CELEX: 32018D0410(01)
Language: fi
Date: 2017-09-19 00:00:00
Title: Unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös, annettu 19 päivänä syyskuuta 2017, Euroopan ulkosuhdehallinnon turvallisuussäännöistä – ADMIN(2017) 10

10.4.2018   
            
            
               FI
            
            
               Euroopan unionin virallinen lehti
            
            
               C 126/1
            
         Unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös, annettu 19 päivänä syyskuuta 2017, Euroopan ulkosuhdehallinnon turvallisuussäännöistä
   ADMIN(2017) 10
   (2018/C 126/01)
   UNIONIN ULKOASIOIDEN JA TURVALLISUUSPOLITIIKAN KORKEA EDUSTAJA, joka
   ottaa huomioon Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen 2010/427/EU (1),
   ottaa huomioon Euroopan ulkosuhdehallinnon turvallisuussäännöistä 15 päivänä kesäkuuta 2011 annetun korkean edustajan päätöksen (2) 9 artiklan 6 kohdassa tarkoitetun komitean lausunnon,
   sekä katsoo seuraavaa:
   
               (1)
            
            
               Euroopan ulkosuhdehallinnolla (EUH) olisi Euroopan unionin (EU) toiminnallisesti itsenäisenä elimenä oltava neuvoston päätöksen 2010/427/EU 10 artiklan 1 kohdassa tarkoitetut turvallisuussäännöt.
            
         
               (2)
            
            
               Unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan, jäljempänä ’korkea edustaja’, olisi päätettävä EUH:n toimintaa koskevan turvallisuuden kaikki osa-alueet kattavista EUH:n turvallisuussäännöistä, jotta EUH voi hallita tehokkaasti sen vastuulla olevaan henkilöstöön, fyysiseen omaisuuteen, tietoihin ja vierailijoihin kohdistuvia riskejä ja täyttää tätä koskevan huolellisuusvelvoitteensa.
            
         
               (3)
            
            
               EUH:n vastuulla olevalle henkilöstölle, sen fyysiselle omaisuudelle, johon kuuluvat myös viestintä- ja tietojärjestelmät, tiedoille ja vierailijoille olisi tarjottava sellainen suojelutaso, joka on neuvoston, komission, jäsenvaltioiden ja soveltuvin osin kansainvälisten järjestöjen parhaiden käytäntöjen mukainen.
            
         
               (4)
            
            
               EUH:n turvallisuussääntöjen olisi edistettävä yhtenäisemmän ja kattavan yleiskehyksen muodostamista EU:ssa sen turvallisuusluokiteltujen tietojen suojaamiseksi. Sääntöjen olisi perustuttava EU:n neuvoston, jäljempänä ’neuvosto’, turvallisuussääntöihin ja Euroopan komission, jäljempänä ’komissio’, turvallisuussäännöksiin ja oltava mahdollisimman yhdenmukainen niiden kanssa.
            
         
               (5)
            
            
               EUH, neuvosto ja komissio ovat sitoutuneet soveltamaan yhdenmukaisia turvallisuusvaatimuksia EU:n turvallisuusluokiteltujen tietojen suojaamiseksi.
            
         
               (6)
            
            
               Tämä päätös ei rajoita Euroopan unionin toiminnasta tehdyn sopimuksen, jäljempänä ’SEUT-sopimus’, 15 ja 16 artiklan eikä niiden täytäntöönpanosäädösten soveltamista.
            
         
               (7)
            
            
               On tarpeen vahvistaa turvallisuusjärjestelyt ja turvallisuuteen liittyvien tehtävien jako EUH:ssa.
            
         
               (8)
            
            
               Korkean edustajan olisi tarvittaessa hyödynnettävä jäsenvaltioiden, neuvoston pääsihteeristön ja komission alan asiantuntemusta.
            
         
               (9)
            
            
               Korkean edustajan olisi toteutettava kaikki asianmukaiset toimenpiteet näiden sääntöjen panemiseksi täytäntöön jäsenvaltioiden, neuvoston pääsihteeristön ja komission tuella.
            
         
               (10)
            
            
               EUH:n turvallisuusviranomaisena toimii EUH:n pääsihteeri, jonka 14 päivänä syyskuuta 2015 antaman päätöksen ADMIN(2015) 34 1 artiklan mukaan turvallisuusviranomaisen tehtäviä hoitaa talousarviosta ja hallinnosta vastaava pääjohtaja EUH:n turvallisuussääntöjen mukaisesti,
            
         ON HYVÄKSYNYT TÄMÄN PÄÄTÖKSEN:
   1 artikla
   Tarkoitus ja soveltamisala
   Tällä päätöksellä säädetään Euroopan ulkosuhdehallinnon turvallisuutta koskevista säännöistä, jäljempänä ’EUH:n turvallisuussäännöt’.
   Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen 2010/427/EU 10 artiklan 1 kohdan mukaisesti sitä sovelletaan kaikkiin EUH:n henkilöstön ja kaikkiin unionin edustustojen henkilöstön jäseniin heidän hallinnollisesta asemastaan tai alkuperästään riippumatta, ja sillä vahvistetaan yleinen sääntelykehys, jolla hallitaan tehokkaasti 2 artiklassa tarkoitettuihin EUH:n vastuulla olevaan henkilöstöön, EUH:n tiloihin, fyysiseen omaisuuteen, tietoihin ja vierailijoihin kohdistuvia riskejä.
   2 artikla
   Määritelmät
   Tässä päätöksessä tarkoitetaan
   
               a)
            
            
               ’EUH:n henkilöstöllä’ EUH:n virkamiehiä ja muuta henkilöstöä, mukaan lukien väliaikaisiksi toimihenkilöiksi nimitetyt jäsenvaltioiden ulkoasiainhallinnon henkilöstöön kuuluvat työntekijät, sekä lähetettyjä kansallisia asiantuntijoita Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen 2010/427/EU 6 artiklan määritelmän mukaisesti;
            
         
               b)
            
            
               ’EUH:n vastuulla olevalla henkilöstöllä’ EUH:n henkilöstöä EUH:n päätoimipaikassa ja unionin edustustoissa ja kaikkea muuta henkilöstöä unionin edustustoissa heidän hallinnollisesta asemastaan tai alkuperästään riippumatta sekä tämän päätöksen yhteydessä myös korkeaa edustajaa ja tarvittaessa muuta EUH:n päätoimipaikassa työskentelevää henkilöstöä;
            
         
               c)
            
            
               ’huollettavilla’ unionin edustustoissa EUH:n vastuulla olevan henkilöstön jäsenen kotitalouteen kuuluvia perheenjäseniä, jotka on ilmoitettu vastaanottajavaltion ulkoasiainministeriölle;
            
         
               d)
            
            
               ’EUH:n tiloilla’ kaikkia EUH:n toimitiloja, mukaan lukien rakennukset, toimistot, huoneet ja muut alueet, sekä viestintä- ja tietojärjestelmien, myös EU:n turvallisuusluokiteltujen tietojen käsittelyssä käytettävien järjestelmien, sijaintipaikat, joissa EUH harjoittaa pysyvää tai tilapäistä toimintaa;
            
         
               e)
            
            
               ’EUH:n turvallisuuseduilla’ EUH:n vastuulla olevaa henkilöstöä, EUH:n tiloja, huollettavia, fyysistä omaisuutta, mukaan lukien viestintä- ja tietojärjestelmät, tietoja ja vierailijoita;
            
         
               f)
            
            
               ’EU:n turvallisuusluokitelluilla tiedoilla’ mitä tahansa tietoa tai aineistoa, jolle on määritelty EU:n turvallisuusluokka ja jonka luvaton ilmitulo voisi vaihtelevassa määrin vahingoittaa EU:n tai sen yhden tai useamman jäsenvaltion etuja;
            
         
               g)
            
            
               ’unionin edustustolla’ Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen 2010/427/EU 1 artiklan 4 kohdassa tarkoitettuja kolmansissa maissa ja kansainvälisissä järjestöissä olevia edustustoja.
            
         Muita määritelmiä annetaan asiaankuuluvissa liitteissä ja lisäyksessä A.
   3 artikla
   Huolellisuusvelvoite
   1.   EUH:n turvallisuussäännöillä pyritään täyttämään EUH:n huolellisuusvelvoite.
   2.   EUH:n huolellisuusvelvoite käsittää kaikkien kohtuullisten turvatoimien toteuttamisen asianmukaisella huolellisuudella EUH:n turvallisuusetuihin kohdistuvan, kohtuudella ennakoitavissa olevan vahingon ehkäisemiseksi.
   Se sisältää sekä turvallisuus- että turvaamisnäkökohdat, myös ne, jotka johtuvat hätätilanteista tai kriiseistä niiden luonteesta riippumatta.
   3.   Ottaen huomioon niiden jäsenvaltioiden, EU:n toimielinten tai elinten ja muiden osapuolten huolellisuusvelvoitteen, joilla on henkilöstöä unionin edustustoissa ja/tai niiden tiloissa, tai EUH:lle kuuluvan huolellisuusvelvoitteen, kun unionin edustustot sijaitsevat edellä mainittujen muiden osapuolten tiloissa, EUH sopii kunkin edellä mainitun toimijan kanssa hallinnollisista järjestelyistä, joissa määritellään kunkin osapuolen rooli, vastuut, tehtävät ja yhteistyömekanismit.
   4 artikla
   Fyysinen ja infrastruktuurin turvallisuus
   1.   EUH toteuttaa kaikki asiaankuuluvat (pysyvät ja tilapäiset) fyysiset turvatoimet, mukaan lukien kulunvalvontajärjestelyt, kaikissa EUH:n tiloissa EUH:n turvallisuusetujen suojelemiseksi. Nämä turvatoimet on otettava huomioon uusien tilojen rakenteissa ja suunnittelussa ja ennen olemassa olevien tilojen vuokraamista.
   2.   EUH:n vastuulla olevalle henkilöstölle ja huollettaville voidaan turvallisuussyistä asettaa määräajaksi ja tietyillä alueilla erityisiä velvoitteita tai rajoituksia.
   3.   Edellä 1 ja 2 kohdassa tarkoitettujen toimenpiteiden on oltava oikeassa suhteessa arvioituun riskiin.
   5 artikla
   Valmiustilat ja kriisitilanteiden hallinta
   1.   EUH:n turvallisuusviranomainen, sellaisena kuin tämä määritellään 13 artiklassa olevan 1 jakson 1 kohdassa, vastaa asianmukaisten valmiustilaa koskevien toimenpiteiden toteuttamisesta ennakoitaessa EUH:n turvallisuuteen kohdistuvia uhkia ja tapahtumia tai vastattaessa niihin sekä kriisitilanteiden hallinnan edellyttämistä toimenpiteistä.
   2.   Edellä 1 kohdassa tarkoitettujen valmiustilaa koskevien toimenpiteiden on oltava oikeassa suhteessa turvallisuuteen kohdistuvan uhan tasoon. Valmiustilan taso määritellään tiiviissä yhteistyössä unionin muiden toimielinten, virastojen ja elinten toimivaltaisten yksikköjen sekä EUH:n tilojen isäntäjäsenvaltio(ide)n kanssa.
   3.   Kriisitilanteiden hallinnan ja valmiustilojen osalta yhteyshenkilönä toimii EUH:n turvallisuusviranomainen.
   6 artikla
   Turvallisuusluokiteltujen tietojen suojaaminen
   1.   EU:n turvallisuusluokiteltujen tietojen suojaamiseen sovelletaan tässä päätöksessä ja erityisesti liitteessä A säädettyjä vaatimuksia. Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on vastuussa sen suojaamisesta näiden vaatimusten mukaisesti.
   2.   EUH varmistaa, että pääsy turvallisuusluokiteltuihin tietoihin myönnetään vain henkilöille, jotka täyttävät liitteessä A olevassa 5 artiklassa asetetut edellytykset.
   3.   Korkea edustaja asettaa edellytykset, joilla paikallisille toimihenkilöille voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tämän päätöksen liitteessä A säädettyjen, EU:n turvallisuusluokiteltujen tietojen suojaamista koskevien sääntöjen mukaisesti.
   4.   EUH:n turvallisuudesta vastaava osasto hallinnoi tietokantaa, johon on koottu kaikkien EUH:n vastuulla olevan henkilöstön jäsenten ja EUH:n sopimuskumppaneiden työntekijöiden turvallisuusselvitykset.
   5.   Jäsenvaltioiden tuodessa EUH:n rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, EUH suojaa ne vastaavantasoisiin EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia noudattaen tämän päätöksen lisäykseen B sisältyvän turvallisuusluokkien vastaavuustaulukon mukaisesti.
   6.   EUH:n tiloissa olevat alueet, joilla säilytetään luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan taikka vastaavaan luokkaan kuuluvia tietoja, on määriteltävä turva-alueiksi tämän päätöksen liitteessä A II esitettyjen sääntöjen mukaisesti, ja EUH:n turvallisuusviranomaisen on hyväksyttävä ne.
   7.   Menettelyt, joilla korkea edustaja hoitaa tehtäviään kolmansien maiden tai kansainvälisten järjestöjen kanssa tapahtuvaa EU:n turvallisuusluokiteltujen tietojen vaihtoa koskevien sopimusten tai hallinnollisten järjestelyjen puitteissa, kuvataan tämän päätöksen liitteissä A ja A VI.
   8.   Pääsihteeri määrittelee, millä edellytyksillä EUH voi jakaa hallussaan olevia EU:n turvallisuusluokiteltuja tietoja unionin muiden toimielinten, elinten, toimistojen tai virastojen kanssa. Tarkoitusta varten otetaan käyttöön asianmukainen kehys muun muassa tekemällä toimielinten välisiä sopimuksia tai muita järjestelyjä tarpeen mukaan.
   9.   Tällaisella kehyksellä on varmistettava, että EU:n turvallisuusluokitellut tiedot suojataan niiden turvallisuusluokan edellyttämällä tavalla ja noudattaen perusperiaatteita ja vähimmäisvaatimuksia, jotka vastaavat tässä päätöksessä säädettyjä perusperiaatteita ja vähimmäisvaatimuksia.
   7 artikla
   Vaaratilanteet ja hätätilanteet
   1.   Jotta vaaratilanteisiin voidaan reagoida nopeasti ja tehokkaasti, EUH laatii tällaisten tilanteiden ja hätätilanteiden ilmoittamiseksi järjestelmän, joka on toiminnassa ympäri vuorokauden kaikkina viikonpäivinä ja joka kattaa kaikki vaaratilanteet ja EUH:n turvallisuusetuihin kohdistuvat uhat (esimerkiksi onnettomuudet, konfliktit, vihamieliset teot, rikolliset teot, kidnappaus- ja panttivankitilanteet, lääketieteelliset hätätapaukset, viestintä- ja tietojärjestelmien vaaratilanteet ja verkkohyökkäykset).
   2.   Perustetaan EUH:n päätoimipaikan, unionin edustustojen, neuvoston, komission, EU:n erityisedustajien ja jäsenvaltioiden välille hätätilanteissa käytettävä yhteysjärjestelmä, joka auttaa niitä hallitsemaan henkilöstön turvallisuutta uhkaavia vaaratilanteita ja niiden seurauksia ja joka käsittää myös valmiussuunnittelun.
   3.   Tämä vaaratilanteiden hallintajärjestelmä sisältää muun muassa
   
               —
            
            
               menettelyt, joilla tuetaan tehokkaasti päätöksentekoa, joka liittyy henkilöstön turvallisuutta uhkaavaan vaaratilanteeseen, mukaan lukien operaation peruuttamiseen tai keskeyttämiseen liittyvät päätökset, ja
            
         
               —
            
            
               toimintatapa ja menettelyt, joita jäsenvaltioiden, EU:n toimielinten ja EUH:n erityisvastuun huomioon ottaen noudatetaan henkilöstön jäsenten takaisin saamiseksi esimerkiksi tapauksissa, joissa heitä on kateissa, kidnapattuina tai panttivankeina. Erityisvoimavarojen tarve tällaisissa operaatioissa arvioidaan ottaen huomioon ne voimavarat, joita jäsenvaltiot voivat antaa käyttöön.
            
         4.   EUH ottaa käyttöön asianmukaiset hallinnolliset järjestelyt unionin edustustoissa tapahtuvien vaaratilanteiden ilmoittamiseksi. Niistä ilmoitetaan tarvittaessa jäsenvaltioille, komissiolle, muille asiaankuuluville viranomaisille sekä asianomaisille turvallisuuskomiteoille.
   5.   Vaaratilanteiden hallintajärjestelmien käyttöä on harjoiteltava ja niitä on arvioitava säännöllisesti.
   8 artikla
   Viestintä- ja tietojärjestelmien turvallisuus
   1.   EUH suojaa viestintä- ja tietojärjestelmissä käsiteltävät tiedot niiden luottamuksellisuuteen, eheyteen, saatavuuteen, aitouteen ja kiistattomuuteen kohdistuvia uhkia vastaan.
   2.   EUH:n turvallisuusviranomainen hyväksyy kaikkien EUH:n omistamien tai käyttämien viestintä- ja tietojärjestelmien suojaamista koskevat säännöt, turvallisuusohjeet ja turvallisuusohjelman.
   3.   Sääntöjen, politiikan ja ohjelman on oltava neuvoston ja komission sääntöjen, politiikan ja ohjelman mukaisia ja niiden täytäntöönpano on koordinoitava tiiviisti niiden sekä tarvittaessa jäsenvaltioiden soveltaman turvallisuuspolitiikan kanssa.
   4.   Kaikkien turvallisuusluokiteltujen tietojen käsittelyssä käytettävien viestintä- ja tietojärjestelmien on läpäistävä hyväksymisprosessi. EUH soveltaa järjestelmää turvallisuusjärjestelyjen hyväksymisen hallinnointiin yhteistyössä neuvoston pääsihteeristön ja komission kanssa.
   5.   Kun EUH:n käsittelemät EU:n turvallisuusluokitellut tiedot suojataan salaustuotteilla, tuotteilta edellytetään, että EUH:n salauslaitteiden hyväksyntäviranomainen on hyväksynyt ne neuvoston turvallisuuskomitean suosituksesta.
   6.   EUH:n turvallisuusviranomaisen on tarpeen mukaan perustettava seuraavat toimet tietojen turvaamista varten:
   
               a)
            
            
               tiedonturvaamisviranomainen;
            
         
               b)
            
            
               TEMPEST-viranomainen;
            
         
               c)
            
            
               salauslaitteiden hyväksyntäviranomainen;
            
         
               d)
            
            
               salatun aineiston jakelusta vastaava viranomainen.
            
         7.   EUH:n turvallisuusviranomaisen on perustettava kutakin järjestelmää varten seuraavat toimet:
   
               a)
            
            
               turvallisuusjärjestelyjen hyväksyntäviranomainen;
            
         
               b)
            
            
               operatiivinen tiedonturvaamisviranomainen.
            
         8.   Tämän artiklan täytäntöönpanosäännökset vahvistetaan EU:n turvallisuusluokiteltujen tietojen osalta liitteissä A ja A IV.
   9 artikla
   Tietoturvaloukkaukset ja turvallisuusluokiteltujen tietojen vaarantuminen
   1.   Tietoturvaloukkaus tapahtuu sellaisen teon tai laiminlyönnin seurauksena, joka on vastoin tässä päätöksessä säädettyjä turvallisuussääntöjä ja/tai 21 artiklan 1 kohdan mukaisesti hyväksyttyjä turvallisuuspolitiikkoja tai -ohjeita, joissa vahvistetaan päätöksen täytäntöönpanon edellyttämät toimenpiteet.
   2.   Turvallisuusluokitellut tiedot vaarantuvat, kun ne ovat paljastuneet kokonaisuudessaan tai osittain sivullisille henkilöille tai yhteisöille.
   3.   Tapahtuneesta tai epäillystä tietoturvaloukkauksesta ja tapahtuneesta tai epäillystä turvallisuusluokiteltujen tietojen vaarantumisesta on ilmoitettava välittömästi EUH:n turvallisuudesta vastaavalle osastolle, joka toteuttaa liitteessä A olevassa 11 artiklassa vahvistetut aiheelliset toimenpiteet.
   4.   Henkilöön, joka on vastuussa tässä päätöksessä säädettyjen turvallisuussääntöjen rikkomisesta tai turvallisuusluokiteltujen tietojen vaarantumisesta, voidaan kohdistaa liitteessä A olevan 11 artiklan 3 kohdan nojalla kurinpidollisia ja/tai oikeudellisia toimia asiassa sovellettavien lakien, sääntöjen ja määräysten mukaisesti.
   10 artikla
   Vaaratilanteiden, tietoturvaloukkausten ja/tai turvallisuusluokiteltujen tietojen vaarantumisen tutkinta ja korjaavat toimet
   1.   EUH:n turvallisuudesta vastaava osasto voi henkilöstösääntöjen (3) 86 artiklan (kurinpitomenettely) ja liitteen IX soveltamista rajoittamatta suorittaa turvallisuustutkintaa
   
               a)
            
            
               kun on kyse EU:n turvallisuusluokiteltujen tietojen, Euratomin turvallisuusluokiteltujen tietojen tai arkaluonteisten turvallisuusluokittelemattomien tietojen mahdollisesta vuotamisesta, väärinkäytöstä tai vaarantumisesta;
            
         
               b)
            
            
               EUH:hon ja sen henkilöstöön kohdistuvien vihamielisten tiedustelupalvelujen hyökkäysten torjumiseksi;
            
         
               c)
            
            
               EUH:hon ja sen henkilöstöön kohdistuvien terrori-iskujen torjumiseksi;
            
         
               d)
            
            
               kun on kyse kyberhyökkäyksistä;
            
         
               e)
            
            
               kun on kyse tapahtumista, jotka vaikuttavat tai saattavat vaikuttaa yleiseen turvallisuuteen EUH:ssa, mukaan lukien rikosepäilyt.
            
         2.   EUH:n turvallisuudesta vastaava osasto panee tarpeen mukaan täytäntöön tutkinnan johdosta toteutettavat korjaavat toimet jäsenvaltioiden ja/tai muiden EU:n toimielinten asiantuntijoiden avustuksella ja tarvittaessa EUH:n turvallisuusviranomaiselta luvan saatuaan.
   Turvallisuustutkintaa saavat EUH:ssa suorittaa ja koordinoida ainoastaan sellaiset henkilöstön jäsenet, joilla on EUH:n turvallisuusviranomaisen heidän senhetkisten tehtäviensä perusteella siihen antama henkilökohtainen lupa.
   3.   Tutkijoiden on saatava kaikki tällaisten tutkimusten suorittamiseksi tarvittavat tiedot sekä kaikkien EUH:n yksiköiden täysi tuki.
   Tutkijat voivat toteuttaa tarkoituksenmukaiset toimet turvatakseen todisteketjun tavalla, joka on oikeassa suhteessa tutkittavan asian vakavuuteen.
   4.   Kun tietojen saanti koskee henkilötietoja, viestintä- ja tietojärjestelmiin sisältyvät henkilötiedot mukaan lukien, pääsy tietoihin myönnetään asetuksen (EY) N:o 45/2001 (4) mukaisesti.
   5.   Jos on tarpeen perustaa henkilötietoja sisältävä tutkintatietokanta, siitä on ilmoitettava Euroopan tietosuojavaltuutetulle edellä mainitun asetuksen mukaisesti.
   11 artikla
   Turvallisuusriskien hallinta
   1.   Määrittääkseen turvatoimia koskevat tarpeensa EUH laatii tiiviissä yhteistyössä komission turvallisuusasioista vastaavan linjan ja tarvittaessa neuvoston pääsihteeristön turvallisuusyksikön kanssa kattavan turvallisuusriskien arviointimenetelmän.
   2.   EUH:n turvallisuusetuihin kohdistuvia riskejä on hallittava prosessina. Prosessissa on pyrittävä määrittelemään tiedossa olevat turvallisuusriskit ja turvatoimet niiden vähentämiseksi hyväksyttävälle tasolle sekä soveltamaan toimenpiteitä syvyyssuuntaisen turvallisuuden käsitteen pohjalta. Tällaisten toimenpiteiden tehokkuutta ja riskitasoa on arvioitava jatkuvasti.
   3.   Tällä päätöksellä vahvistetut roolit, vastuualueet ja tehtävät eivät rajoita EUH:n vastuulla olevan henkilöstön jokaisen jäsenen vastuuta; etenkin kolmansissa maissa työmatkalla olevan EU:n henkilöstön on käytettävä tervettä järkeä ja arvostelukykyä omaan turvallisuuteensa liittyvissä asioissa ja noudatettava kaikkia asiassa sovellettavia turvallisuussääntöjä, -määräyksiä, -menettelyjä ja -ohjeita.
   4.   Valtuutettu henkilöstö saattaa turvallisuuteen kohdistuvia riskejä estääkseen ja hallitakseen tehdä tämän päätöksen soveltamisalaan kuuluvista henkilöistä taustatarkistuksia määrittääkseen, aiheuttaako tällaisten henkilöiden pääsy EUH:n tiloihin tai tietoihin turvallisuuteen kohdistuvan uhan. Tätä tarkoitusta varten ja asetuksen (EY) N:o 45/2001 mukaisesti asianomainen valtuutettu henkilöstö voi a) käyttää mitä tahansa EUH:n käytettävissä olevaa tiedonlähdettä sen luotettavuuden huomioon ottaen; b) tarkastella EUH:n hallussa olevia tietoja, jotka koskevat EUH:n palveluksessa olevia tai palvelukseen otettavia henkilöitä tai perustelluissa tapauksissa EUH:n sopimuskumppaneiden henkilöstöä.
   5.   EUH toteuttaa kaikki kohtuulliset toimenpiteet varmistaakseen turvallisuusetujensa suojaamisen ja ehkäistäkseen kohtuudella ennakoitavissa olevien vahinkojen aiheutumisen niille.
   6.   EUH:n turvatoimet EU:n turvallisuusluokiteltujen tietojen suojaamiseksi koko niiden elinkaaren ajan on suhteutettava erityisesti tiedon tai aineiston turvallisuusluokitukseen, muotoon ja määrään, EU:n turvallisuusluokiteltujen tietojen sijoitustilojen sijaintiin ja rakentamiseen sekä vihamielisen ja/tai rikollisen toiminnan uhkaan, myös paikallisesti arvioituun uhkaan, vakoilu, sabotaasi ja terrorismi mukaan lukien.
   12 artikla
   Turvallisuustietoisuus ja -koulutus
   1.   EUH:n turvallisuusviranomaisen on varmistettava, että laaditaan ja toteutetaan asianmukaiset turvallisuustietoisuus- ja turvallisuuskoulutusohjelmat ja että EUH:n vastuulla olevan henkilöstön jäsenet ja tarvittaessa heidän huollettavansa saavat työskentely- tai asuinpaikkaansa liittyviin riskeihin suhteutetun tarvittavan turvallisuustietoisuutta koskevan ohjeistuksen ja koulutuksen.
   2.   Henkilöstön jäsenille on selvitettävä ja heidän on tunnustettava vastuunsa suojata EU:n turvallisuusluokitellut tiedot 6 artiklan sääntöjen mukaisesti ennen kuin heille myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin: tämä on toistettava säännöllisin väliajoin.
   13 artikla
   Turvallisuusjärjestelyt EUH:ssa
   1.   EUH:n pääsihteeri toimii EUH:n turvallisuusviranomaisena. Siinä ominaisuudessa pääsihteeri varmistaa, että
   
               a)
            
            
               kaikkiin EUH:n toiminnan kannalta merkityksellisiin turvallisuusasioihin, myös EUH:n turvallisuusetuihin kohdistuvien riskien luonteeseen ja niiltä suojautumisen keinoihin, liittyvät turvatoimet koordinoidaan tarpeen mukaan jäsenvaltioiden, neuvoston pääsihteeristön ja komission sekä soveltuvin osin kolmansien maiden tai kansainvälisten järjestöjen toimivaltaisten viranomaisten kanssa;
            
         
               b)
            
            
               turvallisuusnäkökohdat otetaan alusta alkaen täysimääräisesti huomioon kaikessa EUH:n toiminnassa;
            
         
               c)
            
            
               pääsy turvallisuusluokiteltuihin tietoihin myönnetään vain henkilöille, jotka täyttävät liitteessä A olevassa 5 artiklassa asetetut edellytykset;
            
         
               d)
            
            
               perustetaan kirjaamisjärjestelmä, jolla varmistetaan, että luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvia tietoja käsitellään tämän päätöksen mukaisesti EUH:ssa ja kun ne luovutetaan EU:n jäsenvaltioille, EU:n toimielimille, elimille tai virastoille tai muille luvan saaneille vastaanottajille. Kaikki EUH:n kolmansille maille tai kansainvälisille järjestöille luovuttamat EU:n turvallisuusluokitellut tiedot sekä niiltä vastaanottamat turvallisuusluokitellut tiedot on rekisteröitävä erikseen;
            
         
               e)
            
            
               16 artiklassa tarkoitetut turvallisuustarkastukset suoritetaan;
            
         
               f)
            
            
               todettua tai epäiltyä tietoturvaloukkausta tai EUH:n hallussa tai EUH:sta peräisin olevien turvallisuusluokiteltujen tietojen todettua tai epäiltyä vaarantumista tai katoamista koskeva tutkinta suoritetaan ja että asianomaisia turvallisuusviranomaisia pyydetään avustamaan tällaisessa tutkinnassa;
            
         
               g)
            
            
               vaaratilanteiden ja niiden seurausten hallintaa koskevat asianmukaiset suunnitelmat ja mekanismit laaditaan, jotta vaaratilanteisiin voidaan reagoida nopeasti ja tehokkaasti;
            
         
               h)
            
            
               toteutetaan aiheelliset toimenpiteet, jos henkilöt eivät noudata tätä päätöstä;
            
         
               i)
            
            
               EUH:n turvallisuusetujen suojaamiseksi toteutetaan aiheelliset fyysiset ja organisatoriset toimenpiteet.
               Tältä osin EUH:n turvallisuusviranomainen
               
                           —
                        
                        
                           määrittää komissiota kuultuaan unionin edustustojen turvallisuusluokituksen,
                        
                     
                           —
                        
                        
                           päättää tarvittaessa korkeaa edustajaa kuultuaan, milloin unionin edustuston henkilöstö on evakuoitava, jos turvallisuustilanne sitä edellyttää,
                        
                     
                           —
                        
                        
                           päättää tarvittaessa huollettavien suojaamiseksi sovellettavista toimenpiteistä ottaen huomioon 3 artiklan 3 kohdassa tarkoitetut järjestelyt EU:n toimielinten kanssa,
                        
                     
                           —
                        
                        
                           hyväksyy viestinnän salausta koskevan politiikan ja etenkin salaustuotteiden asennusohjelman ja salausjärjestelmän.
                        
                     
         2.   EUH:n turvallisuusviranomaista avustaa tässä tehtävässä budjetista ja hallinnosta vastaava pääosasto, turvallisuudesta vastaava EUH:n johtaja ja soveltuvin osin yhteisestä turvallisuus- ja puolustuspolitiikasta (YTPP) ja kriisitoiminnasta apulaispääsihteeri.
   3.   Pääsihteeri voi EUH:n turvallisuusviranomaisen ominaisuudessa tarvittaessa delegoida tähän liittyviä tehtäviä.
   4.   Kunkin osaston/jaoston päällikkö vastaa EU:n turvallisuusluokiteltujen tietojen suojaamista koskevien sääntöjen täytäntöönpanosta osastossaan/jaostossaan.
   Vaikka kukin osaston/jaoston päällikkö on vastuussa edellä esitetyn mukaisesti, heidän on nimettävä joku henkilöstön jäsen osaston turvallisuuskoordinaattoriksi, jonka voimavarat suhteutetaan kyseisen osaston/jaoston käsittelemien EU:n turvallisuusluokiteltujen tietojen määrään.
   Osastojen turvallisuuskoordinaattorit avustavat ja tukevat tarpeen mukaan osastonsa/jaostonsa päällikköä turvallisuuteen liittyvissä tehtävissä, joita ovat muun muassa seuraavat:
   
               a)
            
            
               osaston/jaoston erityistarpeita vastaavien ylimääräisten turvallisuusvaatimusten laatiminen;
            
         
               b)
            
            
               turvallisuusohjeistuksen antaminen säännöllisesti osaston/jaoston jäsenille;
            
         
               c)
            
            
               tiedonsaantitarpeen periaatteen noudattamisen varmistaminen osastossa/jaostossa;
            
         
               d)
            
            
               ajantasaisen luettelon pitäminen turvakoodeista ja -avaimista;
            
         
               e)
            
            
               turvallisuusmenettelyjen ja turvatoimien ylläpitäminen;
            
         
               f)
            
            
               tietoturvaloukkausten ja/tai EU:n turvallisuusluokiteltujen tietojen vaarantumisen ilmoittaminen sekä osaston/jaoston johtajalle että turvallisuudesta vastaavalle osastolle;
            
         
               g)
            
            
               jälkiselvittely työntekijöiden kanssa, joiden palvelussuhde EUH:ssa päättyy;
            
         
               h)
            
            
               säännöllinen raportointi esimiehille osaston/jaoston turvallisuusasioista;
            
         
               i)
            
            
               yhteydenpito EUH:n turvallisuudesta vastaavaan osastoon turvallisuuskysymyksissä.
            
         Kaikista toimista ja asioista, jotka saattavat vaikuttaa turvallisuuteen, on ilmoitettava ajoissa EUH:n turvallisuudesta vastaavalle osastolle.
   5.   Kunkin unionin edustuston päällikkö vastaa kaikkien edustuston turvallisuuteen liittyvien toimenpiteiden täytäntöönpanosta.
   1.   EUH:lla on turvallisuudesta vastaava osasto. Se
   
               a)
            
            
               hallinnoi, koordinoi, valvoo ja/tai toteuttaa kaikki turvatoimet kaikissa EUH:n vastuulla olevissa tiloissa niin päätoimipaikassa, EU:n alueella kuin kolmansissa maissa;
            
         
               b)
            
            
               varmistaa, että kaikenlainen toiminta, joka saattaa vaikuttaa EUH:n turvallisuusetujen suojaamiseen, on yhdenmukaista ja johdonmukaista tämän päätöksen ja sen täytäntöönpanosäännösten kanssa;
            
         
               c)
            
            
               toimii korkean edustajan, EUH:n turvallisuusviranomaisen ja apulaispääjohtajan pääneuvonantajana kaikissa turvallisuuteen liittyvissä asioissa;
            
         
               d)
            
            
               saa apua jäsenvaltioiden toimivaltaisilta yksiköiltä Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta annetun neuvoston päätöksen 2010/427/EU 10 artiklan 3 kohdan mukaisesti;
            
         
               e)
            
            
               tukee EUH:n turvallisuusjärjestelyjen hyväksyntäviranomaisen toimintaa suorittamalla EU:n turvallisuusluokiteltujen tietojen käsittelyssä käytettävien viestintä- ja tietojärjestelmien ja tällaisten tietojen käsittelyyn ja säilyttämiseen hyväksyttävien tilojen yleisen ja paikallisen turvallisuusympäristön fyysistä turvallisuutta koskevia arviointeja.
            
         2.   Turvallisuudesta vastaava EUH:n johtaja on vastuussa seuraavista:
   
               a)
            
            
               EUH:n turvallisuusetujen yleinen suojaaminen;
            
         
               b)
            
            
               turvallisuussääntöjen laatiminen, tarkistaminen ja päivittäminen sekä turvatoimien koordinointi jäsenvaltioiden toimivaltaisten viranomaisten ja tarvittaessa sellaisten kolmansien maiden tai kansainvälisten järjestöjen toimivaltaisten viranomaisten kanssa, jotka ovat sidoksissa EU:hun turvallisuussopimuksen ja/tai -järjestelyjen kautta;
            
         
               c)
            
            
               EUH:n turvallisuuskomitean työskentelyn tukeminen tämän päätöksen 15 artiklan 1 kohdan mukaisesti;
            
         
               d)
            
            
               turvallisuusasioita koskeva yhteydenpito muiden kuin b alakohdassa tarkoitettujen kumppanien ja viranomaisten kanssa tarvittaessa;
            
         
               e)
            
            
               päätoimipaikan ja unionin edustustojen turvallisuusmäärärahojen hallinnointia koskevien ehdotusten priorisointi ja esittäminen.
            
         3.   EUH:n turvallisuudesta vastaavan osaston päällikkö
   
               a)
            
            
               varmistaa tietoturvaloukkausten ja tietojen vaarantumisen kirjaamisen ja tarvittaessa tutkinnan käynnistämisen ja suorittamisen;
            
         
               b)
            
            
               tapaa säännöllisesti ja aina tarvittaessa neuvoston pääsihteeristön turvallisuusjohtajaa ja komission turvallisuusasioista vastaavan linjan johtajaa keskustellakseen yhteisen edun mukaisista asioista.
            
         4.   EUH:n turvallisuudesta vastaava osasto luo yhteydet ja ylläpitää tiiviitä yhteistyösuhteita
   
               —
            
            
               jäsenvaltioiden ulkoasiainministeriöiden turvallisuudesta vastaaviin osastoihin;
            
         
               —
            
            
               jäsenvaltioiden kansallisiin turvallisuusviranomaisiin ja/tai muihin toimivaltaisiin turvallisuusviranomaisiin saadakseen niiltä tietoja, joita se tarvitsee arvioidakseen vaaroja ja uhkia, joita EUH:hon ja sen henkilöstöön, toimintaan, resursseihin ja turvallisuusluokiteltuihin tietoihin saattaa kohdistua sen tavanomaisessa toimipaikassa;
            
         
               —
            
            
               niiden jäsenvaltioiden tai asemamaiden toimivaltaisiin turvallisuusviranomaisiin, joiden alueella EUH saattaa harjoittaa toimintaansa, kaikista kysymyksistä, jotka liittyvät EUH:n henkilöstön, toiminnan, resurssien ja turvallisuusluokiteltujen tietojen suojaamiseen niiden alueella;
            
         
               —
            
            
               neuvoston pääsihteeristön turvallisuusyksikköön ja komission henkilöstöhallinnon ja turvallisuustoiminnan pääosaston alaiseen turvallisuusasioista vastaavaan linjaan sekä tarvittaessa muiden EU:n toimielinten, elinten ja virastojen turvallisuusosastoihin;
            
         
               —
            
            
               kolmansien maiden ja kansainvälisten järjestöjen turvallisuusosastoihin mahdollisesti tarvittavaa koordinointia silmällä pitäen; ja
            
         
               —
            
            
               jäsenvaltioiden kansallisiin turvallisuusviranomaisiin kaikissa EU:n turvallisuusluokiteltujen tietojen suojaamista koskevissa asioissa.
            
         1.   Kunkin unionin edustuston päällikkö vastaa kaikkien EUH:n turvallisuusetujen suojaamiseen liittyvien toimenpiteiden paikallisesta täytäntöönpanosta ja hallinnoinnista unionin edustuston tiloissa ja sen toimivaltaan kuuluvissa asioissa.
   Hän toteuttaa, tarvittaessa asemamaan toimivaltaisia viranomaisia kuultuaan, kaikki kohtuudella toteutettavissa olevat toimenpiteet sen varmistamiseksi, että käytössä on asianmukaiset fyysiset ja organisatoriset toimenpiteet tämän tavoitteen saavuttamiseksi.
   Edustuston päällikkö laatii turvallisuusmenettelyt 2 artiklan c alakohdassa määriteltyjen huollettavien suojaamiseksi tarvittaessa ottaen huomioon mahdolliset 3 artiklan 3 kohdassa tarkoitetut hallinnolliset järjestelyt. Edustuston päällikkö raportoi kaikista hänen toimivaltaansa kuuluvista turvallisuuskysymyksistä EUH:n turvallisuudesta vastaavan osaston päällikölle.
   Päällikköä avustaa näissä tehtävissä EUH:n turvallisuudesta vastaava osasto, unionin edustuston turvatoimien hallintaryhmä, joka muodostuu turvallisuustehtäviä suorittavista henkilöstön jäsenistä, ja tarvittaessa lähetetty turvallisuushenkilöstö.
   Unionin edustusto pitää säännöllisesti yhteyttä jäsenvaltioiden diplomaattiedustustoihin ja tekee niiden kanssa tiivistä yhteistyötä turvallisuusasioissa.
   2.   Lisäksi edustuston päällikkö
   
               —
            
            
               laatii yksityiskohtaisia unionin edustuston turvallisuus- ja valmiussuunnitelmia yleisten menettelyohjeiden perusteella;
            
         
               —
            
            
               käyttää tehokasta ympärivuorokautista vaara- ja hätätilanteiden hallintajärjestelmää unionin edustuston toiminta-alalla;
            
         
               —
            
            
               varmistaa, että kaikilla unionin edustuston työntekijöillä on alueen olosuhteiden edellyttämä vakuutussuoja;
            
         
               —
            
            
               varmistaa, että turvallisuus on osa unionin edustuston perehdyttämiskoulutusta, jota annetaan kaikille unionin edustuston työntekijöille edustustoon saavuttuaan; ja
            
         
               —
            
            
               varmistaa, että turvallisuusarviointien johdosta annetut suositukset pannaan täytäntöön, ja toimittaa säännöllisin väliajoin kirjallisia raportteja niiden täytäntöönpanosta ja muista turvallisuuskysymyksistä EUH:n turvallisuusviranomaiselle.
            
         3.   Vaikka edustuston päällikkö vastaa turvallisuusjohtamisesta ja edustuston selviytymiskyvyn varmistamisesta, hän voi delegoida tehtäviensä suorittamisen edustuston turvallisuuskoordinaattorille, jona toimii edustuston apulaispäällikkö, tai jos apulaispäällikköä ei ole nimitetty, sopivalle muulle työntekijälle.
   Edustuston turvallisuuskoordinaattorin hoidettavaksi voidaan antaa erityisesti seuraavat tehtävät:
   
               —
            
            
               turvallisuustoimintojen koordinointi unionin edustustossa;
            
         
               —
            
            
               turvallisuuskysymyksiä koskeva yhteydenpito asemamaan toimivaltaisten viranomaisten sekä jäsenvaltioiden suurlähetystöjen ja diplomaattilähetystöjen vastaavien viranomaisten kanssa;
            
         
               —
            
            
               EUH:n turvallisuusetuihin liittyvien tarkoitustenmukaisten turvallisuusjohtamismenettelyjen täytäntöönpano, myös EU:n turvallisuusluokiteltujen tietojen suojelu;
            
         
               —
            
            
               turvallisuussääntöjen ja -ohjeiden noudattamisen varmistus;
            
         
               —
            
            
               henkilöstön ohjeistus siihen sovellettavista turvallisuussäännöistä ja asemamaan erityisistä riskeistä;
            
         
               —
            
            
               henkilöturvallisuusselvitystä edellyttäviä toimia koskevien selvityspyyntöjen esittäminen EUH:n turvallisuudesta vastaavalle osastolle; ja
            
         
               —
            
            
               edustuston päällikön, alueellisen turvallisuusvastaavan ja EUH:n turvallisuudesta vastaavan osaston pitäminen jatkuvasti ajan tasalla EUH:n turvallisuusetuihin vaikuttavista tapahtumista tai kehityssuuntauksista alueella.
            
         4.   Edustuston päällikkö voi delegoida luonteeltaan hallinnollisia tai teknisiä turvallisuuteen liittyviä tehtäviä hallintopäällikölle ja muille unionin edustuston henkilöstön jäsenille.
   5.   Unionin edustustoa avustaa alueellinen turvallisuusvastaava. Alueelliset turvallisuusvastaavat hoitavat jäljempänä määriteltyjä tehtäviä unionin edustustoissa maantieteellisillä vastuualueillaan.
   Tietyissä olosuhteissa turvallisuustilanteen niin edellyttäessä tiettyyn unionin edustustoon voidaan osoittaa siellä kokoaikaisesti toimiva alueellinen turvallisuusvastaava.
   Alueellinen turvallisuusvastaava saattaa joutua siirtymään nykyisen vastuualueensa ulkopuolelle, myös päätoimipaikkaan, tai jopa hoitamaan vakituista tointa missä tahansa maassa sen turvallisuustilanteen mukaan EUH:n turvallisuudesta vastaavan osaston pyynnöstä.
   6.   Alueellinen turvallisuusvastaava toimii suoraan paikallisesta turvallisuudesta vastaavan EUH:n päätoimipaikan yksikön operatiivisessa valvonnassa, mutta hallinnollinen vastuu on jaettu toimipaikan edustuston päällikön ja turvallisuudesta vastaavan EUH:n päätoimipaikan yksikön kesken. Alueelliset turvallisuusvastaavat neuvovat ja avustavat edustuston päällikköä ja unionin edustuston henkilöstöä kaikkien unionin edustuston turvallisuutteen liittyvien fyysisten, organisatoristen ja menettelyllisten toimenpiteiden toteuttamisessa.
   7.   Alueelliset turvallisuusvastaavat antavat edustuston päällikölle ja unionin edustuston henkilöstölle neuvoja ja tukea. Tarvittaessa, ja varsinkin jos alueellinen turvallisuusvastaava työskentelee unionin edustustossa kokoaikaisesti, hän voi avustaa edustustoa turvallisuusjohtamisessa ja turvallisuuden toteuttamissa, myös turvallisuussopimusten valmistelussa sekä hyväksyntöjen ja turvallisuusselvitysten hallinnoinnissa.
   14 artikla
   YTPP-operaatiot ja EU:n erityisedustajat
   EUH:n turvallisuudesta vastaava osasto neuvoo kriisinhallinta- ja suunnitteluosaston johtajaa, EU:n sotilasesikunnan (EUSE) pääjohtajaa, siviilikriisinhallinnan suunnittelu- ja toteutusvoimavarasta (CPCC) vastaavaa siviilioperaatioiden komentajaa sekä EU:n sotilasoperaatioiden komentajia YTPP-operaatioiden turvallisuusnäkökohdista sekä EU:n erityisedustajia näiden toimeksiantojen turvallisuusnäkökohdista niiden erityissäännösten lisäksi, jotka sisältyvät neuvoston alalla hyväksymiin toimintalinjoihin.
   15 artikla
   EUH:n turvallisuuskomitea
   1.   Perustetaan EUH:n turvallisuuskomitea.
   Sen puheenjohtajana toimii EUH:n turvallisuusviranomainen tai hänen nimeämänsä henkilö, ja se kokoontuu puheenjohtajan määräyksestä tai sen jäsenen pyynnöstä. EUH:n turvallisuudesta vastaava osasto tukee puheenjohtajaa hänen tehtävässään ja avustaa tarvittaessa hallinnollisesti komitean työskentelyä.
   2.   EUH:n turvallisuuskomitea muodostuu
   
               —
            
            
               kunkin jäsenvaltion edustajista;
            
         
               —
            
            
               neuvoston pääsihteeristön turvallisuusyksikön edustajista;
            
         
               —
            
            
               komission henkilöstöhallinnon ja turvallisuustoiminnan pääosaston alaisen turvallisuusasioista vastaava linjan edustajista.
            
         Jäsenvaltiota EUH:n turvallisuuskomiteassa edustava valtuuskunta voi muodostua
   
               —
            
            
               kansallisen turvallisuusviranomaisen ja/tai nimetyn turvallisuusviranomaisen jäsenistä;
            
         
               —
            
            
               turvallisuudesta ulkoasiainministeriössä vastaavan osaston jäsenistä.
            
         3.   Komitean jäsenillä voi olla mukanaan asiantuntijoita neuvonantajina, jos he katsovat sen tarpeelliseksi. Muiden EU:n toimielinten, virastojen tai elinten edustajia voidaan kutsua komitean kokouksiin, kun niissä käsitellään niiden turvallisuuden kannalta merkityksellisiä kysymyksiä.
   4.   EUH:n turvallisuuskomitea avustaa kuulemisten avulla EUH:ta kaikissa EUH:n toimintaa, päätoimipaikkaa ja unionin edustustoja koskevissa turvallisuuskysymyksissä, sanotun kuitenkaan rajoittamatta 5 kohdan soveltamista.
   Jäljempänä olevan 5 kohdan soveltamista rajoittamatta
   
               a)
            
            
               EU:n turvallisuuskomiteaa on kuultava seuraavista:
               
                           —
                        
                        
                           turvallisuuspolitiikka, -ohjeet, -käsitteet tai muut turvallisuuteen liittyvät menetelmäasiakirjat varsinkin turvallisuusluokiteltujen tietojen suojaamisen ja niiden toimenpiteiden osalta, jotka toteutetaan, jos EUH:n henkilöstö ei noudata turvallisuussääntöjä;
                        
                     
                           —
                        
                        
                           tekniset turvallisuusnäkökohdat, jotka saattavat vaikuttaa korkean edustajan päätökseen antaa neuvostolle liitteessä A olevan 10 artiklan 1 kohdan a alakohdassa tarkoitettuja tietoturvallisuussopimuksia koskevien neuvottelujen aloittamista koskeva suositus;
                        
                     
                           —
                        
                        
                           tähän päätökseen tehtävät muutokset;
                        
                     
         
               b)
            
            
               EUH:n turvallisuuskomiteaa voidaan kuulla tai sille voidaan tiedottaa EUH:n päätoimipaikan ja unionin edustustojen henkilöstön ja resurssien turvallisuuteen liittyvistä asioista, sanotun kuitenkaan rajoittamatta 3 artiklan 3 kohdan soveltamista;
            
         
               c)
            
            
               EUH:n turvallisuuskomitealle on tiedotettava kaikista EUH:ssa tapahtuneista EU:n turvallisuusluokiteltujen tietojen vaarantumisista tai katoamisista.
            
         5.   Kaikki tähän päätökseen ja sen liitteeseen A sisältyviin EU:n turvallisuusluokiteltujen tietojen suojaamista koskeviin sääntöihin tehtävät muutokset edellyttävät EUH:n turvallisuuskomiteassa edustettuina olevien jäsenvaltioiden yksimielistä puoltavaa lausuntoa. Tällaista yksimielistä puoltavaa lausuntoa edellytetään myös ennen
   
               —
            
            
               liitteessä A olevan 10 artiklan 1 kohdan b alakohdassa tarkoitettuja hallinnollisia järjestelyjä koskevien neuvottelujen aloittamista;
            
         
               —
            
            
               turvallisuusluokiteltujen tietojen luovuttamista liitteessä A VI olevissa 9, 11 ja 12 kohdassa tarkoitetuissa poikkeuksellisissa olosuhteissa;
            
         
               —
            
            
               tietojen luovuttajan vastuun ottamista liitteessä A olevan 10 artiklan 6 kohdan viimeisessä virkkeessä tarkoitetuissa olosuhteissa.
            
         Yksimielisen puoltavan lausunnon ehto täyttyy, jos jäsenvaltioiden valtuuskunnat eivät esitä vastalauseita komitean työskentelyn aikana.
   6.   EUH:n turvallisuuskomitea ottaa kaikilta osin huomioon neuvostossa ja komissiossa voimassa olevat turvallisuuspolitiikat ja -ohjeet.
   7.   EUH:n turvallisuuskomitealle toimitetaan luettelo EUH:n vuosittaisista tarkastuksista sekä tarkastusraportit niiden valmistuttua.
   8.   Kokousten järjestäminen:
   
               —
            
            
               EUH:n turvallisuuskomitea kokoontuu vähintään kaksi kertaa vuodessa. Ylimääräisiä kokouksia joko komitean täydessä kokoonpanossa tai kansallisten turvallisuusviranomaisten ja/tai nimettyjen turvallisuusviranomaisten jäsenistä tai ulkoasiainministeriöiden turvallisuusedustajista koostuvissa kokoonpanoissa voidaan järjestää puheenjohtajan toimesta tai komitean jäsenten pyynnöstä.
            
         
               —
            
            
               EUH:n turvallisuuskomitea järjestää toimintansa niin, että se voi antaa suosituksia erityisillä turvallisuuden osa-alueilla. Se voi tarvittaessa muodostaa muita asiantuntijakokoonpanoja. Se laatii kyseisten asiantuntijakokoonpanojen toimeksiannot, ja sille toimitetaan raportin niiden toiminnasta.
            
         
               —
            
            
               EUH:n turvallisuudesta vastaava osasto vastaa käsiteltävien aiheiden valmistelusta. Puheenjohtaja laatii kutakin kokousta varten ehdotuksen esityslistaksi. Komitean jäsenet voivat ehdottaa muita käsiteltäviä aiheita.
            
         16 artikla
   Turvallisuustarkastukset
   1.   EUH:n turvallisuusviranomainen varmistaa, että EUH:n päätoimipaikassa ja unionin edustustoissa suoritetaan säännöllisesti turvallisuustarkastuksia sen varmistamiseksi, että turvatoimet ovat asianmukaisia ja tämän päätöksen mukaisia. EUH:n turvallisuudesta vastaava osasto voi tarvittaessa nimetä asiantuntijoita, jotka osallistuvat SEU-sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten turvallisuustarkastuksiin.
   2.   EUH:n turvallisuustarkastukset suoritetaan EUH:n turvallisuudesta vastaavan osaston johdolla ja tarvittaessa muita EU:n toimielimiä tai jäsenvaltioita edustavien turvallisuusasiantuntijoiden tuella erityisesti 3 artiklan 3 kohdassa tarkoitettujen järjestelyjen yhteydessä.
   3.   EUH voi tarvittaessa hyödyntää jäsenvaltioiden, neuvoston pääsihteeristön ja komission asiantuntemusta.
   Jäsenvaltioiden kolmansissa maissa olevissa lähetystöissä toimivia turvallisuusasiantuntijoita ja/tai jäsenvaltioiden diplomaattiedustustojen turvallisuusosastojen edustajia voidaan kutsua osallistumaan unionin edustustojen turvallisuustarkastuksiin.
   4.   Tämän artiklan täytäntöönpanosäännökset vahvistetaan EU:n turvallisuusluokiteltujen tietojen osalta liitteessä A III.
   17 artikla
   Arviointikäynnit
   Liitteessä A olevan 10 artiklan 1 kohdan b alakohdassa tarkoitetun hallinnollisen järjestelyn nojalla vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi kolmannessa maassa tai kansainvälisessä järjestössä toteutettujen turvatoimien tehokkuus on varmistettava järjestämällä arviointikäyntejä.
   EUH:n turvallisuudesta vastaava osasto voi nimetä asiantuntijoita, jotka osallistuvat sellaisiin kolmansiin maihin tai kansainvälisiin järjestöihin tehtäviin arviointikäynteihin, joiden kanssa EU on tehnyt liitteessä A olevan 10 artiklan 1 kohdan a alakohdassa tarkoitetun tietoturvallisuussopimuksen.
   18 artikla
   Toiminnan jatkuvuuden suunnittelu
   EUH:n turvallisuudesta vastaava osasto avustaa EUH:n turvallisuusviranomaista EUH:n toiminnan jatkuvuuteen liittyvien turvallisuusnäkökohtien hallinnassa osana yleistä EUH:n toiminnan jatkuvuuden suunnittelua.
   19 artikla
   Matkustusohjeet EU:n ulkopuolelle suuntautuvia työmatkoja varten
   EUH:n turvallisuudesta vastaava osasto varmistaa, että saatavilla on matkustusohjeita EUH:n vastuulla olevan henkilöstön EU:n ulkopuolelle suuntautuvia työmatkoja varten, ja hyödyntää tässä kaikkien EUH:n asianomaisten yksiköiden – erityisesti tilannekeskuksen, tiedusteluanalyysikeskuksen, maantieteellisten osastojen ja unionin edustustojen – voimavaroja.
   EUH:n turvallisuudesta vastaava osasto antaa pyynnöstä ja edellä mainittuja voimavaroja hyödyntäen erityisiä matkustusohjeita sellaisia EUH:n vastuulla olevan henkilöstön työmatkoja varten, jotka kohdistuvat kolmansiin maihin, joissa riski on suuri tai kohonnut.
   20 artikla
   Terveys ja turvallisuus
   EUH:n turvallisuussäännöt täydentävät korkean edustajan hyväksymiä terveyden ja turvallisuuden suojelua koskevia EUH:n sääntöjä.
   21 artikla
   Täytäntöönpano ja tarkastelu
   1.   EUH:n turvallisuusviranomainen hyväksyy, tarvittaessa EUH:n turvallisuuskomiteaa kuultuaan, turvallisuusohjeita, joissa vahvistetaan näiden sääntöjen täytäntöönpanon EUH:ssa edellyttämät toimenpiteet, ja luo tarvittavat valmiudet kaikkien turvallisuusnäkökohtien kattamiseksi läheisessä yhteistyössä jäsenvaltioiden toimivaltaisten turvallisuusviranomaisten kanssa ja EU:n toimielinten asianomaisten yksikköjen tuella.
   2.   Euroopan ulkosuhdehallinnon organisaatiosta ja toiminnasta 26 päivänä heinäkuuta 2010 annetun neuvoston päätöksen 2010/427/EU 4 artiklan 5 kohdan mukaisesti voidaan tarvittaessa käyttää siirtymäjärjestelyjä neuvoston pääsihteeristön ja komission asianomaisten yksiköiden kanssa tehtävillä palvelutasosopimuksilla.
   3.   Korkea edustaja varmistaa, että tätä päätöstä sovelletaan yhdenmukaisesti, ja tarkastelee näitä turvallisuussääntöjä säännöllisesti.
   4.   EUH:n turvallisuussäännöt on pantava täytäntöön läheisessä yhteistyössä jäsenvaltioiden toimivaltaisten turvallisuusviranomaisten kanssa.
   5.   EUH varmistaa, että kaikki turvallisuusprosessin näkökohdat otetaan huomioon EUH:n kriisitoiminnassa.
   6.   Turvallisuusviranomaisena toimiva pääsihteeri ja EUH:n turvallisuudesta vastaavan osaston päällikkö varmistavat, että tämä päätös pannaan täytäntöön.
   22 artikla
   Aiempien päätösten korvaaminen
   Tällä päätöksellä kumotaan ja korvataan Euroopan ulkosuhdehallinnon turvallisuussäännöistä 19 päivänä huhtikuuta 2013 annettu unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan päätös (5).
   23 artikla
   Loppusäännökset
   Tämä päätös tulee voimaan päivänä, jona se allekirjoitetaan.
   Päätös julkaistaan Euroopan unionin virallisessa lehdessä.
   EUH:n toimivaltaiset viranomaiset tiedottavat asianmukaisesti ja oikea-aikaisesti kaikille tämän päätöksen ja sen liitteiden soveltamisalaan kuuluville työntekijöille sen sisällöstä, voimaantulosta ja mahdollisista myöhemmistä muutoksista.
   
      Tehty Brysselissä 19 päivänä syyskuuta 2017.
      
         Federica MOGHERINI
         
            Unionin ulkoasioiden ja turvallisuuspolitiikan korkea edustaja
         
      
   
   
      (1)  EUVL L 201, 3.8.2010, s. 30.
   
      (2)  EUVL C 304, 15.10.2011, s. 7.
   
      (3)  Asetuksessa (ETY, Euratom, EHTY) N:o 259/68 vahvistetut Euroopan unionin virkamiehiin sovellettavat henkilöstösäännöt ja unionin muuhun henkilöstöön sovellettavat palvelussuhteen ehdot (EYVL L 56, 4.3.1968, s. 1), jäljempänä ’henkilöstösäännöt’.
   
      (4)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 45/2001, annettu 18 päivänä joulukuuta 2000, yksilöiden suojelusta yhteisöjen toimielinten ja elinten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta (EYVL L 8, 12.1.2001, s. 1).
   
      (5)  EUVL C 190, 29.6.2013, s. 1.
   
      LIITE A
      
         EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMISTA KOSKEVAT PERIAATTEET JA VAATIMUKSET
      
      1 artikla
      Kohde, soveltamisala ja määritelmät
      1.   Tässä liitteessä esitetään EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat perusperiaatteet ja vähimmäisvaatimukset.
      2.   Näitä perusperiaatteita ja vähimmäisvaatimuksia sovelletaan EUH:hon ja tämän päätöksen 1 artiklassa tarkoitettuun ja 2 määriteltyyn EUH:n vastuulla olevaan henkilöstöön.
      2 artikla
      EU:n turvallisuusluokiteltujen tietojen määritelmä sekä turvallisuusluokat ja -merkinnät
      1.   ’EU:n turvallisuusluokitelluilla tiedoilla’ tarkoitetaan mitä tahansa tietoa tai aineistoa, jolle on määritelty EU:n turvallisuusluokka ja jonka luvaton ilmitulo voisi vaihtelevassa määrin vahingoittaa EU:n tai yhden tai useamman jäsenvaltion etuja.
      2.   EU:n turvallisuusluokitellut tiedot luokitellaan seuraavasti:
      a)   TRÈS SECRET UE/EU TOP SECRET: tiedot ja aineisto, joiden luvaton ilmitulo voisi vahingoittaa poikkeuksellisen vakavasti EU:n tai yhden tai useamman jäsenvaltion olennaisia etuja.
      b)   SECRET UE/EU SECRET: tiedot ja aineisto, joiden luvaton ilmitulo voisi vahingoittaa vakavasti EU:n tai yhden tai useamman jäsenvaltion olennaisia etuja.
      c)   CONFIDENTIEL UE/EU CONFIDENTIAL: tiedot ja aineisto, joiden luvaton ilmitulo voisi vahingoittaa EU:n tai yhden tai useamman jäsenvaltion olennaisia etuja.
      d)   RESTREINT UE/EU RESTRICTED: tiedot ja aineisto, joiden luvattomasta ilmitulosta voisi olla haittaa EU:n tai yhden tai useamman jäsenvaltion eduille.
      3.   EU:n turvallisuusluokitellut tiedot on merkittävä 2 kohdan mukaisesti. Niissä voi olla myös muita merkintöjä, jotka liittyvät toimialaan, jota tiedot koskevat, tai joilla ilmoitetaan luovuttaja, rajoitetaan jakelua tai käyttöä taikka ilmoitetaan luovutettavuus.
      3 artikla
      Luokittelun hallinnointi
      1.   EUH:n on varmistettava, että EU:n turvallisuusluokitellut tiedot on asianmukaisesti turvallisuusluokiteltu, että ne on selkeästi määritelty turvallisuusluokitelluiksi tiedoiksi ja että niiden turvallisuusluokka säilytetään vain niin kauan kuin se on tarpeen.
      2.   EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa ei saa alentaa eikä poistaa eikä niissä olevia 2 artiklan 3 kohdassa tarkoitettuja merkintöjä saa muuttaa eikä poistaa ilman luovuttajan kirjallista etukäteissuostumusta.
      3.   EUH:n turvallisuusviranomainen hyväksyy EU:n turvallisuusluokiteltujen tietojen tuottamisessa noudatettavat turvallisuusohjeet ja käytännön turvallisuusluokitusoppaan kuultuaan EUH:n turvallisuuskomiteaa tämän päätöksen 15 artiklan 5 kohdan mukaisesti.
      4 artikla
      Turvallisuusluokiteltujen tietojen suojaaminen
      1.   EU:n turvallisuusluokitellut tiedot suojataan tämän päätöksen mukaisesti.
      2.   Minkä tahansa EU:n turvallisuusluokitellun tiedon haltija on vastuussa sen suojaamisesta tämän päätöksen mukaisesti.
      3.   Jäsenvaltioiden tuodessa EUH:n rakenteisiin tai verkostoihin turvallisuusluokiteltuja tietoja, joissa on kansallinen turvallisuusluokitusmerkintä, EUH suojaa ne vastaavantasoisiin EU:n turvallisuusluokiteltuihin tietoihin sovellettavia vaatimuksia noudattaen lisäykseen B sisältyvän turvallisuusluokkien vastaavuustaulukon mukaisesti.
      EUH ottaa käyttöön asianmukaiset menettelyt pitääkseen tarkkaa rekisteriä
      
                  —
               
               
                  EUH:n vastaanottamien turvallisuusluokiteltujen tietojen luovuttajista; ja
               
            
                  —
               
               
                  EUH:sta peräisin oleviin turvallisuusluokiteltuihin tietoihin sisältyvän lähdeaineiston luovuttajista.
               
            EUH:n turvallisuuskomitealle tiedotetaan näistä menettelyistä.
      4.   Jos EU:n turvallisuusluokiteltuja tietoja on suuria määriä tai jos niitä yhdistetään, yhdistetyt tiedot saattavat edellyttää korkeampaan turvallisuusluokkaan sovellettavaa suojaa kuin yksittäisten tietojen suoja.
      5 artikla
      Henkilöstöturvallisuus EU:n turvallisuusluokiteltujen tietojen käsittelyssä
      1.   Henkilöstöturvallisuudella tarkoitetaan toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin myönnetään ainoastaan henkilöille,
      
                  —
               
               
                  joilla on tiedonsaantitarve;
               
            
                  —
               
               
                  joille on tehty asianmukainen turvallisuusselvitys tai joilla on tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen asianmukainen lupa luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin pääsyä varten; ja
               
            
                  —
               
               
                  joille on tiedotettu heille kuuluvasta vastuusta.
               
            2.   Henkilöturvallisuusselvitystä koskevien menettelyjen tarkoituksena on selvittää, voidaanko henkilölle myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen.
      3.   Kaikille henkilöille on selvitettävä heidän vastuunsa suojata EU:n turvallisuusluokitellut tiedot tämän päätöksen mukaisesti ja heidän on tunnustettava tämä vastuu kirjallisesti ennen kuin heille myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin; tämä on toistettava säännöllisin väliajoin.
      4.   Tämän artiklan täytäntöönpanosäännökset annetaan liitteessä A I.
      6 artikla
      EU:n turvallisuusluokiteltujen tietojen fyysinen turvallisuus
      1.   Fyysisellä turvallisuudella tarkoitetaan fyysisten ja teknisten suojatoimien toteuttamista, jotta voidaan estää luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin.
      2.   Fyysisten turvatoimien tarkoituksena on estää salaa tai väkisin tapahtuva tunkeutuminen, ehkäistä, estää ja havaita luvattomat toimet sekä mahdollistaa tiedonsaantitarpeeseen perustuva henkilöstön erittely, kun on kyse pääsystä EU:n turvallisuusluokiteltuihin tietoihin. Tällaiset toimet on määriteltävä riskinhallintaprosessin perusteella.
      3.   Fyysiset turvatoimet on toteutettava kaikissa tiloissa, rakennuksissa, toimistoissa, huoneissa ja muilla alueilla, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään tai säilytetään, mukaan lukien liitteessä A olevan 8 artiklan 2 kohdassa määritellyt viestintä- ja tietojärjestelmien sijaintipaikat.
      4.   Alueet, joissa säilytetään luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvia EU:n turvallisuusluokiteltuja tietoja, on määriteltävä turva-alueiksi liitteen A II mukaisesti, ja EUH:n turvallisuusviranomaisen on hyväksyttävä ne.
      5.   Luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvien EU:n turvallisuusluokiteltujen tietojen suojaamiseen saa käyttää vain hyväksyttyjä välineitä tai laitteita.
      6.   Tämän artiklan täytäntöönpanosäännökset annetaan liitteessä A II.
      7 artikla
      Turvallisuusluokiteltujen tietojen hallinta
      1.   Turvallisuusluokiteltujen tietojen hallinnalla tarkoitetaan hallinnollisten toimenpiteiden soveltamista EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan niin, että täydennetään 5, 6 ja 8 artiklassa säädettyjä toimenpiteitä ja siten autetaan estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen sekä korjaamaan vaarantumis- tai katoamistilanne. Tällaiset toimenpiteet liittyvät erityisesti EU:n turvallisuusluokiteltujen tietojen tuottamiseen, kirjaamiseen, jäljentämiseen, kääntämiseen, kuljettamiseen, käsittelyyn, säilyttämiseen ja hävittämiseen.
      2.   Luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvat turvallisuusluokitellut tiedot on turvallisuussyistä kirjattava ennen niiden jakelua ja niitä vastaanotettaessa. EUH:n toimivaltaisten viranomaisten on perustettava tätä varten kirjaamisjärjestelmä. Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvat tiedot on kirjattava niille tarkoitetuissa kirjaamoissa.
      3.   EUH:n turvallisuusviranomaisen on tarkastettava säännöllisin väliajoin yksiköt ja tilat, joissa käsitellään tai säilytetään EU:n turvallisuusluokiteltuja tietoja.
      4.   EU:n turvallisuusluokiteltujen tietojen siirtämisessä yksiköiden ja tilojen välillä fyysisesti suojattujen alueiden ulkopuolella noudatetaan seuraavaa:
      
                  a)
               
               
                  Yleisenä sääntönä on, että EU:n turvallisuusluokitellut tiedot on siirrettävä sähköisillä välineillä, jotka on suojattu tämän päätöksen 7 artiklan 5 kohdan mukaisesti hyväksytyillä salaustuotteilla ja selvästi määriteltyjä turvamenettelyjä noudattaen.
               
            
                  b)
               
               
                  Jos a alakohdassa tarkoitettuja välineitä ei käytetä, EU:n turvallisuusluokitellut tiedot on kuljetettava joko
                  
                              i)
                           
                           
                              tämän päätöksen 8 artiklan 5 kohdan mukaisesti hyväksytyillä salaustuotteilla suojatuilla sähköisillä välineillä (esim. USB-muistitikut, CD-levyt, kiintolevyt); tai
                           
                        
                              ii)
                           
                           
                              kaikissa muissa tapauksissa EUH:n turvallisuusviranomaisen antamien ohjeiden ja liitteessä A III olevassa V jaksossa säädettyjen suojatoimien mukaisesti.
                           
                        
            5.   Tämän artiklan täytäntöönpanosäännökset annetaan liitteessä A III.
      8 artikla
      Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaaminen
      1.   Tietojen turvaamisella tarkoitetaan viestintä- ja tietojärjestelmien alalla varmuutta siitä, että järjestelmät suojaavat niissä käsiteltävät tiedot ja toimivat siten kuin ja silloin kun niiden kuuluu toimia laillisten käyttäjien valvonnassa. Tehokkaalla tietojen turvaamisella varmistetaan asianmukainen luottamuksellisuuden, eheyden, saatavuuden, kiistattomuuden ja aitouden taso. Tietojen turvaamisen on perustuttava riskinhallintaprosessiin.
      2.   ’Viestintä- ja tietojärjestelmällä’ tarkoitetaan järjestelmää, joka mahdollistaa tietojen käsittelyn sähköisessä muodossa. Viestintä- ja tietojärjestelmä käsittää kaikki toimintansa kannalta tarpeelliset resurssit, myös infrastruktuurin, organisaation, henkilöstön ja tietoresurssit. Tätä liitettä sovelletaan kaikkiin EUH:n viestintä- ja tietojärjestelmiin, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja.
      3.   EU:n turvallisuusluokiteltuja tietoja viestintä- ja tietojärjestelmissä käsiteltäessä on noudatettava tiedonturvaamisperiaatetta.
      4.   Kaikkien viestintä- ja tietojärjestelmien, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja, on läpikäytävä hyväksymisprosessi. Hyväksynnällä pyritään varmistamaan, että kaikki asiaankuuluvat turvatoimet on toteutettu ja että on saavutettu riittävä EU:n turvallisuusluokiteltujen tietojen ja viestintä- ja tietojärjestelmän suojaustaso tämän päätöksen säännösten mukaisesti. Hyväksymislausunnossa on määriteltävä niiden tietojen korkein sallittu turvallisuusluokka, joita viestintä- ja tietojärjestelmässä voidaan käsitellä, ja sitä koskevat ehdot ja edellytykset.
      5.   Viestintä- ja tietojärjestelmät, joissa käsitellään luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL ja sitä korkeampaan luokkaan kuuluvia turvallisuusluokiteltuja tietoja, on suojattava niin, ettei tahaton elektromagneettinen säteily vaaranna tietoja (TEMPEST-turvatoimet).
      6.   Jos EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytetään salaustuotteita, tällaiset tuotteet on hyväksyttävä tämän päätöksen 8 artiklan 5 kohdan mukaisesti.
      7.   EU:n turvallisuusluokiteltuja tietoja sähköisesti siirrettäessä on käytettävä hyväksyttyjä salaustuotteita. Tästä vaatimuksesta poiketen hätätilanteissa tai tiettyjen liitteessä A IV säädettyjen teknisten määritysten osalta voidaan soveltaa erityisiä menettelyjä.
      8.   Tämän päätöksen 8 artiklan 6 kohdan nojalla perustetaan tarpeen mukaan seuraavat toimet tietojen turvaamista varten:
      
                  a)
               
               
                  tiedonturvaamisviranomainen;
               
            
                  b)
               
               
                  TEMPEST-viranomainen;
               
            
                  c)
               
               
                  salauslaitteiden hyväksyntäviranomainen;
               
            
                  d)
               
               
                  salatun aineiston jakelusta vastaava viranomainen.
               
            9.   Tämän päätöksen 8 artiklan 7 kohdan nojalla kutakin järjestelmää varten perustetaan
      
                  a)
               
               
                  turvallisuusjärjestelyjen hyväksyntäviranomainen,
               
            
                  b)
               
               
                  operatiivinen tiedonturvaamisviranomainen.
               
            10.   Tämän artiklan täytäntöönpanosäännökset annetaan liitteessä A IV.
      9 artikla
      Yhteisöturvallisuus
      1.   Yhteisöturvallisuudella tarkoitetaan toimenpiteiden toteuttamista sen varmistamiseksi, että sopimuskumppanit tai alihankkijat suojaavat EU:n turvallisuusluokitellut tiedot sopimusta edeltävissä neuvotteluissa ja turvallisuusluokiteltujen sopimusten koko elinkaaren ajan. Yleensä kyseisiin sopimuksiin ei saa kuulua pääsyä luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluviin tietoihin.
      2.   EUH voi antaa jäsenvaltioon tai sellaiseen kolmanteen maahan, jonka kanssa on tehty liitteessä A olevan 10 artiklan 1 kohdassa tarkoitettu tietoturvallisuussopimus tai hallinnollinen järjestely, rekisteröidyille yrityksille tai muille yhteisöille sopimuksella toimeksiantoja, joihin sisältyy tai liittyy pääsy EU:n turvallisuusluokiteltuihin tietoihin tai niiden käsittelyä tai säilyttämistä.
      3.   EUH:n on hankeviranomaisena varmistettava, että tässä päätöksessä säädettyjä ja sopimuksessa tarkoitettuja yhteisöturvallisuutta koskevia vähimmäisvaatimuksia noudatetaan tehtäessä turvallisuusluokiteltuja sopimuksia yritysten tai muiden yhteisöjen kanssa. Se varmistaa tällaisten vähimmäisvaatimusten noudattamisen asianomaisen kansallisen turvallisuusviranomaisen tai nimetyn turvallisuusviranomaisen avulla.
      4.   Jäsenvaltioon rekisteröidyillä sopimuskumppaneilla tai alihankkijoilla, jotka ovat sopimuspuolia turvallisuusluokitelluissa sopimuksissa tai alihankintasopimuksissa ja joilta edellytetään luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvien tietojen käsittelyä ja säilyttämistä toimitiloissaan joko sopimuksen toimeenpanovaiheessa tai sopimusta edeltävässä vaiheessa, on oltava kansallisen tai nimetyn turvallisuusviranomaisen taikka muun kyseisen jäsenvaltion toimivaltaisen viranomaisen myöntämä asiaankuuluvan turvallisuusluokitustason yhteisöturvallisuusselvitys.
      5.   Sopimuskumppanin tai alihankkijan henkilöstöllä, jolla on oltava pääsy luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluviin tietoihin turvallisuusluokitellun sopimuksen toimeenpanemiseksi, on oltava asianomaisen kansallisen tai nimetyn turvallisuusviranomaisen taikka muun toimivaltaisen turvallisuusviranomaisen kansallisten lakien ja asetusten sekä liitteessä A I säädettyjen vähimmäisvaatimusten mukaisesti myöntämä henkilöturvallisuusselvitys.
      6.   Tämän artiklan täytäntöönpanosäännökset annetaan liitteessä A V.
      10 artikla
      Turvallisuusluokiteltujen tietojen vaihto kolmansien maiden ja kansainvälisten järjestöjen kanssa
      1.   EUH voi vaihtaa EU:n turvallisuusluokiteltuja tietoja kolmannen maan tai kansainvälisen järjestön kanssa vain, jos
      
                  a)
               
               
                  EU:n ja kyseisen kolmannen maan tai kansainvälisen järjestön välillä on voimassa oleva, SEU-sopimuksen 37 artiklan ja SEUT-sopimuksen 218 artiklan mukaisesti tehty tietoturvallisuussopimus; tai
               
            
                  b)
               
               
                  korkean edustajan ja kyseisen kolmannen maan tai kansainvälisen järjestön toimivaltaisten turvallisuusviranomaisten välinen, tämän päätöksen 15 artiklan 5 kohdan mukaisesti tehty hallinnollinen järjestely periaatteessa korkeintaan luokkaan RESTREINT UE/EU RESTRICTED kuuluvien turvallisuusluokiteltujen tietojen vaihtamiseksi on tullut voimaan; tai
               
            
                  c)
               
               
                  sovelletaan YTPP-kriisinhallintaoperaation yhteydessä EU:n ja kyseisen kolmannen maan välillä SEU-sopimuksen 37 artiklan ja SEUT-sopimuksen 218 artiklan mukaisesti tehtyä osallistumista koskevaa puite- tai erillissopimusta;
               
            ja kyseisessä asiakirjassa vahvistetut edellytykset täyttyvät.
      Edellä esitetyn yleissäännön poikkeuksista säädetään liitteessä A VI olevassa V jaksossa.
      2.   Edellä 1 kohdan b alakohdassa tarkoitettuihin hallinnollisiin järjestelyihin on sisällytettävä määräyksiä, joilla varmistetaan, että kolmansien maiden tai kansainvälisten järjestöjen vastaanottaessa EU:n turvallisuusluokiteltuja tietoja kyseiset tiedot suojataan niiden turvallisuusluokan edellyttämällä tavalla ja vähintään tässä päätöksessä vahvistettuja vähimmäisvaatimuksia vastaavien vaatimusten mukaisesti.
      Edellä 1 kohdan c alakohdassa tarkoitettujen sopimusten nojalla vaihdetut tiedot rajataan tietoihin, jotka koskevat YTPP-operaatioita, joihin kyseinen kolmas maa osallistuu kyseisten sopimusten nojalla ja niiden määräysten mukaisesti.
      3.   Jos EU:n ja osallistuvan kolmannen maan tai kansainvälisen järjestön välillä tehdään myöhemmin tietoturvallisuussopimus, se syrjäyttää mahdollisessa osallistumista koskevassa puite- tai erillissopimuksessa tai hallinnollisessa erillisjärjestelyssä vahvistetut määräykset turvallisuusluokiteltujen tietojen vaihdosta, kun on kyse EU:n turvallisuusluokiteltujen tietojen vaihdosta ja käsittelystä.
      4.   YTPP-operaatiota varten tuotettuja EU:n turvallisuusluokiteltuja tietoja voidaan luovuttaa kolmansien maiden tai kansainvälisten järjestöjen kyseiseen operaatioon lähettämälle henkilöstölle 1–3 kohdan ja liitteen A VI mukaisesti. Kun tällaiselle henkilöstölle myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin YTPP-operaation tiloissa tai viestintä- ja tietojärjestelmässä, on toteutettava toimenpiteitä (mukaan lukien ilmitulleiden EU:n turvallisuusluokiteltujen tietojen kirjaaminen) tietojen katoamisen tai vaarantumisen riskin vähentämiseksi. Tällaiset toimenpiteet on määriteltävä asiaankuuluvissa suunnittelu- tai operaatioasiakirjoissa.
      5.   Vaihdettujen EU:n turvallisuusluokiteltujen tietojen suojaamiseksi kolmannessa maassa tai kansainvälisessä järjestössä toteutettujen turvatoimien tehokkuus on varmistettava järjestämällä tämän päätöksen 17 artiklassa tarkoitettuja arviointikäyntejä.
      6.   Päätös EUH:n hallussa olevien EU:n turvallisuusluokiteltujen tietojen luovuttamisesta kolmannelle maalle tai kansainväliselle järjestölle tehdään tapauskohtaisesti kyseisten tietojen luonteen ja sisällön, vastaanottajan tiedonsaantitarpeen ja EU:lle koituvan edun perusteella.
      Jos EUH luovuttaa EU:n turvallisuusluokiteltuja tietoja, joiden lähdeaineistona on käytetty jonkin yhteisön toimittamia turvallisuusluokiteltuja tietoja, sen on saatava kyseiseltä yhteisöltä kirjallinen suostumus sille, ettei luovuttamiselle ole esteitä.
      Jos luovutuspyynnön kohteena olevien turvallisuusluokiteltujen tietojen luovuttaja ei ole EUH, EUH:n on ensin saatava tietojen luovuttajan kirjallinen suostumus luovutukselle.
      Jos EUH ei kuitenkaan pysty selvittämään, kuka luovuttaja on, EUH:n turvallisuusviranomainen ottaa luovuttajan vastuun itselleen saatuaan EUH:n turvallisuuskomiteassa edustettuina olevien jäsenvaltioiden yksimielisen puoltavan lausunnon.
      7.   Tämän artiklan täytäntöönpanosäännökset annetaan liitteessä A VI.
      11 artikla
      Tietoturvaloukkaukset ja turvallisuusluokiteltujen tietojen vaarantuminen
      1.   Tapahtuneesta tai epäillystä tietoturvaloukkauksesta ja tapahtuneesta tai epäillystä turvallisuusluokiteltujen tietojen vaarantumisesta on ilmoitettava välittömästi EUH:n turvallisuudesta vastaavalle osastolle, joka ilmoittaa asiasta tarvittaessa yhdelle tai useammalle asianomaiselle jäsenvaltiolle tai muulle yhteisölle.
      2.   Jos EU:n turvallisuusluokiteltujen tietojen tiedetään tai voidaan perustellusti olettaa vaarantuneen tai kadonneen, EUH:n turvallisuudesta vastaavan osaston on ilmoitettava asiasta asianomais(t)en jäsenvaltio(ide)n kansalliselle turvallisuusviranomaiselle ja toteutettava kaikki asiaankuuluvien lakien ja asetusten mukaiset tarpeelliset toimenpiteet
      
                  a)
               
               
                  säilyttääkseen todistusaineiston;
               
            
                  b)
               
               
                  varmistaakseen, että tapauksen tutkivat tosiasioiden selvittämiseksi sellaiset henkilöstön jäsenet, joita tietoturvaloukkaus tai tietojen vaarantuminen ei välittömästi koske;
               
            
                  c)
               
               
                  ilmoittaakseen asiasta välittömästi tietojen luovuttajalle tai muulle asianomaiselle yhteisölle;
               
            
                  d)
               
               
                  toteuttaakseen tarvittavat toimenpiteet sen estämiseksi, ettei tilanne toistu;
               
            
                  e)
               
               
                  arvioidakseen EU:n tai jäsenvaltioiden eduille mahdollisesti aiheutuneen vahingon; ja
               
            
                  f)
               
               
                  ilmoittaakseen asianmukaisille viranomaisille tietojen tapahtuneen tai epäillyn vaarantumisen vaikutuksista ja toteutetuista toimista.
               
            3.   EUH:n vastuulla olevan henkilöstön jäsenelle, joka on vastuussa tässä päätöksessä säädettyjen turvallisuussääntöjen rikkomisesta, voidaan määrätä kurinpitoseuraamus asiassa sovellettavien sääntöjen ja määräysten mukaisesti.
      Henkilölle, joka on aiheuttanut turvallisuusluokiteltujen tietojen vaarantumisen tai katoamisen, voidaan määrätä kurinpidollisia ja/tai oikeudellisia seuraamuksia asiassa sovellettavien lakien, sääntöjen ja määräysten mukaisesti.
      4.   EUH:n turvallisuudesta vastaavan osaston päällikkö voi keskeyttää asianomaisen henkilön pääsyn EU:n turvallisuusluokiteltuihin tietoihin ja EUH:n tiloihin tietoturvaloukkausta ja/tai turvallisuusluokiteltujen tietojen vaarantumista koskevan tutkinnan ajan. Tällaisesta päätöksestä on ilmoitettava välittömästi komission henkilöstöhallinnon ja turvallisuustoiminnan pääosaston alaiselle turvallisuudesta vastaavalle linjalle, neuvoston pääsihteeristön turvallisuusyksikölle tai asianomais(t)en jäsenvaltio(ide)n kansallisille turvallisuusviranomaisille taikka muulle asianomaiselle yhteisölle.
      
         LIITE A I
         
            HENKILÖSTÖTURVALLISUUS
         
         I.   JOHDANTO
         
                  
                     1.
                  
                  
                     Tässä liitteessä annetaan liitteessä A olevan 5 artiklan täytäntöönpanosäännökset. Siinä vahvistetaan erityisesti perusteet, joita EUH:n on sovellettava päättäessään, voidaanko henkilölle hänen lojaaliutensa, rehellisyytensä ja luotettavuutensa huomioon ottaen myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin, sekä asiassa noudatettavat tutkinta- ja hallinnolliset menettelyt.
                  
               
                  
                     2.
                  
                  
                     ’Henkilöturvallisuusselvitys’ EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten on jäsenvaltion toimivaltaisen viranomaisen lausunto, joka annetaan jäsenvaltion toimivaltaisten viranomaisten tekemän turvallisuustutkinnan jälkeen ja jonka nojalla henkilölle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn luokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi) ja tiettyyn päivämäärään saakka edellyttäen, että hänen tiedonsaantitarpeensa on määritetty; tällaisen henkilön sanotaan olevan ”turvallisuusselvitetty”.
                  
               
                  
                     3.
                  
                  
                     ’Henkilöturvallisuusselvitykseen perustuvalla todistuksella’ tarkoitetaan EUH:n turvallisuusviranomaisen antamaa todistusta, jossa todetaan henkilön olevan turvallisuusselvitetty ja josta käy ilmi turvallisuusluokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy, asiaankuuluvan henkilöturvallisuusselvityksen voimassaoloaika ja itse todistuksen voimassaolon päättymispäivä.
                  
               
                  
                     4.
                  
                  
                     ’Lupa EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten’ on EUH:n turvallisuusviranomaisen myöntämä lupa, joka annetaan tämän päätöksen mukaisesti jäsenvaltion toimivaltaisten viranomaisten tekemän henkilöturvallisuusselvityksen jälkeen ja jonka nojalla henkilölle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn luokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi) ja tiettyyn päivämäärään saakka edellyttäen, että hänen tiedonsaantitarpeensa on todettu; tällaisen henkilön sanotaan olevan ”turvallisuusselvitetty”.
                  
               II.   PÄÄSYN MYÖNTÄMINEN EU:N TURVALLISUUSLUOKITELTUIHIN TIETOIHIN
         
                  
                     5.
                  
                  
                     Pääsy luokkaan RESTREINT UE/EU RESTRICTED kuuluviin turvallisuusluokiteltuihin tietoihin ei edellytä turvallisuusselvitystä, ja pääsy myönnetään sen jälkeen, kun
                     
                                 a)
                              
                              
                                 henkilön lakisääteinen yhteys tai sopimussuhde EUH:hon on todettu;
                              
                           
                                 b)
                              
                              
                                 hänen tiedonsaantitarpeensa on todettu;
                              
                           
                                 c)
                              
                              
                                 hänelle on selvitetty EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuussäännöt ja -menettelyt ja hän on tunnustanut kirjallisesti vastuunsa suojata tällaiset tiedot tämän päätöksen mukaisesti.
                              
                           
               
                  
                     6.
                  
                  
                     Henkilölle voidaan myöntää pääsy luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin vasta sen jälkeen, kun
                     
                                 a)
                              
                              
                                 henkilön lakisääteinen yhteys tai sopimussuhde EUH:hon on todettu;
                              
                           
                                 b)
                              
                              
                                 hänen tiedonsaantitarpeensa on todettu;
                              
                           
                                 c)
                              
                              
                                 hänelle on myönnetty tätä tasoa vastaava henkilöturvallisuusselvitys tai hänet on muulla tavoin tehtäviensä vuoksi asianmukaisesti valtuutettu kansallisten lakien ja asetusten mukaisesti; ja
                              
                           
                                 d)
                              
                              
                                 hänelle on selvitetty EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuussäännöt ja -menettelyt ja hän on tunnustanut kirjallisesti tällaisten tietojen suojaamista koskevan vastuunsa.
                              
                           
               
                  
                     7.
                  
                  
                     EUH:n on määritettävä rakenteissaan ne tehtävät, jotka edellyttävät pääsyä luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin ja siksi 4 kohdassa tarkoitettua asiaankuuluvan tason henkilöturvallisuusselvitystä.
                  
               
                  
                     8.
                  
                  
                     EUH:n henkilöstön jäsenten on ilmoitettava, onko heillä useamman kuin yhden maan kansalaisuus.
                  
               
            Henkilöturvallisuusselvityksiä koskeviin pyyntöihin sovellettavat menettelyt EUH:ssa
         
         
                  
                     9.
                  
                  
                     EUH:n henkilöstön osalta EUH:n turvallisuusviranomainen toimittaa henkilöstöturvallisuutta koskevan kyselylomakkeen täytettynä sen jäsenvaltion kansalliselle turvallisuusviranomaiselle, jonka kansalainen asianomainen henkilö on, ja pyytää turvallisuustutkinnan tekemistä EU:n turvallisuusluokiteltujen tietojen sen luokan osalta, johon henkilön on tarpeen päästä.
                  
               
                  
                     10.
                  
                  
                     Jos henkilöllä on useamman kuin yhden maan kansalaisuus, turvallisuustutkintapyyntö osoitetaan sen maan kansalliselle turvallisuusviranomaiselle, jonka kansalaisena henkilö on otettu palvelukseen.
                  
               
                  
                     11.
                  
                  
                     Jos EUH:n tietoon tulee turvallisuustutkinnan kannalta olennaisia tietoja henkilöstä, joka on hakenut henkilöturvallisuusselvitystä, EUH:n on ilmoitettava siitä asianomaiselle kansalliselle turvallisuusviranomaiselle asiaankuuluvien sääntöjen ja määräysten mukaisesti.
                  
               
                  
                     12.
                  
                  
                     Turvallisuustutkinnan valmistuttua asiaankuuluvan kansallisen turvallisuusviranomaisen on ilmoitettava tutkinnan tuloksista EUH:n turvallisuudesta vastaavalle osastolle.
                     
                                 a)
                              
                              
                                 Jos turvallisuustutkinnan päätteeksi annetaan lausunto siitä, ettei henkilöstä ole tiedossa mitään sellaista kielteistä seikkaa, jonka perusteella voitaisiin epäillä hänen lojaaliuttaan, rehellisyyttään ja luotettavuuttaan, EUH:n turvallisuusviranomainen voi antaa asianomaiselle henkilölle luvan EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten asiaankuuluvaan turvallisuusluokkaan ja määrättyyn päivään asti.
                              
                           
                                 b)
                              
                              
                                 EUH toteuttaa kaikki tarvittavat toimenpiteet varmistaakseen, että kansallisen turvallisuusviranomaisen asettamia ehtoja tai rajoituksia noudatetaan asianmukaisesti. Kansalliselle turvallisuusviranomaiselle ilmoitetaan turvallisuustutkinnan tuloksesta.
                              
                           
                                 c)
                              
                              
                                 Jos turvallisuustutkinnan päätteeksi ei anneta tällaista lausuntoa, EUH:n turvallisuusviranomainen ilmoittaa siitä asianomaiselle henkilölle, joka voi pyytää, että EUH:n turvallisuusviranomainen kuulee häntä. EUH:n turvallisuusviranomainen voi pyytää lisäselvitystä toimivaltaiselta kansalliselta turvallisuusviranomaiselta sen kansallisten lakien ja asetusten mukaisesti. Jos lisäselvitys vahvistaa tutkinnan tuloksen, lupaa EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten ei myönnetä. Tällöin EUH toteuttaa kaikki tarvittavat toimenpiteet varmistaakseen, että hakijalta evätään pääsy EU:n turvallisuusluokiteltuihin tietoihin.
                              
                           
               
                  
                     13.
                  
                  
                     Turvallisuustutkintaan ja sen tuloksiin, joiden perusteella EUH päättää, myöntääkö se luvan EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, sovelletaan kyseisessä jäsenvaltiossa voimassa olevia asiaa koskevia lakeja ja asetuksia, myös muutoksenhakua koskevia säädöksiä. EUH:n turvallisuusviranomaisen päätöksiin voi hakea muutosta henkilöstösääntöjen mukaisesti.
                  
               
                  
                     14.
                  
                  
                     Henkilöturvallisuusselvityksen on katettava kaikki asianomaisen henkilön EUH:ssa, neuvoston pääsihteeristössä tai komissiossa suorittamat tehtävät edellyttäen, että turvallisuusselvityksen perustana oleva lausunto on edelleen pätevä.
                  
               
                  
                     15.
                  
                  
                     EUH hyväksyy muiden EU:n toimielinten, elinten tai virastojen antaman luvan EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten edellyttäen, että lupa on voimassa. Lupa kattaa kaikki asianomaisen henkilön EUH:ssa suorittamat tehtävät. EU:n toimielin, elin tai virasto, jossa henkilö ottaa työn vastaan, ilmoittaa asianomaiselle kansalliselle turvallisuusviranomaiselle henkilön työnantajan vaihtumisesta.
                  
               
                  
                     16.
                  
                  
                     Jos henkilön palvelusaika ei ala 12 kuukauden kuluessa siitä, kun turvallisuustutkinnan tulokset on ilmoitettu EUH:n turvallisuusviranomaiselle, tai jos henkilön palveluksessaolo keskeytyy vähintään 12 kuukaudeksi eikä hän sinä aikana ole EUH:n eikä minkään muun EU:n toimielimen, viraston tai elimen eikä minkään jäsenvaltion kansallisen hallinnon palveluksessa tehtävissä, jotka edellyttävät pääsyä turvallisuusluokiteltuihin tietoihin, turvallisuustutkinnan tuloksista on otettava yhteyttä asiaankuuluvaan kansalliseen turvallisuusviranomaiseen sen varmistamiseksi, että ne ovat edelleen voimassa ja asianmukaiset.
                  
               
                  
                     17.
                  
                  
                     Jos EUH:n tietoon tulee, että henkilö, jolla on voimassa oleva henkilöturvallisuusselvitys, muodostaa turvallisuusriskin, EUH:n on asiaankuuluvien sääntöjen ja määräysten mukaisesti ilmoitettava siitä asianomaiselle kansalliselle turvallisuusviranomaiselle, ja se voi estää henkilön pääsyn EU:n turvallisuusluokiteltuihin tietoihin tai peruuttaa sitä varten myönnetyn luvan. Jos kansallinen turvallisuusviranomainen ilmoittaa EUH:lle EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten annetun ja voimassa olevan luvan haltijaa koskevan 12 kohdan a alakohdan mukaisesti annetun lausunnon perumisesta, EUH:n turvallisuusviranomainen voi pyytää selvennystä, jonka kansallinen turvallisuusviranomainen voi antaa maansa lakien ja asetusten mukaisesti. Jos kielteinen seikka vahvistetaan, edellä mainittu lupa on peruutettava, henkilöltä on evättävä pääsy EU:n turvallisuusluokiteltuihin tietoihin ja hänet on siirrettävä pois tehtävistä, joissa tietoihin pääsy on mahdollista tai joissa saattaa vaarantaa turvallisuuden.
                  
               
                  
                     18.
                  
                  
                     Kaikki EUH:n henkilöstön jäsenelle EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten annetun luvan peruuttamista koskevat päätökset ja tapauksen mukaan niiden perustelut on ilmoitettava asianomaiselle henkilölle, joka voi pyytää, että EUH:n turvallisuusviranomainen kuulee häntä. Kansallisen turvallisuusviranomaisen toimittamiin tietoihin sovelletaan kyseisessä jäsenvaltiossa voimassa olevia asiaa koskevia lakeja ja asetuksia, myös muutoksenhakua koskevia säädöksiä. EUH:n turvallisuusviranomaisen päätöksiin voi hakea muutosta henkilöstösääntöjen mukaisesti.
                  
               
                  
                     19.
                  
                  
                     Kansallisten asiantuntijoiden, jotka lähetetään EUH:hon tehtäviin, jotka edellyttävät luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin pääsyä, on ennen tehtäviensä aloittamista esitettävä EUH:n turvallisuusviranomaiselle voimassa oleva asianmukaisen tason henkilöturvallisuusselvitys EU:n turvallisuusluokiteltuihin tietoihin pääsemistä varten. Prosessia hallinnoi lähettävä jäsenvaltio.
                  
               
            Henkilöturvallisuusselvityksiä koskevat rekisterit
         
         
                  
                     20.
                  
                  
                     EUH ylläpitää tietokantaa kaikkien EUH:n vastuulla olevan henkilöstön jäsenten ja EUH:n sopimuskumppanien työntekijöiden turvallisuusselvityksistä. Tähän rekisteriin on merkittävä luokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi), henkilöturvallisuusselvityksen myöntämispäivä ja sen voimassaoloaika.
                  
               
                  
                     21.
                  
                  
                     Jäsenvaltioiden sekä muiden EU:n toimielinten, virastojen ja elinten kanssa on otettava käyttöön tarvittavat koordinointimenettelyt sen varmistamiseksi, että EUH:lla on paikkansapitävä ja kattava rekisteri kaikkien EUH:n vastuulla olevan henkilöstön jäsenten ja EUH:n sopimuskumppanien työntekijöiden turvallisuusselvityksistä.
                  
               
                  
                     22.
                  
                  
                     EUH:n turvallisuusviranomainen voi antaa henkilöturvallisuusselvitykseen perustuvan todistuksen, josta käyvät ilmi luokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi), asiaankuuluvan henkilöturvallisuusselvityksen tai luvan voimassaoloaika sekä itse todistuksen voimassaolon päättymispäivä.
                  
               
            Vapautukset henkilöturvallisuusselvitystä koskevasta vaatimuksesta
         
         
                  
                     23.
                  
                  
                     EUH:n turvallisuudesta vastaava osasto selvittää tarvittaessa henkilöille, joille on kansallisten lakien ja asetusten mukaisesti myönnetty tehtäviensä hoitamista varten pääsy EU:n turvallisuusluokiteltuihin tietoihin, heidän velvollisuutensa suojata EU:n turvallisuusluokitellut tiedot.
                  
               III.   TURVALLISUUSKOULUTUS JA -TIETOISUUS
         
                  
                     24.
                  
                  
                     Kaikkien henkilöiden on kirjallisesti vakuutettava ymmärtävänsä velvollisuutensa suojata EU:n turvallisuusluokitellut tiedot sekä seuraukset, jos EU:n turvallisuusluokitellut tiedot vaarantuvat, ennen kuin heille myönnetään pääsy EU:n turvallisuusluokiteltuihin tietoihin. EUH rekisteröi tällaiset kirjalliset vakuutukset.
                  
               
                  
                     25.
                  
                  
                     Kaikille henkilöille, joille on myönnetty pääsy EU:n turvallisuusluokiteltuihin tietoihin tai joiden edellytetään käsittelevän niitä, on aluksi selvitettävä turvallisuusuhat ja tiedotettava niistä säännöllisin väliajoin, ja heidän on ilmoitettava välittömästi asianomaisille turvallisuusviranomaisille epäilyttävinä tai epätavanomaisina pitämistään yhteydenotoista tai toimista.
                  
               
                  
                     26.
                  
                  
                     Kaikkiin henkilöihin, joille on myönnetty pääsy EU:n turvallisuusluokiteltuihin tietoihin, on sovellettava jatkuvia henkilöstöturvallisuutta koskevia toimenpiteitä (ns. jälkihoito) sinä aikana, jona he käsittelevät EU:n turvallisuusluokiteltuja tietoja. Jatkuvasta henkilöstöturvallisuudesta ovat vastuussa seuraavat:
                     
                                 a)
                              
                              
                                 Henkilöt, joille on myönnetty pääsy EU:n turvallisuusluokiteltuihin tietoihin: Henkilöt ovat itse vastuussa omasta turvallisuuskäyttäytymisestään, ja heidän on ilmoitettava välittömästi asianomaisille turvallisuusviranomaisille epäilyttävinä tai epätavanomaisina pitämistään yhteydenotoista tai toimista sekä sellaisista henkilökohtaisen tilanteensa muutoksista, jotka saattavat vaikuttaa heidän henkilöturvallisuusselvitykseensä tai lupaansa EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten.
                              
                           
                                 b)
                              
                              
                                 Esimiehet: Esimiehet vastaavat siitä, että heidän henkilöstönsä on tietoinen turvatoimista ja EU:n turvallisuusluokiteltujen tietojen suojaamista koskevasta vastuusta, valvovat henkilöstönsä turvallisuuskäyttäytymistä ja joko puuttuvat itse huolestuttaviin turvallisuuskysymyksiin tai ilmoittavat asianomaisille turvallisuusviranomaisille kaikista kielteisistä seikoista, jotka saattavat vaikuttaa niiden henkilöstön henkilöturvallisuusselvityksiin tai lupiin EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten.
                              
                           
                                 c)
                              
                              
                                 Tämän päätöksen 12 artiklassa tarkoitetut EUH:n turvallisuusorganisaation toimijat: He vastaavat turvallisuustietoisuutta koskevan ohjeistuksen säännöllisestä antamisesta alueensa henkilöstölle, vahvan turvallisuuskulttuurin luomisesta vastuualueellaan, henkilöstön turvallisuuskäyttäytymistä valvovien toimenpiteiden käyttöönotosta ja kaikkien sellaisten kielteisten seikkojen ilmoittamisesta asianomaisille turvallisuusviranomaisille, jotka saattavat vaikuttaa henkilöiden henkilöturvallisuusselvitykseen.
                              
                           
                                 d)
                              
                              
                                 EUH ja jäsenvaltiot: Ne ottavat käyttöön tarvittavat viestintäkanavat sellaisten tietojen välittämiseksi, jotka saattavat vaikuttaa henkilöiden henkilöturvallisuusselvityksiin tai lupiin EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten.
                              
                           
               
                  
                     27.
                  
                  
                     Kaikille henkilöille, jotka siirtyvät pois tehtävistä, jotka edellyttävät pääsyä EU:n turvallisuusluokiteltuihin tietoihin, on selvitettävä heidän velvollisuutensa EU:n turvallisuusluokiteltujen tietojen jatkuvan suojaamisen osalta, ja heidän on tarvittaessa annettava siitä kirjallinen vakuutus.
                  
               IV.   POIKKEUKSELLISET OLOSUHTEET
         
                  
                     28.
                  
                  
                     Jos se on EUH:n etujen vuoksi asianmukaisesti perusteltua ja jos täydellistä turvallisuustutkintaa ei ole vielä saatu päätökseen, EUH:n turvallisuusviranomainen voi kiireellisyyssyistä ja kuultuaan sen jäsenvaltion kansallista turvallisuusviranomaista, jonka kansalainen henkilö on, ja riippuen kielteisten seikkojen olemassaoloa koskevien alustavien tarkistusten tuloksista, myöntää EUH:n virkamiehille ja muille työntekijöille tilapäisen luvan EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten tietyn tehtävän suorittamiseksi. Täydellinen turvallisuustutkinta olisi saatettava päätökseen mahdollisimman pian. Tällaiset tilapäiset luvat ovat voimassa korkeintaan kuusi kuukautta, eivätkä ne oikeuta pääsemään luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluviin tietoihin. Kaikkien henkilöiden, joille on myönnetty tilapäinen lupa, on kirjallisesti vakuutettava ymmärtävänsä velvollisuutensa suojata EU:n turvallisuusluokitellut tiedot sekä seuraukset, jos EU:n turvallisuusluokitellut tiedot vaarantuvat. EUH rekisteröi tällaiset kirjalliset vakuutukset.
                  
               
                  
                     29.
                  
                  
                     Jos henkilö on määrä asettaa tehtävään, joka edellyttää yhtä tasoa korkeamman tason henkilöturvallisuusselvitystä kuin hänellä on entuudestaan, tehtävään asettaminen voidaan tehdä väliaikaisesti edellyttäen, että
                     
                                 a)
                              
                              
                                 henkilön esimies perustelee kirjallisesti pakottavan tarpeen päästä korkeamman turvallisuusluokan EU:n turvallisuusluokiteltuihin tietoihin;
                              
                           
                                 b)
                              
                              
                                 pääsy rajataan koskemaan tiettyjä erikseen määriteltyjä EU:n turvallisuusluokiteltuja tietoja tehtävän edellyttämällä tavalla;
                              
                           
                                 c)
                              
                              
                                 henkilöllä on voimassa oleva henkilöturvallisuusselvitys;
                              
                           
                                 d)
                              
                              
                                 on ryhdytty toimiin luvan saamiseksi tietoihin pääsyä varten tehtävän edellyttämällä tasolla;
                              
                           
                                 e)
                              
                              
                                 toimivaltainen viranomainen on riittävin tarkistuksin varmistanut, että henkilö ei ole vakavasti tai toistuvasti rikkonut turvallisuusmääräyksiä;
                              
                           
                                 f)
                              
                              
                                 toimivaltainen EUH:n viranomainen on hyväksyy henkilön asettamisen tehtävään;
                              
                           
                                 g)
                              
                              
                                 henkilön henkilöturvallisuusselvityksen myöntänyttä kansallista tai nimettyä turvallisuusviranomaista on kuultu eikä esteitä ole ilmennyt; ja
                              
                           
                                 h)
                              
                              
                                 asiasta vastaavassa keskuskirjaamossa tai alakirjaamossa säilytetään tieto poikkeuksesta ja kuvaus tiedoista, joihin pääsy on hyväksytty.
                              
                           
               
                  
                     30.
                  
                  
                     Edellä kuvattua menettelyä on käytettävä myönnettäessä henkilölle kertaluonteisesti pääsy EU:n turvallisuusluokiteltuihin tietoihin, jotka on luokiteltu yhtä turvallisuusluokkaa korkeammalle kuin se, jota hänen turvallisuusselvityksensä koskee. Tätä menettelyä ei saa käyttää toistuvasti.
                  
               
                  
                     31.
                  
                  
                     Erittäin poikkeuksellisissa olosuhteissa, kuten toteutettaessa operaatioita vihamielisessä ympäristössä tai kasvavien kansainvälisten jännitteiden aikana, korkea edustaja, EUH:n turvallisuusviranomainen tai budjetista ja hallinnosta vastaava pääosasto voi kiireellisten toimenpiteiden niin edellyttäessä ja erityisesti ihmishenkien pelastamiseksi myöntää mahdollisuuksien mukaan kirjallisesti pääsyn luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluviin tietoihin henkilöille, joilla ei ole vaadittua henkilöturvallisuusselvitystä edellyttäen, että kyseinen lupa on ehdottoman välttämätön. Tällaisesta luvasta on säilytettävä rekisterissä tieto, ja siinä on oltava kuvaus tiedoista, joihin pääsy on hyväksytty.
                  
               
                  
                     32.
                  
                  
                     Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluviin tietoihin kiireellisyyssyistä myönnetty pääsy on rajattava koskemaan EU:n kansalaisia, joille on myönnetty pääsy joko luokkaa TRÈS SECRET UE/EU TOP SECRET vastaavan kansallisen turvallisuusluokan tietoihin tai luokan SECRET UE/EU SECRET tietoihin.
                  
               
                  
                     33.
                  
                  
                     EUH:n turvallisuuskomitealle on ilmoitettava tapauksista, joissa käytetään 31 ja 32 kohdassa esitettyjä menettelyjä.
                  
               
                  
                     34.
                  
                  
                     EUH:n turvallisuuskomitealle on toimitettava vuosittain selvitys tässä jaksossa säädettyjen menettelyjen käytöstä.
                  
               V.   OSALLISTUMINEN EUH:N PÄÄTOIMIPAIKASSA JA UNIONIN EDUSTUSTOISSA PIDETTÄVIIN KOKOUKSIIN
         
                  
                     35.
                  
                  
                     Henkilöiden, joille on annettu tehtäväksi osallistua EUH:n päätoimipaikassa ja unionin edustustoissa pidettäviin kokouksiin, joissa keskustellaan luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvista tiedoista, on ensin esitettävä todiste henkilöturvallisuusselvityksestään. Jäsenvaltioiden edustajien sekä neuvoston pääsihteeristön ja komission virkamiesten osalta asianomaisten viranomaisten on toimitettava henkilöturvallisuusselvitykseen perustuva todistus tai muu todiste henkilöturvallisuusselvityksestä EUH:n turvallisuudesta vastaavalle osastolle tai unionin edustuston turvallisuuskoordinaattorille, tai asianomainen henkilö voi poikkeuksellisesti esittää sen itse. Tarvittaessa voidaan käyttää ajantasaista nimiluetteloa, joka on asianmukainen näyttö henkilöturvallisuusselvityksestä.
                  
               
                  
                     36.
                  
                  
                     Jos henkilön, jonka tehtävät edellyttävät osallistumista EUH:n päätoimipaikassa tai unionin edustustossa pidettäviin kokouksiin, joissa keskustellaan luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluvista tiedoista, henkilöturvallisuusselvitys EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten perutaan, toimivaltaisen viranomaisen on ilmoitettava asiasta EUH:lle.
                  
               VI.   MAHDOLLINEN PÄÄSY EU:N TURVALLISUUSLUOKITELTUIHIN TIETOIHIN
         
                  
                     37.
                  
                  
                     Jos henkilöiden on määrä suorittaa tehtäviä olosuhteissa, joissa heillä voi mahdollisesti olla pääsy luokkaan CONFIDENTIEL UE/EU CONDIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin, heillä on oltava asianmukainen turvallisuusselvitys tai heillä on aina oltava saattaja.
                  
               
                  
                     38.
                  
                  
                     Kuriireilla, vartijoilla ja saattajilla on oltava asiaankuuluvan tason turvallisuusselvitys tai heidän on oltava muulla tavoin asianmukaisesti tutkittuja kansallisten lakien ja asetusten mukaisesti, ja heille on säännöllisin väliajoin selvitettävä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevat turvallisuusmenettelyt ja annettava ohjeet heille uskottujen tai heidän tahattomasti saamiensa tietojen suojaamiseen liittyvistä tehtävistään.
                  
               
      
         LIITE A II
         
            EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN FYYSINEN TURVALLISUUS
         
         I.   JOHDANTO
         
                  
                     1.
                  
                  
                     Tässä liitteessä annetaan liitteessä A olevan 6 artiklan täytäntöönpanosäännökset. Siinä vahvistetaan EU:n turvallisuusluokiteltujen tietojen käsittelyyn ja säilyttämiseen käytettyjen tilojen, rakennusten, toimistojen, huoneiden ja muiden alueiden, myös viestintä- ja tietojärjestelmien sijaintipaikkojen, fyysistä suojaamista koskevat vähimmäisvaatimukset.
                  
               
                  
                     2.
                  
                  
                     Fyysisten turvatoimien tarkoituksena on estää luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin
                     
                                 a)
                              
                              
                                 varmistamalla, että EU:n turvallisuusluokiteltuja tietoja käsitellään ja säilytetään asianmukaisesti;
                              
                           
                                 b)
                              
                              
                                 mahdollistamalla henkilöstön eriyttäminen pääsyssä EU:n turvallisuusluokiteltuihin tietoihin heidän tiedonsaantitarpeensa perusteella ja tarvittaessa heidän turvallisuusselvityksensä perusteella;
                              
                           
                                 c)
                              
                              
                                 ehkäisemällä, estämällä ja havaitsemalla luvattomat toimet; ja
                              
                           
                                 d)
                              
                              
                                 estämällä salaa tai väkisin tapahtuva tunkeutuminen tai viivyttämällä sitä.
                              
                           
               II.   FYYSISTÄ TURVALLISUUTTA KOSKEVAT VAATIMUKSET JA TOIMENPITEET
         
                  
                     3.
                  
                  
                     EUH:n on sovellettava riskinhallintaprosessia EU:n turvallisuusluokiteltujen tietojen suojaamiseksi tiloissaan sen varmistamiseksi, että fyysisen suojelun taso on oikeassa suhteessa arvioituun riskiin. Riskinhallintaprosessissa on otettava huomioon kaikki asiaankuuluvat tekijät, erityisesti seuraavat:
                     
                                 a)
                              
                              
                                 EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka;
                              
                           
                                 b)
                              
                              
                                 EU:n turvallisuusluokiteltujen tietojen muoto ja määrä pitäen mielessä, että niiden suuri määrä tai yhdistäminen voi edellyttää tiukempien suojatoimien toteuttamista;
                              
                           
                                 c)
                              
                              
                                 sellaisten rakennusten tai alueiden ympäristö ja rakenne, joihin on sijoitettu EU:n turvallisuusluokiteltuja tietoja;
                              
                           
                                 d)
                              
                              
                                 tiedusteluanalyysikeskuksen erityisesti unionin edustuston raporttien perusteella laatima kolmatta maata koskeva uhka-arvio; ja
                              
                           
                                 e)
                              
                              
                                 niiden tiedustelupalvelujen muodostama arvioitu uhka, jotka kohdistavat toimiaan EU:hun tai jäsenvaltioihin, ja sabotaasin, terrorismin ja kumouksellisen tai muun rikollisen toiminnan arvioitu uhka.
                              
                           
               
                  
                     4.
                  
                  
                     EUH:n turvallisuusviranomaisen on syvyyssuuntaisen turvallisuuden käsitettä soveltaen määriteltävä asianmukainen fyysisten turvatoimien yhdistelmä. Se voi käsittää yhden tai useampia seuraavista:
                     
                                 a)
                              
                              
                                 kehäsuojaus: fyysinen este, jolla suojattava alue rajataan;
                              
                           
                                 b)
                              
                              
                                 tunkeutumisenhavaitsemisjärjestelmät: kehäsuojauksen tarjoaman turvallisuustason parantamiseksi voidaan käyttää tunkeutumisenhavaitsemisjärjestelmää. Sellaista voidaan käyttää myös huoneissa ja rakennuksissa turvallisuushenkilöstön sijasta tai sen tueksi;
                              
                           
                                 c)
                              
                              
                                 kulunvalvonta: kulunvalvontaa voidaan soveltaa kohteeseen, kohteen yhteen tai useampaan rakennukseen tai rakennuksessa sijaitseviin alueisiin tai huoneisiin. Valvonta voidaan toteuttaa sähköisin tai sähkömekaanisin välinein, turvallisuushenkilöstön ja/tai vastaanottovirkailijan toimesta tai muunlaisin fyysisin keinoin;
                              
                           
                                 d)
                              
                              
                                 turvallisuushenkilöstö: koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä turvallisuushenkilöstöä voidaan ottaa palvelukseen muun muassa tunkeutumista suunnittelevien henkilöiden aikeiden torjumiseksi;
                              
                           
                                 e)
                              
                              
                                 kameravalvonta: turvallisuushenkilöstö voi käyttää kameravalvontaa tapahtumien ja tunkeutumisenhavaitsemisjärjestelmien hälytysten todentamiseksi laajoilla alueilla tai rajatuilla alueilla;
                              
                           
                                 f)
                              
                              
                                 turvavalaistus: mahdolliset tunkeutujat voidaan torjua käyttämällä turvavalaistusta, joka myös mahdollistaa tehokkaan valvonnan joko suoraan turvallisuushenkilöstön toimesta tai välillisesti kameravalvontajärjestelmän avulla; ja
                              
                           
                                 g)
                              
                              
                                 muut asianmukaiset fyysiset toimenpiteet, joiden tarkoituksena on estää tai havaita luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin tai ehkäistä niiden katoaminen tai vahingoittuminen.
                              
                           
               
                  
                     5.
                  
                  
                     EUH:n turvallisuudesta vastaava osasto voi tehdä sisääntulo- ja uloskäyntitarkastuksia, joiden tarkoituksena on estää aineiston luvaton tuominen tiloihin tai rakennuksiin tai EU:n turvallisuusluokiteltujen tietojen luvaton vieminen niistä.
                  
               
                  
                     6.
                  
                  
                     Jos EU:n turvallisuusluokiteltuihin tietoihin kohdistuu salakatselun riski, vahingossa tapahtuva salakatselu mukaan lukien, sen torjumiseksi on toteutettava aiheelliset toimenpiteet.
                  
               
                  
                     7.
                  
                  
                     Uusien toimitilojen osalta fyysistä turvallisuutta koskevien vaatimusten ja niiden toiminnallisten eritelmien määrittelyn on oltava osa toimitilojen suunnittelua ja rakenteita. Olemassa olevien toimitilojen osalta fyysistä turvallisuutta koskevat vaatimukset on pantava täytäntöön mahdollisimman täydellisesti.
                  
               III.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN FYYSISEEN SUOJELUUN TARKOITETUT LAITTEET
         
                  
                     8.
                  
                  
                     Hankittaessa EU:n turvallisuusluokiteltujen tietojen fyysiseen suojeluun tarkoitettuja laitteita (esim. turvakaappeja, paperisilppureita, ovilukkoja, elektronisia kulunvalvontajärjestelmiä, tunkeutumisenhavaitsemisjärjestelmiä ja hälytysjärjestelmiä) EUH:n turvallisuusviranomaisen on varmistettava, että ne ovat hyväksyttyjen teknisten standardien ja vähimmäisvaatimusten mukaisia.
                  
               
                  
                     9.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen fyysiseen suojeluun käytettävien laitteiden tekniset eritelmät on esitettävä turvallisuusohjeissa, jotka EUH:n turvallisuuskomitea hyväksyy.
                  
               
                  
                     10.
                  
                  
                     Turvallisuusjärjestelmät on tarkastettava määräajoin, ja laitteet on huollettava säännöllisesti. Huolto on tehtävä tarkastusten tulokset huomioon ottaen, jotta varmistetaan laitteiden optimaalinen toiminta myös jatkossa.
                  
               
                  
                     11.
                  
                  
                     Yksittäisten turvatoimien ja koko turvallisuusjärjestelmän tehokkuus on arvioitava uudelleen kunkin tarkastuksen yhteydessä.
                  
               IV.   FYYSISESTI SUOJATUT ALUEET
         
                  
                     12.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen fyysiseksi suojaamiseksi on perustettava kahdentyyppisiä fyysisesti suojattuja alueita tai vastaavia kansallisia alueita:
                     
                                 a)
                              
                              
                                 hallinnollisia alueita; ja
                              
                           
                                 b)
                              
                              
                                 turva-alueita (mukaan lukien teknisesti suojatut turva-alueet).
                              
                           
               
                  
                     13.
                  
                  
                     EUH:n turvallisuusviranomaisen on todettava, että alue täyttää vaatimukset, jotka koskevat hallinnolliseksi alueeksi, turva-alueeksi tai teknisesti suojatuksi turva-alueeksi nimeämistä.
                  
               
                  
                     14.
                  
                  
                     Hallinnollisiin alueisiin sovelletaan seuraavaa:
                     
                                 a)
                              
                              
                                 alueella on oltava selkeästi määritellyt näkyvät rajat, joilla henkilöt ja mahdollisuuksien mukaan ajoneuvot voidaan tarkastaa;
                              
                           
                                 b)
                              
                              
                                 vain EUH:n turvallisuudesta vastaavan osaston asianmukaisesti valtuuttamilla henkilöillä on pääsy alueelle ilman saattajaa; ja
                              
                           
                                 c)
                              
                              
                                 kaikilla muilla henkilöillä on oltava aina saattaja tai heille on tehtävä vastaavat tarkastukset.
                              
                           
               
                  
                     15.
                  
                  
                     Turva-alueisiin sovelletaan seuraavaa:
                     
                                 a)
                              
                              
                                 alueella on oltava selkeästi määritellyt ja suojatut rajat, joilla kaikkea kulkua sisään ja ulos valvotaan kulkuluvin tai henkilökohtaisesti tunnistamalla;
                              
                           
                                 b)
                              
                              
                                 pääsy alueelle ilman saattajaa on vain henkilöillä, joilla on asianmukainen turvallisuusselvitys ja erityinen lupa tulla alueelle tiedonsaantitarpeensa perusteella;
                              
                           
                                 c)
                              
                              
                                 kaikilla muilla henkilöillä on oltava aina saattaja tai heille on tehtävä vastaavat tarkastukset.
                              
                           
               
                  
                     16.
                  
                  
                     Jos turva-alueelle tulo merkitsee käytännössä välitöntä pääsyä siellä sijaitseviin turvallisuusluokiteltuihin tietoihin, sovelletaan lisäksi seuraavia vaatimuksia:
                     
                                 a)
                              
                              
                                 alueella tavallisesti säilytettävien tietojen korkein turvallisuusluokka on ilmoitettava selvästi;
                              
                           
                                 b)
                              
                              
                                 kaikilla vierailijoilla on oltava erityinen lupa tulla alueelle, heillä on koko ajan oltava saattaja ja heidän on oltava asianmukaisesti turvallisuusselvitettyjä, paitsi jos on toteutettu toimenpiteitä sen varmistamiseksi, ettei EU:n turvallisuusluokiteltuihin tietoihin ole mahdollista päästä;
                              
                           
                                 c)
                              
                              
                                 elektroniset laitteet on jätettävä alueen ulkopuolelle.
                              
                           
               
                  
                     17.
                  
                  
                     Salakuuntelulta suojatut turva-alueet on nimettävä teknisesti suojatuiksi turva-alueiksi. Tällöin sovelletaan seuraavia lisävaatimuksia:
                     
                                 a)
                              
                              
                                 alueilla on oltava tunkeutumisenhavaitsemisjärjestelmä, ne on pidettävä lukittuina silloin, kun niitä ei käytetä, ja niitä on vartioitava silloin, kun ne ovat käytössä. Avaimia on valvottava tämän liitteen VI jakson mukaisesti;
                              
                           
                                 b)
                              
                              
                                 alueille tulevia henkilöitä ja niille tuotavaa aineistoa on valvottava;
                              
                           
                                 c)
                              
                              
                                 alueet on tarkastettava fyysisesti ja/tai teknisesti säännöllisin väliajoin EUH:n turvallisuusviranomaisen edellyttämällä tavalla. Tällaiset tarkastukset on suoritettava myös aina, kun on tapahtunut luvaton sisääntulo tai sellaista epäillään; ja
                              
                           
                                 d)
                              
                              
                                 alueilla ei saa olla luvattomia tietoliikenneyhteyksiä, puhelimia tai muita luvattomia viestintävälineitä eikä sähkö- tai elektronisia laitteita.
                              
                           
               
                  
                     18.
                  
                  
                     Sen estämättä, mitä 17 kohdan d alakohdassa säädetään, EUH:n turvallisuusviranomaisen on tarkastettava kaikki viestintä-, sähkö- ja elektroniset laitteet ennen kuin niitä käytetään alueilla, joilla pidetään luokkaan SECRET UE/EU SECRET tai sitä korkeampaan luokkaan kuuluviin tietoihin liittyviä kokouksia tai tehdään tällaisiin tietoihin liittyvää työtä, silloin kun EU:n turvallisuusluokiteltuihin tietoihin kohdistuva uhka arvioidaan suureksi, ja näin varmistettava, ettei tällaisilla laitteilla voi tahattomasti tai laittomasti siirtää ymmärrettävässä muodossa olevia tietoja turva-alueen rajojen ulkopuolelle.
                  
               
                  
                     19.
                  
                  
                     Turva-alueet, joilla ei ole päivystävää henkilöstöä vuorokauden ympäri, on tarvittaessa tarkastettava normaalin työajan päätteeksi ja satunnaisin väliajoin sen ulkopuolella, paitsi jos alueelle on asennettu tunkeutumisenhavaitsemisjärjestelmä.
                  
               
                  
                     20.
                  
                  
                     Turva-alueita ja teknisesti suojattuja turva-alueita voidaan perustaa tilapäisesti hallinnolliselle alueelle luottamuksellista kokousta tai muuta vastaavaa tarkoitusta varten.
                  
               
                  
                     21.
                  
                  
                     Kullekin turva-alueelle on laadittava turvamenettelyt, joissa on määräykset seuraavista:
                     
                                 a)
                              
                              
                                 alueella mahdollisesti käsiteltävien ja säilytettävien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka;
                              
                           
                                 b)
                              
                              
                                 toteutettavat valvonta- ja suojatoimet;
                              
                           
                                 c)
                              
                              
                                 henkilöt, joilla on pääsy alueelle ilman saattajaa tiedonsaantitarpeensa ja turvallisuusselvityksensä perusteella;
                              
                           
                                 d)
                              
                              
                                 tarvittaessa menettelyt saattajien käyttämiseksi tai EU:n turvallisuusluokiteltujen tietojen suojaamiseksi silloin, kun muille henkilöille myönnetään pääsy alueelle;
                              
                           
                                 e)
                              
                              
                                 muut asiaankuuluvat toimenpiteet ja menettelyt.
                              
                           
               
                  
                     22.
                  
                  
                     Turva-alueille on rakennettava kassaholveja. EUH:n turvallisuusviranomainen hyväksyy seinät, lattiat, katot, ikkunat ja lukittavat ovet, joiden on tarjottava sama suojan taso kuin samalle tasolle luokiteltujen EU:n turvallisuusluokiteltujen tietojen säilyttämiseen hyväksytyt turvakaapit.
                  
               V.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN KÄSITTELYSSÄ JA SÄILYTTÄMISESSÄ NOUDATETTAVAT FYYSISET SUOJATOIMET
         
                  
                     23.
                  
                  
                     Luokkaan RESTREINT UE/EU RESTRICTED kuuluvia EU:n turvallisuusluokiteltuja tietoja saa käsitellä
                     
                                 a)
                              
                              
                                 turva-alueella;
                              
                           
                                 b)
                              
                              
                                 hallinnollisella alueella, jos pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; tai
                              
                           
                                 c)
                              
                              
                                 turva-alueen tai hallinnollisen alueen ulkopuolella, jos tietojen haltija kuljettaa EU:n turvallisuusluokiteltuja tietoja liitteessä A III olevien 30–42 kohdan mukaisesti ja jos hän on sitoutunut noudattamaan EUH:n turvallisuusviranomaisen antamissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta.
                              
                           
               
                  
                     24.
                  
                  
                     Luokkaan RESTREINT UE/EU RESTRICTED kuuluvat EU:n turvallisuusluokitellut tiedot on säilytettävä soveltuvissa lukituissa toimistokalusteissa hallinnollisella alueella tai turva-alueella. Niitä voidaan tilapäisesti säilyttää turva-alueen tai hallinnollisen alueen ulkopuolella, jos tietojen haltija on sitoutunut noudattamaan EUH:n turvallisuusviranomaisen antamissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä.
                  
               
                  
                     25.
                  
                  
                     Luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvia EU:n turvallisuusluokiteltuja tietoja saa käsitellä
                     
                                 a)
                              
                              
                                 turva-alueella;
                              
                           
                                 b)
                              
                              
                                 hallinnollisella alueella, jos pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta; tai
                              
                           
                                 c)
                              
                              
                                 turva-alueen tai hallinnollisen alueen ulkopuolella, jos haltija
                                 
                                             i)
                                          
                                          
                                             kuljettaa EU:n turvallisuusluokiteltuja tietoja liitteessä A III olevien 30–42 kohdan mukaisesti;
                                          
                                       
                                             ii)
                                          
                                          
                                             on sitoutunut noudattamaan EUH:n turvallisuusviranomaisen antamissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin on suojattu sivullisilta;
                                          
                                       
                                             iii)
                                          
                                          
                                             pitää EU:n turvallisuusluokitellut tiedot kaikkina aikoina henkilökohtaisessa valvonnassaan; ja
                                          
                                       
                                             iv)
                                          
                                          
                                             on ilmoittanut asiasta asiaankuuluvalle kirjaamolle, jos kyseessä ovat paperiset asiakirjat.
                                          
                                       
                           
               
                  
                     26.
                  
                  
                     Luokkiin CONFIDENTIEL UE/EU CONFIDENTIAL ja SECRET UE/EU SECRET kuuluvat EU:n turvallisuusluokitellut tiedot on säilytettävä turva-alueella turvakaapissa tai kassaholvissa.
                  
               
                  
                     27.
                  
                  
                     Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvia EU:n turvallisuusluokiteltuja tietoja on käsiteltävä turva-alueella.
                  
               
                  
                     28.
                  
                  
                     Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvia EU:n turvallisuusluokiteltuja tietoja on säilytettävä päätoimipaikassa turva-alueella joko
                     
                                 a)
                              
                              
                                 8 kohdan mukaisessa turvakaapissa soveltaen yhtä tai useampaa seuraavista lisävalvontatoimista:
                                 
                                             i)
                                          
                                          
                                             jatkuva suojaus tai turvallisuusselvitetyn turvallisuushenkilöstön tai päivystyshenkilöstön tarkastukset;
                                          
                                       
                                             ii)
                                          
                                          
                                             hyväksytty tunkeutumisenhavaitsemisjärjestelmä ja hälytyksiin vastaava turvallisuushenkilöstö;
                                          
                                       tai
                              
                           
                                 b)
                              
                              
                                 tunkeutumisenhavaitsemisjärjestelmällä varustetussa kassaholvissa, minkä lisäksi turvallisuushenkilöstö vastaa hälytyksiin.
                              
                           
               
                  
                     29.
                  
                  
                     Säännöt, jotka koskevat EU:n turvallisuusluokiteltujen tietojen kuljettamista fyysisesti suojattujen alueiden ulkopuolella, esitetään liitteessä A III.
                  
               VI.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMISEEN KÄYTETTYJEN AVAINTEN JA NUMEROYHDISTELMIEN VALVONTA
         
                  
                     30.
                  
                  
                     EUH:n turvallisuusviranomaisen on määriteltävä toimistojen, huoneiden, kassaholvien ja turvakaappien avainten ja numeroyhdistelmien hallintamenettelyt. Näillä menettelyillä ne suojataan sivullisilta.
                  
               
                  
                     31.
                  
                  
                     Numeroyhdistelmät on opeteltava ulkoa, ja ne annetaan mahdollisimman pienelle joukolle ihmisiä, joiden tarvitsee tietää ne. EU:n turvallisuusluokiteltuja tietoja sisältävien turvakaappien ja kassaholvien numeroyhdistelmät on vaihdettava
                     
                                 a)
                              
                              
                                 uuden turvakaapin vastaanoton yhteydessä;
                              
                           
                                 b)
                              
                              
                                 aina, kun numeroyhdistelmän tuntevassa henkilöstössä tapahtuu muutos;
                              
                           
                                 c)
                              
                              
                                 aina, kun tiedot ovat vaarantuneet tai niiden epäillään vaarantuneen;
                              
                           
                                 d)
                              
                              
                                 kun lukko on huollettu tai korjattu; ja
                              
                           
                                 e)
                              
                              
                                 vähintään 12 kuukauden välein.
                              
                           
               
      
         LIITE A III
         
            TURVALLISUUSLUOKITELTUJEN TIETOJEN HALLINTA
         
         I.   JOHDANTO
         
                  
                     1.
                  
                  
                     Tässä liitteessä annetaan liitteessä A olevan 7 artiklan täytäntöönpanosäännökset. Siinä vahvistetaan hallinnolliset toimenpiteet EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan, jotta voidaan estää ja havaita tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen ja korjata näin aiheutunut tilanne.
                  
               II.   TURVALLISUUSLUOKITTELUN HALLINTA
         
            Turvallisuusluokat ja -merkinnät
         
         
                  
                     2.
                  
                  
                     Tiedot turvallisuusluokitellaan, jos niiden luottamuksellisuus on suojattava.
                  
               
                  
                     3.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen luovuttaja vastaa tietojen turvallisuusluokan määrittelystä luokitusohjeiden mukaisesti sekä niiden jakelusta.
                  
               
                  
                     4.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka määritellään liitteessä A olevan 2 artiklan 2 kohdan mukaisesti ja soveltaen turvallisuusohjeita, jotka hyväksytään liitteessä A olevan 3 artiklan 3 kohdan mukaisesti.
                  
               
                  
                     5.
                  
                  
                     Turvallisuusluokitelluille tiedoille, joita jäsenvaltiot ovat vaihtaneet EUH:n kanssa, annetaan sama suojaustaso kuin EU:n vastaavantasoisille turvallisuusluokitelluille tiedoille. Turvallisuusluokkien vastaavuustaulukko esitetään tämän päätöksen lisäyksessä B.
                  
               
                  
                     6.
                  
                  
                     Turvallisuusluokka sekä soveltuvin osin ajankohta tai tietty tapahtuma, jonka jälkeen tietojen turvallisuusluokka voidaan alentaa tai poistaa, on merkittävä selkeästi ja oikein riippumatta siitä, ovatko EU:n turvallisuusluokitellut tiedot paperisia, suullisia, sähköisiä tai jossakin muussa muodossa.
                  
               
                  
                     7.
                  
                  
                     Tietyn asiakirjan yksittäiset osat (sivut, kohdat, jaksot, liitteet, lisäykset ja saatteet) saattavat edellyttää eri turvallisuusluokkia, ja ne on merkittävä sen mukaisesti, myös sähköisesti tallennettaessa.
                  
               
                  
                     8.
                  
                  
                     Asiakirja, joka sisältää eri turvallisuusluokkiin kuuluvia osia, on mahdollisuuksien mukaan laadittava niin, että eri turvallisuusluokkiin kuuluvat osat voidaan helposti tunnistaa ja tarvittaessa erottaa toisistaan.
                  
               
                  
                     9.
                  
                  
                     Koko asiakirjan tai tiedoston turvallisuusluokan on oltava vähintään yhtä korkea kuin sen korkeimpaan turvallisuusluokkaan määritellyn osan turvallisuusluokka. Jos eri lähteistä peräisin olevia tietoja yhdistetään, lopputuotetta on tarkasteltava uudelleen sen turvallisuusluokan määrittämiseksi, koska se voi edellyttää korkeampaa turvallisuusluokkaa kuin sen muodostavat osat.
                  
               
                  
                     10.
                  
                  
                     Oheisasiakirjoja sisältävän kirjeen tai tiedonannon turvallisuusluokan on oltava yhtä korkea kuin sen oheisasiakirjojen korkein turvallisuusluokka. Luovuttajan on ilmoitettava oheisasiakirjoistaan irrotetun asiakirjan turvallisuusluokka selvästi asiaankuuluvalla merkinnällä esimerkiksi näin:
                     CONFIDENTIEL UE/EU CONFIDENTIAL
                     Ilman liitteitä RESTREINT UE/EU RESTRICTED
                  
               
            Merkinnät
         
         
                  
                     11.
                  
                  
                     Liitteessä A olevan 2 artiklan 2 kohdassa säädettyjen turvallisuusluokitusmerkintöjen lisäksi EU:n turvallisuusluokitelluissa tiedoissa voi olla muita merkintöjä, esimerkiksi
                     
                                 a)
                              
                              
                                 tunniste, josta käy ilmi tietojen luovuttaja;
                              
                           
                                 b)
                              
                              
                                 varoitus, koodisana tai lyhenne, jolla tarkennetaan asiakirjan aihealue, erityisjakelu tiedonsaantitarpeen perusteella tai käyttörajoitukset;
                              
                           
                                 c)
                              
                              
                                 tietojen luovutettavuutta koskeva merkintä.
                              
                           
               
                  
                     12.
                  
                  
                     Kun EU:n turvallisuusluokiteltujen tietojen luovuttamisesta kolmannelle maalle tai kansainväliselle järjestölle on tehty päätös, EUH:n turvallisuudesta vastaava osasto toimittaa asianomaiset turvallisuusluokitellut tiedot, joiden luovutettavuutta koskevassa merkinnässä mainitaan kolmas valtio tai kansainvälinen järjestö, jolle ne luovutetaan.
                  
               
                  
                     13.
                  
                  
                     EUH:n turvallisuusviranomainen hyväksyy luettelon sallituista merkinnöistä.
                  
               
            Turvallisuusluokitusmerkintöjen lyhenteet
         
         
                  
                     14.
                  
                  
                     Tekstin yksittäisten kappaleiden turvallisuusluokan ilmaisemiseen voidaan käyttää vakiomuotoisia turvallisuusluokitusmerkintöjen lyhenteitä. Ne eivät korvaa täydellisiä turvallisuusluokitusmerkintöjä.
                  
               
                  
                     15.
                  
                  
                     EU:n turvallisuusluokitelluissa asiakirjoissa voidaan käyttää seuraavia vakiomuotoisia lyhenteitä, joilla ilmoitetaan alle sivun mittaisten jaksojen tai tekstiosuuksien turvallisuusluokka:
                     
                                 TRÈS SECRET UE/EU TOP SECRET
                              
                              
                                 TS-UE/EU-TS
                              
                           
                                 SECRET UE/EU SECRET
                              
                              
                                 S-UE/EU-S
                              
                           
                                 CONFIDENTIEL UE/EU CONFIDENTIAL
                              
                              
                                 C-UE/EU-C
                              
                           
                                 RESTREINT UE/EU RESTRICTED
                              
                              
                                 R-UE/EU-R
                              
                           
               
            EU:n turvallisuusluokiteltujen tietojen tuottaminen
         
         
                  
                     16.
                  
                  
                     EU:n turvallisuusluokiteltua asiakirjaa laadittaessa
                     
                                 a)
                              
                              
                                 turvallisuusluokka on merkittävä selvästi kullekin sivulle;
                              
                           
                                 b)
                              
                              
                                 kukin sivu on numeroitava;
                              
                           
                                 c)
                              
                              
                                 asiakirjassa on oltava viitenumero ja aihe, joka ei ole turvallisuusluokiteltua tietoa, ellei sitä ole merkitty sellaiseksi;
                              
                           
                                 d)
                              
                              
                                 asiakirja on päivättävä;
                              
                           
                                 e)
                              
                              
                                 luokkaan SECRET UE/EU SECRET tai sitä korkeampaan luokkaan kuuluvien asiakirjojen jokaiselle sivulle on merkittävä jäljennöksen numero, jos ne on tarkoitus jakaa useampana kappaleena.
                              
                           
               
                  
                     17.
                  
                  
                     Jos EU:n turvallisuusluokiteltuihin tietoihin ei voida soveltaa 16 kohtaa, on toteutettava muita aiheellisia toimenpiteitä tämän päätöksen nojalla laadittavien turvallisuusohjeiden mukaisesti.
                  
               
            EU:n turvallisuusluokiteltujen tietojen turvallisuusluokan alentaminen ja poistaminen
         
         
                  
                     18.
                  
                  
                     Tietoja tuottaessaan luovuttajan on mahdollisuuksien mukaan ja erityisesti luokkaan RESTREINT UE/EU RESTRICTED kuuluvien tietojen osalta ilmoitettava, voidaanko EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaa alentaa tai voidaanko se poistaa tiettynä päivänä tai tietyn tapahtuman jälkeen.
                  
               
                  
                     19.
                  
                  
                     EUH:n on tarkistettava hallussaan olevat EU:n turvallisuusluokitellut tiedot säännöllisesti sen varmistamiseksi, että niiden turvallisuusluokka on edelleen asianmukainen. EUH:n on perustettava järjestelmä sen luovuttamien kirjattujen EU:n turvallisuusluokiteltujen tietojen turvallisuusluokan tarkistamiseksi vähintään viiden vuoden välein. Tarkistaminen ei ole tarpeen, jos tietojen luovuttaja on alun perin ilmoittanut tietyn ajankohdan, jona tietojen turvallisuusluokkaa alennetaan tai se poistetaan ilman eri toimenpiteitä, ja jos tiedot on merkitty tämän mukaisesti.
                  
               III.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN KIRJAAMINEN TURVALLISUUSSYISTÄ
         
                  
                     20.
                  
                  
                     Päätoimipaikkaan perustetaan keskuskirjaamo. Kaikkiin EUH:n organisaatioyksiköihin, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään, on perustettava vastuullinen alakirjaamo sen varmistamiseksi, että EU:n turvallisuusluokiteltuja tietoja käsitellään tämän päätöksen mukaisesti. Kirjaamot on perustettava turva-alueiksi liitteessä A olevan määritelmän mukaisesti.
                     Kukin unionin edustusto perustaa oman EU:n turvallisuusluokiteltujen tietojen kirjaamon.
                     EUH:n turvallisuusviranomainen nimittää näille kirjaamoille ylikirjaajan.
                  
               
                  
                     21.
                  
                  
                     Tässä päätöksessä tietojen kirjaamisella turvallisuussyistä, jäljempänä ’kirjaaminen’, tarkoitetaan sellaisten menettelyjen soveltamista, joilla kirjataan tietojen elinkaari, myös niiden jakelu ja hävittäminen. Jos kyseessä on viestintä- ja tietojärjestelmä, kirjaamismenettelyt voidaan suorittaa järjestelmän omia prosesseja soveltaen.
                  
               
                  
                     22.
                  
                  
                     Kaikki luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluva aineisto on kirjattava, kun se saapuu organisaatioyksikköön tai lähtee siitä, unionin edustustot mukaan lukien. Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvat tiedot on kirjattava niille tarkoitetuissa kirjaamoissa.
                  
               
                  
                     23.
                  
                  
                     EUH:n päätoimipaikan keskuskirjaamo on kolmansien maiden ja kansainvälisten järjestöjen kanssa vaihdettavien turvallisuusluokiteltujen tietojen pääasiallinen saapumis- ja lähtöpaikka. Se pitää kirjaa kaikesta tällaisesta tietojen vaihdosta.
                  
               
                  
                     24.
                  
                  
                     EUH:n turvallisuusviranomainen hyväksyy EU:n turvallisuusluokiteltujen tietojen kirjaamista turvallisuussyistä koskevat turvallisuusohjeet tämän päätöksen 14 artiklan mukaisesti.
                  
               
            Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvien tietojen kirjaamot
         
         
                  
                     25.
                  
                  
                     EUH:n päätoimipaikkaan on nimettävä keskuskirjaamo, joka toimii luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvien tietojen keskitettynä vastaanottaja- ja lähettäjäviranomaisena. Tarvittaessa voidaan nimetä alakirjaamoja tällaisten tietojen kirjaamiseksi.
                  
               
                  
                     26.
                  
                  
                     Luokan TRÈS SECRET UE/EU TOP SECRET asiakirjoja ei saa siirtää suoraan saman TRÈS SECRET UE /EU TOP SECRET -keskuskirjaamon alakirjaamosta muihin alakirjaamoihin tai niiden ulkopuolelle ilman keskuskirjaamon nimenomaista kirjallista hyväksyntää.
                  
               IV.   EU:N TURVALLISUUSLUOKITELTUJEN ASIAKIRJOJEN JÄLJENTÄMINEN JA KÄÄNTÄMINEN
         
                  
                     27.
                  
                  
                     Luokan TRÈS SECRET UE/EU TOP SECRET asiakirjoja ei saa jäljentää eikä kääntää ilman luovuttajan kirjallista etukäteissuostumusta.
                  
               
                  
                     28.
                  
                  
                     Jos luokan SECRET UE/EU SECRET tai sitä alemman luokan asiakirjojen luovuttaja ei ole kieltänyt jäljentämästä tai kääntämästä asiakirjoja, ne voidaan jäljentää tai kääntää niiden haltijan pyynnöstä.
                  
               
                  
                     29.
                  
                  
                     Jäljennöksiin ja käännöksiin on sovellettava alkuperäistä asiakirjaa koskevia turvatoimia. Jäljennöksiä luokan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä ylemmän luokan asiakirjoista saa tuottaa vain asianomainen (ala)kirjaamo varmennetulla kopiokoneella. Jäljennökset on kirjattava.
                  
               V.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN KULJETTAMINEN
         
                  
                     30.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen kuljettamiseen sovelletaan 32–42 kohdassa esitettyjä suojatoimia. Jos EU:n turvallisuusluokiteltuja tietoja kuljetetaan sähköisillä tallennusvälineillä ja sen estämättä, mitä liitteessä A olevan 7 artiklan 4 kohdassa säädetään, jäljempänä esitettyjä suojatoimia voidaan täydentää EUH:n turvallisuusviranomaisen määräämillä asianmukaisilla teknisillä vastatoimenpiteillä tietojen katoamisen tai vaarantumisen riskin minimoimiseksi.
                  
               
                  
                     31.
                  
                  
                     EUH:n turvallisuusviranomaisen on annettava ohjeet EU:n turvallisuusluokiteltujen tietojen kuljettamisesta tämän päätöksen mukaisesti.
                  
               
            Rakennuksen tai suljetun rakennusryhmän sisällä
         
         
                  
                     32.
                  
                  
                     Rakennuksen tai suljetun rakennusryhmän sisällä kuljetettavat EU:n turvallisuusluokitellut tiedot on peitettävä niin, ettei niiden sisältö ole näkyvissä.
                  
               
                  
                     33.
                  
                  
                     Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvia tietoja saavat kuljettaa rakennuksen tai suljetun rakennusryhmän sisällä vain asianmukaisesti turvallisuusselvitetyt henkilöt, ja ne on kuljetettava sinetöidyssä kirjekuoressa, johon on merkitty vain vastaanottajan nimi.
                  
               
            EU:n alueella
         
         
                  
                     34.
                  
                  
                     EU:n alueella rakennusten tai tilojen välillä kuljetettavat EU:n turvallisuusluokitellut tiedot on pakattava niin, että ne on suojattu luvattomalta ilmitulolta.
                  
               
                  
                     35.
                  
                  
                     Korkeintaan luokkaan SECRET UE/EU SECRET kuuluvat tiedot on kuljetettava EU:n alueella jollakin seuraavista tavoista:
                     
                                 a)
                              
                              
                                 käyttämällä tapauksen mukaan sotilaskuriiria, valtion kuriiria tai diplomaattikuriiria;
                              
                           
                                 b)
                              
                              
                                 henkilökohtaisesti, jos
                                 
                                             i)
                                          
                                          
                                             EU:n turvallisuusluokitellut tiedot ovat koko ajan kuljettajansa hallussa, paitsi jos ne on tallennettu liitteessä A II säädettyjen vaatimusten mukaisesti;
                                          
                                       
                                             ii)
                                          
                                          
                                             EU:n turvallisuusluokiteltuja tietoja ei avata matkalla eikä lueta julkisilla paikoilla;
                                          
                                       
                                             iii)
                                          
                                          
                                             henkilöillä on asianmukainen turvallisuusselvitys, ja heille selvitetään heidän turvallisuutta koskeva vastuunsa;
                                          
                                       
                                             iv)
                                          
                                          
                                             henkilöille annetaan tarvittaessa kuriiritodistus;
                                          
                                       
                           
                                 c)
                              
                              
                                 postipalvelujen tai kaupallisten kuriiripalvelujen välityksellä, jos
                                 
                                             i)
                                          
                                          
                                             asiaankuuluva kansallinen turvallisuusviranomainen on hyväksynyt ne kansallisten lakien ja asetusten mukaisesti;
                                          
                                       
                                             ii)
                                          
                                          
                                             ne soveltavat asianmukaisia suojatoimia tämän päätöksen 21 artiklan 1 kohdan nojalla laadittavissa turvallisuusohjeissa vahvistettavien vähimmäisvaatimusten mukaisesti.
                                          
                                       
                           Kuljetettaessa tietoja jäsenvaltiosta toiseen c alakohdan säännökset koskevat korkeintaan luokkaan CONFIDENTIEL UE/EU CONDIFENTIAL kuuluvia tietoja.
                  
               
                  
                     36.
                  
                  
                     Luokan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET aineisto (esim. laitteet tai koneet), jota ei voida kuljettaa 34 kohdassa tarkoitetuilla tavoilla, on kuljetettava rahtina kaupallisten rahdinkuljettajien välityksellä liitteen A V mukaisesti.
                  
               
                  
                     37.
                  
                  
                     Rakennusten tai tilojen välillä EU:n alueella tapahtuvassa luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvien tietojen kuljetuksessa on tapauksen mukaan käytettävä sotilaskuriiria, valtion kuriiria tai diplomaattikuriiria.
                  
               
            EU:sta kolmannen maan alueelle tai EU:n yksikköjen välillä kolmansissa maissa
         
         
                  
                     38.
                  
                  
                     EU:sta kolmannen maan alueelle tai EU:n yksikköjen välillä kolmansissa maissa kuljetettavat EU:n turvallisuusluokitellut tiedot on pakattava niin, että ne on suojattu luvattomalta ilmitulolta.
                  
               
                  
                     39.
                  
                  
                     Luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvat tiedot, joita kuljetetaan EU:sta kolmannen maan alueelle, ja korkeintaan luokkaan SECRET UE/EU SECRET kuuluvat EU:n turvallisuusluokitellut tiedot, joita kuljetetaan EU:n yksikköjen välillä kolmansissa maissa, on kuljetettava jollakin seuraavista tavoista:
                     
                                 a)
                              
                              
                                 käyttämällä sotilas- tai diplomaattikuriiria;
                              
                           
                                 b)
                              
                              
                                 henkilökohtaisesti, jos
                                 
                                             i)
                                          
                                          
                                             pakkauksessa on virallinen sinetti tai siitä käy ilmi, että kyseessä on virallinen lähetys, jolle ei tehdä tulli- eikä turvallisuustarkastusta;
                                          
                                       
                                             ii)
                                          
                                          
                                             henkilöillä on kuriiritodistus, jossa yksilöidään pakkaus ja valtuutetaan henkilöt kuljettamaan sitä;
                                          
                                       
                                             iii)
                                          
                                          
                                             EU:n turvallisuusluokitellut tiedot ovat koko ajan kuljettajansa hallussa, paitsi jos ne on tallennettu liitteessä A II säädettyjen vaatimusten mukaisesti;
                                          
                                       
                                             iv)
                                          
                                          
                                             EU:n turvallisuusluokiteltuja tietoja ei avata matkalla eikä lueta julkisilla paikoilla; ja
                                          
                                       
                                             v)
                                          
                                          
                                             henkilöillä on asianmukainen turvallisuusselvitys, ja heille selvitetään heidän turvallisuutta koskeva vastuunsa.
                                          
                                       
                           
               
                  
                     40.
                  
                  
                     Kuljetettaessa EU:n kolmannelle maalle tai kansainväliselle järjestölle luovuttamia luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvia tietoja on noudatettava liitteessä A olevan 10 artiklan 2 kohdan mukaisen tietoturvallisuussopimuksen tai hallinnollisen järjestelyn asiaankuuluvia määräyksiä.
                  
               
                  
                     41.
                  
                  
                     Luokkaan RESTREINT UE/EU RESTRICTED kuuluvia tietoja voidaan kuljettaa EU:sta kolmannen maan alueelle myös postipalvelujen tai kaupallisten kuriiripalvelujen välityksellä.
                  
               
                  
                     42.
                  
                  
                     Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvat tiedot on kuljetettava EU:sta kolmannen valtion alueelle tai EU:n yksikköjen välillä kolmansissa maissa sotilas- tai diplomaattikuriirin välityksellä.
                  
               VI.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN HÄVITTÄMINEN
         
                  
                     43.
                  
                  
                     EU:n turvallisuusluokitellut asiakirjat, joita ei enää tarvita, voidaan hävittää, sanotun kuitenkaan rajoittamatta arkistointia koskevia sääntöjä ja määräyksiä.
                  
               
                  
                     44.
                  
                  
                     Asiakirjat, jotka on kirjattava liitteessä A olevan 7 artiklan 2 kohdan mukaisesti, on hävitettävä niistä vastaavassa kirjaamossa niiden haltijan tai toimivaltaisen viranomaisen määräyksestä. Päiväkirjat ja muut kirjaustiedot on päivitettävä vastaavasti.
                  
               
                  
                     45.
                  
                  
                     Luokan SECRET UE/EU SECRET tai TRÈS SECRET UE/EU TOP SECRET asiakirjojen hävittäminen on suoritettava todistajan läsnä ollessa. Todistajalla on oltava vähintään hävitettävän asiakirjan turvallisuusluokkaa vastaava turvallisuusselvitys.
                  
               
                  
                     46.
                  
                  
                     Sekä kirjaajan että todistajan, jos jälkimmäisen läsnäoloa vaaditaan, on allekirjoitettava hävittämistodistus, joka tallennetaan kirjaamoon. Kirjaamon on säilytettävä luokan TRÈS SECRET UE/EU TOP SECRET asiakirjojen hävittämistodistukset vähintään kymmenen vuoden ajan sekä luokan CONFIDENTIEL UE/EU CONFIDENTIAL ja SECRET UE/EU SECRET asiakirjojen hävittämistodistukset vähintään viiden vuoden ajan.
                  
               
                  
                     47.
                  
                  
                     Turvallisuusluokiteltujen asiakirjojen, myös luokkaan RESTREINT UE/EU RESTRICTED kuuluvien asiakirjojen, hävittämisessä on käytettävä menetelmiä, jotka vastaavat asiaankuuluvia EU:n standardeja tai vastaavia standardeja tai jotka jäsenvaltiot ovat hyväksyneet kansallisten teknisten standardien mukaisesti, jotta voidaan estää asiakirjojen uudelleen kokoaminen kokonaan tai osittain.
                  
               
                  
                     48.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen tallentamiseen käytetyt atk-tallennevälineet on hävitettävä EUH:n turvallisuusviranomaisen hyväksymien menettelyjen mukaisesti.
                  
               VII.   TURVALLISUUSTARKASTUKSET
         
            EUH:n turvallisuustarkastukset
         
         
                  
                     49.
                  
                  
                     Tämän päätöksen 16 artiklan mukaisesti EUH:n turvallisuustarkastukset käsittävät
                     
                                 a)
                              
                              
                                 yleiset turvallisuustarkastukset, joiden tarkoituksena on arvioida EUH:n päätoimipaikan, unionin edustustojen ja kaikkien niistä riippuvaisten tai niihin liittyvien tilojen yleinen turvallisuustaso ja etenkin EUH:n turvallisuusetujen suojaamiseksi toteutettujen turvatoimien tehokkuus;
                              
                           
                                 b)
                              
                              
                                 EU:n turvallisuusluokiteltujen tietojen turvallisuustarkastukset, joiden tarkoituksena on – yleensä hyväksyntää varten – arvioida EUH:n päätoimipaikassa ja unionin edustustoissa EU:n turvallisuusluokiteltujen tietojen suojaamiseksi toteutettujen toimenpiteiden tehokkuus.
                                 Tarkastuksia tehdään muun muassa
                                 
                                             i)
                                          
                                          
                                             sen varmistamiseksi, että tässä päätöksessä säädettyjä EU:n turvallisuusluokiteltujen tietojen suojaamista koskevia vähimmäisvaatimuksia noudatetaan;
                                          
                                       
                                             ii)
                                          
                                          
                                             turvallisuuden ja tehokkaan riskinhallinnan merkityksen korostamiseksi tarkastetuissa yksiköissä;
                                          
                                       
                                             iii)
                                          
                                          
                                             vastatoimien suosittelemiseksi niiden vaikutusten lieventämiseksi, joita turvallisuusluokiteltujen tietojen luottamuksellisuuden, eheyden tai saatavuuden menetyksellä on; ja
                                          
                                       
                                             iv)
                                          
                                          
                                             turvallisuusviranomaisille jatkuvasti tarjolla olevien turvallisuuskoulutukseen ja -tietoisuuteen liittyvien ohjelmien tehostamiseksi.
                                          
                                       
                           
               
            EUH:n turvallisuustarkastusten suorittaminen ja niistä raportointi
         
         
                  
                     50.
                  
                  
                     EUH:n turvallisuustarkastuksia suorittaa EUH:n turvallisuudesta vastaavan osaston tarkastusryhmä, tarvittaessa muiden EU:n toimielinten tai jäsenvaltioiden turvallisuusasiantuntijoiden tuella.
                     Tarkastusryhmän on päästävä kaikkiin paikkoihin, joissa EU:n turvallisuusluokiteltuja tietoja käsitellään, erityisesti kirjaamoihin ja viestintä- ja tietojärjestelmien sijaintipaikkoihin.
                  
               
                  
                     51.
                  
                  
                     EUH:n turvallisuustarkastuksia unionin edustustoissa voidaan suorittaa aina tarvittaessa jäsenvaltioiden kolmansissa maissa sijaitsevien suurlähetystöjen turvallisuusvastaavien tuella.
                  
               
                  
                     52.
                  
                  
                     EUH:n turvallisuusviranomainen hyväksyy ennen kunkin kalenterivuoden päättymistä EUH:n turvallisuustarkastusohjelman seuraavaksi vuodeksi.
                  
               
                  
                     53.
                  
                  
                     EUH:n turvallisuusviranomainen voi järjestää edellä mainittuun ohjelmaan sisältymättömiä turvallisuustarkastuksia aina tarvittaessa.
                  
               
                  
                     54.
                  
                  
                     Tarkastuksen päätteeksi tarkastetulle yksikölle on esitettävä tärkeimmät päätelmät ja suositukset. Tämän jälkeen tarkastusryhmän on laadittava tarkastuksesta raportti. Jos on ehdotettu korjaavia toimia tai annettu suosituksia, niistä on annettava raportissa riittävän yksityiskohtaisia tietoja tehtyjen päätelmien tueksi. Raportti on toimitettava EUH:n turvallisuusviranomaiselle ja tarkastetun yksikön päällikölle.
                     EUH:n turvallisuudesta vastaavan osaston tehtävänä on laatia säännöllisin väliajoin raportti, jossa selostetaan tietyn ajanjakson aikana suoritetuista tarkastuksista saatuja kokemuksia. EUH:n turvallisuuskomitea perehtyy raporttiin.
                  
               
            SEU-sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten turvallisuustarkastusten suorittaminen ja niistä raportointi
         
         
                  
                     55.
                  
                  
                     EUH:n turvallisuudesta vastaava osasto voi tarvittaessa nimetä asiantuntijoita, jotka osallistuvat SEU-sopimuksen V osaston 2 luvun nojalla perustettujen EU:n virastojen ja elinten turvallisuustarkastuksia suorittavien EU:n yhteisten tarkastusryhmien toimintaan.
                  
               
            EUH:n turvallisuustarkastusten tarkistuslista
         
         
                  
                     56.
                  
                  
                     EUH:n turvallisuudesta vastaava osasto laatii listan asioista, jotka on tarkistettava EUH:n turvallisuustarkastuksen aikana, ja pitää sen ajan tasalla. Tarkistuslista on toimitettava EUH:n turvallisuuskomitealle.
                  
               
                  
                     57.
                  
                  
                     Tarkistuslistan täydentämiseen tarvittavat tiedot on varsinkin tarkastuksen aikana hankittava tarkastettavan yksikön turvallisuushallinnolta. Kun tarkistuslista on saatu valmiiksi lisäämällä siihen yksityiskohtaiset vastaukset, sille on määriteltävä turvallisuusluokka tarkastetun yksikön suostumuksella. Lista ei ole osa tarkastusraporttia.
                  
               
      
         LIITE A IV
         
            VIESTINTÄ- JA TIETOJÄRJESTELMISSÄ KÄSITELTÄVIEN EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SUOJAAMINEN
         
         I.   JOHDANTO
         
                  
                     1.
                  
                  
                     Tässä liitteessä annetaan liitteessä A olevan 8 artiklan täytäntöönpanosäännökset.
                  
               
                  
                     2.
                  
                  
                     Seuraavat tietojen turvaamisen ominaisuudet ja käsitteet ovat olennaisia operaatioiden turvallisuuden ja asianmukaisen toiminnan kannalta viestintä- ja tietojärjestelmissä:
                     
                                 Aitous:
                              
                              
                                 tae siitä, että tiedot ovat aitoja ja vilpittömässä mielessä toimivista lähteistä;
                              
                           
                                 Saatavuus:
                              
                              
                                 ominaisuus, että tiedot ovat valtuutetun yksikön saatavilla ja käytettävissä sen pyynnöstä;
                              
                           
                                 Luottamuksellisuus:
                              
                              
                                 ominaisuus, että tietoja ei luovuteta sivullisille henkilöille, yksiköille eikä prosesseille;
                              
                           
                                 Eheys:
                              
                              
                                 ominaisuus, että tietojen ja resurssien oikeellisuus ja täydellisyys turvataan;
                              
                           
                                 Kiistattomuus:
                              
                              
                                 kyky todistaa tietty toimi tai tapahtuma tapahtuneeksi niin, ettei tapahtumaa tai toimea voida myöhemmin kiistää.
                              
                           
               II.   TIEDONTURVAAMISPERIAATTEET
         
                  
                     3.
                  
                  
                     Jäljempänä esitetyt säännökset muodostavat kaikkien EU:n turvallisuusluokiteltuja tietoja käsittelevien viestintä- ja tietojärjestelmien turvallisuuden lähtökohdan. Näiden säännösten täytäntöönpanoa koskevat yksityiskohtaiset vaatimukset määritellään tietojen turvaamista koskevissa turvallisuusohjeissa.
                  
               
            Turvallisuusriskien hallinta
         
         
                  
                     4.
                  
                  
                     Turvallisuusriskien hallinnan on oltava erottamaton osa viestintä- ja tietojärjestelmän määrittelyä, kehittämistä, käyttöä ja ylläpitoa. Riskinhallinta (arviointi, käsittely, hyväksyntä ja viestintä) on toteutettava iteroivana prosessina, johon järjestelmän omistajien edustajien, hankkeesta vastaavien viranomaisten, toiminnasta vastaavien viranomaisten ja turvallisuusjärjestelyt hyväksyvien viranomaisten on yhdessä osallistuttava ja jossa on käytettävä vakiintunutta, avointa ja täysin ymmärrettävää riskinarviointiprosessia. Viestintä- ja tietojärjestelmän laajuus ja resurssit on määriteltävä selkeästi heti riskinhallintaprosessin alussa.
                  
               
                  
                     5.
                  
                  
                     EUH:n toimivaltaisten viranomaisten on tarkasteltava viestintä- ja tietojärjestelmiin mahdollisesti kohdistuvia uhkia ja pidettävä yllä ajantasaisia ja tarkkoja uhka-arvioita, jotka perustuvat vallitsevaan toimintaympäristöön. Niiden on jatkuvasti päivitettävä haavoittuvuustekijöitä koskevia tietojaan ja tarkistettava säännöllisin väliajoin haavoittuvuusarviota mukautuakseen muuttuvaan tietotekniikkaympäristöön.
                  
               
                  
                     6.
                  
                  
                     Turvallisuusriskin hallinnan tavoitteena on toteuttaa turvatoimien yhdistelmä, jolla saadaan aikaan tyydyttävä tasapaino käyttäjien vaatimusten ja turvallisuuteen kohdistuvan jäännösriskin välillä.
                  
               
                  
                     7.
                  
                  
                     Asiaankuuluvan turvallisuusjärjestelyjen hyväksyntäviranomaisen määrittämät viestintä- ja tietojärjestelmän hyväksymisen erityisvaatimukset, laajuus ja yksityiskohtaisuus on suhteutettava arvioituun riskiin ottaen huomioon kaikki asiaankuuluvat tekijät, myös viestintä- ja tietojärjestelmässä käsiteltävien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokka. Hyväksyntään on liitettävä vastuullisen viranomaisen virallinen lausunto jäännösriskistä ja sen hyväksymisestä.
                  
               
            Turvallisuus viestintä- ja tietojärjestelmän koko elinkaaren ajan
         
         
                  
                     8.
                  
                  
                     Turvallisuus on varmistettava viestintä- ja tietojärjestelmän koko elinkaaren ajan sen käyttöönotosta käytöstä poistamiseen.
                  
               
                  
                     9.
                  
                  
                     Jokaisen viestintä- ja tietojärjestelmään osallistuvan toimijan tehtävät ja toimijoiden vuorovaikutus järjestelmän turvallisuuden osalta on määriteltävä elinkaaren kussakin vaiheessa.
                  
               
                  
                     10.
                  
                  
                     Viestintä- ja tietojärjestelmien turvallisuus, myös niiden tekniset ja muut kuin tekniset turvatoimet, on testattava hyväksymisprosessin aikana sen varmistamiseksi, että asianmukainen turvaamistaso saavutetaan, ja sen tarkistamiseksi, että järjestelmät on toteutettu, integroitu ja konfiguroitu oikein.
                  
               
                  
                     11.
                  
                  
                     Turvallisuutta koskevat arvioinnit, tarkastukset ja uudelleentarkastelut on suoritettava määräajoin viestintä- ja tietojärjestelmän käytön ja huollon aikana sekä poikkeuksellisissa olosuhteissa.
                  
               
                  
                     12.
                  
                  
                     Viestintä- ja tietojärjestelmän turvallisuusasiakirjoja on mukautettava järjestelmän elinkaaren aikana erottamattomana osana muutosten ja asetusten hallintaprosessia.
                  
               
            Parhaat toimintatavat
         
         
                  
                     13.
                  
                  
                     EUH:n on tehtävä yhteistyötä neuvoston pääsihteeristön, komission ja jäsenvaltioiden kanssa parhaiden toimintatapojen kehittämiseksi viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaamiseksi. Parhaita toimintatapoja koskevissa ohjeissa on vahvistettava viestintä- ja tietojärjestelmiä koskevat tekniset, fyysiset, organisatoriset ja menettelyyn liittyvät turvatoimet, joiden tehokkuus määrättyjen uhkien ja haavoittuvuustekijöiden torjunnassa on todistettu.
                  
               
                  
                     14.
                  
                  
                     Viestintä- ja tietojärjestelmissä käsiteltävien EU:n turvallisuusluokiteltujen tietojen suojaamisessa on hyödynnettävä tietojen turvaamiseen EU:ssa ja sen ulkopuolella osallistuvien yksiköiden kokemuksia.
                  
               
                  
                     15.
                  
                  
                     Parhaiden toimintatapojen jakaminen ja noudattaminen auttaa saavuttamaan yhtäläisen turvaamistason EUH:n käyttämissä eri viestintä- ja tietojärjestelmissä, joissa käsitellään EU:n turvallisuusluokiteltuja tietoja.
                  
               
            Syvyyssuuntainen turvallisuus
         
         
                  
                     16.
                  
                  
                     Viestintä- ja tietojärjestelmiin kohdistuvan riskin vähentämiseksi on toteutettava joukko teknisiä ja muita kuin teknisiä turvatoimia, joilla järjestetään monitasoinen puolustus. Tasoja ovat
                     a)   
                           ennaltaehkäisy
                        : turvatoimet, joilla pyritään torjumaan mahdolliset vihamieliset suunnitelmat viestintä- ja tietojärjestelmään kohdistuvasta hyökkäyksestä;
                     b)   
                           estäminen
                        : turvatoimet, joilla pyritään vaikeuttamaan hyökkäystä viestintä- ja tietojärjestelmää vastaan tai estämään se;
                     c)   
                           havaitseminen
                        : turvatoimet, joilla pyritään paljastamaan hyökkäys viestintä- ja tietojärjestelmää vastaan;
                     d)   
                           selviytymiskyky
                        : turvatoimet, joilla pyritään rajoittamaan hyökkäyksen vaikutukset mahdollisimman pieneen osaan tietoja tai viestintä- ja tietojärjestelmän resursseja ja estämään muut vahingot; ja
                     e)   
                           tilanteen korjaaminen
                        : turvatoimet, joilla pyritään viestintä- ja tietojärjestelmän suojatun tilanteen palauttamiseen.
                     Tällaisten turvatoimien pakollisuus- ja sovellettavuusaste on määriteltävä riskinarvioinnin perusteella.
                  
               
                  
                     17.
                  
                  
                     EUH:n toimivaltaisten viranomaisten on varmistettava, että ne pystyvät reagoimaan tapahtumiin, jotka saattavat ulottua organisaatioiden ja kansallisten rajojen ulkopuolelle, jotta voidaan koordinoida vastatoimia ja jakaa tapahtumia ja niihin liittyviä riskejä koskevia tietoja (tietotekniset hätävalmiudet).
                  
               
            Vähimmäistoimintojen ja pienimmän mahdollisen etuoikeuden periaate
         
         
                  
                     18.
                  
                  
                     Tarpeettoman riskin välttämiseksi on otettava käyttöön vain ne toiminnot, laitteet ja palvelut, joilla voidaan täyttää toimintavaatimukset.
                  
               
                  
                     19.
                  
                  
                     Viestintä- ja tietojärjestelmän käyttäjille ja automaattisille prosesseille on annettava vain ne tiedot, etuoikeudet tai luvat, jotka ne tarvitsevat tehtäviensä suorittamiseksi, jotta voidaan rajoittaa onnettomuuksista, virheistä tai järjestelmän resurssien luvattomasta käytöstä mahdollisesti aiheutuvia vahinkoja.
                  
               
                  
                     20.
                  
                  
                     Jos viestintä- ja tietojärjestelmässä on tarpeen suorittaa kirjaamismenettelyjä, ne on tarkistettava osana hyväksymisprosessia.
                  
               
            Tietojen turvaamisen merkityksen tiedostaminen
         
         
                  
                     21.
                  
                  
                     Tietoisuus riskeistä ja käytettävissä olevista turvatoimista on viestintä- ja tietojärjestelmien turvallisuuden tärkein puolustamiskeino. Kaikkien henkilöiden, jotka ovat mukana viestintä- ja tietojärjestelmien elinkaaren eri vaiheissa, myös käyttäjien, on erityisesti ymmärrettävä
                     
                                 a)
                              
                              
                                 että turvallisuuden vaarantumisesta voi aiheutua merkittävää vahinkoa viestintä- ja tietojärjestelmille ja koko organisaatiolle;
                              
                           
                                 b)
                              
                              
                                 että yhteenliitettävyydestä ja keskinäisestä riippuvuudesta saattaa aiheutua vahinkoa muille; ja
                              
                           
                                 c)
                              
                              
                                 henkilökohtainen vastuunsa ja tilivelvollisuutensa viestintä- ja tietojärjestelmien turvallisuudesta sen mukaan, mikä on heidän tehtävänsä järjestelmissä ja prosesseissa.
                              
                           
               
                  
                     22.
                  
                  
                     Sen varmistamiseksi, että turvallisuuteen liittyvät vastuut ymmärretään, tietojen turvaamista ja siihen liittyvän tietoisuuden lisäämistä koskevaan koulutukseen osallistuminen on pakollista koko henkilöstölle, myös johtohenkilöstölle ja viestintä- ja tietojärjestelmien käyttäjille.
                  
               
            Tietoturvallisuustuotteiden arviointi ja hyväksyntä
         
         
                  
                     23.
                  
                  
                     Turvatoimilta vaadittava varmuusaste, joka määritellään turvaamistasona, on vahvistettava riskinhallintaprosessin tulosten perusteella asiaankuuluvien turvallisuuspolitiikkojen ja -ohjeiden mukaisesti.
                  
               
                  
                     24.
                  
                  
                     Turvaamistaso on tarkistettava käyttämällä kansainvälisesti tunnustettuja tai kansallisesti hyväksyttyjä prosesseja ja menetelmiä. Näitä ovat pääasiassa arviointi, tarkastukset ja auditointi.
                  
               
                  
                     25.
                  
                  
                     Jäsenvaltion kansallisen salauslaitteiden hyväksyntäviranomaisen on arvioitava ja hyväksyttävä EU:n turvallisuusluokiteltujen tietojen suojaamisessa käytettävät salaustuotteet.
                  
               
                  
                     26.
                  
                  
                     Ennen kuin salaustuotteiden hyväksymistä suositellaan EUH:n salaustuotteiden hyväksyntäviranomaiselle tämän päätöksen 8 artiklan 5 kohdan mukaisesti, niiden on läpäistävä jonkin jäsenvaltion sellaisen asianmukaisesti pätevän viranomaisen (AQUA-viranomaisen) ulkopuolinen arviointi, joka ei osallistu laitteiden suunnitteluun eikä valmistukseen. Ulkopuoliselta arvioinnilta edellytettävä yksityiskohtaisuus riippuu korkeimmasta turvallisuusluokasta, johon kuuluvia EU:n turvallisuusluokiteltuja tietoja kyseisillä tuotteilla on tarkoitus suojata.
                  
               
                  
                     27.
                  
                  
                     EUH:n salaustuotteiden hyväksyntäviranomainen voi neuvoston turvallisuuskomitean suosituksesta jättää soveltamatta 25 tai 26 kohdan mukaisia vaatimuksia ja myöntää tilapäisen hyväksynnän erikseen määritellyksi ajaksi tämän päätöksen 8 artiklan 5 kohdan mukaisesti, jos se on perusteltua erityisistä toiminnallisista syistä.
                  
               
                  
                     28.
                  
                  
                     AQUA-viranomaisen on oltava jäsenvaltion salauslaitteiden hyväksyntäviranomainen, joka on neuvoston vahvistamia kriteerejä noudattaen hyväksytty suorittamaan EU:n turvallisuusluokiteltujen tietojen suojaamiseen tarkoitettujen salaustuotteiden ulkopuolinen arviointi.
                  
               
                  
                     29.
                  
                  
                     Korkea edustaja hyväksyy sellaisilta tietoturvallisuustuotteilta vaadittavia ominaisuuksia, jotka eivät ole salaustuotteita, ja kyseisten tuotteiden hyväksyntää koskevan turvallisuuspolitiikan.
                  
               
            Tiedonsiirto turva-alueilla
         
         
                  
                     30.
                  
                  
                     Sen estämättä, mitä tässä päätöksessä säädetään, jos EU:n turvallisuusluokiteltujen tietojen siirtäminen tapahtuu turva-alueella tai hallinnollisella alueella, salaamatonta jakelua tai alemman tason salausta voidaan käyttää riskinhallintaprosessin tulosten perusteella ja turvallisuusjärjestelyjen hyväksyntäviranomaisen luvalla.
                  
               
            Viestintä- ja tietojärjestelmien suojattu yhteenliitäntä
         
         
                  
                     31.
                  
                  
                     Tässä päätöksessä yhteenliitännällä tarkoitetaan kahden tai useamman tietotekniikkajärjestelmän välitöntä liittämistä toisiinsa tietojen ja muiden tietoresurssien (esim. viestinnän) jakamiseksi yksi- tai monisuuntaisesti.
                  
               
                  
                     32.
                  
                  
                     Viestintä- ja tietojärjestelmän on käsiteltävä kaikkia siihen liitettyjä tietotekniikkajärjestelmiä epäluotettavina ja toteutettava suojatoimia, joilla valvotaan turvallisuusluokiteltujen tietojen vaihtoa.
                  
               
                  
                     33.
                  
                  
                     Viestintä- ja tietojärjestelmän yhteenliitännän toiseen tietotekniikkajärjestelmään on täytettävä seuraavat perusvaatimukset:
                     
                                 a)
                              
                              
                                 toimivaltaisten viranomaisten on todettava ja hyväksyttävä yhteenliitäntää koskevat toiminta- tai käyttövaatimukset;
                              
                           
                                 b)
                              
                              
                                 yhteenliitäntä edellyttää riskinhallinta- ja hyväksymisprosessin läpäisemistä, ja se on hyväksytettävä toimivaltaisella turvallisuusjärjestelyjen hyväksyntäviranomaisella; ja
                              
                           
                                 c)
                              
                              
                                 kaikkien viestintä- ja tietojärjestelmien turva-alueella on toteutettava rajojen suojauspalvelut.
                              
                           
               
                  
                     34.
                  
                  
                     Hyväksytyn viestintä- ja tietojärjestelmän ja suojaamattoman tai julkisen verkon välillä ei saa olla yhteenliitäntää, paitsi jos viestintä- ja tietojärjestelmään on tarkoitusta varten asennettu hyväksytyt rajojen suojauspalvelut viestintä- ja tietojärjestelmän ja suojaamattoman tai julkisen verkon välille. Toimivaltaisen tiedonturvaamisviranomaisen on tarkistettava tällaisten yhteenliitäntöjen turvatoimet, ja toimivaltaisen turvallisuusjärjestelyjen hyväksyntäviranomaisen on hyväksyttävä ne.
                     Jos suojaamatonta tai julkista verkkoa käytetään ainoastaan siirtovälineenä ja tiedot on salattu tämän päätöksen 8 artiklan 5 kohdan mukaisesti hyväksytyllä salaustuotteella, tällaista liitäntää ei pidetä yhteenliitäntänä.
                  
               
                  
                     35.
                  
                  
                     Luokkaan TRÈS SECRET UE/EU TOP SECRET kuuluvien tietojen käsittelyyn hyväksytyn viestintä- ja tietojärjestelmän välitön tai porrastettu yhteenliitäntä suojaamattoman tai julkisen verkon kanssa on kielletty.
                  
               
            Atk-tallennevälineet
         
         
                  
                     36.
                  
                  
                     Atk-tallennevälineet on hävitettävä EUH:n turvallisuusviranomaisen hyväksymien menettelyjen mukaisesti.
                  
               
                  
                     37.
                  
                  
                     Atk-tallennevälineitä voidaan käyttää uudelleen, niiden turvallisuusluokkaa voidaan alentaa tai se voidaan poistaa tämän päätöksen 8 artiklan 2 kohdan nojalla vahvistettavien turvallisuusohjeiden mukaisesti.
                  
               
            Hätätilanteet
         
         
                  
                     38.
                  
                  
                     Sen estämättä, mitä tässä päätöksessä säädetään, jäljempänä kuvattuja erityismenettelyjä voidaan soveltaa rajoitetun ajan hätätapauksessa, esimerkiksi kriisitilanteen uhatessa tai sellaisen aikana, konflikti- tai sotatilanteissa taikka poikkeuksellisissa toimintaolosuhteissa.
                  
               
                  
                     39.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen siirtämisessä voidaan käyttää alempaa turvallisuusluokkaa varten hyväksyttyjä salaustuotteita tai ne voidaan siirtää ilman salausta toimivaltaisen viranomaisen suostumuksella, jos mahdollinen viive aiheuttaisi selvästi suuremman vahingon kuin turvallisuusluokitellun aineiston ilmitulon aiheuttama vahinko ja jos
                     
                                 a)
                              
                              
                                 lähettäjällä ja vastaanottajalla ei ole vaadittua salauslaitetta tai mitään salauslaitetta; ja
                              
                           
                                 b)
                              
                              
                                 turvallisuusluokiteltua aineistoa ei voida toimittaa muulla tavoin ajoissa.
                              
                           
               
                  
                     40.
                  
                  
                     Edellä 39 kohdassa esitetyissä olosuhteissa siirretyissä turvallisuusluokitelluissa tiedoissa ei saa olla mitään merkintöjä eikä mainintoja, jotka erottavat ne turvallisuusluokittelemattomista tiedoista tai tiedoista, jotka voidaan suojata käytettävissä olevalla salaustuotteella. Tietojen turvallisuusluokka on ilmoitettava muulla tavoin viipymättä vastaanottajille.
                  
               
                  
                     41.
                  
                  
                     Jos 39 kohtaa sovelletaan, asiasta on raportoiva EUH:n turvallisuudesta vastaavalle osastolle, joka puolestaan raportoi EUH:n turvallisuuskomitealle. Raportissa on mainittava kunkin EU:n turvallisuusluokitellun tiedon osalta ainakin lähettäjä, vastaanottaja ja luovuttaja.
                  
               III.   TIEDONTURVAAMISTOIMET JA -VIRANOMAISET
         
                  
                     42.
                  
                  
                     EUH:n on perustettava seuraavat tiedonturvaamistoimet. Niiden hoitaminen ei edellytä erillisiä organisaatioyksiköitä. Niistä on laadittava erilliset toimeksiannot. Kyseiset toimet ja niihin liittyvät vastuut voidaan kuitenkin yhdistää samaan organisaatioyksikköön tai jakaa eri organisaatioyksikköihin edellyttäen, että sisäiset eturistiriidat tai tehtävien ristiriitaisuus vältetään.
                  
               
            Tiedonturvaamisviranomainen
         
         
                  
                     43.
                  
                  
                     Tiedonturvaamisviranomainen vastaa
                     
                                 a)
                              
                              
                                 tietojen turvaamista koskevien turvallisuusohjeiden laatimisesta sekä niiden toimivuuden ja asianmukaisuuden valvomisesta;
                              
                           
                                 b)
                              
                              
                                 salaustuotteisiin liittyvien teknisten tietojen tallentamisesta ja hallinnoinnista;
                              
                           
                                 c)
                              
                              
                                 sen varmistamisesta, että EU:n turvallisuusluokiteltujen tietojen suojaamiseksi valitut tiedonturvaamistoimenpiteet ovat niiden kelpoisuutta ja valintaa koskevien ohjeiden mukaisia;
                              
                           
                                 d)
                              
                              
                                 sen varmistamisesta, että salaustuotteiden valinnassa noudatetaan niiden kelpoisuutta ja valintaa koskevia ohjeita;
                              
                           
                                 e)
                              
                              
                                 tietojen turvaamista koskevan koulutuksen ja tietoisuuden koordinoinnista;
                              
                           
                                 f)
                              
                              
                                 järjestelmän toimittajan, turvallisuusalan toimijoiden ja käyttäjien edustajien kuulemisesta tietojen turvaamista koskevien turvallisuusohjeiden osalta; ja
                              
                           
                                 g)
                              
                              
                                 sen varmistamisesta, että tiedonturvaamisasioita käsittelevän EUH:n turvallisuuskomitean asiantuntijakokoonpanon käytettävissä on riittävää asiantuntemusta.
                              
                           
               
            TEMPEST-viranomainen
         
         
                  
                     44.
                  
                  
                     TEMPEST-viranomainen vastaa siitä, että viestintä- ja tietojärjestelmät ovat TEMPEST-periaatteiden ja -ohjeiden mukaisia. Se hyväksyy TEMPEST-vastatoimet laitteistoille ja tuotteille, joilla EU:n turvallisuusluokitellut tiedot suojataan käyttöympäristössä määrättyyn turvallisuusluokkaan asti.
                  
               
            Salauslaitteiden hyväksyntäviranomainen
         
         
                  
                     45.
                  
                  
                     Salauslaitteiden hyväksyntäviranomainen vastaa sen varmistamisesta, että salaustuotteet ovat niitä koskevien salausohjeiden mukaisia. Se hyväksyy salaustuotteen, jolla EU:n turvallisuusluokitellut tiedot suojataan määrättyyn turvallisuusluokkaan asti tuotteen käyttöympäristössä.
                  
               
            Salatun aineiston jakelusta vastaava viranomainen
         
         
                  
                     46.
                  
                  
                     Salatun aineiston jakelusta vastaava viranomainen vastaa
                     
                                 a)
                              
                              
                                 EU:n salausaineiston hallinnoinnista ja kirjanpidosta;
                              
                           
                                 b)
                              
                              
                                 sen varmistamisesta, että EU:n salausaineiston kirjanpidossa sekä suojatussa käsittelyssä, säilyttämisessä ja jakelussa käytetään asianmukaisia menettelyjä ja että niitä varten on perustetaan asianmukaiset kanavat; ja
                              
                           
                                 c)
                              
                              
                                 EU:n salausaineiston siirtämisestä sitä käyttäville henkilöille tai yksiköille tai sitä käyttäviltä henkilöiltä tai yksiköiltä.
                              
                           
               
            Turvallisuusjärjestelyjen hyväksyntäviranomainen
         
         
                  
                     47.
                  
                  
                     Kunkin järjestelmän turvallisuusjärjestelyjen hyväksyntäviranomainen vastaa
                     
                                 a)
                              
                              
                                 sen varmistamisesta, että viestintä- ja tietojärjestelmä on asiaankuuluvien turvallisuusohjeiden mukainen, lausunnon antamisesta viestintä- ja tietojärjestelmän hyväksymisestä käytettäväksi EU:n turvallisuusluokiteltujen tietojen käsittelyyn määrättyyn turvallisuusluokkaan asti järjestelmän käyttöympäristössä. Lausunnossa on ilmoitettava hyväksynnän ehdot ja edellytykset sekä kriteerit, joiden täyttyessä järjestelmä on hyväksyttävä uudelleen;
                              
                           
                                 b)
                              
                              
                                 asiaankuuluvien ohjeiden mukaisen turvallisuusjärjestelyjen hyväksymisprosessin luomisesta sekä alaisuudessaan olevien viestintä- ja tietojärjestelmien hyväksymisedellytysten ilmoittamisesta selkeästi;
                              
                           
                                 c)
                              
                              
                                 sellaisen turvallisuusjärjestelyjen hyväksymisstrategian laatimisesta, jossa määritetään hyväksymisprosessin yksityiskohtaisuus niin, että se on oikeassa suhteessa vaadittuun turvaamistasoon;
                              
                           
                                 d)
                              
                              
                                 turvallisuuteen liittyvien asiakirjojen tarkastelusta ja hyväksymisestä, mukaan lukien riskinhallintaa ja jäännösriskiä koskevat lausunnot, järjestelmäkohtaiset turvavaatimusilmoitukset, turvallisuusjärjestelyjen täytäntöönpanon tarkistusasiakirjat ja turvamenettelyt, ja sen varmistamisesta, että ne ovat EUH:n turvallisuussääntöjen ja -ohjeiden mukaisia;
                              
                           
                                 e)
                              
                              
                                 viestintä- ja tietojärjestelmiin liittyvien turvatoimien täytäntöönpanon tarkistamisesta tekemällä tai teettämällä turvallisuutta koskevia arviointeja, tarkastuksia tai uudelleentarkasteluja;
                              
                           
                                 f)
                              
                              
                                 viestintä- ja tietojärjestelmään liittyvien arkaluonteisten toimien turvallisuusvaatimusten (esim. henkilöturvallisuusselvitysten taso) määrittelemisestä;
                              
                           
                                 g)
                              
                              
                                 viestintä- ja tietojärjestelmän turvallisuuden varmistamiseen käytettävien hyväksyttyjen salaus- ja TEMPEST-tuotteiden valinnan vahvistamisesta;
                              
                           
                                 h)
                              
                              
                                 viestintä- ja tietojärjestelmän yhteenliitännän hyväksymisestä muihin viestintä- ja tietojärjestelmiin tai tapauksen mukaan osallistumisesta yhteenliitännän yhdessä hyväksymiseen; ja
                              
                           
                                 i)
                              
                              
                                 järjestelmän toimittajan, turvallisuusalan toimijoiden ja käyttäjien edustajien kuulemisesta turvallisuusriskien hallinnasta, erityisesti jäännösriskistä, ja hyväksymislausunnon ehdoista ja edellytyksistä.
                              
                           
               
                  
                     48.
                  
                  
                     EUH:n turvallisuusjärjestelyjen hyväksyntäviranomainen vastaa kaikkien EUH:n toimivallan puitteissa käytettävien viestintä- ja tietojärjestelmien hyväksymisestä.
                  
               
            Turvallisuusjärjestelyjen hyväksymislautakunta
         
         
                  
                     49.
                  
                  
                     Yhteinen turvallisuusjärjestelyjen hyväksymislautakunta vastaa sekä EUH:n että jäsenvaltioiden turvallisuusjärjestelyjen hyväksyntäviranomaisten toimivallan puitteissa käytettävien viestintä- ja tietojärjestelmien hyväksymisestä. Lautakunta koostuu kunkin jäsenvaltion turvallisuusjärjestelyjen hyväksyntäviranomaisen edustajista, ja neuvoston pääsihteeristön ja komission turvallisuusjärjestelyjen hyväksyntäviranomaisten edustajat osallistuvat sen kokouksiin. Muut yksiköt, joilla on solmuja viestintä- ja tietojärjestelmässä, kutsutaan kokouksiin silloin, kun niissä käsitellään kyseistä järjestelmää.
                     Lautakunnan puheenjohtajana toimii EUH:n turvallisuusjärjestelyjen hyväksyntäviranomaisen edustaja. Lautakunta tekee päätöksensä niiden toimielinten, jäsenvaltioiden ja muiden yksiköiden, joilla on solmuja viestintä- ja tietojärjestelmässä, turvallisuusjärjestelyjen hyväksyntäviranomaisten edustajien konsensuksella. Se raportoi toiminnastaan määräajoin EUH:n turvallisuuskomitealle ja ilmoittaa sille kaikista hyväksymislausunnoista.
                  
               
            Operatiivinen tiedonturvaamisviranomainen
         
         
                  
                     50.
                  
                  
                     Kunkin järjestelmän operatiivinen tiedonturvaamisviranomainen vastaa
                     
                                 a)
                              
                              
                                 turvallisuusasiakirjojen laatimisesta turvallisuusohjeiden mukaisesti, erityisesti järjestelmäkohtaisen turvavaatimusilmoituksen ja siihen liittyvän jäännösriskiä koskevan lausunnon, turvamenettelyjen sekä viestintä- ja tietojärjestelmän hyväksymisprosessiin kuuluvan salaussuunnitelman laatimisesta;
                              
                           
                                 b)
                              
                              
                                 osallistumisesta järjestelmäkohtaisten teknisten turvatoimien, laitteiden ja ohjelmistojen valintaan ja testaamiseen niiden täytäntöönpanon valvomiseksi ja sen varmistamiseksi, että ne on asennettu ja konfiguroitu turvallisesti ja että niitä ylläpidetään asiaankuuluvien turvallisuusasiakirjojen mukaisesti;
                              
                           
                                 c)
                              
                              
                                 osallistumisesta TEMPEST-turvatoimien ja -laitteiden valintaan, jos sitä edellytetään järjestelmäkohtaisessa turvavaatimusilmoituksessa, ja sen varmistamisesta, että laitteet on asennettu turvallisesti ja että niitä ylläpidetään yhteistyössä TEMPEST-viranomaisen kanssa;
                              
                           
                                 d)
                              
                              
                                 turvamenettelyjen täytäntöönpanon ja soveltamisen valvomisesta sekä tarvittaessa operatiivisen turvallisuusvastuun siirtämisestä järjestelmän omistajalle;
                              
                           
                                 e)
                              
                              
                                 salaustuotteiden hallinnoinnista ja käsittelystä, salausvälineiden ja valvottujen esineiden hallussapidon varmistamisesta ja tarvittaessa salauksessa käytettävien muuttujien generoinnin varmistamisesta;
                              
                           
                                 f)
                              
                              
                                 turvallisuusanalyysien tarkistusten ja testien suorittamisesta erityisesti turvallisuusjärjestelyjen hyväksyntäviranomaisen vaatimien asiaankuuluvien riskiraporttien laatimiseksi;
                              
                           
                                 g)
                              
                              
                                 tietojen turvaamista koskevan viestintä- ja tietojärjestelmäkohtaisen koulutuksen antamisesta;
                              
                           
                                 h)
                              
                              
                                 viestintä- ja tietojärjestelmäkohtaisten turvatoimien toteuttamisesta ja käytöstä.
                              
                           
               
      
         LIITE A V
         
            YHTEISÖTURVALLISUUS
         
         I.   JOHDANTO
         
                  
                     1.
                  
                  
                     Tässä liitteessä annetaan liitteessä A olevan 9 artiklan täytäntöönpanosäännökset. Siinä vahvistetaan yleiset turvallisuussäännökset, joita sovelletaan yrityksiin tai muihin yhteisöihin sopimusta edeltävissä neuvotteluissa ja EUH:n tekemien turvallisuusluokiteltujen sopimusten koko elinkaaren ajan.
                  
               
                  
                     2.
                  
                  
                     EUH:n turvallisuusviranomainen hyväksyy yhteisöturvallisuutta koskevat ohjeet, joissa esitetään erityisesti yhteisöturvallisuusselvitystä, turvallisuutta koskevia lisälausekkeita, vierailuja sekä EU:n turvallisuusluokiteltujen tietojen siirtämistä ja kuljettamista koskevat yksityiskohtaiset vaatimukset.
                  
               II.   TURVALLISUUSLUOKITELLUN SOPIMUKSEN TURVALLISUUTTA KOSKEVAT OSAT
         
            Turvallisuusluokitusopas
         
         
                  
                     3.
                  
                  
                     Ennen tarjouskilpailun käynnistämistä tai turvallisuusluokitellun sopimuksen tekemistä hankeviranomaisena toimivan EUH:n on määriteltävä tarjouksen tekijöille ja sopimuskumppaneille toimitettavien tietojen ja sopimuskumppanin tuottamien tietojen turvallisuusluokka. EUH:n on sitä varten laadittava turvallisuusluokitusopas, jota noudatetaan sopimuksen toimeenpanossa.
                  
               
                  
                     4.
                  
                  
                     Turvallisuusluokitellun sopimuksen eri osien turvallisuusluokan määrittämisessä noudatetaan seuraavia periaatteita:
                     
                                 a)
                              
                              
                                 turvallisuusluokitusopasta laatiessaan EUH:n on otettava huomioon kaikki asiaankuuluvat turvallisuusnäkökohdat, mukaan lukien turvallisuusluokka, jonka tietojen luovuttaja on tiedoille antanut ja hyväksynyt sopimusta varten;
                              
                           
                                 b)
                              
                              
                                 koko sopimuksen turvallisuusluokka ei voi olla alempi kuin sen minkä tahansa osan korkein turvallisuusluokka; ja
                              
                           
                                 c)
                              
                              
                                 EUH:n on tarvittaessa oltava yhteydessä jäsenvaltioiden kansallisiin tai nimettyihin turvallisuusviranomaisiin tai muuhun toimivaltaiseen turvallisuusviranomaiseen siinä tapauksessa, että sopimusta toimeenpantaessa sopimuskumppanien tuottamien tai niille toimitettujen tietojen turvallisuusluokkaa muutetaan ja että turvallisuusluokitusoppaaseen tehdään tämän vuoksi muutoksia.
                              
                           
               
            Turvallisuutta koskeva lisälauseke
         
         
                  
                     5.
                  
                  
                     Turvallisuutta koskevassa lisälausekkeessa on oltava kuvaus sopimuskohtaisista turvallisuusvaatimuksista. Sen on tarvittaessa sisällettävä turvallisuusluokitusopas, ja sen on oltava erottamaton osa turvallisuusluokiteltua sopimusta tai alihankintasopimusta.
                  
               
                  
                     6.
                  
                  
                     Turvallisuutta koskevassa lisälausekkeessa on oltava määräykset, joiden mukaan sopimuskumppanin ja/tai alihankkijan on noudatettava tässä päätöksessä säädettyjä vähimmäisvaatimuksia. Näiden vähimmäisvaatimusten noudattamatta jättäminen voi olla riittävä peruste sopimuksen irtisanomiselle.
                  
               
            Ohjelma-/hankekohtaiset turvallisuusohjeet
         
         
                  
                     7.
                  
                  
                     EU:n turvallisuusluokiteltuihin tietoihin pääsyä tai tietojen käsittelyä tai säilyttämistä edellyttävien ohjelmien tai hankkeiden soveltamisalasta riippuen niiden hallinnointia varten nimetty hankeviranomainen voi laatia ohjelma-/hankekohtaiset turvallisuusohjeet. Ohjelma-/hankekohtaisille turvallisuusohjeille on saatava jäsenvaltioiden kansallisten tai nimettyjen turvallisuusviranomaisten tai muun ohjelmaan tai hankkeeseen osallistuvan toimivaltaisen turvallisuusviranomaisen hyväksyntä, ja niihin voi sisältyä muitakin turvallisuusvaatimuksia.
                  
               III.   YHTEISÖTURVALLISUUSSELVITYS
         
                  
                     8.
                  
                  
                     EUH:n turvallisuudesta vastaavan osaston on pyydettävä jäsenvaltion kansallista tai nimettyä turvallisuusviranomaista tai muuta toimivaltaista turvallisuusviranomaista myöntämään yhteisöturvallisuusselvitys kansallisten lakien ja asetusten mukaisena osoituksena siitä, että yritys tai muu yhteisö pystyy suojaamaan asianomaiseen luokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET) kuuluvat EU:n turvallisuusluokitellut tiedot toimitiloissaan. Sopimuskumppanille tai alihankkijalle taikka mahdolliselle sopimuskumppanille tai alihankkijalle ei voida luovuttaa EU:n turvallisuusluokiteltuja tietoja tai myöntää pääsyä niihin ennen kuin EUH:lle on toimitettu todiste yhteisöturvallisuusselvityksestä.
                  
               
                  
                     9.
                  
                  
                     Hankeviranomaisena toimivan EUH:n on tarvittaessa ilmoitettava asianmukaiselle kansalliselle tai nimetylle turvallisuusviranomaiselle taikka muulle toimivaltaiselle turvallisuusviranomaiselle, että yhteisöturvallisuusselvitys vaaditaan sopimuksen tekemistä edeltävässä vaiheessa tai sopimuksen toimeenpanoa varten. Yhteisöturvallisuusselvitys tai henkilöturvallisuusselvitys vaaditaan sopimuksen tekemistä edeltävässä vaiheessa, jos tarjousmenettelyn aikana on toimitettava luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvia EU:n turvallisuusluokiteltuja tietoja.
                  
               
                  
                     10.
                  
                  
                     EUH ei saa hankeviranomaisena tehdä turvallisuusluokiteltua sopimusta valitun tarjoajan kanssa, ennen kuin se on saanut sen jäsenvaltion kansalliselta tai nimetyltä turvallisuusviranomaiselta taikka muulta toimivaltaiselta turvallisuusviranomaiselta, johon asianomainen sopimuskumppani tai alihankkija on rekisteröity, vahvistuksen siitä, että mahdollisesti vaadittava asianmukainen yhteisöturvallisuusselvitys on myönnetty.
                  
               
                  
                     11.
                  
                  
                     Hankeviranomaisena toimivan EUH:n on pyydettävä kansallista tai nimettyä turvallisuusviranomaista taikka muuta toimivaltaista turvallisuusviranomaista, joka on myöntänyt yhteisöturvallisuusselvityksen, ilmoittamaan sille kaikista yhteisöturvallisuusselvitykseen vaikuttavista kielteisistä seikoista. Kun kyseessä on alihankintasopimus, vastaava ilmoitus on tehtävä kansalliselle tai nimetylle turvallisuusviranomaiselle taikka muulle toimivaltaiselle turvallisuusviranomaiselle.
                  
               
                  
                     12.
                  
                  
                     Jos asiaankuuluva kansallinen tai nimetty turvallisuusviranomainen taikka muu toimivaltainen turvallisuusviranomainen peruuttaa yhteisöturvallisuusselvityksen, tämä on hankeviranomaisena toimivalle EUH:lle riittävä peruste irtisanoa turvallisuusluokiteltu sopimus tai sulkea tarjoaja kilpailun ulkopuolelle.
                  
               IV.   SOPIMUSKUMPPANIEN TYÖNTEKIJÖIDEN HENKILÖTURVALLISUUSSELVITYKSET
         
                  
                     13.
                  
                  
                     Kaikista sopimuskumppanien työntekijöistä, joilla on oltava pääsy luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin EU:n turvallisuusluokiteltuihin tietoihin, on tehtävä asianmukainen turvallisuusselvitys, ja heillä on oltava heidän tiedonsaantitarpeeseensa perustuva pääsy tietoihin. Vaikka luokkaan RESTREINT UE/EU RESTRICTED kuuluviin EU:n turvallisuusluokiteltujen tietoihin pääsy ei edellytä henkilöturvallisuusselvitystä, pääsyä varten on oltava tiedonsaantitarve.
                  
               
                  
                     14.
                  
                  
                     Sopimuskumppanien työntekijöiden henkilöturvallisuusselvityksiä koskevat hakemukset on tehtävä kyseisestä yhteisöstä vastaavalle kansalliselle tai nimetylle turvallisuusviranomaiselle.
                  
               
                  
                     15.
                  
                  
                     EUH:n on selvitettävä sopimuskumppaneille, jotka haluavat ottaa palvelukseensa kolmannen maan kansalaisen tehtäviin, jotka edellyttävät pääsyä EU:n turvallisuusluokiteltuihin tietoihin, että palvelukseen ottavan yhteisön sijainti- ja rekisteröintijäsenvaltion kansallisen tai nimetyn turvallisuusviranomaisen tehtävänä on määrittää, voidaanko henkilölle myöntää tämän päätöksen mukaisesti pääsy tällaisiin tietoihin, ja varmistaa, että tietojen luovuttaja on antanut suostumuksensa ennen kuin tällainen pääsy myönnetään.
                  
               V.   TURVALLISUUSLUOKITELLUT SOPIMUKSET JA ALIHANKINTASOPIMUKSET
         
                  
                     16.
                  
                  
                     Jos EU:n turvallisuusluokiteltuja tietoja luovutetaan tarjoajalle sopimusta edeltävässä vaiheessa, tarjouspyynnössä on oltava määräys, jolla tarjoaja, joka ei esitä tarjousta tai jonka tarjousta ei valita, velvoitetaan palauttamaan kaikki turvallisuusluokitellut asiakirjat tietyn ajan kuluessa.
                  
               
                  
                     17.
                  
                  
                     Kun turvallisuusluokiteltu sopimus tai alihankintasopimus on tehty, hankeviranomaisena toimivan EUH:n on annettava sopimuskumppanin tai alihankkijan kansalliselle tai nimetylle turvallisuusviranomaiselle taikka muulle toimivaltaiselle turvallisuusviranomaiselle tiedoksi turvallisuusluokitellun sopimuksen turvallisuusmääräykset.
                  
               
                  
                     18.
                  
                  
                     Kun tällaiset sopimukset irtisanotaan tai niiden voimassaolo päättyy, hankeviranomaisena toimivan EUH:n (ja/tai tapauksen mukaan alihankintasopimuksen ollessa kyseessä kansallisen tai nimetyn turvallisuusviranomaisen taikka muun toimivaltaisen turvallisuusviranomaisen) on ilmoitettava asiasta viipymättä sopimuskumppanin tai alihankkijan rekisteröintijäsenvaltion kansalliselle tai nimetylle turvallisuusviranomaiselle taikka muulle toimivaltaiselle turvallisuusviranomaiselle.
                  
               
                  
                     19.
                  
                  
                     Yleissääntönä on, että sopimuskumppanin tai alihankkijan on palautettava hankeviranomaiselle turvallisuusluokitellun sopimuksen tai alihankintasopimuksen päättyessä kaikki hallussaan olevat EU:n turvallisuusluokitellut tiedot.
                  
               
                  
                     20.
                  
                  
                     Turvallisuutta koskevaan lisälausekkeeseen on sisällytettävä erityiset määräykset EU:n turvallisuusluokiteltujen tietojen hallussapidosta sopimuksen toimeenpanon aikana tai irtisanomis- tai päättymisajankohtana.
                  
               
                  
                     21.
                  
                  
                     Jos sopimuskumppani tai alihankkija saa luvan säilyttää EU:n turvallisuusluokiteltuja tietoja sopimuksen irtisanomisen tai päättymisen jälkeen, sopimuskumppanin tai alihankkijan on edelleen noudatettava tässä päätöksessä säädettyjä vähimmäisvaatimuksia ja suojattava EU:n turvallisuusluokiteltujen tietojen luottamuksellisuus.
                  
               
                  
                     22.
                  
                  
                     Tarjouspyynnössä ja sopimuksessa on määriteltävä edellytykset, joiden mukaisesti sopimuskumppani voi tehdä alihankintasopimuksia.
                  
               
                  
                     23.
                  
                  
                     Sopimuskumppanin on saatava hankeviranomaisena toimivan EUH:n lupa ennen kuin se antaa turvallisuusluokitellun sopimuksen mitään osia alihankkijoiden toteutettavaksi. Alihankintasopimuksia ei saa tehdä sellaisten yritysten tai muiden yhteisöjen kanssa, jotka on rekisteröity EU:n ulkopuolisessa valtiossa, joka ei ole tehnyt tietoturvallisuussopimusta EU:n kanssa.
                  
               
                  
                     24.
                  
                  
                     Sopimuskumppanin on vastattava siitä, että kaikki alihankintatoimet suoritetaan tässä päätöksessä säädettyjen vähimmäisvaatimusten mukaisesti, eikä se saa antaa EU:n turvallisuusluokiteltuja tietoja alihankkijalle ilman hankeviranomaisen kirjallista etukäteissuostumusta.
                  
               
                  
                     25.
                  
                  
                     Jos sopimuskumppani tai alihankkija tuottaa tai käsittelee EU:n turvallisuusluokiteltuja tietoja, hankeviranomainen käyttää luovuttajan oikeuksia.
                  
               VI.   TURVALLISUUSLUOKITELTUIHIN SOPIMUKSIIN LIITTYVÄT VIERAILUT
         
                  
                     26.
                  
                  
                     Jos EUH:n, sopimuskumppanien tai alihankkijoiden on päästävä luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluviin tietoihin toistensa tiloissa osana turvallisuusluokitellun sopimuksen toimeenpanoa, vierailuista on sovittava asianomaisten kansallisten tai nimettyjen turvallisuusviranomaisten taikka muun toimivaltaisen turvallisuusviranomaisen kanssa. Tämä ei rajoita kansallisten tai nimettyjen turvallisuusviranomaisten oikeutta sopia tiettyjen hankkeiden yhteydessä menettelystä, jota noudattaen vierailut voidaan järjestää suoraan.
                  
               
                  
                     27.
                  
                  
                     Kaikilla vierailijoilla on oltava asianmukainen henkilöturvallisuusselvitys ja tiedonsaantitarve, jotta heille voidaan myöntää pääsy EUH:n tekemään sopimukseen liittyviin EU:n turvallisuusluokiteltuihin tietoihin.
                  
               
                  
                     28.
                  
                  
                     Vierailijoille on annettava pääsy vain vierailun tarkoitukseen liittyviin EU:n turvallisuusluokiteltuihin tietoihin.
                  
               VII.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SIIRTÄMINEN JA KULJETTAMINEN
         
                  
                     29.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen siirtämiseen sähköisesti sovelletaan liitteessä A olevassa 8 artiklassa ja liitteessä A IV olevia asiaankuuluvia säännöksiä.
                  
               
                  
                     30.
                  
                  
                     EU:n turvallisuusluokiteltujen tietojen kuljettamiseen sovelletaan liitteessä A III olevia asiaankuuluvia säännöksiä kansallisten lakien ja asetusten mukaisesti.
                  
               
                  
                     31.
                  
                  
                     Turvallisuusluokitellun aineiston rahtina kuljettamiseen sovelletaan turvallisuusjärjestelyjä määriteltäessä seuraavia periaatteita:
                     
                                 a)
                              
                              
                                 turvallisuus on taattava kuljetuksen kaikissa vaiheissa lähtöpaikasta lopulliseen määräpaikkaan saakka;
                              
                           
                                 b)
                              
                              
                                 lähetyksen suojan taso on määriteltävä sen sisältämän aineiston korkeimman turvallisuusluokan mukaan;
                              
                           
                                 c)
                              
                              
                                 kuljetuksen suorittaville yrityksille on hankittava asianmukaisen tason yhteisöturvallisuusselvitys, jos kuljetukseen sisältyy myös turvallisuusluokiteltujen tietojen säilyttämistä sopimuskumppanin toimitiloissa. Joka tapauksessa lähetystä käsittelevällä henkilöstöllä on oltava liitteen A I mukainen turvallisuusselvitys;
                              
                           
                                 d)
                              
                              
                                 lähettäjän on ennen luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai SECRET UE/EU SECRET kuuluvan aineiston rajatylittäviä siirtoja laadittava kuljetussuunnitelma, joka EUH:n on hyväksyttävä tarvittaessa yhdessä sekä lähettäjän että vastaanottajan kansallisen tai nimetyn turvallisuusviranomaisen taikka muun toimivaltaisen turvallisuusviranomaisen kanssa;
                              
                           
                                 e)
                              
                              
                                 kuljetuksen on tapahduttava mahdollisuuksien mukaan suoraan lähtöpaikasta määräpaikkaan, ja se on suoritettava niin nopeasti kuin olosuhteet sallivat;
                              
                           
                                 f)
                              
                              
                                 reittien olisi mahdollisuuksien mukaan kuljettava ainoastaan jäsenvaltioiden kautta. Muiden kuin jäsenvaltioiden kautta kulkevia reittejä olisi käytettävä ainoastaan, kun siihen on EUH:n tai sekä lähettäjän että vastaanottajan valtion muun toimivaltaisen turvallisuusviranomaisen lupa.
                              
                           
               VIII.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN SIIRTÄMINEN KOLMANSISSA VALTIOISSA SIJAITSEVILLE SOPIMUSKUMPPANEILLE
         
                  
                     32.
                  
                  
                     EU:n turvallisuusluokiteltuja tietoja siirretään sellaisissa kolmansissa maissa sijaitseville sopimuskumppaneille ja alihankkijoille, joilla on voimassa oleva turvallisuussopimus EU:n kanssa, hankeviranomaisena toimivan EUH:n ja sen kolmannen maan, johon sopimuskumppani on rekisteröity, kansallisen tai nimetyn turvallisuusviranomaisen välillä sovittujen turvatoimien mukaisesti.
                  
               IX.   LUOKKAAN RESTREINT UE/EU RESTRICTED KUULUVIEN TIETOJEN KÄSITTELY JA SÄILYTTÄMINEN
         
                  
                     33.
                  
                  
                     EUH voi tarvittaessa hankeviranomaisena yhdessä jäsenvaltion kansallisen tai nimetyn turvallisuusviranomaisen kanssa tehdä vierailuja sopimuskumppanien ja/tai alihankkijoiden toimitiloihin sopimusmääräysten pohjalta sen varmistamiseksi, että sopimuksessa edellytetyt asiaankuuluvat turvatoimet luokkaan RESTREINT UE/EU RESTRICTED kuuluvien EU:n turvallisuusluokiteltujen tietojen suojaamiseksi on toteutettu.
                  
               
                  
                     34.
                  
                  
                     Hankeviranomaisena toimivan EUH:n on annettava kansallisille tai nimetyille turvallisuusviranomaisille tai muulle toimivaltaiselle turvallisuusviranomaiselle tiedoksi luokkaan RESTREINT UE/EU RESTRICTED kuuluvia tietoja sisältävät sopimukset tai alihankintasopimukset siinä laajuudessa kuin sitä edellytetään kansallisissa laeissa ja asetuksissa.
                  
               
                  
                     35.
                  
                  
                     Sopimuskumppaneilta tai alihankkijoilta ja niiden henkilöstöltä ei vaadita yhteisöturvallisuusselvitystä tai henkilöturvallisuusselvitystä sellaisia EUH:n tekemiä sopimuksia varten, jotka sisältävät luokkaan RESTREINT UE/EU RESTRICTED kuuluvia tietoja.
                  
               
                  
                     36.
                  
                  
                     Hankeviranomaisena toimivan EUH:n on tutkittava tarjouspyyntöihin saadut vastaukset, jos sopimuksen tekeminen edellyttää pääsyä luokkaan RESTREINT UE/EU RESTRICTED kuuluviin tietoihin, sanotun kuitenkaan rajoittamatta kansallisiin lakeihin ja asetuksiin mahdollisesti sisältyvien, yhteisöturvallisuusselvityksiä tai henkilöturvallisuusselvityksiä koskevien vaatimusten soveltamista.
                  
               
                  
                     37.
                  
                  
                     Edellytysten, joilla sopimuskumppani voi tehdä alihankintasopimuksia, on oltava 22–24 kohdan mukaisia.
                  
               
                  
                     38.
                  
                  
                     Jos sopimukseen kuuluu luokkaan RESTREINT UE/EU RESTRICTED kuuluvien tietojen käsittelyä sopimuskumppanin käyttämässä viestintä- ja tietojärjestelmässä, hankeviranomaisena toimivan EUH:n on varmistettava, että sopimuksessa tai mahdollisessa alihankintasopimuksessa määrätään viestintä- ja tietojärjestelmän hyväksymistä koskevista tarvittavista teknisistä ja hallinnollisista vaatimuksista, jotka ovat oikeassa suhteessa arvioituun riskiin ja joissa on otettu huomioon kaikki asiaankuuluvat tekijät. Viestintä- ja tietojärjestelmän hyväksynnän laajuudesta on sovittava sopimuskumppanin ja asianomaisen kansallisen tai nimetyn turvallisuusviranomaisen kanssa.
                  
               
      
         LIITE A VI
         
            TURVALLISUUSLUOKITELTUJEN TIETOJEN VAIHTO KOLMANSIEN MAIDEN JA KANSAINVÄLISTEN JÄRJESTÖJEN KANSSA
         
         I.   JOHDANTO
         
                  
                     1.
                  
                  
                     Tässä liitteessä annetaan liitteessä A olevan 10 artiklan täytäntöönpanosäännökset.
                  
               II.   PUITTEET TURVALLISUUSLUOKITELTUJEN TIETOJEN VAIHTAMISEKSI
         
                  
                     2.
                  
                  
                     EUH voi vaihtaa EU:n turvallisuusluokiteltuja tietoja kolmansien maiden tai kansainvälisten järjestöjen kanssa liitteessä A olevan 10 artiklan 1 kohdan mukaisesti.
                     Korkean edustajan tukemiseksi SEUT-sopimuksen 218 artiklassa määrättyjen tehtävien suorittamiseksi
                     
                                 a)
                              
                              
                                 EUH:n asianomaisen maantieteellisen tai temaattisen osaston on yhteistyössä EUH:n turvallisuudesta vastaavan osaston kanssa tarvittaessa määriteltävä pitkän aikavälin tarve vaihtaa EU:n turvallisuusluokiteltuja tietoja kyseisen kolmannen maan tai kansainvälisen järjestön kanssa;
                              
                           
                                 b)
                              
                              
                                 EUH:n turvallisuudesta vastaavan osaston on yhteistyössä EUH:n asianomaisen maantieteellisen osaston kanssa tarvittaessa toimitettava korkealle edustajalle SEUT-sopimuksen 218 artiklan 3, 5 ja 6 kohdan nojalla neuvostolle ehdotettavat luonnostekstit;
                              
                           
                                 c)
                              
                              
                                 EUH:n turvallisuudesta vastaavan osaston on yhteistyössä komission ja neuvoston pääsihteeristön asianomaisten yksiköiden kanssa tuettava korkeaa edustajaa neuvottelujen käymisessä;
                              
                           
                                 d)
                              
                              
                                 liitteessä A olevan 10 artiklan 1 kohdan c alakohdassa tarkoitettujen kolmansien maiden kanssa tehtävien, kyseisten maiden osallistumista YTPP-kriisinhallintaoperaatioihin koskevien sopimusten tai järjestelyjen osalta EUH:n kriisinhallinta- ja suunnitteluosaston on toimitettava asianomaisia EUH:n yksiköitä kuultuaan SEUT-sopimuksen 218 artiklan 3, 5 ja 6 kohdan nojalla neuvostolle ehdotettavat luonnostekstit ja tuettava korkeaa edustajaa neuvottelujen käymisessä yhteistyössä EUH:n ja neuvoston pääsihteeristön asianomaisten yksiköiden kanssa.
                              
                           
               
                  
                     3.
                  
                  
                     Jos tietoturvallisuussopimuksissa määrätään, että EUH:n turvallisuudesta vastaavan osaston on – yhteistyössä komission henkilöstöhallinnon ja turvallisuustoiminnan pääosaston alaisen turvallisuudesta vastaavan linjan ja neuvoston pääsihteeristön turvallisuusyksikön kanssa – sovittava teknisistä täytäntöönpanojärjestelyistä asianomaisen kolmannen maan tai kansainvälisen järjestön toimivaltaisen turvallisuusviranomaisen kanssa, kyseisissä järjestelyissä on otettava huomioon kyseisessä kolmannessa maassa tai kansainvälisessä järjestössä sovellettavien turvallisuusmääräysten, -rakenteiden ja -menettelyjen tarjoaman suojan taso.
                  
               
                  
                     4.
                  
                  
                     Jos EUH:lla on pitkän aikavälin tarve vaihtaa kolmannen maan tai kansainvälisen järjestön kanssa tietoja, joiden turvallisuusluokka on periaatteessa korkeintaan RESTREINT UE/EU RESTRICTED, ja jos on todettu, että kyseisen osapuolen turvallisuusjärjestelmä ei ole riittävän kehittynyt tietoturvallisuussopimuksen tekemiseksi, korkea edustaja voi saatuaan EUH:n turvallisuuskomitealta tämän päätöksen 15 artiklan 5 kohdan mukaisesti yksimielisen puoltavan lausunnon sopia hallinnollisesta järjestelystä kyseisen kolmannen maan tai kansainvälisen järjestön toimivaltaisten turvallisuusviranomaisten kanssa.
                  
               
                  
                     5.
                  
                  
                     EU:n turvallisuusluokiteltuja tietoja ei saa vaihtaa sähköisesti kolmannen maan tai kansainvälisen järjestön kanssa, ellei siitä nimenomaisesti määrätä tietoturvallisuussopimuksessa tai hallinnollisessa järjestelyssä.
                  
               
                  
                     6.
                  
                  
                     Turvallisuusluokiteltujen tietojen vaihtoa koskevan hallinnollisen järjestelyn mukaisesti EUH:n ja kolmannen maan tai kansainvälisen järjestön on kunkin nimettävä yksi kirjaamo vaihdettavien turvallisuusluokiteltujen tietojen pääasialliseksi saapumis- ja lähtöpaikaksi. EUH:n osalta tämä on EUH:n keskuskirjaamo.
                  
               
                  
                     7.
                  
                  
                     Hallinnollisista järjestelyistä sovitaan pääsääntöisesti kirjeenvaihtona.
                  
               III.   ARVIOINTIKÄYNNIT
         
                  
                     8.
                  
                  
                     Tämän päätöksen 17 artiklassa tarkoitetut arviointikäynnit suoritetaan asianomaisen kolmannen maan tai kansainvälisen järjestön kanssa sovitulla tavalla, ja niissä on arvioitava
                     
                                 a)
                              
                              
                                 turvallisuusluokiteltujen tietojen suojaamiseen sovellettavaa sääntelykehystä;
                              
                           
                                 b)
                              
                              
                                 kolmannen maan tai kansainvälisen järjestön turvallisuuslainsäädännön, -määräysten, -politiikan ja -menettelyjen erityispiirteitä, jotka saattavat vaikuttaa mahdollisesti vaihdettavien turvallisuusluokiteltujen tietojen korkeimpaan turvallisuusluokkaan;
                              
                           
                                 c)
                              
                              
                                 turvallisuusluokiteltujen tietojen suojaamiseksi käytössä olevia turvatoimia ja turvallisuusmenettelyjä; ja
                              
                           
                                 d)
                              
                              
                                 luovutettavien EU:n turvallisuusluokiteltujen tietojen turvallisuusluokkaan sovellettavia turvallisuusselvitysmenettelyjä.
                              
                           
               
                  
                     9.
                  
                  
                     EU:n turvallisuusluokiteltuja tietoja ei saa vaihtaa ennen kuin arviointikäynti on tehty ja osapuolten kesken vaihdettavien turvallisuusluokiteltujen tietojen turvallisuusluokka on määritelty niille annettavan suojan tason vastaavuuden perusteella.
                     Jos korkean edustajan tietoon tulee ennen arviointikäynnin suorittamista poikkeuksellisia tai kiireellisiä syitä vaihtaa turvallisuusluokiteltuja tietoja, EUH:n on
                     
                                 a)
                              
                              
                                 ensin saatava tietojen luovuttajan kirjallinen suostumus sen varmistamiseksi, ettei luovuttamiselle ole esteitä;
                              
                           
                                 b)
                              
                              
                                 annettava asian käsittely EUH:n turvallisuusviranomaiselle, joka voi päättää luovuttaa tiedot, jos EUH:n turvallisuuskomiteassa edustettuina olevilta jäsenvaltioilta on saatu yksimielinen puoltava lausunto.
                              
                           Jos EUH ei voi selvittää, kuka on tietojen luovuttaja, EUH:n turvallisuusviranomainen ottaa tietojen luovuttajan vastuun itselleen saatuaan EUH:n turvallisuuskomitealta yksimielisen puoltavan lausunnon.
                  
               IV.   VALTA LUOVUTTAA EU:N TURVALLISUUSLUOKITELTUJA TIETOJA KOLMANSILLE MAILLE TAI KANSAINVÄLISILLE JÄRJESTÖILLE
         
                  
                     10.
                  
                  
                     Jos turvallisuusluokiteltujen tietojen vaihtamiseksi kolmannen maan tai kansainvälisen järjestön kanssa on olemassa liitteessä A olevan 10 artiklan 1 kohdan mukaiset puitteet, EUH:n päätöksen luovuttaa EU:n turvallisuusluokiteltuja tietoja kyseiselle kolmannelle maalle tai kansainväliselle järjestölle tekee EUH:n turvallisuusviranomainen, joka voi siirtää tällaisen valtuutuksen EUH:n ylemmille virkamiehille tai muille alaisuudessaan oleville henkilöille.
                  
               
                  
                     11.
                  
                  
                     Jos luovutettavien turvallisuusluokiteltujen tietojen ja niiden mahdollisesti sisältämän lähdeaineiston luovuttaja ei ole EUH, EUH:n on ensin saatava tietojen luovuttajan kirjallinen suostumus sen varmistamiseksi, ettei luovuttamiselle ole esteitä. Jos EUH ei pysty selvittämään, kuka tietojen luovuttaja on, EUH:n turvallisuusviranomainen ottaa tietojen luovuttajan vastuun itselleen saatuaan EUH:n turvallisuuskomiteassa edustettuina olevien jäsenvaltioiden yksimielisen puoltavan lausunnon.
                  
               V.   EU:N TURVALLISUUSLUOKITELTUJEN TIETOJEN POIKKEUKSELLINEN LUOVUTTAMINEN TAPAUSKOHTAISESTI
         
                  
                     12.
                  
                  
                     Jos yksiäkään liitteessä A olevan 10 artiklan 1 kohdassa tarkoitettuja puitteita ei ole olemassa ja jos EU:n tai yhden tai useamman sen jäsenvaltion edut edellyttävät EU:n turvallisuusluokiteltujen tietojen luovuttamista poliittisista, operatiivisista tai kiireellisistä syistä, EU:n turvallisuusluokiteltuja tietoja voidaan poikkeuksellisesti luovuttaa kolmannelle maalle tai kansainväliselle järjestölle sen jälkeen, kun seuraavat toimet on toteutettu.
                     Varmistettuaan, että 11 kohdassa tarkoitetut edellytykset täyttyvät, EUH:n turvallisuudesta vastaavan osaston on
                     
                                 a)
                              
                              
                                 mahdollisuuksien mukaan tarkistettava asianomaisen kolmannen maan tai kansainvälisen järjestön turvallisuusviranomaisilta, että sen turvallisuusmääräyksillä, -rakenteilla ja -menettelyillä pystytään takaamaan sille luovutettujen EU:n turvallisuusluokiteltujen tietojen suojaaminen vähintään yhtä tiukkojen vaatimusten mukaisesti kuin joista säädetään tässä päätöksessä;
                              
                           
                                 b)
                              
                              
                                 pyydettävä EUH:n turvallisuuskomiteaa antamaan saatavilla olevien tietojen pohjalta lausunto turvallisuusmääräysten, -rakenteiden ja -menettelyjen luotettavuudesta siinä kolmannessa maassa tai kansainvälisessä järjestössä, jolle EU:n turvallisuusluokiteltuja tietoja on tarkoitus luovuttaa;
                              
                           
                                 c)
                              
                              
                                 annettava asian käsittely EUH:n turvallisuusviranomaiselle, joka voi päättää luovuttaa tiedot, jos EUH:n turvallisuuskomiteassa edustettuina olevilta jäsenvaltioilta on saatu yksimielinen puoltava lausunto.
                              
                           
               
                  
                     13.
                  
                  
                     Jos yksiäkään liitteessä A olevan 10 artiklan 1 kohdassa tarkoitettuja puitteita ei ole olemassa, kyseisen kolmannen osapuolen on kirjallisesti sitouduttava suojaamaan EU:n turvallisuusluokitellut tiedot asianmukaisesti.
                  
               
            Lisäys A
            
               Määritelmät
            
            Tässä päätöksessä tarkoitetaan
            
                         
                     
                     
                        ’hyväksynnällä’ prosessia, jonka päätteeksi turvallisuusjärjestelyjen hyväksyntäviranomainen antaa virallisen lausunnon siitä, että järjestelmä on hyväksytty käytettäväksi määritellyssä turvallisuusluokassa, tiettyä turvallisuuden takaavaa toimintatapaa käyttöympäristössään noudattaen ja hyväksyttävällä riskitasolla edellyttäen, että hyväksytyt tekniset, fyysiset, organisatoriset ja menettelyyn liittyvät turvatoimet on toteutettu;
                     
                  
                         
                     
                     
                        ’resurssilla’ kaikkea, millä on arvoa organisaatiolle, sen liiketoimille ja niiden jatkuvuudelle, mukaan lukien organisaation tehtävää tukevat tietoresurssit;
                     
                  
                         
                     
                     
                        ’luvalla EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten’ lupaa, jonka EUH:n turvallisuusviranomainen antaa tämän päätöksen mukaisesti ja jäsenvaltion toimivaltaisten viranomaisten tekemän henkilöturvallisuusselvityksen jälkeen ja jonka nojalla henkilölle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn luokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi) ja tiettyyn päivämäärään saakka edellyttäen, että hänen tiedonsaantitarpeensa on todettu – ks. liitteessä A I oleva 2 artikla;
                     
                  
                         
                     
                     
                        ’tietoturvaloukkauksella’ henkilön tekoa tai laiminlyöntiä, joka on ristiriidassa tässä päätöksessä säädettyjen turvallisuussääntöjen ja/tai sellaisten turvallisuuspolitiikkojen tai -ohjeiden kanssa, joissa vahvistetaan päätöksen täytäntöönpanon edellyttämät toimenpiteet;
                     
                  
                         
                     
                     
                        ’viestintä- ja tietojärjestelmän elinkaarella’ viestintä- ja tietojärjestelmän koko olemassaoloaikaa, johon kuuluvat alullepano, luominen, suunnittelu, vaatimusten analysointi, laatiminen, kehitystyö, testaus, käyttöönotto, toiminta, ylläpito ja käytöstä poistaminen;
                     
                  
                         
                     
                     
                        ’turvallisuusluokitellulla sopimuksella’ sopimusta, jonka EUH tekee jonkin sopimuskumppanin kanssa tavaroiden toimittamiseksi, toimeksiantojen suorittamiseksi tai palvelujen tarjoamiseksi ja jonka täytäntöönpano edellyttää pääsyä tai sisältää pääsyn EU:n turvallisuusluokiteltuihin tietoihin tai niiden tuottamista;
                     
                  
                         
                     
                     
                        ’turvallisuusluokitellulla alihankintasopimuksella’ sopimusta, jonka EUH:n sopimuskumppani tekee toisen sopimuskumppanin (eli alihankkijan) kanssa tavaroiden toimittamiseksi, toimeksiantojen suorittamiseksi tai palvelujen tarjoamiseksi ja jonka täytäntöönpano edellyttää pääsyä tai sisältää pääsyn EU:n turvallisuusluokiteltuihin tietoihin tai niiden tuottamista;
                     
                  
                         
                     
                     
                        ’viestintä- ja tietojärjestelmällä’ järjestelmää, joka mahdollistaa tietojen käsittelyn sähköisessä muodossa. Viestintä- ja tietojärjestelmä käsittää kaikki toimintansa kannalta tarpeelliset resurssit, myös infrastruktuurin, organisaation, henkilöstön ja tietoresurssit – ks. liitteessä A olevan 8 artiklan 2 kohta;
                     
                  
                         
                     
                     
                        ’EU:n turvallisuusluokiteltujen tietojen vaarantumisella’ EU:n turvallisuusluokiteltujen tietojen paljastumista kokonaisuudessaan tai osittain sivullisille henkilöille tai yksiköille – ks. 9 artiklan 2 kohta;
                     
                  
                         
                     
                     
                        ’sopimuskumppanilla’ luonnollista henkilöä tai oikeushenkilöä, joka on oikeudellisesti kelpoinen tekemään sopimuksia;
                     
                  
                         
                     
                     
                        ’salaustuotteilla’ salausalgoritmeja, -laitteistoja ja -ohjelmistomoduuleja sekä tuotteita, joihin sisältyy täytäntöönpanoa koskevia yksityiskohtaisia tietoja sekä niihin liittyviä asiakirjoja ja avainnusaineistoa;
                     
                  
                         
                     
                     
                        ’YTPP-operaatiolla’ SEU-sopimuksen V osaston 2 luvun nojalla toteutettavaa sotilas- tai siviilikriisinhallintaoperaatiota;
                     
                  
                         
                     
                     
                        ’turvallisuusluokan poistamisella’ minkä tahansa turvallisuusluokan poistamista;
                     
                  
                         
                     
                     
                        ’syvyyssuuntaisella turvallisuudella’ sellaisten erityyppisten turvatoimien soveltamista, joilla järjestetään monitasoinen puolustus;
                     
                  
                         
                     
                     
                        ’nimetyllä turvallisuusviranomaisella’ jäsenvaltion kansalliselle turvallisuusviranomaiselle tilintekovelvollista viranomaista, jonka vastuulla on tiedottaa yrityksille tai muille yhteisöille kansallisesta politiikasta kaikissa yhteisöturvallisuutta koskevissa asioissa sekä antaa ohjausta ja apua niiden soveltamisessa. Nimettynä turvallisuusviranomaisena voi toimia kansallinen turvallisuusviranomainen tai muu toimivaltainen viranomainen;
                     
                  
                         
                     
                     
                        ’asiakirjalla’ mitä tahansa tallennettua tietoa sen fyysisestä muodosta tai ominaisuuksista riippumatta;
                     
                  
                         
                     
                     
                        ’turvallisuusluokan alentamisella’ turvallisuusluokituksen tason alentamista;
                     
                  
                         
                     
                     
                        ’EU:n turvallisuusluokitelluilla tiedoilla’ mitä tahansa tietoa tai aineistoa, jolle on määritelty EU:n turvallisuusluokka ja jonka luvaton ilmitulo voisi vaihtelevassa määrin vahingoittaa Euroopan unionin tai yhden tai useamman jäsenvaltion etuja – ks. 2 artiklan f alakohta;
                     
                  
                         
                     
                     
                        ’yhteisöturvallisuusselvityksellä’ kansallisen tai nimetyn turvallisuusviranomaisen hallinnollista päätöstä, jonka mukaan yhteisö pystyy tarjoamaan turvallisuuden kannalta riittävän suojan määrättyyn turvallisuusluokkaan kuuluville EU:n turvallisuusluokitelluille tiedoille ja jonka mukaan kyseisen yhteisön henkilöstölle – jonka tehtävät edellyttävät EU:n turvallisuusluokiteltuihin tietoihin pääsyä – on tehty asianmukainen turvallisuusselvitys ja jonka mukaan on selvitetty EU:n turvallisuusluokiteltuihin tietoihin pääsyn ja niiden suojaamisen edellyttämät asiaankuuluvat turvallisuusvaatimukset;
                     
                  
                         
                     
                     
                        EU:n turvallisuusluokiteltujen tietojen ’käsittelyllä’ kaikkia mahdollisia toimia, joita EU:n turvallisuusluokiteltuihin tietoihin voidaan kohdistaa niiden elinkaaren aikana. Näitä ovat tietojen tuottaminen, käsittely, kuljetus, turvallisuusluokan alentaminen, turvallisuusluokan poistaminen ja tietojen hävittäminen. Viestintä- ja tietojärjestelmien osalta toimia ovat myös tietojen kerääminen, esittäminen, siirtäminen ja säilyttäminen;
                     
                  
                         
                     
                     
                        ’haltijalla’ asianmukaisesti valtuutettua henkilöä, jonka tiedonsaantitarve on todettu ja jonka hallussa on EU:n turvallisuusluokiteltu tieto, jonka suojaamisesta hän on vastuussa;
                     
                  
                         
                     
                     
                        ’yrityksellä tai muulla yhteisöllä’ tavaroiden toimittamiseen, toimeksiantojen suorittamiseen tai palvelujen tarjoamiseen osallistuvaa yhteisöä. Kyseessä voi olla teollinen, kaupallinen, palvelu-, tieteellinen, tutkimus-, koulutus- tai kehitysyhteisö taikka itsenäinen ammatinharjoittaja;
                     
                  
                         
                     
                     
                        ’yhteisöturvallisuudella’ toimenpiteiden toteuttamista sen varmistamiseksi, että sopimuskumppanit tai alihankkijat suojaavat EU:n turvallisuusluokitellut tiedot sopimusta edeltävissä neuvotteluissa ja turvallisuusluokiteltujen sopimusten koko elinkaaren ajan – ks. liitteessä A olevan 9 artiklan 1 kohta;
                     
                  
                         
                     
                     
                        ’tietojen turvaamisella’ viestintä- ja tietojärjestelmien alalla varmuutta siitä, että järjestelmät suojaavat niissä käsiteltävät tiedot ja toimivat siten kuin ja silloin kun niiden kuuluu toimia laillisten käyttäjien valvonnassa. Tehokkaalla tietojen turvaamisella varmistetaan asianmukainen luottamuksellisuuden, eheyden, saatavuuden, kiistattomuuden ja aitouden taso. Tietojen turvaaminen perustuu riskinhallintaprosessiin – ks. liitteessä A olevan 8 artiklan 1 kohta;
                     
                  
                         
                     
                     
                        ’yhteenliitännällä’ kahden tai useamman tietotekniikkajärjestelmän välitöntä liittämistä toisiinsa tietojen ja muiden tietoresurssien (esim. viestintä) jakamiseksi yksi- tai monisuuntaisesti – ks. liitteessä A IV oleva 31 kohta;
                     
                  
                         
                     
                     
                        ’turvallisuusluokiteltujen tietojen hallinnalla’ hallinnollisten toimenpiteiden soveltamista EU:n turvallisuusluokiteltujen tietojen valvomiseksi koko niiden elinkaaren ajan niin, että täydennetään 5, 6 ja 8 artiklassa säädettyjä toimenpiteitä ja siten autetaan estämään ja havaitsemaan tällaisten tietojen tahallinen tai tahaton vaarantuminen tai katoaminen sekä korjaamaan vaarantumis- tai katoamistilanne. Tällaiset toimenpiteet liittyvät erityisesti EU:n turvallisuusluokiteltujen tietojen tuottamiseen, kirjaamiseen, jäljentämiseen, kääntämiseen, kuljettamiseen, käsittelyyn, säilyttämiseen ja hävittämiseen – ks. liitteessä A olevan 7 artiklan 1 kohta;
                     
                  
                         
                     
                     
                        ’aineistolla’ mitä tahansa asiakirjaa tai konetta tai laitetta, joka on valmistettu tai jota ollaan valmistamassa;
                     
                  
                         
                     
                     
                        ’luovuttajalla’ EU:n toimielintä, virastoa tai elintä, jäsenvaltiota, kolmatta maata tai kansainvälistä järjestöä, jonka alaisuudessa turvallisuusluokiteltuja tietoja on tuotettu ja/tai tuotu EU:n rakenteisiin;
                     
                  
                         
                     
                     
                        ’henkilöstöturvallisuudella’ toimenpiteitä sen varmistamiseksi, että pääsy EU:n turvallisuusluokiteltuihin tietoihin myönnetään ainoastaan henkilöille,
                        
                                    —
                                 
                                 
                                    joilla on tiedonsaantitarve;
                                 
                              
                                    —
                                 
                                 
                                    joille on tehty asianmukainen turvallisuusselvitys tai joilla on tehtäviensä vuoksi muu kansallisten lakien ja asetusten mukainen asianmukainen lupa luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL tai sitä korkeampaan luokkaan kuuluviin tietoihin pääsyä varten; ja
                                 
                              
                                    —
                                 
                                 
                                    joille on tiedotettu heille kuuluvasta vastuusta –
                                 
                              ks. liitteessä A olevan 5 artiklan 1 kohta;
                     
                  
                         
                     
                     
                        ’henkilöturvallisuusselvityksellä’ EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten jäsenvaltion toimivaltaisen viranomaisen lausuntoa, joka annetaan jäsenvaltion toimivaltaisten viranomaisten tekemän turvallisuustutkinnan jälkeen ja jonka nojalla henkilölle voidaan myöntää pääsy EU:n turvallisuusluokiteltuihin tietoihin tiettyyn luokkaan (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi) ja tiettyyn päivämäärään saakka edellyttäen, että hänen tiedonsaantitarpeensa on todettu. Tällaisen henkilön sanotaan olevan ”turvallisuusselvitetty”;
                     
                  
                         
                     
                     
                        ’henkilöturvallisuusselvitykseen perustuvalla todistuksella’ toimivaltaisen viranomaisen antamaa todistusta, jossa todetaan, että henkilö on turvallisuusselvitetty ja että hänellä on voimassa oleva henkilöturvallisuusselvitys tai turvallisuudesta vastaavan osaston päällikön lupa EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten, ja josta käy ilmi luokka, johon kuuluviin EU:n turvallisuusluokiteltuihin tietoihin asianomaiselle henkilölle voidaan myöntää pääsy (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi), asiaankuuluvan turvallisuusselvityksen voimassaoloaika ja itse todistuksen voimassaolon päättymispäivä;
                     
                  
                         
                     
                     
                        ’fyysisellä turvallisuudella’ fyysisten ja teknisten suojatoimien toteuttamista, jotta voidaan estää luvaton pääsy EU:n turvallisuusluokiteltuihin tietoihin – ks. liitteessä A oleva 6 artikla;
                     
                  
                         
                     
                     
                        ’ohjelman tai hankkeen turvallisuusohjeilla’ luetteloa turvallisuusmenettelyistä, joita sovelletaan tiettyyn ohjelmaan tai hankkeeseen turvallisuusmenettelyjen yhdenmukaistamiseksi. Turvallisuusohjeita voidaan tarkistaa ohjelman tai hankkeen koko keston ajan;
                     
                  
                         
                     
                     
                        ’kirjaamisella’ sellaisten menettelyjen soveltamista, joilla kirjataan tietojen elinkaari, myös niiden jakelu ja hävittäminen – ks. liitteessä A III oleva 21 kohta;
                     
                  
                         
                     
                     
                        ’jäännösriskillä’ riskiä, joka jää jäljelle, kun turvatoimet on toteutettu, ottaen huomioon, että kaikkia uhkia ei voida torjua eikä kaikkia haavoittuvuustekijöitä poistaa;
                     
                  
                         
                     
                     
                        ’riskillä’ mahdollisuutta, että tietty uhka hyötyy organisaation tai minkä tahansa sen käyttämän järjestelmän sisäisistä ja ulkoisista haavoittuvuustekijöistä ja aiheuttaa tällä tavoin vahinkoa organisaatiolle ja sen aineelliselle tai aineettomalle omaisuudelle. Sen mittana on uhkien toteutumisen todennäköisyys yhdistettynä niiden vaikutuksiin;
                     
                  
                         
                     
                     
                        ’riskin hyväksymisellä’ päätöstä hyväksyä jäännösriskin olemassaolo riskin käsittelyn jälkeen;
                     
                  
                         
                     
                     
                        ’riskinarvioinnilla’ uhkien ja haavoittuvuustekijöiden tunnistamista ja niihin liittyvän riskianalyysin eli todennäköisyyden ja vaikutusten analyysin tekemistä;
                     
                  
                         
                     
                     
                        ’riskiviestinnällä’ viestintä- ja tietojärjestelmien käyttäjäyhteisöjen riskitietoisuuden lisäämistä, riskeistä tiedottamista hyväksyntäviranomaisille ja niistä raportoimista toiminnasta vastaaville viranomaisille;
                     
                  
                         
                     
                     
                        ’riskinhallintaprosessilla’ koko sitä prosessia, jolla yksilöidään, hallitaan ja minimoidaan epävarmoja tapahtumia, jotka saattavat vaikuttaa organisaation tai joidenkin sen käyttämien järjestelmien turvallisuuteen. Se kattaa kaikki riskeihin liittyvät toiminnot, myös arvioinnin, käsittelyn, hyväksymisen ja viestinnän;
                     
                  
                         
                     
                     
                        ’riskin käsittelyllä’ riskin lieventämistä, poistamista, vähentämistä (teknisiä, fyysisiä, organisatorisia tai menettelyyn liittyviä toimenpiteitä tarkoituksenmukaisesti yhdistämällä), siirtämistä tai seuraamista;
                     
                  
                         
                     
                     
                        ’turvallisuutta koskevalla lisälausekkeella’ hankeviranomaisen määräämää erityissopimusehtojen kokonaisuutta, joka on erottamaton osa turvallisuusluokiteltua sopimusta, joka edellyttää pääsyä EU:n turvallisuusluokiteltuihin tietoihin tai niiden tuottamista, ja jossa yksilöidään turvallisuusvaatimukset tai ne sopimuksen osat, joiden turvallisuus on varmistettava – ks. liitteessä A V oleva II jakso;
                     
                  
                         
                     
                     
                        ’turvallisuusluokitusoppaalla’ asiakirjaa, jossa kuvataan ohjelman tai sopimuksen turvallisuusluokitellut osat ja eritellään sovellettavat turvallisuusluokat. Turvallisuusluokitusopasta voidaan laajentaa ohjelman tai sopimuksen koko keston ajan, ja sen sisältämien tietojen turvallisuusluokat voidaan määritellä uudelleen tai niitä voidaan alentaa. Jos turvallisuusluokitusopas on olemassa, sen on oltava osa turvallisuutta koskevaa lisälauseketta – ks. liitteessä A V oleva II jakso;
                     
                  
                         
                     
                     
                        ’turvallisuustutkinnalla’ tutkintamenettelyjä, jotka jäsenvaltion toimivaltainen viranomainen suorittaa kansallisten lakien ja asetusten mukaisesti sen varmistamiseksi, että henkilöstä ei ole tiedossa mitään sellaista kielteistä seikkaa, joka estäisi kansallisen tai EU:n henkilöturvallisuusselvityksen myöntämisen EU:n turvallisuusluokiteltuihin tietoihin pääsyä varten tiettyyn luokkaan saakka (CONFIDENTIEL UE/EU CONFIDENTIAL tai korkeampi);
                     
                  
                         
                     
                     
                        ’turvamenettelyillä’ kuvausta sovellettavasta turvallisuuspolitiikasta, noudatettavista menettelyistä ja henkilöstön vastuista;
                     
                  
                         
                     
                     
                        ’arkaluonteisilla turvallisuusluokittelemattomilla tiedoilla’ tietoa tai aineistoa, jota EUH:n on suojeltava perussopimuksissa tai niiden täytäntöönpanemiseksi annetuissa säädöksissä vahvistettujen oikeudellisten velvoitteiden vuoksi ja/tai sen arkaluonteisuuden vuoksi. Arkaluonteisia turvallisuusluokittelemattomia tietoja ovat muun muassa, mutteivät yksinomaan, SEUT-sopimuksen 339 artiklassa tarkoitetun salassapitovelvollisuuden piiriin kuuluvat tiedot ja aineisto, Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 1049/2001 (1) 4 artiklalla, tarkasteltuna yhdessä Euroopan unionin tuomioistuimen asiaa koskevan oikeuskäytännön kanssa, suojattujen etujen piiriin kuuluvat tiedot ja asetuksen (EY) N:o 45/2001 soveltamisalaan kuuluvat henkilötiedot;
                     
                  
                         
                     
                     
                        ’järjestelmäkohtaisilla turvavaatimusilmoituksilla’ noudatettavien turvallisuusperiaatteiden ja yksityiskohtaisten turvallisuusvaatimusten sitovaa kokonaisuutta, johon viestintä- ja tietojärjestelmän sertifiointi ja hyväksyntä perustuu;
                     
                  
                         
                     
                     
                        ’TEMPESTillä’ haitallisen elektromagneettisen säteilyn tutkimista ja valvontaa sekä toimenpiteitä sen poistamiseksi;
                     
                  
                         
                     
                     
                        ’uhalla’ mahdollista syytä ei-toivottuun tapahtumaan, joka saattaa vahingoittaa organisaatiota tai jotakin sen käyttämää järjestelmää. Uhat voivat olla tahattomia tai tahallisia (vihamielisiä), ja niille ovat ominaisia uhkaavat seikat sekä mahdolliset kohteet ja hyökkäysmenetelmät;
                     
                  
                         
                     
                     
                        ’haavoittuvuustekijällä’ minkä tahansa laatuista heikkoutta, josta yksi tai useampi uhka voi hyötyä. Haavoittuvuustekijä voi olla laiminlyönti tai liittyä heikkouksiin valvonnan tehokkuudessa, täydellisyydessä tai johdonmukaisuudessa, ja se voi olla luonteeltaan teknistä, menettelyyn liittyvää, fyysistä, organisatorista tai toiminnallista.
                     
                  
               (1)  Euroopan parlamentin ja neuvoston asetus (EY) N:o 1049/2001, annettu 30 päivänä toukokuuta 2001, Euroopan parlamentin, neuvoston ja komission asiakirjojen saamisesta yleisön tutustuttavaksi (EYVL L 145, 31.5.2001, s. 43).
         
         
            Lisäys B
            
               Turvallisuusluokkien vastaavuus
            
            
                        EU
                     
                     
                        TRÈS SECRET UE/EU TOP SECRET
                     
                     
                        SECRET UE/EU SECRET
                     
                     
                        CONFIDENTIEL UE/EU CONFIDENTIAL
                     
                     
                        RESTREINT UE/EU RESTRICTED
                     
                  
                        EURATOM
                     
                     
                        EURA TOP SECRET
                     
                     
                        EURA SECRET
                     
                     
                        EURA CONFIDENTIAL
                     
                     
                        EURA RESTRICTED
                     
                  
                        Belgia
                     
                     
                        Très Secret (Loi 11.12.1998)
                        Zeer Geheim (Wet 11.12.1998)
                     
                     
                        Secret (Loi 11.12.1998)
                        Geheim (Wet 11.12.1998)
                     
                     
                        Confidentiel (Loi 11.12.1998)
                        Vertrouwelijk (Wet 11.12.1998)
                     
                     
                        ks. huomautus (1)
                        
                     
                  
                        Bulgaria
                     
                     
                        Cтpoгo ceкретно
                     
                     
                        Ceкретно
                     
                     
                        Поверително
                     
                     
                        За служебно ползване
                     
                  
                        Tšekki
                     
                     
                        Přísně tajné
                     
                     
                        Tajné
                     
                     
                        Důvěrné
                     
                     
                        Vyhrazené
                     
                  
                        Tanska
                     
                     
                        Yderst hemmeligt
                     
                     
                        Hemmeligt
                     
                     
                        Fortroligt
                     
                     
                        Til tjenestebrug
                     
                  
                        Saksa
                     
                     
                        STRENG GEHEIM
                     
                     
                        GEHEIM
                     
                     
                        VS (2) — VERTRAULICH
                     
                     
                        VS — NUR FÜR DEN DIENSTGEBRAUCH
                     
                  
                        Viro
                     
                     
                        Täiesti salajane
                     
                     
                        Salajane
                     
                     
                        Konfidentsiaalne
                     
                     
                        Piiratud
                     
                  
                        Irlanti
                     
                     
                        Top Secret
                     
                     
                        Secret
                     
                     
                        Confidential
                     
                     
                        Restricted
                     
                  
                        Kreikka
                     
                     
                        Άκρως Απόρρητο
                        Lyhenne: ΑΑΠ
                     
                     
                        Απόρρητο
                        Lyhenne: (ΑΠ)
                     
                     
                        Εμπιστευτικό
                        Lyhenne: (ΕΜ)
                     
                     
                        Περιορισμένης Χρήσης
                        Lyhenne: (ΠΧ)
                     
                  
                        Espanja
                     
                     
                        SECRETO
                     
                     
                        RESERVADO
                     
                     
                        CONFIDENCIAL
                     
                     
                        DIFUSIÓN LIMITADA
                     
                  
                        Ranska
                     
                     
                        Très Secret Défense
                     
                     
                        Secret Défense
                     
                     
                        Confidentiel Défense
                     
                     
                        ks. huomautus (3)
                        
                     
                  
                        Kroatia
                     
                     
                        VRLO TAJNO
                     
                     
                        TAJNO
                     
                     
                        POVJERLJIVO
                     
                     
                        OGRANIČENO
                     
                  
                        Italia
                     
                     
                        Segretissimo
                     
                     
                        Segreto
                     
                     
                        Riservatissimo
                     
                     
                        Riservato
                     
                  
                        Kypros
                     
                     
                        Άκρως Απόρρητο
                        Lyhenne: (AΑΠ)
                     
                     
                        Απόρρητο
                        Lyhenne: (ΑΠ)
                     
                     
                        Εμπιστευτικό
                        Lyhenne: (ΕΜ)
                     
                     
                        Περιορισμένης Χρήσης
                        Lyhenne: (ΠΧ)
                     
                  
                        Latvia
                     
                     
                        Sevišķi slepeni
                     
                     
                        Slepeni
                     
                     
                        Konfidenciāli
                     
                     
                        Dienesta vajadzībām
                     
                  
                        Liettua
                     
                     
                        Visiškai slaptai
                     
                     
                        Slaptai
                     
                     
                        Konfidencialiai
                     
                     
                        Riboto naudojimo
                     
                  
                        Luxemburg
                     
                     
                        Très Secret Lux
                     
                     
                        Secret Lux
                     
                     
                        Confidentiel Lux
                     
                     
                        Restreint Lux
                     
                  
                        Unkari
                     
                     
                        ”Szigorúan titkos!”
                     
                     
                        ”Titkos!”
                     
                     
                        ”Bizalmas!”
                     
                     
                        ”Korlátozott terjesztésű!”
                     
                  
                        Malta
                     
                     
                        L-Ogħla Segretezza
                     
                     
                        Sigriet
                     
                     
                        Kunfidenzjali
                     
                     
                        Ristrett
                     
                  
                        Alankomaat
                     
                     
                        Stg. ZEER GEHEIM
                     
                     
                        Stg. GEHEIM
                     
                     
                        Stg. CONFIDENTIEEL
                     
                     
                        Dep. VERTROUWELIJK
                     
                  
                        Itävalta
                     
                     
                        Streng Geheim
                     
                     
                        Geheim
                     
                     
                        Vertraulich
                     
                     
                        Eingeschränkt
                     
                  
                        Puola
                     
                     
                        Ściśle Tajne
                     
                     
                        Tajne
                     
                     
                        Poufne
                     
                     
                        Zastrzeżone
                     
                  
                        Portugali
                     
                     
                        Muito Secreto
                     
                     
                        Secreto
                     
                     
                        Confidencial
                     
                     
                        Reservado
                     
                  
                        Romania
                     
                     
                        Strict secret de importanță deosebită
                     
                     
                        Strict secret
                     
                     
                        Secret
                     
                     
                        Secret de serviciu
                     
                  
                        Slovenia
                     
                     
                        Strogo tajno
                     
                     
                        Tajno
                     
                     
                        Zaupno
                     
                     
                        Interno
                     
                  
                        Slovakia
                     
                     
                        Prísne tajné
                     
                     
                        Tajné
                     
                     
                        Dôverné
                     
                     
                        Vyhradené
                     
                  
                        Suomi
                     
                     
                        ERITTÄIN SALAINEN
                        YTTERST HEMLIG
                     
                     
                        SALAINEN
                        HEMLIG
                     
                     
                        LUOTTAMUKSELLINEN
                        KONFIDENTIELL
                     
                     
                        KÄYTTÖ RAJOITETTU
                        BEGRÄNSAD TILLGÅNG
                     
                  
                        Ruotsi (4)
                        
                     
                     
                        HEMLIG/TOP SECRET
                     
                     
                        HEMLIG/SECRET
                     
                     
                        HEMLIG/CONFIDENTIAL
                     
                     
                        HEMLIG/RESTRICTED
                     
                  
                        HEMLIG AV SYNNERLIG BETYDELSE FÖR RIKETS SÄKERHET
                     
                     
                        HEMLIG
                     
                     
                        HEMLIG
                     
                     
                        HEMLIG
                     
                  
                        Yhdistynyt kuningaskunta
                     
                     
                        UK TOP SECRET
                     
                     
                        UK SECRET
                     
                     
                        Ei vastaavaa luokitusta (5)
                        
                     
                     
                        UK OFFICIAL – SENSITIVE
                     
                  
               (1)  Belgiassa ”Diffusion Restreinte/Beperkte Verspreiding” ei ole turvallisuusluokka. Belgia käsittelee ja suojaa luokkaan RESTREINT UE/EU RESTRICTED kuuluvat tiedot vähintään yhtä tiukasti kuin Euroopan unionin neuvoston turvallisuussäännöissä kuvatut vaatimukset ja menettelyt edellyttävät.
            
               (2)  Saksa: VS = Verschlusssache.
            
               (3)  Ranska ei käytä turvallisuusluokkaa RESTREINT kansallisessa järjestelmässään. Ranska käsittelee ja suojaa luokkaan RESTREINT UE/EU RESTRICTED kuuluvat tiedot vähintään yhtä tiukasti kuin Euroopan unionin neuvoston turvallisuussäännöissä kuvatut vaatimukset ja menettelyt edellyttävät.
            
               (4)  Ruotsi: ylemmällä rivillä olevia turvallisuusluokitusmerkintöjä käyttävät puolustusviranomaiset ja alemmalla rivillä olevia merkintöjä muut viranomaiset.
            
               (5)  Yhdistynyt kuningaskunta käsittelee ja suojaa luokkaan CONFIDENTIEL UE/EU CONFIDENTIAL kuuluvat EU:n turvallisuusluokitellut tiedot luokkaan UK SECRET sovellettavien vaatimusten mukaisesti.