena 2, točka 11, Uredbe 2019/881; (af)„imetnik podatkov“ pomeni ustrezno pooblaščenega posameznika, za katerega je ugotovljena potreba po seznanitvi in ki razpolaga s tajnimi podatki ter je zato odgovoren za njihovo varovanje; (ag)„gradivo“ pomeni vsak dokument, nosilec podatkov ali del strojev ali opreme, ki je že bil izdelan ali je v postopku izdelave; (ah)„tajni podatki EU“ pomenijo vse podatke ali gradivo z oznako stopnje tajnosti EU, katerega nepooblaščeno razkritje bi lahko v različni meri škodovalo interesom Unije ali ene ali več držav članic; (ai)„pooblastilo za dostop do tajnih podatkov EU“ pomeni odločitev varnostnega organa, da se uradniku, drugemu uslužbencu ali napotenemu nacionalnemu strokovnjaku institucije ali organa Unije za določen čas odobri dostop do tajnih podatkov EU do določene stopnje tajnosti; (aj)„nacionalni varnostni organ“ pomeni vladni organ države članice s končno odgovornostjo za varnost tajnih podatkov v zadevni državi članici; (ak)„imenovani varnostni organ“ pomeni organ države članice (nacionalni varnostni organ ali kateri koli drug pristojni organ), ki je odgovoren za usmerjanje in pomoč pri izvajanju industrijske varnosti ali pri postopkih preverjanja ali oboje; (al)„varnostna preiskava“ pomeni preiskovalne postopke, ki jih izvede pristojni organ države članice v skladu z njeno nacionalno zakonodajo in predpisi z namenom pridobiti jamstvo, da niso znane nobene negativne informacije, zaradi katerih osebi ne bi odobrili dovoljenja za dostop do tajnih podatkov do določene stopnje tajnosti (CONFIDENTIEL UE/EU CONFIDENTIAL ali višje); (am)„fizična varnost“ pomeni uporabo fizičnih, tehničnih in organizacijskih ukrepov v prostorih, stavbah, sobah, pisarnah ali objektih institucije ali organa Unije, ki zahtevajo zaščito pred nepooblaščenim dostopom do podatkov, ki se tam obravnavajo ali hranijo ali o katerih se tam razpravlja; (an)„lokacije“ pomenijo prostore, stavbe, sobe, pisarne ali objekte institucije ali organa Unije; (ao)„obramba v globino“ pomeni vrsto varovanja, pri kateri se uporablja več neodvisnih ravni varnostnih kontrol, ki zagotavljajo, da bo v primeru odpovedi ene delovala druga; (ap)„šifrirni material“ pomeni šifrirne algoritme, šifrirne module strojne in programske opreme ter izdelke, vključno s podrobnostmi izvajanja ter s tem povezano dokumentacijo, in šifrirne ključe; (aq)„šifrirni izdelek“ pomeni izdelek, katerega prvenstvena in glavna lastnost delovanja je zagotavljanje varnostnih storitev (avtentičnost, razpoložljivost, zaupnost, celovitost in nezatajljivost) z enim ali več šifrirnimi mehanizmi;

(ar)„tvorec“ pomeni institucijo, agencijo ali organ Unije, državo članico, tretjo državo ali mednarodno organizacijo, v pristojnosti katere so bili tajni podatki ustvarjeni in/ali so bili uvedeni v strukture Unije; (as)„dokument“ pomeni kakršno koli vsebino, ne glede na njen medij (papirni, elektronski, magnetni ali drug), v pisni obliki ali v obliki vizualnega ali avdiovizualnega posnetka; (at)„vpis iz varnostnih razlogov“ pomeni uporabo postopkov, ki evidentirajo življenjski cikel gradiva, vključno z njegovim razširjanjem in uničenjem; (au)„preklic stopnje tajnosti“ pomeni odpravo vsakršne stopnje tajnosti; (av)„znižanje stopnje tajnosti“ pomeni razvrstitev v nižjo stopnjo tajnosti; (aw)„pogodba s tajnimi podatki“ pomeni okvirno pogodbo ali pogodbo iz Uredbe Sveta (ES, Euratom) 2018/1046 Evropskega parlamenta in Sveta, ki jo institucija ali organ Unije sklene z izvajalcem za dobavo premičnin ali nepremičnin, izvedbo del ali opravljanje storitev in katere izpolnitev zahteva ali vključuje obravnavo, vključno z ustvarjanjem, ali hrambo tajnih podatkov EU; (ax)„tajni sporazum o nepovratnih sredstvih“ pomeni sporazum, v skladu s katerim institucija ali organ Unije dodeli nepovratna sredstva iz naslova VIII Uredbe (ES, Euratom) 2018/1046 in katerega izpolnitev zahteva ali vključuje obravnavo, vključno z ustvarjanjem, ali hrambo tajnih podatkov EU; (ay)„podizvajalska pogodba s tajnimi podatki“ pomeni pogodbo, ki jo izvajalec ali upravičenec institucije ali organa Unije sklene s podizvajalcem za dobavo premičnin ali nepremičnin, izvedbo del ali opravljanje storitev in katere izpolnitev zahteva ali vključuje obravnavo, vključno z ustvarjanjem, ali hrambo tajnih podatkov EU; (az)„varnostna navodila za program ali projekt“ pomenijo seznam varnostnih postopkov, ki se uporabljajo za določen program ali projekt zaradi standardizacije varnostnih postopkov; (ba)„listina o varnostnih vidikih“ pomeni sklop posebnih pogodbenih pogojev, ki jih objavi javni organ naročnik ali organ, ki dodeljuje nepovratna sredstva, in je sestavni del vsake pogodbe s tajnimi podatki ali tajnega sporazuma o nepovratnih sredstvih, ki vključuje dostop do tajnih podatkov EU ali njihovo ustvarjanje, ter določa varnostne zahteve in tiste elemente pogodbe ali sporazuma o nepovratnih sredstvih, ki zahtevajo varnostno zaščito; (bb)„vodič po stopnjah tajnosti“ pomeni dokument, v katerem so opisani elementi programa, projekta, pogodbe ali sporazuma o nepovratnih sredstvih, ki so tajni, in ki določa ustrezne stopnje tajnosti. Člen 4 Splošna načela 1.Vse institucije in organi Unije so odgovorni za izvajanje določb te uredbe v svoji organizaciji ob upoštevanju svojega postopka za obvladovanje tveganja za informacijsko varnost. 2. Neskladnost s to uredbo, zlasti nedovoljeno razkritje podatkov s stopnjami zaupnosti iz člena 2(2), razen podatkov za javno uporabo, se razišče in lahko sproži odgovornost osebja v skladu s Pogodbama ali ustreznimi kadrovskimi predpisi. 3.Institucije in organi Unije ocenijo vse podatke, ki jih obravnavajo in hranijo, da jih razvrstijo glede na stopnje zaupnosti iz člena 2(2). 4.Institucije in organi Unije določijo varnostne potrebe za vse podatke, ki jih obravnavajo in hranijo, ob upoštevanju naslednjih vidikov: (a)avtentičnosti: zagotovilo, da so podatki pravi in iz zaupanja vrednih virov; (b)razpoložljivosti: dostopnost in uporabnost na zahtevo pooblaščenega subjekta; (c)zaupnosti: nerazkritje podatkov nepooblaščenim posameznikom, subjektom ali postopkom;

(d)celovitosti: dejstvo, da so informacije popolne in popolnost informacij nespremenjena; (e)nezatajljivosti: zmožnost dokazati, da se je dejanje zgodilo ali da je prišlo do dogodka, tako da zadevnega dejanja ali dogodka pozneje ni mogoče zanikati. 5.Institucije in organi Unije za vsak komunikacijski in informacijski sistem, za katerega so odgovorni, določijo najvišjo stopnjo zaupnosti podatkov, ki jih takšen komunikacijski in informacijski sistem lahko obravnava in hrani, izvedejo oceno tveganja za informacijsko varnost ter redno spremljajo varnostne potrebe in pravilno izvajanje opredeljenih zaščitnih ukrepov. 6.Vse institucije in organi Unije zagotovijo dejavnosti usposabljanja in ozaveščanja o tem, kako obravnavati in hraniti netajne podatke in tajne podatke EU. Institucije in organi, ki obravnavajo in hranijo tajne podatke EU, vsaj enkrat na pet let organizirajo obvezno usposabljanje za vse posameznike, ki so pooblaščeni za dostop do tajnih podatkov EU. Zadevne institucije in organi Unije organizirajo posebno usposabljanje za posamezne funkcije, ki so jim zaupane naloge v zvezi z informacijsko varnostjo. Institucija ali organ Unije lahko takšne dejavnosti usposabljanja in ozaveščanja usklajuje z drugimi institucijami in organi Unije. Člen 5 Postopek za obvladovanje tveganja za informacijsko varnost 1.Vsaka institucija in organ Unije vzpostavi postopek za obvladovanje tveganja za informacijsko varnost za varovanje podatkov, ki jih obravnava in hrani. 2.Postopek za obvladovanje tveganja za informacijsko varnost vključuje naslednje korake: (a)opredelitev grožnje in ranljivosti; (b)oceno tveganja; (c)obravnavo tveganja; (d)sprejemanje tveganja; (e)obveščanje o tveganju. 3.V okviru postopka za obvladovanje tveganja za informacijsko varnost se upoštevajo vsi dejavniki, ki so pomembni za zadevno institucijo ali organ, zlasti: (a)stopnja zaupnosti podatkov in s tem povezane pravne obveznosti; (b)oblika in količina podatkov ter objekti ali KIS, v katerih se podatki obravnavajo in hranijo; (c)osebe, ki dostopajo do podatkov na lokacijah ali na daljavo; (d)okolica in struktura zgradb ali območij, kjer se podatki hranijo;

(e)grožnje Uniji, institucijam in organom Unije ali državam članicam zaradi kibernetskih napadov, napadov na dobavne verige, vohunjenja, sabotaže, terorističnih, uničevalnih ali drugih kriminalnih dejavnosti; (f)neprekinjeno poslovanje in vnovična vzpostavitev delovanja po nepredvidljivih dogodkih; (g)po potrebi rezultati inšpekcijskih pregledov, revizij ali ocenjevalnih obiskov. Poglavje 2

Upravljanje in organizacija varnosti Člen 6 Medinstitucionalna koordinacijska skupina za informacijsko varnost 1.Ustanovi se medinstitucionalna koordinacijska skupina za informacijsko varnost (v nadaljnjem besedilu: koordinacijska skupina). Sestavljajo jo vsi varnostni organi institucij in organov Unije, pooblaščena pa je za opredelitev njihove skupne politike na področju informacijske varnosti. 2.Koordinacijska skupina, ki deluje soglasno in v skupnem interesu vseh institucij in organov Unije: (a)sprejme svoj poslovnik ter skupne letne cilje in prednostne naloge; (b)sprejme odločitve o ustanovitvi tematskih podskupin in njihovem mandatu; (c)v sodelovanju z Medinstitucionalnim odborom za kibernetsko varnost iz člena 9 Uredbe EU [...] o ukrepih za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije po potrebi pripravi smernice za izvajanje te uredbe; (d)vzpostavi posebne platforme za izmenjavo dobrih praks in znanja o skupnih temah, pomembnih za informacijsko varnost, ter za zagotavljanje pomoči v primeru incidentov na področju informacijske varnosti; (e)zagotovi, da se varnostni ukrepi po potrebi usklajujejo s pristojnimi nacionalnimi varnostnimi organi za namene varovanja tajnih podatkov EU. 3.Koordinacijska skupina izmed svojih članov imenuje predsednika in dva podpredsednika za obdobje treh let. 4.Koordinacijska skupina se sestane najmanj enkrat letno, in sicer na pobudo svojega predsednika ali na zahtevo institucije ali organa Unije. 5.Koordinacijska skupina ima upravno podporo stalnega sekretariata, ki ga zagotavlja Komisija. 6.Vse institucije ali organi Unije so ustrezno zastopani v koordinacijski skupini in po potrebi v tematskih podskupinah. 7.Institucije in organi Unije obvestijo koordinacijsko skupino o vsaki pomembni spremembi politike na področju informacijske varnosti v svoji organizaciji. 8.Pri izvajanju nalog iz odstavka 2, točka (e), koordinacijski skupini pomaga odbor za informacijsko varnost. Ta odbor sestavljajo po en predstavnik iz vsakega nacionalnega varnostnega organa, predseduje pa mu sekretariat koordinacijske skupine iz odstavka 5. Odbor za informacijsko varnost ima svetovalno vlogo.

Člen 7 Tematske podskupine 1.Koordinacijska skupina ustanovi naslednje stalne tematske podskupine za lažje izvajanje te uredbe: (a)podskupino za zagotavljanje informacijske varnosti; (b)podskupino za netajne podatke; (c)podskupino za fizično varnost; (d)podskupino za akreditacijo komunikacijskih in informacijskih sistemov, ki obravnavajo in hranijo tajne podatke EU; (e)podskupino za souporabo tajnih podatkov EU in izmenjavo tajnih podatkov. 2.Koordinacijska skupina lahko po potrebi ustanovi ad hoc podskupine za določeno nalogo in z omejenim trajanjem. 3.Podskupine temeljijo na odprtem članstvu in zastopajo zadevno institucijo ali organ Unije, razen če ni v njihovem mandatu določeno drugače. Člani podskupin so strokovnjaki z ustreznega področja pristojnosti. 4.Sekretariat koordinacijske skupine iz člena 5(5) podpira delo vseh podskupin in zagotavlja komunikacijo med njenimi člani. Člen 8 Organizacija varnosti 1.Vsaka institucija in organ Unije imenuje varnostni organ, ki prevzame odgovornost, dodeljeno s to uredbo in po potrebi z njegovimi notranjimi varnostnimi pravili. Vsak varnostni organ ima pri opravljanju svojih nalog podporo oddelka ali uradnika, ki so mu zaupane naloge, povezane z informacijsko varnostjo. 2.Varnostni organ vsake institucije in organa Unije po potrebi sprejme notranja izvedbena pravila za varovanje podatkov v skladu s svojimi posebnimi nalogami, kakor jih določa pravo EU, in na podlagi svoje institucionalne avtonomije. 3.Varnostni organ po potrebi prevzame tudi naslednje funkcije: (a)organ za zagotavljanje informacijske varnosti, pristojen za razvoj varnostnih politik in varnostnih smernic na področju zagotavljanja informacijske varnosti ter spremljanje njihove učinkovitosti in ustreznosti; (b)operativni organ za zagotavljanje informacijske varnosti, odgovoren za pripravo varnostne dokumentacije, zlasti varnostnih operativnih postopkov in načrta za šifriranje v postopku akreditacije komunikacijskih in informacijskih sistemov; (c)organ za varnostno akreditacijo, pristojen za akreditacijo varovanih območij ter KIS, ki obravnavajo in hranijo tajne podatke EU; (d)organ TEMPEST, odgovoren za odobritev ukrepov, sprejetih za zaščito pred ogrožanjem tajnih podatkov EU z nenamernim elektronskim oddajanjem;

(e)organ za odobritev šifrirnih metod in izdelkov, odgovoren za odobritev uporabe šifrirnih tehnologij na podlagi zahteve lastnika sistema; (f)organ za razpošiljanje šifrirnega materiala, odgovoren za razpošiljanje šifrirnega materiala, ki se uporablja za varovanje tajnih podatkov EU (šifrirna oprema, šifrirni ključi, potrdila in s tem povezani avtentifikatorji), zadevnim uporabnikom. 4.Odgovornosti za eno ali več funkcij iz odstavka 3 se lahko prenesejo na drugo institucijo ali organ Unije, kadar decentralizirano zagotavljanje varnosti omogoča znaten prihranek učinkovitosti, virov ali časa. Poglavje 3

Zagotavljanje informacijske varnosti ter komunikacijski in informacijski sistemi (KIS) Člen 9 Načela zagotavljanja informacijske varnosti 1.Ocena potreb po varnosti podatkov se upošteva od začetka vzpostavitve ali v fazi javnega naročanja za vse KIS, vključno z notranjimi, zunanjimi in hibridnimi KIS. 2.Vsak KIS, ki obravnava in hrani tajne podatke EU, je akreditiran v skladu s poglavjem 5, oddelek 5. Vsak KIS, ki obravnava in hrani občutljive netajne podatke, izpolnjuje minimalne zahteve za občutljive netajne podatke v KIS iz poglavja 4. Člen 10 Podskupina za zagotavljanje informacijske varnosti 1.Podskupina za zagotavljanje informacijske varnosti iz člena 7(1), točka (a), ima naslednje naloge in odgovornosti: (a)zagotavljanje smernic in dobrih praks o označevanju, obravnavanju in hrambi podatkov v KIS v tesnem sodelovanju z Medinstitucionalnim odborom za kibernetsko varnost iz člena 9 Uredbe EU [XXX] o ukrepih za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije; (b)vzpostavitev sheme metapodatkov za oznake in vse potrebne tehnične informacije, ki prispevajo k interoperabilni in nemoteni izmenjavi podatkov med institucijami in organi Unije pri povezovanju njihovih KIS; (c)prispevanje k usklajenosti med pravili za informacijsko varnost in izhodiščnim okvirom kibernetske varnosti v vseh institucijah in organih Unije iz člena 5 Uredbe EU [XXX] o ukrepih za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije. Člen 11 Zahteve za komunikacijske in informacijske sisteme 1.Institucije in organi Unije uporabnike obvestijo o stopnjah zaupnosti podatkov, ki se lahko obravnavajo in hranijo v KIS. Kadar KIS obravnava in hrani podatke z različnimi stopnjami zaupnosti, se uporabljajo metapodatki in vizualne oznake, da se zagotovi razlikovanje med različnimi stopnjami. 2.Institucije in organi Unije identificirajo uporabnike KIS, preden jim odobrijo dostop do podatkov katere koli stopnje zaupnosti razen podatkov za javno uporabo. Uporabniki se avtentificirajo na stopnji jamstva, ki ustreza stopnji zaupnosti. Po potrebi se uporabi varna skupna shema identifikacije. 3.Za vse KIS se vodijo ustrezni varnostni dnevniki, da se zagotovijo hitre preiskave v primeru kršitev ali uhajanja podatkov. Takšni dnevniki se vodijo za obdobje, določeno v oceni poslovnega učinka ali v ustreznih varnostnih politikah, na nezatajljiv način. Kadar KIS obravnava ali hrani tajne podatke EU, se dnevniki v zvezi s potrebo po seznanitvi in dostopom do informacij vodijo, dokler se stopnja tajnosti podatkov ne prekliče. Varnostni dnevniki omogočajo iskanje in so dostopni varnostnemu organu.

4.Institucije in organi Unije sprejmejo notranja pravila o varnosti KIS, da določijo ustrezne varnostne ukrepe v skladu z varnostnimi potrebami podatkov, ki se obravnavajo in hranijo, in ob upoštevanju jurisdikcij, v katerih se podatki hranijo, prenašajo in obravnavajo. Po potrebi ti ukrepi vključujejo naslednje: (a)omejitve geografske lokacije; (b)upoštevanje morebitnih navzkrižij interesov, bojkotov ali kazni v zvezi z izvajalci; (c)pogodbene določbe za zagotavljanje varnosti podatkov; (d)šifriranje podatkov v mirovanju in med prenosom; (e)omejitve dostopa osebja izvajalca do podatkov institucij in organov Unije; (f)varstvo osebnih podatkov v skladu z veljavno zakonodajo o varstvu podatkov. 5.Institucije in organi Unije upravljajo svoje KIS v skladu z naslednjimi načeli: (a)vsak KIS ima lastnika sistema ali operativni organ za zagotavljanje informacijske varnosti, ki je odgovoren za njegovo varnost; (b)izvede se postopek za obvladovanje tveganja za informacijsko varnost, ki zajema vidike informacijske varnosti; (c)varnostne zahteve in varnostno-operativni postopki se formalno opredelijo, izvajajo, preverjajo in pregledujejo; (d)incidenti na področju informacijske varnosti se formalno evidentirajo in spremljajo v skladu z Uredbo EU [XXX] o ukrepih za visoko skupno raven kibernetske varnosti v institucijah, organih, uradih in agencijah Unije. Poglavje 4

Netajni podatki Člen 12 Podatki za javno uporabo 1.Podatki, ki so namenjeni javni uporabi ali uradni objavi ali ki so že razkriti in se lahko brez omejitev souporabljajo znotraj ali zunaj institucij in organov Unije, se razvrstijo, obravnavajo in hranijo kot podatki za javno uporabo. 2.Institucije in organi Unije lahko podatke iz odstavka 1 označijo s „PUBLIC USE“. 3.Vse institucije in organi Unije z ustreznimi ukrepi, ki temeljijo na njihovih varnostnih potrebah, zagotovijo celovitost in razpoložljivost podatkov za javno uporabo. Člen 13 Običajni podatki

1.Podatki, predvideni za uporabo s strani institucije ali organa Unije pri opravljanju njegovih nalog, ki niso niti občutljivi netajni podatki niti niso namenjeni javni uporabi, se razvrstijo, obravnavajo in hranijo kot običajni podatki. Ta kategorija zajema vse običajne podatke na delovni ravni, ki se obdelujejo v zadevni instituciji ali organu Unije. 2.Običajni podatki se lahko označijo vizualno ali v metapodatkih, kadar je to potrebno za zagotovitev njihovega varovanja, zlasti kadar se souporabljajo zunaj institucij in organov Unije. V tem primeru se uporabi oznaka EU NORMAL “ ali „ime ali kratica institucije ali organa Unije NORMAL“ (prilagojeno za vsak primer posebej). 3.Institucije in organi Unije opredelijo standardne zaščitne ukrepe za običajne podatke ob upoštevanju smernic podskupine za netajne podatke ter vseh posebnih tveganj, povezanih z njihovimi nalogami in dejavnostmi. 4.Običajni podatki se zunaj institucij in organov Unije izmenjujejo samo s fizičnimi ali pravnimi osebami, ki imajo potrebo po seznanitvi. Člen 14 Občutljivi netajni podatki 1.Institucije in organi Unije kot občutljive netajne podatke razvrstijo, obravnavajo in hranijo vse podatke, ki niso tajni, vendar jih morajo varovati zaradi zakonskih obveznosti ali zaradi škode, ki bi lahko z njihovim nepooblaščenim razkritjem nastala zakonitim zasebnim in javnim interesom, vključno z interesi institucij in organov Unije, držav članic ali posameznikov. 2.Vsaka institucija in organ Unije identificira občutljive netajne podatke z vidno oznako stopnje varnosti in opredeli ustrezna navodila za njihovo obravnavanje v skladu s Prilogo I. 3.Institucije in organi Unije varujejo občutljive netajne podatke z izvajanjem ustreznih ukrepov v zvezi z njihovim obravnavanjem in hrambo. Takšni podatki so lahko znotraj institucij in organov Unije posameznikom na voljo le na podlagi potrebe po seznanitvi za izpolnitev njihovih dodeljenih nalog. 4.Občutljivi netajni podatki se zunaj institucij in organov Unije izmenjujejo le s fizičnimi in pravnimi osebami, ki imajo potrebo po seznanitvi, pri čemer se upoštevajo navodila za obravnavanje, priložena podatkom. Vse vključene strani se seznanijo z ustreznimi navodili za obravnavanje podatkov. Člen 15 Varovanje netajnih podatkov in interoperabilnost 1.Institucije in organi Unije vzpostavijo postopke za sporočanje in obvladovanje vseh incidentov ali domnevnih incidentov, zaradi katerih bi lahko bila ogrožena varnost netajnih podatkov. 2.Institucije in organi Unije po potrebi uporabljajo oznake iz členov 12, 13 in 14. Izjemoma lahko zaposleni znotraj institucij in organov Unije ter v povezavi s svojimi kolegi iz drugih institucij in organov Unije uporabljajo druge enakovredne oznake, če se s tem strinjajo vse strani. O takšni izjemi je obveščena podskupina za netajne podatke iz člena 7(1), točka (b). 3.Določijo se pogodbeni zaščitni ukrepi za zagotovitev varovanja običajnih in občutljivih netajnih podatkov, ki jih obdelujejo zunanji izvajalci. Ti zaščitni ukrepi so zasnovani tako, da zagotavljajo vsaj enakovredno raven varovanja, kot jo zagotavlja ta uredba, ter vključujejo zaveze o zaupnosti in nerazkrivanju, ki jih podpišejo vsi ustrezni ponudniki storitev, vključeni v zagotavljanje sistemov, ki jih upravlja zunanji izvajalec. Člen 16 Podskupina za netajne podatke 1.Podskupina za netajne podatke iz člena 7(1), točka (b), ima naslednje naloge in odgovornosti: (a)poenostavitev postopkov v zvezi z obravnavanjem in hrambo netajnih podatkov ter priprava ustreznih smernic; (b)usklajevanje s podskupino za zagotavljanje informacijske varnosti iz člena 7(1), točka (a), v zvezi z zadevami, povezanimi s sistemi, ki obravnavajo in hranijo netajne podatke;

(c)priprava navodil za obravnavanje netajnih podatkov različnih stopenj zaupnosti; (d)pomoč institucijam in organom Unije pri zagotavljanju enakovrednosti med njihovimi posebnimi kategorijami netajnih podatkov ter tistimi iz členov 12, 13 in 14; (e)olajšanje souporabe netajnih podatkov med institucijami in organi Unije z zagotavljanjem pomoči in smernic. Člen 17 Obravnavanje in hramba občutljivih netajnih podatkov v KIS 1.Institucije in organi Unije zagotovijo, da KIS pri obravnavanju in hrambi občutljivih netajnih podatkov izpolnjujejo naslednje minimalne zahteve: (a)za dostop do občutljivih netajnih podatkov se izvaja močna avtentikacija, občutljivi netajni podatki pa se pri prenosu in shranjevanju šifrirajo; (b)šifrirni ključi, ki se uporabljajo za hrambo, so v pristojnosti institucije ali organa Unije, odgovornega za delovanje KIS; (c)občutljivi netajni podatki se hranijo in obdelujejo v Uniji; (d)v vse pogodbe o zunanjem izvajanju se vključijo pogodbene določbe, ki zajemajo varnost osebja, sredstev in podatkov; (e)interoperabilni metapodatki se uporabljajo za beleženje stopnje zaupnosti elektronskih dokumentov in za lažjo avtomatizacijo varnostnih ukrepov; (f)institucije in organi Unije izvajajo ukrepe za preprečevanje in odkrivanje uhajanja podatkov, da se zavarujejo občutljivi netajni podatki; (g)če je na voljo, se uporablja varnostna oprema z evropskim certifikatom kibernetske varnosti; (h)izvajanje varnostnih ukrepov, ki temeljijo na načelih potrebe po seznanitvi in ničelnega zaupanja, da se čim bolj zmanjša dostop ponudnikov storitev in izvajalcev do občutljivih netajnih podatkov. 2.Vsako odstopanje od minimalnih zahtev iz odstavka 1 se odobri na ustrezni ravni vodstva zadevne institucije ali organa Unije na podlagi ocene tveganja, ki zajema pravna in tehnična tveganja za varnost občutljivih netajnih podatkov. 3.Organ za zagotavljanje informacijske varnosti zadevne institucije ali organa Unije lahko preveri skladnost z načeli iz odstavka 1 kadar koli v življenjskem ciklu KIS. Poglavje 5

Tajni podatki EU Oddelek 1

Splošne določbe Člen 18 Stopnje tajnosti in oznake

1.Tajni podatki EU imajo eno od naslednjih stopenj tajnosti in so označeni, kot sledi: (a)TRÈS SECRET UE/EU TOP SECRET: podatki in gradivo, katerih nepooblaščeno razkritje bi lahko imelo izjemno resne posledice za vitalne interese Unije ali ene ali več držav članic; (b)SECRET UE/EU SECRET: podatki in gradivo, katerih nepooblaščeno razkritje bi lahko resno škodovalo vitalnim interesom Unije ali ene ali več držav članic; (c)CONFIDENTIEL UE/EU CONFIDENTIAL: podatki in gradivo, katerih nepooblaščeno razkritje bi lahko škodovalo vitalnim interesom Unije ali ene ali več držav članic; (d)RESTREINT UE/EU RESTRICTED: podatki in gradivo, katerih nepooblaščeno razkritje bi lahko bilo škodljivo za interese Unije ali ene ali več držav članic. 2.Koordinacijska skupina sprejme smernice o ustvarjanju in razvrščanju tajnih podatkov EU. Člen 19 Primernost za obravnavanje in hrambo tajnih podatkov EU 1.Vsaka institucija in organ Unije lahko obravnava in hrani tajne podatke EU, če so izpolnjeni naslednji pogoji: (a)v skladu s to uredbo določi pravila in postopke, ki zagotavljajo varovanje podatkov za določeno stopnjo tajnosti, in (b)v njem je bil izveden ocenjevalni obisk v skladu s členom 53, na podlagi katerega je bilo potrjeno, da lahko varuje tajne podatke EU v skladu s to uredbo ter po potrebi v skladu z vsemi drugimi ustreznimi pravili in postopki. 2.Za pogoje iz odstavka 1 se šteje, da jih člani podskupine za souporabo tajnih podatkov EU in izmenjavo tajnih podatkov iz člena 7(1), točka (e), privzeto izpolnjujejo. Člen 20 Varovanje tajnih podatkov EU 1.Imetnik katerega koli elementa tajnega podatka EU je odgovoren za njegovo varovanje. 2.Če države članice v strukture ali omrežja institucije ali organa Unije vnesejo tajne podatke z nacionalno oznako stopnje tajnosti, zadevna institucija ali organ te podatke varuje v skladu z ustrezno oznako stopnje tajnosti, kot je določeno v Sporazumu med državami članicami Evropske unije, ki so se sestale v okviru Sveta, o varovanju tajnih podatkov, ki se izmenjujejo v interesu Evropske unije. Ustrezna preglednica enakovrednih stopenj je v Prilogi VI k tej uredbi. 3.Za zbirke tajnih podatkov EU je morda upravičena raven varovanja, ki ustreza višji stopnji tajnosti, kot je stopnja za njihove posamezne sestavne dele. Člen 21 Postopek za obvladovanje varnostnega tveganja v zvezi s tajnimi podatki EU 1.Varnostni organ vsake institucije in organa Unije odobri varnostne ukrepe za varovanje tajnih podatkov EU v njihovem celotnem življenjskem ciklu v skladu z rezultati ocene tveganja, ki jo opravi zadevna institucija ali organ Unije.

2.Varnostni ukrepi, ki jih sprejme vsaka institucija in organ Unije, so sorazmerni s stopnjo tajnosti podatkov, ki se obravnavajo in hranijo, njihovo obliko in obsegom, lokacijo in zaščitnimi značilnostmi objektov, v katerih se obravnavajo in hranijo tajni podatki EU, ter lokalno ocenjeno nevarnostjo zlonamernih ali kriminalnih dejavnosti. 3.Vse institucije in organi Unije pripravijo: (a)načrte za izredne razmere za zagotovitev varovanja tajnih podatkov EU v izrednih razmerah; (b)načrte za zagotovitev neprekinjenega poslovanja, vključno s preventivni in obnovitveni ukrepi, da se čim bolj zmanjšajo posledice večjih napak ali varnostnih incidentov pri obravnavanju in hrambi tajnih podatkov EU čim manjše. Člen 22 Kršitve varovanja tajnosti in nepooblaščeno razkritje tajnih podatkov EU 1.Dejanje ali opustitev dejanja institucije ali organa Unije, ki je v nasprotju s to uredbo, se šteje za kršitev varovanja tajnosti. 2.Šteje se, da so tajni podatki EU nepooblaščeno razkriti, če so bili zaradi kršitve v celoti ali delno razkriti eni ali več osebam, ki niso pooblaščene za dostop do teh podatkov. 3.O vsakem nepooblaščenem razkritju ali domnevnem nepooblaščenem razkritju tajnih podatkov EU se nemudoma obvesti varnostni organ zadevne institucije ali organa Unije, ki opravi varnostno poizvedbo in sprejme vsaj naslednje ukrepe: (a)obvesti tvorca; (b)zagotovi, da zadevo preišče osebje, ki ni neposredno povezano s kršitvijo, in ugotovi, kakšna so dejstva; (c)oceni morebitno škodo za interese Unije ali držav članic; (d)sprejme ustrezne ukrepe, da se kršitev ne bi ponovila; (e)obvesti pristojne organe o dejanskem ali domnevnem nepooblaščenem razkritju in sprejetih ukrepih. Oddelek 2

Varnostno preverjanje osebja Člen 23 Osnovna načela 1.Varnostni organ institucije ali organa Unije lahko posameznikom odobri dostop do tajnih podatkov EU, če so izpolnjeni vsi naslednji pogoji: (a)posamezniki imajo potrebo po seznanitvi; (b)posamezniki so bili poučeni o varnostnih pravilih in postopkih za varovanje tajnih podatkov EU ter ustreznih varnostnih standardih in smernicah ter so pisno sprejeli odgovornost za varovanje takih podatkov;

(c)za podatke stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIAL in višje so bili posamezniki varnostno preverjeni in pooblaščeni do ustrezne stopnje tajnosti. 2.Institucije in organi Unije upoštevajo, ali je posameznik lojalen, vreden zaupanja in zanesljiv, kot je ugotovljeno z varnostno preiskavo, ki jo opravijo pristojni organi države članice, v kateri prosilec prebiva ali katere državljan je. 3.Institucije in organi Unije lahko sprejemajo varnostna dovoljenja tretjih držav in mednarodnih organizacij, s katerimi ima Unija sklenjen sporazum o varnosti podatkov. 4.Institucije in organi Unije lahko postopke za pridobitev dovoljenja za dostop do tajnih podatkov vodijo samostojno ali pa s Komisijo sklenejo sporazum o ravni storitve za namene izdaje dovoljenja za dostop do tajnih podatkov. Če je sklenjen sporazum o ravni storitve, je varnostni organ Komisije kontaktna točka med varnostnimi uradi zadevne institucije in organa Unije ter pristojnimi nacionalnimi organi držav članic v zvezi z vprašanji glede dovoljenja za dostop do tajnih podatkov. 5.Varnostni organ vsake institucije in organa Unije vodi evidenco svojih dovoljenj za dostop do tajnih podatkov, poučitev, pisnih potrditev in pooblastil za dostop do tajnih podatkov EU. 6.Institucije in organi Unije, ki s Komisijo sklenejo sporazum o ravni storitve, dajo varnostnemu organu Komisije na voljo ustrezne evidence, ki vsebujejo vsaj stopnjo tajnosti tajnih podatkov EU, do katerih se posamezniku lahko odobri dostop, datum izdaje pooblastila za dostop do tajnih podatkov in obdobje njegove veljavnosti. Takšne evidence so dostopne drugim institucijam in organom Unije s sklenjenim sporazumom o ravni storitve, kadar je to upravičeno. Člen 24 Pooblastilo za dostop do tajnih podatkov EU 1.Vsaka institucija in organ Unije opredeli delovna mesta, na katerih zaposleni za opravljanje svojih nalog potrebujejo dostop do tajnih podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje. 2.Kadar je treba posameznika pooblastiti za dostop do tajnih podatkov EU stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje, zadevna institucija ali organ o tem obvesti pristojni varnostni organ, ki opravi potrebne formalnosti iz točke 1 Priloge II. 3.Varnostni organ vsake institucije in organa Unije je odgovoren za izdajo, začasni odvzem, preklic in podaljšanje pooblastil za dostop do tajnih podatkov EU za svoje osebje. 4.V izjemnih okoliščinah, kadar je to ustrezno utemeljeno v interesu službe in do zaključka celovite varnostne preiskave, lahko varnostni organ institucije ali organa Unije posameznikom izda začasno pooblastilo za dostop do tajnih podatkov EU za določeno delovno mesto, brez poseganja v določbe v zvezi s podaljšanjem pooblastil za dostop do tajnih podatkov EU in po preverjanju, ki ga izvede ustrezni nacionalni varnostni organ. 5.Institucije in organi Unije upoštevajo postopke za upravljanje pooblastil za dostop do tajnih podatkov EU iz Priloge II. Člen 25 Priznavanje pooblastil za dostop do tajnih podatkov EU 1.Pooblastilo za dostop do tajnih podatkov EU do določene stopnje tajnosti je veljavno v vseh institucijah ali organih Unije, ki jim je posameznik dodeljen. 2.Institucije in organi Unije sprejemajo pooblastila za dostop do tajnih podatkov EU, ki jih je izdala druga institucija ali organ Unije. 3.Če se imetnik pooblastila za dostop do tajnih podatkov EU zaposli v drugi instituciji ali organu Unije, ta institucija ali organ Unije prek pristojnega varnostnega organa obvesti zadevni nacionalni varnostni organ o spremembi delodajalca. Člen 26

Poučitev posameznikov o dostopu do tajnih podatkov EU 1.Varnostni organ institucije ali organa Unije vse posameznike, ki morajo dostopati do tajnih podatkov EU, seznani z vsemi varnostnimi grožnjami in njihovo obveznostjo, da prijavijo vsako sumljivo dejavnost. Ta poučitev se opravi pred odobritvijo dostopa do tajnih podatkov EU in nato vsaj vsakih pet let. 2.Po poučitvi iz odstavka 1 vsi zadevni posamezniki pisno potrdijo, da razumejo svoje obveznosti glede varovanja tajnih podatkov EU in da se zavedajo posledic njihovega nepooblaščenega razkritja. 3.Poučitev iz odstavka 1 vključuje naslednje informacije: (a)zoper vsakega posameznika, ki je odgovoren za kršitev varnostnih pravil iz te uredbe, se lahko uvede disciplinski postopek v skladu z veljavnimi pravili in predpisi; (b)zoper vsakega posameznika, ki je odgovoren za nepooblaščeno razkritje ali izgubo tajnih podatkov EU, se uvede disciplinski ali pravni postopek v skladu z veljavno zakonodajo, pravili in predpisi. 4.Kadar posamezniki, ki so prejeli pooblastilo za dostop do tajnih podatkov EU, tega dostopa ne potrebujejo več, institucije in organi Unije zagotovijo, da so ti posamezniki seznanjeni s svojimi obveznostmi v zvezi z varovanjem teh podatkov v prihodnje in to po potrebi tudi pisno potrdijo. 5.Nalogo oblikovanja in upravljanja poučitev o dostopu do tajnih podatkov EU si lahko institucije in organi Unije delijo, če se upoštevajo njihove posebne zahteve. Oddelek 3

Fizična varnost Člen 27 Osnovna načela 1.Vsaka institucija in organ Unije v skladu s Prilogo III in načelom obrambe v globino na podlagi ocene tveganja, ki jo opravi njegov varnostni organ, določi ukrepe fizične varnosti, primerne za svoje lokacije. Z ukrepi se zagotovijo naslednji cilji: (a)preprečevanje dostopa do tajnih podatkov EU ali nasilnih vdorov nepooblaščenih oseb; (b)odvračanje, oviranje in odkrivanje nedovoljenih dejanj ter čim hitrejše odzivanje na varnostne incidente; (c)omogočanje ločevanja osebja pri njihovem dostopu do tajnih podatkov EU na podlagi načela potrebe po seznanitvi in, kjer je to ustrezno, na podlagi dovoljenja za dostop do tajnih podatkov. 2.Institucije in organi Unije uvedejo ukrepe fizične varnosti na vseh lokacijah, kjer se razpravlja o tajnih podatkih EU ali kjer se takšni podatki obravnavajo ali hranijo, vključno z območji, na katerih so komunikacijski in informacijski sistemi iz oddelka 5 tega poglavja. 3.Za fizično varovanje podatkov stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje se uporablja samo varnostna oprema, ki jo odobri varnostni organ institucije ali organa Unije. 4.Institucije in organi Unije si lahko na podlagi sklenitve sporazuma delijo varovana območja iz Priloge III za obravnavanje in hrambo tajnih podatkov EU. Člen 28 Podskupina za fizično varnost

1.Podskupina za fizično varnost iz člena 7(1), točka (c), ima naslednje naloge in odgovornosti: (a)priprava smernic v zvezi z vprašanji fizične varnosti; (b)opredelitev splošnih varnostnih meril za nabavo opreme, kot so blagajne, uničevalci papirja, vratne ključavnice, elektronski sistemi za nadzor dostopa, sistemi za odkrivanje vdorov nepooblaščenih oseb in alarmni sistemi za fizično varovanje tajnih podatkov EU; (c)pomoč institucijam in organom Unije pri določanju ustreznih varnostnih ukrepov za njihove lokacije; (d)predlaganje izravnalnih ukrepov za varovanje tajnih podatkov EU, kadar se ti obravnavajo zunaj fizično zaščitenih območij institucije in organa Unije. Člen 29 Fizično varovanje tajnih podatkov EU 1.Za zagotovitev fizičnega varovanja tajnih podatkov EU institucije in organi Unije vzpostavijo naslednja fizično zaščitena območja: (a)upravna območja iz Priloge III; (b)kjer je to ustrezno, varovana območja, vključno z območji razreda I in razreda II ter tehnično varovanimi območji iz Priloge III. 2.Varnostni organ zadevne institucije in organa Unije opravi notranji inšpekcijski pregled, da preveri, ali so izpolnjeni pogoji iz Priloge III, da se območje določi kot upravno ali varovano območje. Če je v poročilu o inšpekcijskem pregledu navedeno, da so pogoji izpolnjeni, lahko varnostni organ izda akreditacijo za varovano območje za varovanje tajnih podatkov EU do navedene stopnje tajnosti za največ pet let. Varnostni organ zadevne institucije ali organa Unije je odgovoren za izvedbo postopka ponovne akreditacije svojih varovanih območij pred iztekom veljavnosti akreditacije ali kadar koli se na akreditiranem območju izvedejo spremembe. 3.Vsaka institucija in organ Unije sprejme postopke za ravnanje s ključi in nastavitvami kombinacij za pisarne, sobe, sobe trezorje in blagajne za stopnjo tajnosti CONFIDENTIEL UE/EU-CONFIDENTIAL in za višje stopnje. 4.Varnostni organ lahko dovoli preglede na vhodih in izhodih za odvračanje od nedovoljenega vnosa gradiva na lokacije ali od nedovoljene odstranitve tajnih podatkov EU z njih ter za odkrivanje takih vnosov in nedovoljenih odstranitev. 5.Institucije in organi Unije določijo ukrepe za fizično varovanje tajnih podatkov EU v skladu s Prilogo III. Oddelek 4

Upravljanje tajnih podatkov EU Člen 30 Osnovna načela 1.Institucije in organi Unije svoje dokumente s tajnimi podatki EU evidentirajo, ustrezno uvrstijo, hranijo in na koncu odstranijo, vzorčijo ali prenesejo v ustrezne arhive v skladu s politiko in pravili glede hrambe, specifičnimi za datoteke posamezne institucije in organa Unije. 2.Vsaka institucija in organ Unije, ki je tvorec tajnih podatkov EU, določi stopnjo tajnosti takšnih podatkov ob njihovem nastanku in v skladu s členom 18(1).

3.Institucije in organi Unije prejemnikom jasno sporočijo stopnjo tajnosti bodisi z oznako stopnje tajnosti bodisi z obvestilom, kadar se podatki posredujejo v ustni obliki. 4.Varnostni ukrepi, ki veljajo za izvorni dokument, veljajo tudi za njegove osnutke, kopije in prevode. 5.Institucije in organi Unije določijo ukrepe za upravljanje tajnih podatkov EU v skladu s Prilogo IV. Člen 31 Ustvarjanje tajnih podatkov EU 2. Institucije in organi Unije, v pristojnosti katerih se tajni podatki EU ustvarijo, zagotovijo, da so izpolnjene naslednje zahteve: (a)vsaka stran se jasno označi s stopnjo tajnosti; (b)vsaka stran se oštevilči; (c)dokument ima referenčno številko, po potrebi registrsko številko in ime zadeve, ki pa same po sebi niso tajni podatki, razen če ni tako označeno; (d)v dokumentu je naveden datum njegovega nastanka; (e)navedejo se vse priloge, po možnosti na prvi strani; (f)pri dokumentih stopnje SECRET UE/EU SECRET ali višje se na vsaki strani navede številka izvoda, če se razpošiljajo v več izvodih. Elektronski izvodi, ki se razpošiljajo zunaj sistema hrambe, imajo edinstven identifikator, ki temelji na elektronskem podpisu. Člen 32 Nadzor tvorca 1.Nadzor nad dokumentom s tajnimi podatki EU ima institucija ali organ Unije, v pristojnosti katerega je bil ustvarjen. Tvorec določi stopnjo tajnosti dokumenta in je odgovoren za njegovo začetno razširjanje. Brez poseganja v Uredbo št. 1049/2001 se pridobi tvorčevo predhodno pisno soglasje, preden: (a)se stopnja tajnosti podatkov zniža ali prekliče; (b)se podatki uporabijo za namene, ki niso nameni, ki jih je določil tvorec; (c)se podatki posredujejo kateremu koli subjektu zunaj institucije ali organa Unije, ki hrani podatke, vključno s tretjo državo ali mednarodno organizacijo, drugo institucijo ali organom Unije, državami članicami, izvajalcem ali potencialnim izvajalcem, upravičencem ali potencialnim upravičencem; (d)se podatki kopirajo in prevedejo v primeru stopnje tajnosti TRÈS SECRET-UE/EU-TOP SECRET. 2.Če ni mogoče ugotoviti, kdo je tvorec dokumenta s tajnimi podatki EU, nadzor tvorca izvaja institucija ali organ Unije, ki je imetnik teh tajnih podatkov.

3.Tvorci katerega koli dokumenta s tajnimi podatki EU vodijo evidenco vseh tajnih virov, uporabljenih za pripravo tajnih dokumentov, vključno s podrobnostmi o virih, ki izvirajo iz držav članic, mednarodnih organizacij ali tretjih držav. Združeni tajni podatki se, če je ustrezno, označijo tako, da ohranijo identifikacijo tvorcev tajnih izvornih gradiv, ki so bila uporabljena. Člen 33 Oznake stopenj tajnosti 1.Po potrebi imajo lahko dokumenti s tajnimi podatki EU poleg ene od oznak stopnje tajnosti tudi dodatne oznake, kot so oznake za razpošiljanje ali posredovanje ali za navedbo tvorca. 2.Različni deli dokumenta s tajnimi podatki EU lahko zahtevajo različne stopnje tajnosti in se ustrezno označijo. Splošna stopnja tajnosti dokumenta ali datoteke je vsaj tako visoka kot stopnja dela istega dokumenta z najvišjo stopnjo tajnosti. 3.Dokumenti z deli, ki so označeni z različnimi stopnjami tajnosti, se oblikujejo tako, da je mogoče dele z različnimi stopnjami tajnosti brez težav najti in po potrebi izločiti. Člen 34 Registrski sistem tajnih podatkov EU 1.Vse institucije in organi Unije, ki obravnavajo in hranijo podatke stopnje tajnosti CONFIDENTIEL UE/EU CONFIDENTIEL ali višje, vzpostavijo enega ali več registrov tajnih podatkov EU, da zagotovijo njihov vpis za varnostne namene, ko prispejo v institucijo ali organ Unije ali ga zapustijo. 2.Vsi registri tajnih podatkov EU se vzpostavijo na varovanih območjih iz Priloge III. 3.Institucije in organi Unije za upravljanje vsakega registra tajnih podatkov EU imenujejo nadzornega uradnika registra. Nadzorni uradnik registra je varnostno preverjen in pooblaščen v skladu s členom 24. Institucije in organi Unije zagotovijo ustrezno usposabljanje za svojega nadzornega uradnika registra. Člen 35 Znižanje in preklic stopnje tajnosti 1.Podatki so tajni samo, dokler jih je treba varovati. Za tajne podatke EU, ki ne potrebujejo več prvotne stopnje tajnosti, se stopnja tajnosti zniža. Za tajne podatke EU, ki jih ni treba več šteti za tajne, se stopnja tajnosti prekliče. 2.Tvorec ob ustvarjanju tajnih podatkov EU navede, kadar je to mogoče in zlasti za podatke stopnje RESTREINT UE/EU RESTRICTED, ali se stopnja tajnosti podatkov EU lahko zniža ali prekliče na določen datum ali po določenem dogodku. 3.Izvorna institucija ali organ Unije je odgovoren za odločanje o tem, ali se stopnja tajnosti dokumenta s tajnimi podatki EU lahko zniža ali prekliče. Redno in vsaj vsakih pet let pregleda podatke in oceni tveganja, da ugotovi, ali je prvotna stopnja tajnosti še vedno ustrezna. 4.Institucije in organi Unije, ki hranijo tajne podatke EU, ki jih niso ustvarili, ne znižajo ali prekličejo stopnje tajnosti zadevnega dokumenta niti ne spremenijo ali odstranijo katere koli od oznak iz člena 18(1) brez predhodnega pisnega soglasja tvorca. 5.Institucije in organi Unije lahko delno znižajo ali prekličejo stopnjo tajnosti podatkov EU, ki jih ustvarijo. V takih primerih se predloži izvleček dokumenta z znižano ali preklicano stopnjo tajnosti. 6.Institucije in organi Unije obvestijo organizacijo prejemnico tajnih podatkov EU o znižanju ali preklicu stopnje tajnosti. Člen 36

Oznake na dokumentih z znižano ali preklicano stopnjo tajnosti 1.Kadar se institucije in organi Unije odločijo za preklic stopnje tajnosti dokumenta s tajnimi podatki EU, se razmisli o tem, ali ga je treba opremiti z oznako za razpošiljanje občutljivih netajnih podatkov. 2.Izvirna oznaka stopnje tajnosti na vrhu in dnu vsake strani se vidno prečrta, in sicer v elektronski obliki s funkcijo „prečrtano“, v izpisih pa ročno. Izvirna oznaka stopnje tajnosti se ne odstrani. 3.Na prvi strani ali naslovnici se z žigom označi, da je stopnja tajnosti znižana ali preklicana, ter dodajo podatki o organu, pristojnem za znižanje ali preklic stopnje tajnosti, in ustrezni datum. Znižanje ali preklic stopnje tajnosti elektronskih dokumentov s tajnimi podatki EU se dokaže z elektronskim podpisom po pooblastilu tvorca. Člen 37 Uničenje in izbris tajnih podatkov EU 1.Institucije in organi Unije vsakih pet let pregledajo tajne podatke EU, na papirju in v KIS, da ugotovijo, ali jih je treba uničiti ali izbrisati. Če se tajni podatki EU uničijo ali izbrišejo, o tem obvestijo vse, ki so prej prejeli zadevne tajne podatke EU. 2.Institucije in organi Unije lahko uničijo dvojnike tajnih podatkov EU, ki jih ne potrebujejo več, ob upoštevanju ustreznih pravil o upravljanju dokumentov za izvirnike. 3.Institucije in organi Unije uničijo podatke stopnje CONFIDENTIEL UE/EU CONFIDENTIAL ali višje v tiskani obliki samo po svojem nadzornem uradniku registra. Nadzorni uradnik registra ustrezno posodobi vpisnike in druge podatke o vpisu, pri čemer ohrani bistvene metapodatke o uničenem dokumentu. Dokumente stopnje SECRET UE/EU SECRET in višje uniči nadzorni uradnik registra samo v prisotnosti priče, ki ima varnostno dovoljenje vsaj do stopnje tajnosti dokumenta, ki se uničuje. 4.Nadzorni uradnik registra in po potrebi priča podpišeta potrdilo o uničenju, ki se shrani v registru. Potrdilo se hrani najmanj pet let za podatke stopnje CONFIDENTIEL UE/EU CONFIDENTIAL in SECRET-UE/EU-SECRET ter najmanj deset let za podatke stopnje TRÈS SECRET-UE/EU-TOP SECRET. Člen 38 Evakuacija in uničenje tajnih podatkov EU v izrednih razmerah 1.Vsaka institucija in organ Unije pripravi načrte za evakuacijo in uničenje v izrednih razmerah, ki temeljijo na lokalnih razmerah, da zavaruje tajne podatke EU, za katere obstaja velika nevarnost, da bi prišli v roke nepooblaščenim osebam. Za operativne podrobnosti načrtov za evakuacijo in uničenje v izrednih razmerah se določi stopnja tajnosti RESTREINT UE/EU RESTRICTED. 2.V primeru izrednih razmer, če obstaja neposredno tveganje za nepooblaščeno razkritje tajnih podatkov EU, institucije in organi Unije tajne podatke EU evakuirajo. Če evakuacija ni mogoča, se tajni podatki EU uničijo tako, da jih ni mogoče niti v celoti niti delno rekonstruirati. 3.Tvorec in izvorni register sta obveščena o nujni evakuaciji ali uničenju vpisanih tajnih podatkov EU. 4.Če so bili sproženi načrti za izredne razmere, ima prednost evakuacija ali uničenje podatkov EU višjih stopenj tajnosti, vključno z (de)šifrirno opremo. Člen 39

Arhiviranje 1.Institucije in organi Unije se v skladu s svojo politiko upravljanja dokumentov odločajo o tem, ali in kdaj naj se tajni podatki EU arhivirajo, in o ustreznih praktičnih ukrepih. 2.Dokumenti s tajnimi podatki EU se ne pošiljajo v zgodovinski arhiv Evropske unije. Oddelek 5

Varovanje tajnih podatkov EU v komunikacijskih in informacijskih sistemih (KIS) Člen 40 Podskupina za akreditacijo komunikacijskih in informacijskih sistemov, ki obravnavajo in hranijo tajne podatke EU Podskupina za akreditacijo KIS, ki obravnavajo in hranijo tajne podatke EU, iz člena 7(1), točka (d), ima naslednje naloge in odgovornosti: (a)pomoč institucijam in organom Unije pri njihovih akreditacijskih postopkih; (b)priporočanje standarda za akreditacijo, ki naj bi ga upoštevali vse institucije in organi Unije; (c)razširjanje in izmenjava dobrih praks in smernic v zvezi z akreditacijo KIS. Člen 41 Komunikacijski in informacijski sistemi Institucije in organi Unije izpolnjujejo naslednje zahteve v zvezi s KIS, ki obravnavajo in hranijo tajne podatke EU: (a)lastnik sistema ali operativni organ za zagotavljanje informacijske varnosti se pred razvojem, nabavo ali omogočitvijo KIS za obravnavanje in hrambo tajnih podatkov EU posvetuje z organom za varnostno akreditacijo, da določi zahteve za akreditacijo; (b)ključna varnostna načela za načrtovanje KIS, ki obravnavajo in hranijo tajne podatke EU, se uporabljajo na začetku projekta v okviru postopka za obvladovanje tveganja za informacijsko varnost in ob upoštevanju potrebe po seznanitvi, minimalne funkcionalnosti, obrambe v globino, najmanjših privilegijev, ločitve nalog in „štirih oči“; (c)komponente za hrambo, centralno obdelavo in upravljanje omrežja KIS, ki obravnava in hrani tajne podatke EU, so nameščene v varovanem območju iz Priloge III; (d)izvajajo „varnostne ukrepe TEMPEST“, ki so sorazmerni s tveganjem zlorabe in stopnjo tajnosti podatkov; (e)vse osebje, ki je vključeno v delovanje KIS, ki obravnava in hrani tajne podatke EU, varnostni organ in zadevnega lastnika sistema ali operativni organ za zagotavljanje informacijske varnosti obvesti o morebitnih varnostnih pomanjkljivostih, incidentih, kršitvah varnosti ali ogrožanju sistema, ki bi lahko vplivali na zaščito KIS ali varovanje tajnih podatkov EU v njem; (f)varnostni organ po potrebi obvesti varnostne organe vseh drugih zadevnih institucij in organov Unije o morebitnih varnostnih pomanjkljivostih ali incidentih, ki bi lahko vplivali na njihove KIS, ki obravnavajo in hranijo tajne podatke EU. Člen 42

Šifrirni izdelki 1.Za prenos in hrambo tajnih podatkov EU z elektronskimi sredstvi se uporabljajo odobreni šifrirni izdelki. Seznam odobrenih šifrirnih izdelkov vodi Svet na podlagi podatkov nacionalnih varnostnih organov. 2.Če na seznamu iz odstavka 1 ni nobenega primernega izdelka za predvideni namen, organ za odobritev šifrirnih metod in izdelkov zadevne institucije ali organa Unije zaprosi Svet za začasno odobritev. Če je mogoče, se izbere šifrirni izdelek, ki ga je odobril nacionalni varnostni organ države članice. Svet sprejme potrebne ukrepe za zagotovitev, da se na seznam doda primeren izdelek. 3.Odobritve šifrirnih izdelkov veljajo največ pet let, nato pa se vsako leto pregledajo. 4.Svet s seznama odobrenih šifrirnih izdelkov odstrani vsak izdelek, za katerega je bila nacionalna odobritev preklicana ali je prenehala veljati. 5.Koordinacijska skupina vsako leto obvesti Svet o vseh šifrirnih izdelkih, ki jih na podlagi raziskave, opravljene v institucijah in organih Unije, priporoči v oceno organu za odobritev šifrirnih metod in izdelkov države članice. Člen 43 Akreditacija KIS, ki obravnavajo in hranijo tajne podatke EU 1.Institucije in organi Unije z akreditacijo KIS, ki obravnavajo in hranijo tajne podatke EU, potrdijo, da so bili izvedeni vsi ustrezni varnostni ukrepi ter da je bila dosežena zadostna raven varovanja tajnih podatkov EU in zaščite KIS v skladu s to uredbo. 2.Lastnik KIS ali operativni organ za zagotavljanje informacijske varnosti je odgovoren za pripravo akreditacijskih datotek in dokumentacije, vključno s priročniki za različne vrste uporabnikov. 3.Organ za varnostno akreditacijo vsake institucije in organa Unije je odgovoren za vzpostavitev akreditacijskega postopka z jasnimi pogoji, ki jih je treba odobriti, za vse KIS pod njegovo pristojnostjo. 4.Kadar KIS, ki obravnavajo in hranijo tajne podatke EU, vključujejo institucije in organe Unije ter nacionalne varnostne organe, zadevne institucije in organi Unije z nadaljnjim izvajanjem pravil, sprejetih v skladu s členom 8(2), ustanovijo skupni odbor za varnostno akreditacijo, ki je odgovoren za akreditacijo sistema. Odbor sestavljajo predstavniki organa za varnostno akreditacijo udeleženih strani, predseduje pa mu organ za varnostno akreditacijo institucije ali organa Unije, ki je lastnik KIS. Člen 44 Akreditacijski postopek za KIS, ki obravnavajo in hranijo tajne podatke EU 1.Za vse KIS, ki obravnavajo in hranijo tajne podatke EU, se opravi akreditacijski postopek, ki temelji na načelih informacijske varnosti in katerega stopnja podrobnosti je sorazmerna z zahtevano ravnjo varovanja. 2.Rezultat akreditacijskega postopka je izjava o akreditaciji, v kateri so določeni najvišja stopnja tajnosti podatkov, ki se lahko obravnavajo in hranijo v KIS, in ustrezni pogoji. Izjava o akreditaciji temelji na formalni potrditvi ocene tveganja in varnostnih ukrepov, ki se izvajajo za zadevni KIS, ter daje jamstvo glede naslednjih elementov: (a)da je bil postopek za obvladovanje tveganja za informacijsko varnost ustrezno izveden; (b)da je lastnik sistema ali lastnik tveganja zavestno sprejel preostalo tveganje; (c)da je bila dosežena zadostna stopnja zaščite KIS in varovanja tajnih podatkov EU, ki se v njem obravnavajo in hranijo, v skladu s to uredbo.

3.Organ za varnostno akreditacijo institucije ali organa Unije uradno potrdi izjavo o akreditaciji. Organ za varnostno akreditacijo po uspešni potrditvi izda dovoljenje za uporabo, s katerim določi najvišjo stopnjo tajnosti tajnih podatkov EU, ki se lahko obravnavajo v KIS, in ustrezne pogoje za uporabo. Dovoljenje se izda za določeno obdobje. Če eden ali več zahtevanih varnostnih ukrepov ni vzpostavljenih, vendar to ne vpliva bistveno na splošno varnost, se lahko izda začasno dovoljenje za uporabo, v katerem se navedejo pomanjkljivosti, ki jih je treba odpraviti. 4.Organ za varnostno akreditacijo zadevne institucije ali organa Unije lahko kadar koli v življenjskem ciklu KIS sprejme naslednje ukrepe: (a)uporabi akreditacijski postopek; (b)opravi revizijo ali pregled KIS; (c)če pogoji za uporabo niso več izpolnjeni, na primer ko varnostni incident razkrije veliko ranljivost v KIS, zahteva pripravo in učinkovito izvajanje načrta za izboljšanje varnosti v točno določenem časovnem okviru, pri čemer lahko odvzame dovoljenje za uporabo KIS, dokler pogoji za uporabo niso ponovno izpolnjeni. 5.Lastnik sistema ali operativni organ za zagotavljanje informacijske varnosti vsako leto v obdobju veljavnosti dovoljenja za uporabo, pripravi uradno poročilo organu za varnostno akreditacijo, vključno s povzetkom vseh pomembnih incidentov, sprememb in dejavnikov tveganja. Člen 45 Izredne razmere 1.Institucije in organi Unije lahko uporabijo posebne postopke za prenos ali hrambo tajnih podatkov EU v izrednih razmerah, na primer med bližajočimi se ali dejanskimi krizami, konflikti, vojnimi razmerami ali v izjemnih delovnih okoliščinah, potem ko jih odobri organ za odobritev šifrirnih metod in izdelkov. 2.V razmerah iz odstavka 1 se lahko tajni podatki EU pošiljajo z uporabo šifrirnih izdelkov, ki so bili odobreni za nižjo stopnjo tajnosti, ali brez šifriranja s soglasjem pristojnega organa, če bi kakršna koli zamuda povzročila škodo, ki bi bila nedvomno večja od škode zaradi razkritja tajnega gradiva, in pod naslednjimi pogoji: (a)pošiljatelj ali prejemnik nima potrebnih naprav za šifriranje; (b)tajnega gradiva ni mogoče pravočasno poslati na drug način. 3.Tajni podatki, poslani v skladu z odstavkom 2, nimajo nikakršnih oznak ali navedb, na podlagi katerih bi jih bilo mogoče ločiti od podatkov, ki niso tajni ali ki se lahko zaščitijo z razpoložljivim šifrirnim izdelkom. Prejemniki so o stopnji tajnosti nemudoma obveščeni, vendar na drugačen način. 4.Ustreznemu varnostnemu organu se predloži naknadno poročilo o prenosu tajnih podatkov EU v razmerah iz odstavka 1. Oddelek 6

Industrijska varnost Člen 46 Osnovna načela 1.Vsaka institucija ali organ Unije kot javni organ naročnik ali organ, ki dodeljuje nepovratna sredstva, zagotovi, da so minimalni standardi glede industrijske varnosti iz tega oddelka in pogoji za varovanje tajnih podatkov EU v pogodbah s tajnimi podatki in tajnih sporazumih o nepovratnih sredstvih iz Priloge V navedeni v pogodbah ali sporazumih o nepovratnih sredstvih ali vključeni vanje ter da se upoštevajo pri dodeljevanju pogodb s tajnimi podatki ali tajnih sporazumov o nepovratnih sredstvih. 2.Industrijska varnost je uporaba ukrepov, s katerimi naslednji posamezniki ali subjekti zagotavljajo varovanje tajnih podatkov EU: (a)v okviru neposrednega upravljanja, v okviru pogodb s tajnimi podatki:

(i)kandidati ali ponudniki med postopkom zbiranja ponudb in sklepanja pogodb; (ii)izvajalci ali podizvajalci v celotnem življenjskem ciklu pogodb s tajnimi podatki; (b)v okviru neposrednega upravljanja, v okviru tajnih sporazumov o nepovratnih sredstvih: (i)prosilci v postopkih za dodelitev nepovratnih sredstev; (ii)upravičenci ali podizvajalci v celotnem življenjskem ciklu tajnih sporazumov o nepovratnih sredstvih; (c)v okviru posrednega upravljanja, v okviru sporazumov o okvirnem finančnem partnerstvu in povezanih sporazumov o prispevkih, pooblaščeni subjekti v celotnem življenjskem ciklu teh sporazumov. 3.Institucija ali organ Unije kot subjekt, ki pooblašča, opiše posebne varnostne zahteve za pooblaščeni subjekt v poglavju o varnosti okvirnega sporazuma o finančnem partnerstvu in povezanih sporazumih o prispevkih. Te zahteve temeljijo na varnostnih načelih in določbah iz te uredbe v zvezi s pogodbami s tajnimi podatki in tajnimi sporazumi o nepovratnih sredstvih, ki se smiselno uporabljajo. 4.Pogodbe s tajnimi podatki in tajni sporazumi o nepovratnih sredstvih ne vključujejo podatkov stopnje TRÈS SECRET UE/EU TOP SECRET. 5.Določbe tega poglavja, ki se nanašajo na pogodbe s tajnimi podatki ali izvajalce ali tajne sporazume o nepovratnih sredstvih ali upravičence, se uporabljajo tudi za podizvajalske pogodbe s tajnimi podatki ali podizvajalce v smislu pogodb s tajnimi podatki oziroma tajnih sporazumov o nepovratnih sredstvih. 6.Institucije in organi Unije kot javni organi naročniki ali organi, ki dodeljujejo nepovratna sredstva, tesno sodelujejo z varnostnimi organi ali drugimi pristojnimi organi države, na ozemlju katere je registrirana pogodbena stranka ali prejemnik nepovratnih sredstev, in z varnostnimi organi ali drugimi pristojnimi organi mednarodne organizacije, ki je sklenila pogodbo ali prejela nepovratna sredstva. 7.Institucije in organi Unije ko