CELEX: 32013D0629(03)
Language: lt
Date: 1366329600000
Title: 2013 m. balandžio 19 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl Europos išorės veiksmų tarnybos saugumo taisyklių

29.6.2013   
            
            
               LT
            
            
               Europos Sąjungos oficialusis leidinys
            
            
               C 190/1
            
         SĄJUNGOS VYRIAUSIOJO ĮGALIOTINIO UŽSIENIO REIKALAMS IR SAUGUMO POLITIKAI SPRENDIMAS
   2013 m. balandžio 19 d.
   dėl Europos išorės veiksmų tarnybos saugumo taisyklių
   (2013/C 190/01)
   SĄJUNGOS VYRIAUSIASIS ĮGALIOTINIS UŽSIENIO REIKALAMS IR SAUGUMO POLITIKAI,
   atsižvelgdamas į 2010 m. liepos 26 d. Tarybos sprendimą 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos (EIVT) struktūra ir veikimas (1),
   atsižvelgdamas į 2011 m. birželio 15 d. Vyriausiojo įgaliotinio sprendimo dėl Europos išorės veiksmų tarnybos saugumo taisyklių 9 straipsnio 6 dalyje nurodyto komiteto nuomonę (2),
   atsižvelgdamas į 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 10 straipsnio 1 dalyje nurodyto komiteto nuomonę,
   kadangi:
   
               (1)
            
            
               EIVT, kaip funkciniu požiūriu savarankiška Europos Sąjungos įstaiga, turėtų turėti saugumo taisykles, kaip numatyta Tarybos sprendimo 2010/427/ES 10 straipsnio 1 dalyje;
            
         
               (2)
            
            
               Sąjungos vyriausiasis įgaliotinis užsienio reikalams ir saugumo politikai (toliau – vyriausiasis įgaliotinis) turėtų nuspręsti dėl EIVT saugumo taisyklių, kurios apimtų visus saugumo aspektus, susijusius su EIVT veikimu, kad EIVT veiksmingai valdytų riziką, kylančią darbuotojams, už kurių įdarbinimą atsakinga EIVT, jos fiziniams ištekliams, informacijai ir lankytojams, ir kad šiuo atžvilgiu ji vykdytų su rūpestingu elgesiu susijusius įsipareigojimus;
            
         
               (3)
            
            
               turėtų būti užtikrintas toks darbuotojų, už kurių įdarbinimą atsakinga EIVT, EIVT fizinių išteklių, įskaitant ryšių ir informacijos sistemas, informacijos ir lankytojų apsaugos lygis, kuris atitiktų Tarybos, Komisijos, valstybių narių ir, jei taikytina, tarptautinių organizacijų geriausią praktiką;
            
         
               (4)
            
            
               EIVT saugumo taisyklės turėtų padėti užtikrinti labiau suderintą visapusišką bendrą sistemą Europos Sąjungos viduje, kad būtų apsaugota ES įslaptinta informacija (toliau – ESĮI), remiantis Europos Sąjungos Tarybos (toliau – Taryba) saugumo taisyklėmis ir Komisijos saugumo nuostatomis ir siekiant kuo didesnio suderinamumo su jomis;
            
         
               (5)
            
            
               EIVT, Taryba ir Komisija yra įsipareigojusios taikyti lygiaverčius ESĮI apsaugą užtikrinančius saugumo standartus;
            
         
               (6)
            
            
               šis sprendimas priimamas nepažeidžiant Sutarties dėl Europos Sąjungos veikimo (SESV) 15 ir 16 straipsnių ir jų įgyvendinimo teisės aktų;
            
         
               (7)
            
            
               reikia nustatyti EIVT saugumo organizavimą ir paskirstyti saugumo užduotis EIVT struktūrose;
            
         
               (8)
            
            
               vyriausiasis įgaliotinis prireikus turėtų atsižvelgti į atitinkamą valstybių narių, Tarybos generalinio sekretoriato ir Komisijos patirtį;
            
         
               (9)
            
            
               vyriausiasis įgaliotinis turėtų imtis visų reikiamų priemonių, kad įgyvendintų šias taisykles, padedamas valstybių narių, Tarybos generalinio sekretoriato ir Komisijos,
            
         PRIĖMĖ ŠĮ SPRENDIMĄ:
   1 straipsnis
   Tikslas ir taikymo sritis
   Šiuo sprendimu nustatomos Europos išorės veiksmų tarnybos saugumo taisyklės (toliau – EIVT saugumo taisyklės).
   Pagal 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 10 straipsnio 1 dalį jos taikomos EIVT darbuotojams ir visiems Sąjungos delegacijų darbuotojams, nepaisant jų administracinio statuso ar to, kokia administracija juos paskyrė. Jomis taip pat nustatoma bendroji reglamentavimo sistema, kad būtų veiksmingai valdoma rizika, kuri iškyla darbuotojams, už kurių įdarbinimą atsakinga EIVT pagal 2 straipsnį, EIVT patalpoms, fiziniams ištekliams, informacijai ir lankytojams.
   2 straipsnis
   Terminų apibrėžtys
   Šiame sprendime vartojamų terminų apibrėžtys:
   a)   EIVT darbuotojai– EIVT pareigūnai ir kiti tarnautojai, įskaitant valstybių narių diplomatinių tarnybų darbuotojus, kurie paskiriami laikinaisiais darbuotojais, taip pat komandiruoti nacionaliniai ekspertai pagal 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 6 straipsnį;
   b)   darbuotojai, už kurių įdarbinimą atsakinga EIVT,– EIVT darbuotojai ir visi Sąjungos delegacijų darbuotojai, nepaisant jų administracinio statuso ar to, kokia administracija juos paskyrė, taip pat, kaip nustatyta šiame sprendime, vyriausiasis įgaliotinis ir, jei taikytina, kiti darbuotojai, kurie dirba EIVT būstinės patalpose;
   c)   išlaikytiniai– darbuotojų, už kurių įdarbinimą Sąjungos delegacijose atsakinga EIVT, šeimos nariai, kurie yra darbuotojų namų ūkio dalyviai, kaip pranešta priimančiosios valstybės užsienio reikalų ministerijai;
   d)   EIVT patalpos– visos EIVT įstaigos, įskaitant pastatus, biurus, kabinetus ir kitas zonas, taip pat zonos, kuriose saugomos ryšių ir informacinės sistemos (įskaitant zonas, kuriose tvarkoma ES įslaptinta informacija (ESĮI)) ir kuriose EIVT vykdo nuolatinę ar laikiną veiklą;
   e)   EIVT saugumo interesai– darbuotojai, už kurių įdarbinimą atsakinga EIVT, EIVT patalpos, išlaikytiniai, fiziniai ištekliai, įskaitant ryšių ir informacines sistemas, informacija ir lankytojai;
   f)   ES įslaptinta informacija (ESĮI)– bet kuri informacija arba medžiaga, kuriai suteikta ES slaptumo žyma ir kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams.
   Kitos terminų apibrėžtys pateiktos atitinkamuose prieduose ir A priedėlyje.
   3 straipsnis
   Su rūpestingu elgesiu susiję įsipareigojimai
   1.   EIVT saugumo taisyklėmis siekiama užtikrinti su rūpestingu elgesiu susijusių EIVT įsipareigojimų įgyvendinimą.
   2.   Su rūpestingu elgesiu susiję EIVT įsipareigojimai yra stropus visų protingų veiksmų vykdymas įgyvendinant priemones, kuriomis siekiama užkirsti kelią pagrįstai, iš anksto numatytai žalai EIVT saugumo interesams.
   Ji apima ir saugos, ir saugumo aspektus, įskaitant tuos aspektus, kurie susiję su nepaprastosiomis situacijomis ar krizėmis, kad ir koks būtų jų pobūdis.
   3.   EIVT, atsižvelgdama į valstybių narių, ES institucijų ar įstaigų ir kitų šalių, kurių darbuotojai dirba Sąjungos delegacijose ir (arba) Sąjungos delegacijų patalpose, su rūpestingu elgesiu susijusius įsipareigojimus, taip pat atvejus, kai tokie įsipareigojimai tenka EIVT (kai Sąjungos delegacijos lankosi pirmiau minėtų kitų šalių patalpose), EIVT su kiekvienu iš šių subjektų sudaro administracinius susitarimus, kuriuose nustatomos jų funkcijos ir pareigos, uždaviniai ir bendradarbiavimo mechanizmai.
   4 straipsnis
   Fizinis ir infrastruktūros saugumas
   1.   Visose EIVT patalpose EIVT nustato visas tinkamas fizinio saugumo priemones (laikinas ir nuolatines), įskaitant patekimo kontrolės priemones, kuriomis siekiama apsaugoti EIVT saugumo interesus. Į šias priemones atsižvelgiama projektuojant ir planuojant naujas patalpas, taip pat prieš išsinuomojant esamas patalpas.
   2.   Trečiųjų šalių patalpose EIVT taip pat nustato visas tinkamas fizinio saugumo priemones (laikinas ir nuolatines), kuriomis siekiama apsaugoti EIVT saugumo interesus.
   Šiuo tikslu darbuotojams, už kurių įdarbinimą atsakinga EIVT, ir išlaikytiniams dėl su saugumu susijusių priežasčių tam tikrą laikotarpį ir tam tikrose zonose gali būti nustatyti specialūs įpareigojimai ar apribojimai.
   3.   1 ir 2 dalyse nurodytos priemonės turi atitikti įvertintą riziką.
   5 straipsnis
   Įslaptintos informacijos apsauga
   1.   ESĮI apsauga reglamentuojama šio sprendimo, ypač jo A priedo, nuostatomis. Bet kokios ESĮI turėtojas yra atsakingas už tinkamą jos apsaugą.
   2.   EIVT užtikrina, kad galimybė susipažinti su įslaptinta informacija būtų suteikta tik asmenims, kurie atitinka A priedo 5 straipsnyje nustatytas sąlygas.
   3.   Vietos darbuotojų susipažinimo su ESĮI sąlygas taip pat nustato vyriausias įgaliotinis pagal šio sprendimo A priede nustatytas ESĮI apsaugos taisykles.
   4.   EIVT saugumo direktoratas tvarko visų darbuotojų, už kurių įdarbinimą atsakinga EIVT, ir visų EIVT rangovų darbuotojų patikimumo pažymėjimo statuso duomenų bazę.
   5.   Valstybėms narėms nacionaline slaptumo žyma pažymėtą įslaptintą informaciją įtraukus į EIVT struktūras ar tinklus, EIVT tą informaciją apsaugo laikydamasi reikalavimų, taikomų lygiaverčio slaptumo žymos lygio ESĮI, kaip nustatyta šio sprendimo A priede pateiktose atitinkamose taisyklėse.
   6.   EIVT zonos, kuriose saugoma CONFIDENTIEL UE/EU CONFIDENTIAL arba atitinkamo ar aukštesnio lygio slaptumo žyma pažymėta informacija, įrengiamos kaip saugumo zonos pagal šio sprendimo A priede nustatytas taisykles ir patvirtinamos EIVT saugumo institucijos.
   7.   Vyriausiojo įgaliotinio pareigų, susijusių su susitarimais ar administraciniais susitarimais su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis dėl keitimosi ESĮI, vykdymo procedūros aprašytos šio sprendimo A ir A VI prieduose.
   6 straipsnis
   Saugumo incidentai ir nepaprastosios situacijos
   1.   Siekdama laiku ir veiksmingai reaguoti į saugumo incidentus, EIVT nustato pranešimų apie tokius incidentus ir nepaprastąsias situacijas procedūrą, kuria turi būti galima pasinaudoti dvidešimt keturias valandas per parą, septynias dienas per savaitę ir kuri apima visus saugumo incidentus ir grėsmes EIVT saugumo interesams (pvz., avarijas, konfliktus, piktavališkus veiksmus, nusikalstamus veiksmus, žmonių grobimą, įkaitų ėmimą, su sveikata susijusias nepaprastąsias situacijas, ryšių ir informacijos sistemos incidentus, kibernetinius išpuolius ir kt.).
   2.   EIVT būstinė, Sąjungos delegacijos, Taryba, Komisija, ES specialieji įgaliotiniai ir valstybės narės tarpusavyje nustato ryšių kanalus, kurie naudojami esant nepaprastosioms situacijoms ir padeda valdyti su personalu susijusius saugumo incidentus ir jų padarinius, įskaitant nenumatytų atvejų planavimą.
   3.   Šį saugumo incidentų valdymą, be kita ko, sudaro:
   
               —
            
            
               veiksmingos pagalbos priimant sprendimus dėl saugumo incidentų, susijusių su personalu, įskaitant sprendimus dėl misijų atšaukimo ar pristabdymo, procedūros ir
            
         
               —
            
            
               darbuotojų susigrąžinimo politika ir procedūros (pvz., dingus, pagrobus ar paėmus įkaitais darbuotojus), atsižvelgiant į konkrečią valstybių narių, ES institucijų ir EIVT atsakomybę šiuo klausimu. Dėl konkrečių pajėgumų poreikio vykdant šiuos veiksmus sprendžiama atsižvelgiant į išteklius, kuriuos gali suteikti valstybės narės.
            
         4.   EIVT nustato atitinkamą pranešimų apie saugumo incidentus Sąjungos delegacijose teikimo administracinę tvarką. Jei reikia, informuojamos valstybės narės, Komisija, visos kitos atitinkamos institucijos, taip pat atitinkami Saugumo komitetai.
   5.   Incidentų valdymo procesai reguliariai išbandomi ir peržiūrimi.
   7 straipsnis
   Ryšių ir informacinių sistemų saugumas
   1.   Ryšių ir informacijos sistemose (toliau – RIS) EIVT saugo tvarkomą informaciją, užtikrindama konfidencialumą, vientisumą, prieinamumą, autentiškumą ir atsakomybės už veiksmus prisiėmimą.
   2.   Visų EIVT turimų ar naudojamų RIS apsaugos taisykles, saugumo politiką ir saugumo programą tvirtina EIVT saugumo institucija, kaip nustatyta 12 straipsnio I skyriaus 1 dalyje.
   3.   Šios taisyklės, politika ir programa turi atitikti atitinkamas Tarybos, Komisijos ir, jei taikytina, valstybių narių saugumo strategijas, o jų įgyvendinimas turi būti glaudžiai koordinuojamas su šiais subjektais.
   4.   Visos RIS, kuriose tvarkoma įslaptinta informacija, turi būti akredituojamos. EIVT, konsultuodamasi su Tarybos generaliniu sekretoriatu ir Komisija, taiko saugumo akreditavimo valdymo sistemą.
   5.   Tais atvejais, kai EIVT tvarkomos ESĮI apsauga užtikrinama naudojant šifravimo priemones, tokias priemones tvirtina EIVT kriptografijos patvirtinimo institucija, gavusi atitinkamą Tarybos saugumo komiteto rekomendaciją.
   6.   EIVT saugumo institucija įsteigia šias informacijos saugumo užtikrinimo institucijas (tokio dydžio, koks reikalingas):
   
               a)
            
            
               Informacijos saugumo užtikrinimo instituciją;
            
         
               b)
            
            
               TEMPEST instituciją;
            
         
               c)
            
            
               Kriptografijos patvirtinimo instituciją;
            
         
               d)
            
            
               Kriptografijos platinimo instituciją.
            
         7.   Atitinkamoms sistemoms tvarkyti EIVT saugumo institucija įsteigia šias institucijas:
   
               a)
            
            
               Saugumo akreditavimo instituciją;
            
         
               b)
            
            
               Informacijos saugumo užtikrinimo operacinę instituciją.
            
         8.   Šio straipsnio įgyvendinimo nuostatos, susijusios su ESĮI apsauga, išdėstytos A ir A IV prieduose.
   8 straipsnis
   Įslaptintos informacijos saugumo pažeidimai ir neteisėtas atskleidimas
   1.   Saugumo pažeidimu laikomas šiame sprendime nustatytoms saugumo taisyklėms ir (arba) saugumo strategijoms ar gairėms, kuriose nustatytos šių taisyklių įgyvendinimo priemonės (patvirtintos pagal 20 straipsnio 1 dalį), priešingas asmens veiksmas arba neveikimas.
   2.   Įslaptintos informacijos neteisėtas atskleidimas įvyksta tada, kai ji visiškai ar iš dalies atskleidžiama leidimo neturintiems asmenims ar subjektams.
   3.   Apie bet kokį faktinį ar įtariamą saugumo pažeidimą ir apie bet kokį faktinį ar įtariamą įslaptintos informacijos neteisėtą atskleidimą nedelsiant pranešama EIVT saugumo direktoratui, kuris imasi tinkamų priemonių, kurios nurodytos A priede.
   4.   Bet kuriam asmeniui, kuris pažeidė šiame sprendime nustatytas saugumo taisykles ar neteisėtai atskleidė įslaptintą informaciją, gali būti taikomos drausminės ir (arba) teisinės priemonės pagal taikomus teisės aktus, taisykles ir nuostatas, kaip nustatyta A priedo 11 straipsnio 3 dalyje.
   9 straipsnis
   Saugumo incidentų, pažeidimų ir (arba) neteisėto informacijos atskleidimo atvejų tyrimas ir taisomieji veiksmai
   1.   EIVT saugumo direktoratas, padedamas valstybių narių ir (arba) kitų ES institucijų ekspertų ir gavęs generalinio administracijos direktoriaus leidimą:
   
               a)
            
            
               vykdo atitinkamus tyrimus ar patikrinimus:
               
                           i)
                        
                        
                           jei yra žinoma arba yra pagrįstų priežasčių manyti, kad EIVT svarbi įslaptinta informacija yra neteisėtai atskleista arba prarasta;
                        
                     
                           ii)
                        
                        
                           jei įvyksta arba įtariamas saugumo pažeidimas ar kitas saugumo incidentas arba jei yra grėsmių EIVT saugumo interesams;
                        
                     
         
               b)
            
            
               įgyvendina visus reikalingus taisomuosius veiksmus, kuriuos vykdyti nuspręsta atsižvelgiant į tyrimų rezultatus.
            
         2.   Tyrimus vykdantys asmenys gali naudotis visa informacija, kuri reikalinga tokiems tyrimams vykdyti ir šioje srityje gauna visapusišką visų EIVT tarnybų pagalbą.
   Tyrimus vykdantys asmenys gali imtis atitinkamų veiksmų, kad apsaugotų įrodymų pėdsakus tokiu būdu, kuris atitinka tiriamo atvejo rimtumą.
   3.   Jei reikia naudotis informacija, kuri susijusi su asmens duomenimis, įskaitant ryšių ir informacinėse sistemose saugomus asmens duomenis, ši galimybė susipažinti su duomenimis suteikiama laikantis Reglamento (EB) Nr. 45/2001.
   4.   Jei būtina sukurti tyrimo duomenų bazę, kurioje ketinama saugoti asmens duomenis, apie tai pranešama Europos duomenų apsaugos priežiūros pareigūnui (EDAPP), kaip nustatyta pirmiau minėtame reglamente.
   10 straipsnis
   Saugumo rizikos valdymas
   1.   Siekdama nustatyti savo apsaugos poreikius, EIVT, glaudžiai bendradarbiaudama su Komisijos saugumo direktoratu ir, jei reikia, su Tarybos generalinio sekretoriato Saugumo tarnyba, parengia išsamią saugumo rizikos vertinimo metodiką.
   2.   EIVT saugumo interesams kylančios rizikos valdymas yra procesas. Šio proceso tikslas – nustatyti žinomą saugumo riziką, apibrėžti saugumo priemones tokiai rizikai sumažinti iki priimtino lygio ir taikyti šias priemones laikantis nuodugnios apsaugos sąvokos. Reguliariai atliekamas tokių priemonių efektyvumo ir rizikos lygio vertinimas.
   3.   Šiame sprendime nustatytos funkcijos, pareigos ir uždaviniai nepažeidžia kiekvieno darbuotojo, už kurio įdarbinimą atsakinga EIVT, pareigų; ES darbuotojai, esantys misijose trečiosiose šalyse, priimdami sprendimus dėl savo saugos ir saugumo privalo vadovautis sveika nuovoka ir protingumo principais, taip pat privalo laikytis visų taikytinų saugumo taisyklių, nuostatų, procedūrų ir instrukcijų.
   4.   EIVT imasi visų protingų priemonių, kad užtikrintų savo saugumo interesų apsaugą ir kad užkirstų kelią pagrįstai, iš anksto numatytai žalai šiems saugumo interesams.
   5.   ESĮI apsaugai užtikrinti skirtos EIVT saugumo priemonės visą savo gyvavimo ciklą turi atitikti jos slaptumo žymos lygį, informacijos ar medžiagos formą ir kiekį, patalpų, kuriose laikoma ESĮI, vietos ir konstrukcijos reikalavimus ir grėsmę, įskaitant vietos lygiu įvertintą piktavališkos ir (arba) nusikalstamos veiklos, įskaitant šnipinėjimą, sabotažą ar terorizmą, keliamą grėsmę.
   11 straipsnis
   Informavimas apie saugumą ir saugumo mokymas
   1.   EIVT saugumo institucija užtikrina, kad būtų parengtos ir įgyvendinamos informavimo apie saugumą ir saugumo mokymo programos ir kad darbuotojams, už kurių įdarbinimą atsakinga EIVT ir, jei taikytina, jų išlaikytiniams, būtų pateikta informacinė medžiaga ir surengti mokymai, kurie atitinka jų darbo ar gyvenamosiose vietose esančią riziką.
   2.   Darbuotojai, prieš jiems suteikiant leidimą susipažinti su ESĮI, o vėliau – reguliariai, informuojami apie pareigą saugoti ESĮI pagal 5 straipsnyje pateiktas taisykles ir jie ją patvirtina.
   12 straipsnis
   Saugumo organizavimas EIVT
   1.   EIVT saugumo institucija yra generalinis administracijos direktorius (GAD). Vykdydamas šias funkcijas GAD užtikrina, kad:
   
               a)
            
            
               sprendžiant visus EIVT veiklai svarbius saugumo klausimus, įskaitant klausimus, susijusius su grėsmių EIVT saugumo interesams pobūdžiu ir apsaugos nuo jų priemonėmis, saugumo priemonės būtų derinamos su valstybių narių kompetentingomis institucijomis, Tarybos generaliniu sekretoriatu, Komisija ir, jei reikia, su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis;
            
         
               b)
            
            
               į saugumo aspektus būtų visiškai atsižvelgiama bet kokioje EIVT veikloje nuo pat jos pradžios;
            
         
               c)
            
            
               galimybė susipažinti su įslaptinta informacija būtų suteikta tik asmenims, kurie atitinka A priedo 5 straipsnyje nustatytas sąlygas;
            
         
               d)
            
            
               būtų sukurta registratūrų sistema, kuri užtikrintų, kad CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija EIVT, pateikus ją ES valstybėms narėms, ES institucijoms, įstaigoms ir agentūroms ar kitiems įgaliotiesiems gavėjams, būtų tvarkoma pagal šį sprendimą. Visa ESĮI, kurią EIVT pateikė trečiosioms valstybėms ir tarptautinėms organizacijoms, ir visa įslaptinta informacija, gauta iš trečiųjų valstybių ir tarptautinių organizacijų, saugoma atskirame registre;
            
         
               e)
            
            
               būtų vykdomi 15 straipsnyje nurodyti saugumo patikrinimai;
            
         
               f)
            
            
               būtų vykdomi visų faktinių ar įtariamų saugumo pažeidimų, taip pat visų EIVT turimos ar parengtos įslaptintos informacijos faktinio ar įtariamo neteisėto atskleidimo arba praradimo atvejų tyrimai ir kad vykdant šiuos tyrimus būtų prašoma atitinkamų saugumo institucijų pagalbos;
            
         
               g)
            
            
               būtų parengti atitinkami incidentų ir padarinių valdymo planai ir mechanizmai (siekiant laiku ir veiksmingai reaguoti į saugumo incidentus);
            
         
               h)
            
            
               būtų vykdomos atitinkamos priemonės, jei asmenys nesilaiko šio sprendimo reikalavimų;
            
         
               i)
            
            
               būtų nustatytos atitinkamos fizinės ir organizacinės priemonės, skirtos EIVT saugumo interesams apsaugoti.
               Šiuo klausimu GAD, konsultuodamasis su vykdomuoju generaliniu sekretoriumi:
               
                           —
                        
                        
                           nustato delegacijų saugumo kategorijas, konsultuodamasis su Komisija;
                        
                     
                           —
                        
                        
                           pasikonsultavęs su vyriausiuoju įgaliotiniu sprendžia, kada evakuoti delegacijos darbuotojus, jei tai būtina siekiant užtikrinti saugumą;
                        
                     
                           —
                        
                        
                           priima sprendimus dėl išlaikytinių apsaugos priemonių, jei reikia, atsižvelgdamas į susitarimus su ES institucijomis, nurodytus 3 straipsnio 3 dalyje;
                        
                     
                           —
                        
                        
                           tvirtina šifruotų ryšių politiką, konkrečiau – šifravimo produktų diegimo programą ir mechanizmą.
                        
                     
         2.   GAD šiuos uždavinius padeda vykdyti EIVT administracijos ir finansų valdantysis direktorius, EIVT saugumo direktorato vadovas ir, jei reikia, Reagavimo į krizes ir veiklos koordinavimo institucijos valdantysis direktorius.
   3.   Jei reikia, GAD, kaip EIVT saugumo institucija, gali deleguoti su šiais aspektais susijusias užduotis.
   4.   Visų padalinių ir skyrių vadovai atsakingi už ESĮI apsaugos taisyklių įgyvendinimą atitinkamuose padaliniuose ir skyriuose.
   Visų padalinių ir skyrių vadovai ne tik vykdo pirmiau nurodytas funkcijas, bet ir skiria darbuotojus į padalinio saugumo koordinatorių pareigas. Šių koordinatorių ištekliai atitinka atitinkamo padalinio ar skyriaus tvarkomos ESĮI kiekį.
   Jei reikia, padalinio saugumo koordinatoriai padeda savo padalinio ar skyriaus vadovui, vykdydami šiuos su saugumu susijusius uždavinius:
   
               a)
            
            
               rengia papildomus saugumo reikalavimus, atitinkančius specialius padalinio ar skyriaus poreikius;
            
         
               b)
            
            
               reguliariai teikia saugumo informaciją savo padalinio ar skyriaus darbuotojams;
            
         
               c)
            
            
               užtikrina, kad jų padalinyje ar skyriuje būtų laikomasi principo „būtina žinoti“;
            
         
               d)
            
            
               tvarko ir atnaujina saugos kodų ir raktų sąrašą;
            
         
               e)
            
            
               užtikrina saugumo procedūrų ir saugumo priemonių vykdymą;
            
         
               f)
            
            
               praneša apie visus saugumo pažeidimus ir (arba) ESĮI neteisėto atskleidimo atvejus savo direktoriui ir Saugumo direktoratui;
            
         
               g)
            
            
               apklausia iš EIVT atleidžiamus darbuotojus;
            
         
               h)
            
            
               per savo vadovus reguliariai teikia ataskaitas dėl padalinio ar skyriaus saugumo reikalų;
            
         
               i)
            
            
               bendradarbiauja su EIVT saugumo direktoratu saugumo klausimais.
            
         Apie visus veiksmus ir problemas, kurios gali turėti poveikį saugumui, laiku pranešama EIVT saugumo direktoratui.
   5.   Sąjungos delegacijos vadovas atsakingas už visų saugumo priemonių įgyvendinimą atitinkamoje Sąjungos delegacijoje.
   1.   EIVT veikia Saugumo direktoratas. Saugumo direktoratas:
   
               a)
            
            
               valdo, koordinuoja, prižiūri ir (arba) įgyvendina visas saugumo priemones visose EIVT patalpose ir būstinėje, ES ir trečiosiose valstybėse;
            
         
               b)
            
            
               užtikrina visų veiksmų, kurie gali turėti poveikį EIVT saugumo interesų apsaugai, suderinamumą su šiuo sprendimu ir jo įgyvendinimo nuostatomis;
            
         
               c)
            
            
               veikia kaip vyriausiojo įgaliotinio, vykdomojo generalinio sekretoriaus ir GAD pagrindinis patarėjas visais su saugumu susijusiais klausimais;
            
         
               d)
            
            
               veikia padedant valstybių narių kompetentingoms tarnyboms pagal Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 10 straipsnio 3 dalį;
            
         
               e)
            
            
               EIVT saugumo akreditavimo institucijai padeda vykdyti ryšių ir informacijos sistemų, kuriose tvarkoma ESĮI, ir patalpų, kuriose ketinama leisti tvarkyti ir saugoti ESĮI, bendrosios saugumo aplinkos (BSA) ir vietos saugumo aplinkos (VSA) fizinio saugumo vertinimus.
            
         2.   EIVT saugumo direktorato vadovas atsako už šias sritis:
   
               a)
            
            
               bendros EIVT saugumo interesų apsaugos užtikrinimą;
            
         
               b)
            
            
               saugumo taisyklių rengimą, peržiūrą ir atnaujinimą, taip pat saugumo priemonių koordinavimą su valstybių narių kompetentingomis institucijomis ir, jei reikia, su trečiųjų valstybių kompetentingomis institucijomis ir tarptautinėmis organizacijomis, kurios su ES susietos saugumo sutartimis ir (arba) susitarimais;
            
         
               c)
            
            
               dalyvavimą EIVT saugumo komiteto veikloje, kaip nustatyta šio sprendimo 14 straipsnio 1 dalyje;
            
         
               d)
            
            
               jei reikia, bendradarbiavimą su visais partneriais ar kitomis institucijomis, nei nurodytos b punkte;
            
         
               e)
            
            
               prioritetų nustatymą ir pasiūlymų dėl būstinės ir Sąjungos delegacijų saugumo biudžeto valdymo teikimą.
            
         3.   EIVT saugumo direktorato vadovas:
   
               a)
            
            
               užtikrina, kad saugumo pažeidimai ir neteisėto informacijos atskleidimo atvejai būtų registruojami ir, jei reikia, būtų pradėti ir vykdomi tyrimai;
            
         
               b)
            
            
               reguliariai susitinka su Tarybos generalinio sekretoriato saugumo direktoriumi ir Komisijos saugumo direktorato direktoriumi aptarti bendrų klausimų.
            
         4.   EIVT saugumo direktoratas nustato ryšius ir glaudžiai bendradarbiauja su:
   
               —
            
            
               už saugumą atsakingais valstybių narių užsienio reikalų ministerijų padaliniais;
            
         
               —
            
            
               valstybių narių nacionalinėmis saugumo institucijomis (NSI) ir (arba) kitomis kompetentingomis saugumo institucijomis, siekiant gauti jų pagalbą dėl informacijos, kuri reikalinga pavojams ir grėsmei, kuri iškyla EIVT, jos darbuotojams, veiklai, turtui, ištekliams ir įslaptintai informacijai įprastoje veiklos vietoje, įvertinti;
            
         
               —
            
            
               valstybių narių ar priimančiųjų valstybių, kurių teritorijoje EIVT gali vykdyti savo veiklą, kompetentingomis saugumo institucijomis visais klausimais, susijusiais su EIVT darbuotojų, veiklos, turto, išteklių ir įslaptintos informacijos apsauga jų teritorijoje;
            
         
               —
            
            
               Tarybos generalinio sekretoriato Saugumo tarnyba ir Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratu ir, jei reikia, kitų ES institucijų, įstaigų ir agentūrų saugumo padaliniais;
            
         
               —
            
            
               trečiųjų valstybių ar tarptautinių organizacijų saugumo padaliniais, siekiant bet kokių veiksmų naudingo koordinavimo, ir
            
         
               —
            
            
               valstybių narių NSI visais klausimais, susijusiais su ESĮI apsauga.
            
         1.   Sąjungos delegacijos vadovas atsakingas už visų priemonių, susijusių su EIVT saugumo interesų apsauga Sąjungos delegacijos patalpose pagal Sąjungos delegacijos kompetenciją, įgyvendinimą vietoje ir valdymą.
   Delegacijos vadovas, jei reikia, konsultuodamasis su priimančiosios valstybės kompetentingomis institucijomis, vykdo visus tinkamus veiksmus, siekdamas užtikrinti, kad būtų nustatytos atitinkamos fizinės ir organizacinės priemonės, reikalingos šiam tikslui pasiekti.
   Delegacijos vadovas nustato saugumo procedūras, skirtas išlaikytiniams pagal 2 straipsnio c punktą apsaugoti, jei reikia, atsižvelgdamas į visus administracinius susitarimus, nurodytus 3 straipsnio 3 dalyje. Delegacijos vadovas apie visus į jo kompetencijos sritį patenkančius su saugumu susijusius klausimus kasmet praneša EIVT saugumo direktorato vadovui.
   Šiuos uždavinius vykdyti jam padeda EIVT saugumo direktoratas, delegacijoje dirbantys EIVT darbuotojai, vykdantys nustatytus saugumo uždavinius ir funkcijas, ir į atitinkamas pareigas paskirti saugumo darbuotojai.
   2.   Be to, delegacijos vadovas:
   
               —
            
            
               remdamasis bendrosiomis standartinėmis operacijų procedūromis, nustato išsamius delegacijos saugumo ir nenumatytų atvejų planus;
            
         
               —
            
            
               delegacijos veikloje taiko veiksmingą, be pertraukų veikiančią saugumo incidentų ir nepaprastųjų situacijų valdymo sistemą;
            
         
               —
            
            
               užtikrina, kad visi delegacijos darbuotojai būtų apdrausti atsižvelgiant į konkrečios veiklos sąlygas;
            
         
               —
            
            
               užtikrina, kad į Sąjungos delegacijos pradinį mokymą, kuris teikiamas visiems delegacijos darbuotojams, prieš jiems atvykstant ar atvykus į delegaciją, būtų įtrauktas saugumo aspektas, ir
            
         
               —
            
            
               užtikrina, kad būtų įgyvendintos visos rekomendacijos, pateiktos atliktus saugumo vertinimus, ir reguliariai teikia rašytines ataskaitas dėl jų įgyvendinimo ir kitų saugumo klausimų EIVT saugumo institucijai.
            
         3.   Delegacijos vadovas atsakingas ir atskaitingas ne vien už saugumo valdymo ir organizacijos atsparumo užtikrinimą – delegacijos vadovas gali paskirti vykdyti jo saugumo uždavinius delegacijos saugumo koordinatoriui, kuris yra ir delegacijos vadovo pavaduotojas (DVP) (jei toks nepaskirtas – tinkamam darbuotojui).
   DVP gali būti patikėtos šios pareigos:
   
               —
            
            
               saugumo klausimais bendradarbiauti su priimančiosios valstybės kompetentingomis institucijomis ir atitinkamais valstybių narių ambasadų ir diplomatinių misijų darbuotojais;
            
         
               —
            
            
               įgyvendinti saugumo valdymo procedūras, susijusias su EIVT saugumo interesais, įskaitant ESĮI apsaugą;
            
         
               —
            
            
               informuoti darbuotojus apie jiems taikomas saugumo taisykles ir apie konkrečius priimančiojoje valstybėje kylančius pavojus;
            
         
               —
            
            
               teikti užklausas EIVT saugumo direktoratui dėl darbuotojų, kuriems taikoma asmens patikimumo patikrinimo (APP) procedūra, ir
            
         
               —
            
            
               nuolat informuoti delegacijos vadovą, regiono saugumo pareigūną (RSP) ir EIVT saugumo direktoratą apie incidentus ar pokyčius srityje, kuri susijusi su EIVT saugumo interesų apsauga.
            
         4.   Delegacijos vadovas gali deleguoti administracinio ar techninio pobūdžio saugumo uždavinius administracijos vadovui ir kitiems delegacijos darbuotojams.
   5.   Sąjungos delegacijai padeda RSP. RSP delegacijose, atitinkančiose geografinius regionus, už kuriuos jie atsakingi, vykdo toliau nurodytas funkcijas.
   Esant tam tikroms aplinkybėms, kai tai būtina dėl esamos saugumo padėties, specialus RSP gali būti paskirtas į konkrečią delegaciją kaip nuolatinis darbuotojas.
   EIVT saugumo direktorato sprendimu RSP gali būti paskirtas į vietą, kuri yra ne jo atsakomybės zonoje, įskaitant būstinę Briuselyje, arba, atsižvelgiant į saugumo padėtį, į bet kokią šalį eiti nuolatines pareigas.
   6.   EIVT saugumo direktoratas vykdo tiesioginę hierarchinę RSP kontrolę, o atitinkamos delegacijos vadovas – tiesioginę funkcinę ir administracinę kontrolę. RSP padeda delegacijos vadovui ir delegacijos darbuotojams rengti ir įgyvendinti visas fizines, organizacines ir procedūrines priemones, susijusias su visų delegacijos darbuotojų saugumu, nepaisant to, kokia administracija juos paskyrė.
   7.   RSP konsultuoja delegacijos vadovą ir delegacijos darbuotojus ir jiems padeda. Jei reikia ir tais atvejais, kai atitinkamas RSP yra nuolatinis darbuotojas, jis gali padėti Sąjungos delegacijai vykdyti saugumo valdymo ir įgyvendinimo funkcijas, įskaitant saugumo sutarčių sudarymą, akreditacijų ir patikimumo pažymėjimų tvarkymą.
   13 straipsnis
   BSGP operacijos ir ES specialieji įgaliotiniai
   EIVT saugumo direktoratas padeda ir pataria Krizių valdymo ir planavimo direktorato direktoriui, Europos Sąjungos karinio štabo (EUMS) generaliniam direktoriui, Civiliniam operacijų vadui, kuris vadovauja Civilinių operacijų planavimo ir vykdymo centrui (CPCC) ir ES karinių operacijų vadams BSGP operacijų saugumo klausimais, o ES specialiesiems įgaliotiniams – su jų mandatu susijusiais saugumo klausimais. Šios nuostatos papildo atitinkamas specialias Tarybos strategijų nuostatas.
   14 straipsnis
   EIVT saugumo komitetas
   1.   Įsteigiamas EIVT saugumo komitetas.
   Jam pirmininkauja GAD arba paskirtasis delegatas. Saugumo komitetas posėdžiauja pirmininko nurodymu ar bet kokio komiteto nario prašymu. EIVT saugumo direktoratas padeda pirmininkui vykdyti šią funkciją ir, jei reikia, teikia administracinę pagalbą Komiteto veiklai.
   2.   EIVT saugumo komitetą sudaro šių subjektų atstovai:
   
               —
            
            
               visų valstybių narių;
            
         
               —
            
            
               Tarybos generalinio sekretoriato Saugumo tarnybos;
            
         
               —
            
            
               Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktorato.
            
         Valstybės narės delegaciją EIVT saugumo komitete gali sudaryti šių subjektų atstovai:
   
               —
            
            
               nacionalinės saugumo institucijos ir (arba) paskirtosios saugumo institucijos;
            
         
               —
            
            
               už saugumą atsakingų užsienio reikalų ministerijos padalinių.
            
         3.   Jei reikia, komiteto atstovai gali dirbti kartu su ekspertais ir naudotis jų konsultacijomis. Gali būti pakviesti kitų ES institucijų, agentūrų ar įstaigų atstovai – kai nagrinėjami šių institucijų saugumo požiūriu svarbūs klausimai.
   4.   Nepažeidžiant tolesnės 5 dalies, EIVT saugumo komitetas teikia pagalbą EIVT (konsultuoja) visais klausimais, kurie svarbūs EIVT veiklai, būstinei ir Sąjungos delegacijoms.
   Nepažeidžiant tolesnės 5 dalies, EIVT saugumo komitetas:
   
               a)
            
            
               yra konsultuojamas šiais klausimais:
               
                           —
                        
                        
                           saugumo strategijų, gairių, koncepcijų ar kitų su saugumu susijusių metodologinių dokumentų, ypač dokumentų, susijusių su įslaptintos informacijos apsauga ir priemonėmis, kurios numatytos, jei EIVT darbuotojai nesilaiko saugumo taisyklių;
                        
                     
                           —
                        
                        
                           techninių saugumo aspektų, kurie gali daryti poveikį vyriausiojo įgaliotinio sprendimui teikti rekomendaciją Tarybai dėl derybų dėl susitarimų dėl informacijos saugumo, kurios nurodytos A priedo 10 straipsnio 1 dalies a punkte, pradžios;
                        
                     
                           —
                        
                        
                           visų šio sprendimo pakeitimų;
                        
                     
         
               b)
            
            
               gali būti konsultuojamas klausimais ar informuojamas apie klausimus, susijusius su EIVT būstinės ir Sąjungos delegacijų darbuotojų bei turto saugumu, nepažeidžiant 3 straipsnio 3 dalies;
            
         
               c)
            
            
               informuojamas apie visus EIVT įvykusius ESĮI neteisėto atskleidimo ar praradimo atvejus.
            
         5.   Visiems šiame sprendime ir jo A priede pateiktų ESĮI apsaugos taisyklių pakeitimams turi vieningai pritarti valstybės narės, atstovaujamos EIVT saugumo komitete. Toks vieningas pritarimas reikalingas priimant šiuos sprendimus:
   
               —
            
            
               pradedant derybas dėl administracinių susitarimų, nurodytų A priedo 10 straipsnio 1 dalies b punkte;
            
         
               —
            
            
               esant išskirtinėms aplinkybėms, nurodytoms A VI priedo 9, 11 ir 12 dalyse, suteikiant įslaptintą informaciją;
            
         
               —
            
            
               esant aplinkybėms, nurodytoms A priedo 10 straipsnio 4 dalies paskutiniame sakinyje, prisiimant įslaptintos informacijos rengėjo atsakomybę.
            
         Kai prašoma vieningai pritarti sprendimui, ši sąlyga laikoma įvykdyta, kai valstybių narių delegacijos per komiteto posėdžius nepateikia jokių prieštaravimų.
   6.   EIVT saugumo komitetas visiškai atsižvelgia į galiojančias Tarybos ir Komisijos saugumo strategijas ir gaires.
   7.   EIVT saugumo komitetas gauna metinių EIVT patikrinimų sąrašą ir atliktų patikrinimų ataskaitas.
   8.   Posėdžių organizavimas:
   
               —
            
            
               EIVT saugumo komitetas posėdžiauja bent du kartus per metus. Pirmininkui įsakius arba paprašius Komiteto nariams, gali būti surengti papildomi posėdžiai. Tai gali būti viso formato arba NSI / PSI arba MFA saugumo formato posėdžiai.
            
         
               —
            
            
               EIVT saugumo komitetas savo veiklą organizuoja taip, kad galėtų teikti rekomendacijas konkrečių saugumo sričių klausimais. Jei reikia, komitetas gali įsteigti kitus ekspertų pogrupius. Šis komitetas apibrėžia tokių ekspertų pogrupių įgaliojimus, o šie pogrupiai teikia jam savo veiklos ataskaitas.
            
         
               —
            
            
               EIVT saugumo direktoratas atsakingas už klausimų diskusijoms rengimą. Kiekvienam posėdžiui pirmininkas parengia preliminarią darbotvarkę. Komiteto nariai gali siūlyti diskutuoti apie kitus klausimus.
            
         15 straipsnis
   Saugumo patikrinimai
   1.   EIVT saugumo institucija užtikrina reguliarų saugumo patikrinimų vykdymą EIVT būstinėje ir Sąjungos delegacijose, siekiant įvertinti saugumo priemonių tinkamumą ir patikrinti, kaip laikomasi šio sprendimo nuostatų. Jei reikia, EIVT saugumo direktoratas gali paskirti papildomus ekspertus, kurie dalyvautų saugumo patikrinimuose, kurie vykdomi ES agentūrose ir įstaigose, įsteigtose pagal ES sutarties V antraštinės dalies 2 skyrių.
   2.   EIVT saugumo patikrinimai vykdomi vadovaujant EIVT saugumo direktoratui ir, jei reikia, padedant kitų ES institucijų ar valstybių narių saugumo ekspertams, ypač kalbant apie 3 straipsnio 3 dalyje nurodytus susitarimus.
   3.   Jei reikia, EIVT gali atsižvelgti į valstybių narių, Tarybos generalinio sekretoriato ir Europos Komisijos patirtį.
   Jei reikia, į Sąjungos delegacijos saugumo patikrinimą gali būti pakviesti dalyvauti atitinkami valstybių narių misijų trečiosiose valstybėse saugumo ekspertai ir (arba) diplomatinių atstovybių saugumo padalinių atstovai.
   4.   Šio straipsnio įgyvendinimo nuostatos, susijusios su ESĮI apsauga, išdėstytos A III priede.
   16 straipsnis
   Įvertinimo vizitai
   Įvertinimo vizitai rengiami siekiant įsitikinti, kad trečiojoje valstybėje arba tarptautinėje organizacijoje taikomos ESĮI arba įslaptintos informacijos, kuria keičiamasi pagal A priedo 10 straipsnio 1 dalies b punkte nurodytą administracinį susitarimą, apsaugos priemonės yra veiksmingos.
   EIVT saugumo direktoratas gali paskirti papildomus ekspertus, kurie dalyvautų įvertinimo vizitų metu trečiosiose valstybėse ar tarptautinėse organizacijose, su kuriomis ES sudarė susitarimus dėl informacijos saugumo, nurodytus A priedo 10 straipsnio 1 dalies a punkte.
   17 straipsnis
   Veiklos tęstinumo planavimas
   EIVT saugumo direktoratas GAD padeda valdyti su saugumu susijusius EIVT veiklos tęstinumo procesų aspektus, kurie yra bendro EIVT veiklos tęstinumo planavimo dalis.
   18 straipsnis
   Kelionės patarimai, skirti misijoms, kurios vykdomos ne ES
   EIVT saugumo direktoratas užtikrina, kad būtų teikiami kelionės patarimai dėl darbuotojų, už kurių įdarbinimą atsakinga EIVT, misijų į ne ES šalis, ir sutelkia visų atitinkamų EIVT tarnybų, ypač SITROOM, INTCEN, geografinių padalinių ir Sąjungos delegacijų, išteklius.
   Pateikus prašymą ir sutelkus pirmiau nurodytus išteklius, EIVT saugumo direktoratas teikia konkrečius kelionės patarimus dėl darbuotojų, už kurių įdarbinimą atsakinga EIVT, misijų į trečiąsias valstybes, kurių rizikos lygis yra labai didelis arba padidintas.
   19 straipsnis
   Sveikata ir sauga
   EIVT saugumo taisyklės papildo vyriausiojo įgaliotinio patvirtintas EIVT sveikatos ir saugos užtikrinimo taisykles.
   20 straipsnis
   Įgyvendinimas ir peržiūra
   1.   EIVT saugumo institucija, jei reikia, pasikonsultavusi su EIVT saugumo komitetu, tvirtina saugumo strategijas ir gaires, kuriose nustatomos šių taisyklių įgyvendinimo EIVT priemonės, taip pat, glaudžiai bendradarbiaudama su valstybių narių kompetentingomis saugumo institucijomis ir padedama ES institucijų atitinkamų tarnybų, kuria pajėgumus, reikalingus visiems saugumo aspektams užtikrinti.
   2.   Pagal 2010 m. liepos 26 d. Tarybos sprendimo 2010/427/ES, kuriuo nustatoma Europos išorės veiksmų tarnybos struktūra ir veikimas, 4 straipsnio 5 dalį, jei reikia, sudarant tarnybų lygio susitarimus su atitinkamomis Tarybos generalinio sekretoriato tarnybomis, gali būti taikomos pereinamojo laikotarpio nuostatos.
   3.   Vyriausiasis įgaliotinis užtikrina bendrą šio sprendimo taikymo nuoseklumą ir nuolat peržiūri šias saugumo taisykles.
   4.   EIVT saugumo taisyklės turi būti įgyvendinamos glaudžiai bendradarbiaujant su valstybių narių kompetentingomis saugumo institucijomis, Tarybos generalinio sekretoriato Saugumo tarnyba ir Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratu.
   5.   EIVT užtikrina, kad EIVT reagavimo į krizę sistemoje būtų atsižvelgta į visus saugumo proceso aspektus.
   6.   GAD, kaip saugumo institucija, ir EIVT saugumo direktorato vadovas užtikrina šio sprendimo įgyvendinimą.
   21 straipsnis
   Ankstesnių sprendimų pakeitimas
   1.   Šiuo sprendimu panaikinamas ir pakeičiamas 2011 m. birželio 15 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl Europos išorės veiksmų tarnybos saugumo taisyklių (3).
   2.   Šiuo sprendimu panaikinamas 2011 m. vasario 23 d. Sąjungos vyriausiojo įgaliotinio užsienio reikalams ir saugumo politikai sprendimas dėl Europos išorės veiksmų tarnybos deleguotosios saugumo institucijos įsteigimo ir uždavinių.
   22 straipsnis
   Baigiamosios nuostatos
   Šis sprendimas įsigalioja jo pasirašymo dieną.
   Jis skelbiamas Europos Sąjungos oficialiajame leidinyje.
   
      EIVT kompetentingos institucijos apie šį sprendimą, jo priedus, turinį, įsigaliojimą ir visus jo tolesnius pakeitimus tinkamai ir laiku praneša visiems darbuotojams, kurie patenka į jo taikymo sritį.
      Priimta Briuselyje 2013 m. balandžio 19 d.
      
         
            Vyriausiasis įgaliotinis
         
         C. ASHTON
      
   
   
      (1)  OL L 201, 2010 8 3, p. 30.
   
      (2)  OL C 304, 2011 10 15, p. 5.
   
      (3)  OL C 304, 2011 10 15, p. 5.
   
      A PRIEDAS
      
         ESĮI APSAUGOS PRINCIPAI IR STANDARTAI
      
      1 straipsnis
      Tikslas, taikymo sritis ir terminų apibrėžtys
      1.   Šiame priede nustatyti pagrindiniai ESĮI apsaugai užtikrinti skirti saugumo principai ir būtiniausi standartai.
      2.   Šie pagrindiniai principai ir būtiniausi standartai taikomi EIVT ir darbuotojams, už kurių įdarbinimą atsakinga EIVT, kaip atitinkamai nurodyta ir apibrėžta šio sprendimo 1 ir 2 straipsniuose.
      2 straipsnis
      ESĮI termino apibrėžtis, slaptumo žymos ir kitos žymos
      1.   ES įslaptinta informacija (ESĮI) – bet kuri informacija arba medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams ir kuriai suteikta ES slaptumo žyma.
      2.   ESĮI žymima viena iš šių slaptumo žymų:
      
                  a)
               
               
                  TRES SECRET UE/EU TOP SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta ypač didelė žala Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
               
            
                  b)
               
               
                  SECRET UE/EU SECRET: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti rimtai pakenkta Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
               
            
                  c)
               
               
                  CONFIDENTIEL UE/EU CONFIDENTIAL: informacija ir medžiaga, kurią neteisėtai atskleidus galėtų būti pakenkta Europos Sąjungos arba vienos ar kelių valstybių narių esminiams interesams;
               
            
                  d)
               
               
                  RESTREINT UE/EU RESTRICTED: informacija ir medžiaga, kurios neteisėtas atskleidimas galėtų būti nepalankus Europos Sąjungos arba vienos ar kelių valstybių narių interesams.
               
            3.   ESĮI žymima slaptumo žyma pagal 2 dalį. Ji gali būti pažymėta papildoma žyma, skirta veiklos sričiai, su kuria ji yra susijusi, ir įslaptintos informacijos rengėjui nurodyti, jos platinimui, naudojimui ar suteikimui apriboti.
      3 straipsnis
      Įslaptinimo administravimas
      1.   EIVT užtikrina, kad ESĮI būtų žymima tinkama slaptumo žyma, būtų aiškiai nurodoma, kad tai yra įslaptinta informacija, ir jai būtų suteikta slaptumo žyma tik tokiam laikotarpiui, kuris yra būtinas.
      2.   ESĮI slaptumo žymos laipsnis nesumažinamas arba ji neišslaptinama ir nekeičiamos arba nepanaikinamos 2 straipsnio 3 dalyje nurodytos žymos be išankstinio įslaptintos informacijos rengėjo rašytinio sutikimo.
      3.   EIVT saugumo institucija, pasikonsultavusi su EIVT saugumo komitetu pagal šio sprendimo 14 straipsnio 5 dalį, patvirtina ESĮI rengimo saugumo politiką, kuri apima praktinį žymų vadovą.
      4 straipsnis
      Įslaptintos informacijos apsauga
      1.   ESĮI apsaugoma laikantis šio sprendimo.
      2.   Bet kokios ESĮI turėtojas yra atsakingas už jos apsaugą pagal šį sprendimą.
      3.   Valstybėms narėms nacionaline slaptumo žyma pažymėtą įslaptintą informaciją įtraukus į EIVT struktūras ar tinklus, EIVT tą informaciją apsaugo laikydamasi reikalavimų, taikomų lygiaverčio slaptumo žymos lygio ESĮI, kaip nustatyta 2011 m. kovo 31 d. Tarybos sprendimo 2011/292/ES dėl ES įslaptintos informacijos apsaugai užtikrinti skirtų saugumo taisyklių B priedėlyje pateiktoje slaptumo žymų atitikmenų lentelėje.
      EIVT nustato tinkamas procedūras, skirtas tiksliam registravimui užtikrinti, kurios taikomos tokios informacijos rengėjams:
      
                  —
               
               
                  įslaptintos informacijos, kurią gauna EIVT, ir
               
            
                  —
               
               
                  pradinės medžiagos, kuri yra EIVT parengtos įslaptintos informacijos dalis.
               
            Apie šias procedūras pranešama EIVT saugumo komitetui.
      4.   Didelio ESĮI kiekio ar ESĮI rinkinio atveju gali būti reikalaujama užtikrinti tokio lygio apsaugą, kuri žymima aukštesnio lygio slaptumo žyma nei šios informacijos sudedamosios dalys.
      5 straipsnis
      Personalo patikimumo užtikrinimo priemonės, taikomos tvarkant ES įslaptintą informaciją
      1.   Personalo patikimumas – priemonių taikymas, siekiant užtikrinti, kad galimybė susipažinti su ESĮI, būtų suteikta tik asmenims:
      
                  —
               
               
                  kurie atitinka principą „būtina žinoti“;
               
            
                  —
               
               
                  kurių patikimumas patikrintas atitinkamu lygiu ir suteikta teisė prieiti prie informacijos, pažymėtos CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio saugumo žyma, arba kiti tinkami leidimai pagal nacionalinius įstatymus ir kitus teisės aktus, ir
               
            
                  —
               
               
                  kurie informuoti apie jų pareigas.
               
            2.   Taikant asmens patikimumo pažymėjimo (APP) išdavimo procedūras, nustatoma, ar asmeniui, atsižvelgiant į jo lojalumą ir patikimumą, gali būti leidžiama susipažinti su ESĮI.
      3.   Visi asmenys, prieš jiems suteikiant leidimą susipažinti su ESĮI, o vėliau – reguliariai, informuojami apie pareigą saugoti ESĮI pagal šį sprendimą ir jie ją raštu patvirtina.
      4.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A I priede.
      6 straipsnis
      ES įslaptintos informacijos fizinis saugumas
      1.   Fizinis saugumas yra fizinių ir techninių apsaugos priemonių taikymas siekiant užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI.
      2.   Fizinės saugumo priemonės skirtos sutrukdyti įsibrauti slaptai arba įsiveržti jėga, atgrasyti nuo neteisėtų veiksmų, sutrukdyti jiems bei juos nustatyti ir sudaryti sąlygas suskirstyti personalą pagal tai, kas gali susipažinti su ESĮI, vadovaujantis principu „būtina žinoti“. Tokios priemonės grindžiamos rizikos valdymo procesu.
      3.   Fizinio saugumo priemonės taikomos visose patalpose, pastatuose, kabinetuose, salėse ir kitose zonose, kuriose tvarkoma arba saugoma ESĮI, įskaitant zonas, kuriose įrengtos ryšių ir informacinės sistemos, kaip apibrėžta 8 straipsnio 2 dalyje.
      4.   Zonos, kuriose saugoma CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta ESĮI, įrengiamos kaip saugumo zonos pagal II A priedo nuostatas ir patvirtinamos EIVT saugumo institucijos.
      5.   CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėtos ESĮI apsaugai naudojama tik patvirtinta įranga ar prietaisai.
      6.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A II priede.
      7 straipsnis
      Įslaptintos informacijos administravimas
      1.   Įslaptintos informacijos administravimas – administracinių ESĮI kontrolės visą jos gyvavimo ciklą priemonių taikymas siekiant papildyti 5, 6 ir 8 straipsniuose numatytas priemones ir tokiu būdu atgrasyti nuo tokios informacijos sąmoningo ar tikslingo atskleidimo arba praradimo, nustatyti tokius atvejus ir pašalinti jų padarinius. Tokios priemonės visų pirma yra susijusios su ESĮI rengimu, registravimu, kopijavimu, vertimu, gabenimu, tvarkymu, saugojimu ir naikinimu.
      2.   CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija saugumo tikslais registruojama prieš ją platinant ir ją gavus. EIVT kompetentingos institucijos šiuo tikslu sukuria registratūrų sistemą. Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija registruojama tam skirtose registratūrose.
      3.   Tarnybas ir patalpas, kuriose ESĮI tvarkoma arba saugoma, reguliariai tikrina EIVT saugumo institucija.
      4.   Už fiziškai apsaugotų zonų ribų ESĮI iš vienos tarnybos į kitą ir iš vienų patalpų į kitas perduodama šiais būdais:
      
                  a)
               
               
                  paprastai ESĮI perduodama elektroninėmis priemonėmis apsaugant informaciją pagal šio sprendimo 7 straipsnio 5 dalį ir aiškiai apibrėžtas saugios eksploatacijos taisykles (SecOPs);
               
            
                  b)
               
               
                  kai nenaudojamos a punkte nurodytos priemonės, ESĮI gabenama:
                  
                              i)
                           
                           
                              elektroninėse laikmenose (pvz., USB atmintinėse, kompaktiniuose diskuose, standžiuosiuose diskuose), informaciją apsaugant pagal šio sprendimo 7 straipsnio 5 dalį patvirtintomis šifravimo priemonėmis, arba
                           
                        
                              ii)
                           
                           
                              visais kitais atvejais – EIVT saugumo institucijos nurodytu būdu, laikantis atitinkamų A III priedo V skyriuje nustatytų apsaugos priemonių.
                           
                        
            5.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A III priede.
      8 straipsnis
      ESĮI, tvarkomos naudojantis ryšių ir informacinėmis sistemomis, apsauga
      1.   Informacijos saugumo užtikrinimas (ISU) ryšių ir informacinių sistemų srityje – užtikrinimas, kad tokiose sistemose tvarkoma informacija bus apsaugota ir kad, valdant teisėtiems naudotojams, jos veiks taip, kaip turi veikti, ir tada, kada turi veikti. Veiksmingas ISU užtikrina tinkamą konfidencialumo, vientisumo, prieinamumo, atsakomybės už veiksmus prisiėmimo ir autentiškumo lygį. ISU grindžiamas rizikos valdymo procesu.
      2.   Ryšių ir informacinė sistema (RIS) – sistema, sudaranti sąlygas tvarkyti informaciją elektroniniu būdu. Ryšių ir informacinė sistema apima visas sistemos dalis, kurių reikia jos veikimui, įskaitant infrastruktūrą, organizavimą, personalą ir informacijos šaltinius. Šis priedas taikomas visoms EIVT RIS, kuriose tvarkoma ESĮI.
      3.   ESĮI RIS tvarkoma laikantis ISU principo.
      4.   Visos RIS, kuriose tvarkoma ESĮI, turi būti akredituojamos. Akreditavimo tikslas – įsitikinti, kad įgyvendintos visos atitinkamos saugumo priemonės ir kad pasiektas pakankamas ESĮI ir RIS apsaugos lygis, vadovaujantis šiuo sprendimu. Pareiškime dėl akreditavimo nurodomas aukščiausias informacijos, kuri gali būti tvarkoma RIS, slaptumo žymos lygis ir atitinkami reikalavimai bei sąlygos.
      5.   RIS, kurioje tvarkoma CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, apsaugoma tokiu būdu, kad informacija negalėtų būti neteisėtai atskleista dėl netyčinio elektromagnetinio spinduliavimo (TEMPEST apsaugos priemonės).
      6.   Kai ESĮI apsauga užtikrinama šifravimo priemonėmis, tokios priemonės patvirtinamos pagal šio sprendimo 7 straipsnio 5 dalį.
      7.   Perduodant ESĮI elektroninėmis priemonėmis naudojamos patvirtintos šifravimo priemonės. Nepaisant šio reikalavimo, esant nepaprastosios padėties sąlygoms arba tam tikrų techninių konfigūracijų atvejais, kaip nurodyta A IV priede, gali būti taikomos specialios procedūros.
      8.   Pagal šio sprendimo 7 straipsnio 6 dalį įsteigiamos šios ISU institucijos (tokio dydžio, koks reikalingas):
      
                  a)
               
               
                  ISU institucija (ISUI);
               
            
                  b)
               
               
                  TEMPEST institucija (TEI);
               
            
                  c)
               
               
                  Kriptografijos patvirtinimo institucija (KPI);
               
            
                  d)
               
               
                  Kriptografijos platinimo institucija (KPLI).
               
            9.   Pagal šio sprendimo 7 straipsnio 7 dalį kiekvienoje sistemoje įsteigiamos šios institucijos:
      
                  a)
               
               
                  Saugumo akreditavimo institucija (SAI);
               
            
                  b)
               
               
                  ISU operacinė institucija.
               
            10.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A IV priede.
      9 straipsnis
      Pramoninis saugumas
      1.   Pramoninis saugumas – priemonių, kurias rangovai arba subrangovai taiko derybų dėl sutarčių sudarymo metu ir visą įslaptintų sutarčių gyvavimo ciklą siekdami užtikrinti ESĮI apsaugą, taikymas. Paprastai tokiose sutartyse nenumatoma galimybė susipažinti su slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija.
      2.   EIVT sutartimi gali patikėti pramonės arba kitiems subjektams, registruotiems valstybėje narėje arba trečiojoje valstybėje, kuri yra sudariusi susitarimą dėl informacijos saugumo arba administracinį susitarimą pagal A priedo 10 straipsnio 1 dalį, užduotis, kurioms atlikti reikia arba reikės susipažinti su ESĮI arba ją tvarkyti ar saugoti.
      3.   EIVT, kaip perkančioji institucija, užtikrina, kad sudarant įslaptintas sutartis su pramonės ar kitais subjektais būtų laikomasi šiame sprendime išdėstytų ir sutartyje nurodytų būtiniausių pramoninio saugumo standartų. Ji, pasitelkdama atitinkamas NSI / PSI, užtikrina atitiktį būtiniausiems standartams.
      4.   Valstybėje narėje įregistruoti rangovai ar subrangovai, dalyvaujantys įslaptintose sutartyse arba subrangos sutartyse, pagal kurias jas vykdant arba prieš jas sudarant šių subjektų patalpose tvarkoma ir saugoma įslaptinta informacija, pažymėta slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET, turi reikiamą slaptumo žymos lygį atitinkantį Įmonės patikimumą patvirtinantį pažymėjimą (ĮPPP), išduotą atitinkamos valstybės narės NSI, PSI ar kitos kompetentingos saugumo institucijos.
      5.   Rangovo ar subrangovo darbuotojai, kuriems vykdant įslaptintą sutartį reikia susipažinti su slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET pažymėta informacija, turi asmens patikimumo pažymėjimą (APP), išduotą atitinkamos nacionalinės saugumo institucijos (NSI), paskirtosios saugumo institucijos (PSI) ar kitos kompetentingos saugumo institucijos pagal nacionalinius įstatymus ir kitus teisės aktus bei A I priede nustatytus būtiniausius saugumo standartus.
      6.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A V priede.
      10 straipsnis
      Keitimasis įslaptinta informacija su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis
      1.   EIVT gali keistis ESĮI su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis, jei:
      
                  a)
               
               
                  galioja ES ir atitinkamos trečiosios valstybės ar tarptautinės organizacijos susitarimas dėl informacijos saugumo, sudarytas pagal ES sutarties 37 straipsnį ir SESV 218 straipsnį, arba
               
            
                  b)
               
               
                  įsigaliojo vyriausiojo įgaliotinio ir atitinkamos trečiosios valstybės ar tarptautinės organizacijos saugumo institucijos administracinis susitarimas dėl keitimosi RESTREINT UE/EU RESTRICTED arba aukštesnio lygio slaptumo žyma pažymėta informacija, sudarytas pagal procedūrą, nustatytą šio sprendimo 14 straipsnio 5 dalyje, arba
               
            
                  c)
               
               
                  taikytinas ES ir atitinkamos trečiosios valstybės bendrasis arba ad hoc dalyvavimo susitarimas BSGP krizių valdymo operacijos kontekste, sudarytas pagal ES sutarties 37 straipsnį ir SESV veikimo 218 straipsnį,
               
            ir įvykdytos šią priemonę reglamentuojančiose dokumentuose nustatytos sąlygos.
      Pirmiau nurodytų pagrindinių taisyklių išimtys išdėstytos A VI priedo V skyriuje.
      2.   Į 1 dalies b punkte nurodytus administracinius susitarimus įtraukiamos nuostatos, kuriomis užtikrinama, jog trečiosioms valstybėms arba tarptautinėms organizacijoms gavus ESĮI tai informacijai užtikrinama jos slaptumo žymos lygį atitinkanti apsauga, remiantis būtiniausiais standartais, kurie yra ne mažiau griežti nei šiame sprendime nustatyti standartai.
      Informacija, kuria keičiamasi pagal 1 dalies c punkte sudarytus susitarimus, gali būti tik informacija, susijusi su BSGP operacijomis, kuriose atitinkama trečioji valstybė dalyvauja pagal šiuos susitarimus ir jų nuostatas.
      3.   Šio sprendimo 16 straipsnyje nurodyti įvertinimo vizitai į trečiąsias valstybes ar tarptautines organizacijas rengiami siekiant įsitikinti, kad ten taikomos bet kokios ESĮI, kuria keičiamasi, apsaugos priemonės yra veiksmingos.
      4.   Sprendimą suteikti EIVT turimą ESĮI trečiajai valstybei ar tarptautinei organizacijai EIVT priima atskirai kiekvienu konkrečiu atveju, atsižvelgdama į tokios informacijos pobūdį ir turinį bei gavėjo atitiktį principui „būtina žinoti“ ir įvertinusi naudą ES.
      EIVT prašo subjekto, pateikusio įslaptintą informaciją, kuri buvo panaudota kaip pradinė medžiaga ESĮI, kurią parengė EIVT, pateikti rašytinį sutikimą, patvirtinantį, kad subjektas neprieštarauja šios informacijos suteikimui.
      Jeigu EIVT nėra įslaptintos informacijos, kurią prašoma suteikti, rengėja, EIVT pirmiausia prašo jos įslaptintos informacijos rengėjo pateikti rašytinį sutikimą suteikti šią informaciją.
      Tačiau, jei EIVT negali nustatyti atitinkamos informacijos rengėjo, EIVT saugumo institucija, gavusi vieningą valstybių narių, atstovaujamų EIVT saugumo komitete, pritarimą, perima rengėjo atsakomybę.
      5.   Šio straipsnio įgyvendinimo nuostatos išdėstytos A VI priede.
      11 straipsnis
      Įslaptintos informacijos saugumo pažeidimai ir neteisėtas atskleidimas
      1.   Apie bet kokį faktinį ar įtariamą saugumo pažeidimą ir apie bet kokį faktinį ar įtariamą įslaptintos informacijos neteisėtą atskleidimą nedelsiant pranešama EIVT saugumo direktoratui, kuris, jei reikia, apie tai praneša Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratui, Tarybos generalinio sekretoriato Saugumo tarnybai, atitinkamoms valstybėms narėms ar subjektams.
      2.   Jei žinoma ar jei yra pagrįstų priežasčių įtarti, kad įslaptinta informacija buvo neteisėtai atskleista ar prarasta, EIVT saugumo direktoratas apie tai praneša Komisijos Saugumo direktoratui, Tarybos generalinio sekretoriato Saugumo tarnybai ir, jei reikia, atitinkamų valstybių narių NSI ar kitiems atitinkamiems subjektams ir imasi visų tinkamų priemonių pagal atitinkamus įstatymus ir teisės aktus, siekdamas:
      
                  a)
               
               
                  įvertinti galimą ES ar valstybių narių interesams padarytą žalą;
               
            
                  b)
               
               
                  imtis atitinkamų priemonių, kad būtų užkirstas kelias pažeidimui pasikartoti;
               
            
                  c)
               
               
                  apsaugoti įrodymus;
               
            
                  d)
               
               
                  užtikrinti, kad siekiant nustatyti faktus tokį atvejį nagrinėtų su pažeidimu tiesiogiai nesusijęs personalas;
               
            
                  e)
               
               
                  pranešti atitinkamoms institucijoms apie incidento padarinius ir veiksmus, kurių imtasi, ir
               
            
                  f)
               
               
                  informuoti įslaptintos informacijos rengėją.
               
            3.   Bet kuriam darbuotojui, už kurio įdarbinimą atsakinga EIVT, kuris pažeidė šiame sprendime nustatytas saugumo taisykles, gali būti taikomos drausminės priemonės pagal taikomas taisykles ir teisės aktus.
      Asmeniui, kuris atsakingas už įslaptintos informacijos neteisėtą atskleidimą ar praradimą, taikomos drausminės ir (arba) teisinės priemonės pagal taikomus įstatymus, taisykles ir kitus teisės aktus.
      Apie šiuos incidentus nedelsiant pranešama Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratui, Tarybos generalinio sekretoriato Saugumo tarnybai ir, jei reikia, atitinkamų valstybių narių NSI ar kitiems atitinkamiems subjektams.
      4.   Vykdant tyrimą dėl pažeidimo ir (arba) neteisėtos informacijos atskleidimo, EIVT saugumo direktorato vadovas gali laikinai sustabdyti asmenų leidimą susipažinti su ESĮI ir patekti į EIVT patalpas. Apie šį sprendimą nedelsiant pranešama Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratui, Tarybos generalinio sekretoriato Saugumo tarnybai ir atitinkamų valstybių narių NSI ar kitiems atitinkamiems subjektams.
   
   
      A I PRIEDAS
      
         PERSONALO PATIKIMUMAS
      
      I.   ĮŽANGA
      
      
               
                  1.
               
               
                  Šiame priede pateiktos A priedo 5 straipsnio įgyvendinimo nuostatos. Jame nustatomi kriterijai, kuriais remdamasi EIVT nustato, ar asmeniui, atsižvelgiant į jo lojalumą ir patikimumą, gali būti leidžiama susipažinti su ESĮI, ir šiuo tikslu taikytinos tikrinimo bei administracinės procedūros.
               
            
               
                  2.
               
               
                  Asmens patikimumo pažymėjimas (APP), kuriuo suteikiama teisė susipažinti su ESĮI, yra valstybės narės kompetentingos institucijos patvirtinimas, kuris pateikiamas valstybės narės kompetentingoms institucijoms baigus patikimumo tyrimą ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI. Laikoma, kad asmens, kuriam taikoma ši apibrėžtis, patikimumas patikrintas.
               
            
               
                  3.
               
               
                  Asmens patikimumo pažymėjimą patvirtinanti pažyma (APPP) yra EIVT saugumo institucijos išduota pažyma, kurioje nurodoma, kad asmens patikimumas yra patikrintas, ir nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis, atitinkamo APP galiojimo laikas ir pačios pažymos galiojimo laikas.
               
            
               
                  4.
               
               
                  Leidimas susipažinti su ESĮI – EIVT saugumo institucijos leidimas, kuris suteikiamas pagal šį sprendimą, po to, kai valstybės narės kompetentingos institucijos suteikia APP, ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI. Laikoma, kad asmens, kuriam taikoma ši apibrėžtis, patikimumas patikrintas.
               
            II.   LEIDIMAS SUSIPAŽINTI SU ESĮI
      
      
               
                  5.
               
               
                  Siekiant įgyti galimybę susipažinti su informacija, pažymėta slaptumo žyma RESTREINT UE/EU RESTRICTED, patikimumo pažymėjimas nebūtinas. Ši galimybė suteikiama:
                  
                              a)
                           
                           
                              kai atsiranda asmens sąsaja su EIVT, pagrįsta teisės aktais ar sutartimi;
                           
                        
                              b)
                           
                           
                              kai nustatoma, kad asmuo atitinka principą „būtina žinoti“;
                           
                        
                              c)
                           
                           
                              kai asmeniui pateikiama informacija apie ESĮI apsaugai užtikrinti skirtas saugumo taisykles bei procedūras ir jis raštu patvirtina savo pareigą saugoti ESĮI pagal šį sprendimą.
                           
                        
            
               
                  6.
               
               
                  Asmeniui leidžiama susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta ES įslaptinta informacija tik tuo atveju, kai:
                  
                              a)
                           
                           
                              nustatoma, kad jis atitinka principą „būtina žinoti“;
                           
                        
                              b)
                           
                           
                              dėl jo atliekamų funkcijų jam buvo išduotas atitinkamo slaptumo žymos lygio APP arba kiti tinkami leidimai pagal nacionalinius įstatymus ir kitus teisės aktus ir
                           
                        
                              c)
                           
                           
                              jis buvo informuotas apie ESĮI apsaugai užtikrinti skirtas saugumo taisykles bei procedūras ir raštu patvirtino savo pareigą saugoti tokią informaciją.
                           
                        
            
               
                  7.
               
               
                  EIVT savo struktūrose nustato tas pareigybes, kurias užimantiems asmenims reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija ir todėl jie turi turėti atitinkamo slaptumo žymos lygio APP, kaip nustatyta pirmiau pateiktame 4 straipsnyje.
               
            
               
                  8.
               
               
                  EIVT darbuotojai nurodo, ar jie turi daugiau kaip vienos šalies pilietybę.
               
            
         EIVT taikoma prašymo dėl APP pateikimo procedūra
      
      
               
                  9.
               
               
                  EIVT darbuotojų atveju EIVT institucija nusiunčia užpildytą asmens patikimumo tikrinimo klausimyną valstybės narės, kurios pilietis asmuo yra, NSI, prašydama atlikti patikimumo tyrimą, skirtą gauti leidimui naudotis tam tikro slaptumo žymos lygio ESĮI, su kuria asmeniui reikės susipažinti.
               
            
               
                  10.
               
               
                  Jei asmuo turi daugiau kaip vienos šalies pilietybę, prašymas patikrinti patikimumą siunčiamas šalies, kurios pilietybė nurodyta asmenį įdarbinant, NSI.
               
            
               
                  11.
               
               
                  Jei EIVT sužino patikimumo tyrimui svarbios informacijos apie asmenį, kuris pateikė prašymą dėl APP, EIVT, laikydamasi atitinkamų taisyklių ir teisės aktų, apie tai praneša atitinkamai NSI.
               
            
               
                  12.
               
               
                  Užbaigusi patikimumo tyrimą, atitinkama NSI praneša EIVT saugumo direktoratui tokio patikrinimo rezultatus.
                  
                              a)
                           
                           
                              Jei patikimumo tyrimo rezultatai užtikrintai rodo, kad neturima jokios nepalankios informacijos, kuri leistų abejoti asmens lojalumu ir patikimumu, EIVT saugumo institucija gali atitinkamam asmeniui leisti susipažinti su iki tam tikro lygio slaptumo žyma pažymėta ESĮI iki nustatytos datos.
                           
                        
                              b)
                           
                           
                              EIVT imasi visų tinkamų priemonių, kad užtikrintų, kad NSI taikomos sąlygos ar apribojimai būtų tinkamai įgyvendinami. NSI pranešama apie įgyvendinimo rezultatus.
                           
                        
                              c)
                           
                           
                              Jei patikimumo tyrimo rezultatai nėra tokie užtikrinantys, EIVT saugumo institucija apie tai praneša atitinkamam asmeniui, kuris gali prašyti, kad EIVT saugumo institucija jį išklausytų. EIVT saugumo institucija gali prašyti kompetentingos NSI pateikti daugiau paaiškinimų, kuriuos ji gali pateikti pagal savo nacionalinius įstatymus ir kitus teisės aktus. Jei rezultatai pasitvirtina, leidimas susipažinti su ESĮI neišduodamas. Tokiu atveju EIVT imasi visų tinkamų priemonių, kad užtikrintų, kad prašymo pateikėjui nebūtų suteikta jokia galimybė susipažinti su ESĮI.
                           
                        
            
               
                  13.
               
               
                  Patikimumo tyrimui bei gautiems rezultatams, kuriais EIVT grindžia savo sprendimą suteikti leidimą susipažinti su ESĮI ar jo nesuteikti, taikomi atitinkamoje valstybėje narėje galiojantys įstatymai ir kiti teisės aktai, įskaitant su apskundimu susijusius įstatymus ir kitus teisės aktus. EIVT saugumo institucijos sprendimai gali būti apskųsti pagal Europos Sąjungos pareigūnų tarnybos nuostatus ir kitų Europos Sąjungos tarnautojų įdarbinimo sąlygas, nustatytas Reglamente (EEB, Euratomas, EAPB) Nr. 259/68 (1) (toliau – Tarnybos nuostatai).
               
            
               
                  14.
               
               
                  APP galioja visoms užduotims, kurias tas asmuo vykdo EIVT, Tarybos generaliniame sekretoriate ar Komisijoje, su sąlyga, kad tebegalioja jo išdavimą pagrindžiančios aplinkybės.
               
            
               
                  15.
               
               
                  Jeigu asmens tarnyba neprasideda per 12 mėnesių nuo patikimumo tyrimo rezultatų pranešimo EIVT saugumo institucijai arba jeigu asmens tarnyboje daroma 12 mėnesių pertrauka ir tuo laikotarpiu jis nėra priimtas į pareigas EIVT, kitoje ES institucijoje, agentūroje ar įstaigoje arba valstybės narės nacionalinėje administracinėje įstaigoje, kurias einant reikia susipažinti su įslaptinta informacija, atitinkamos NSI prašoma patvirtinti, kad rezultatai tebegalioja bei yra tinkami.
               
            
               
                  16.
               
               
                  Jei EIVT sužino, kad galiojantį APP turintis asmuo kelia pavojų saugumui, EIVT, laikydamasi atitinkamų taisyklių ir teisės aktų, apie tai praneša atitinkamai NSI. Kai NSI informuoja EIVT apie tai, kad pagal 12 dalies a punktą suteiktas užtikrinimas dėl galiojantį leidimą susipažinti su ESĮI turinčio asmens panaikinamas, EIVT saugumo institucija gali paprašyti pateikti paaiškinimą, kurį NSI gali pateikti pagal nacionalinius įstatymus ir kitus teisės aktus. Jei nepalanki informacija patvirtinama, minėtas leidimas panaikinamas, o asmeniui neleidžiama susipažinti su ESĮI ir užimti pareigų, kurias eidamas jis galėtų susipažinti su ta informacija arba sukelti pavojų saugumui.
               
            
               
                  17.
               
               
                  Apie bet kurį sprendimą panaikinti EIVT darbuotojo leidimą susipažinti su ESĮI ir, jei reikia, tokio panaikinimo priežastis pranešama atitinkamam asmeniui, kuris gali prašyti, kad EIVT saugumo institucija jį išklausytų. NSI teikiama informacija reglamentuojama atitinkamoje valstybėje narėje galiojančiais įstatymais ir kitais teisės aktais, įskaitant su apeliacijomis susijusius įstatymus ir kitus teisės aktus. EIVT saugumo institucijos sprendimai gali būti apskųsti pagal Tarnybos nuostatus.
               
            
               
                  18.
               
               
                  Į EIVT komandiruoti nacionaliniai ekspertai, siekiantys užimti pareigas, kurias einant reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta įslaptinta informacija, EIVT saugumo institucijai prieš pradėdami tarnybą pateikia galiojantį APP, leidžiantį susipažinti su atitinkamo slaptumo lygio ESĮI. Pirmiau minėtą procesą administruoja išsiunčiančioji valstybė narė.
               
            
         APP registrai
      
      
               
                  19.
               
               
                  EIVT tvarko visų darbuotojų, už kurių įdarbinimą atsakinga EIVT, ir EIVT rangovų darbuotojų patikimumo pažymėjimo statuso duomenų bazę. Šiuose registruose nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma), APP išdavimo data ir jo galiojimo laikas.
               
            
               
                  20.
               
               
                  Valstybės narės ir kitos ES institucijos, agentūros ir įstaigos, siekdamos užtikrinti, kad EIVT turėtų tikslius ir išsamius visų darbuotojų, už kurių įdarbinimą atsakinga EIVT, ir EIVT rangovų darbuotojų patikimumo pažymėjimo statuso registrus, nustato atitinkamas koordinavimo procedūras.
               
            
               
                  21.
               
               
                  EIVT saugumo institucija gali išduoti asmens patikimumo pažymėjimą patvirtinančią pažymą (APPP), kurioje nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma), atitinkamo APP galiojimo laikas ir pačios pažymos galiojimo laikas.
               
            
         Reikalavimo turėti APP taikymo išimtys
      
      
               
                  22.
               
               
                  Jei reikia, EIVT saugumo direktoratas informuoja asmenis, kuriems dėl jų atliekamų funkcijų pagal nacionalinius įstatymus ir kitus teisės aktus suteikta teisė susipažinti su ESĮI, apie jų saugumo įsipareigojimus ESĮI apsaugos srityje.
               
            III.   ŠVIETIMAS SAUGUMO KLAUSIMAIS IR SAUGUMO SUPRATIMAS
      
      
               
                  23.
               
               
                  Prieš asmenims suteikiant leidimą susipažinti su ESĮI, jie raštu patvirtina, kad jie supranta įsipareigojimus saugoti ESĮI ir ESĮI neteisėto atskleidimo padarinius. EIVT registruoja tokius rašytinius patvirtinimus.
               
            
               
                  24.
               
               
                  Visi asmenys, kuriems leidžiama susipažinti su ESĮI arba kurie turi dirbti su ESĮI, yra iš pat pradžių informuojami ir paskui reguliariai informuojami apie grėsmes saugumui ir jie turi nedelsdami pranešti atitinkamoms saugumo tarnyboms apie bet kokius bandymus užmegzti kontaktą ar veiklą, kurie, jų nuomone, yra įtartini ar neįprasti.
               
            
               
                  25.
               
               
                  Visiems asmenims, kuriems leidžiama susipažinti su EIVT, laikotarpį, kurį jie tvarko ESĮI, taikomos nuolatinės asmens patikimumo užtikrinimo priemonės (t. y. priežiūra). Už nuolatinį asmens patikimumą atsakingi:
                  
                              a)
                           
                           
                              asmenys, kuriems suteikta teisė susipažinti su ESĮI: jie yra asmeniškai atsakingi už savo patikimumą ir turi nedelsdami pranešti atitinkamoms saugumo institucijoms apie bet kokius bandymus užmegzti kontaktą ar veiklą, kuri, jų nuomone, yra įtartina ar neįprasta, ir visus jų asmeninių aplinkybių pokyčius, kurie gali turėti poveikį jų APP ar leidimui susipažinti su ESĮI;
                           
                        
                              b)
                           
                           
                              tiesioginiai vadovai: jie atsakingi už savo darbuotojų informavimą apie saugumo priemones ir pareigą apsaugoti ESĮI, darbuotojų patikimumo stebėjimą, problemiškų saugumo klausimų pateikimą patiems darbuotojams ir bet kokios neigiamos informacijos, kuri gali turėti poveikį jų darbuotojų APP ar leidimams susipažinti su ESĮI, pranešimą atitinkamoms saugumo institucijoms;
                           
                        
                              c)
                           
                           
                              EIVT saugumo organizacijos saugumo srities subjektai, nurodyti šio sprendimo 12 straipsnyje: jie atsakingi už saugumo informacijos teikimą siekiant užtikrinti reguliarų jų atsakomybės srityje dirbančių darbuotojų informavimą, stiprios darbo kultūros skatinimą jų atsakomybės srityje, priemonių, skirtų darbuotojų patikimumui stebėti, nustatymą ir bet kokios neigiamos informacijos, kuri gali turėti poveikį darbuotojo APP, pranešimą atitinkamoms saugumo institucijoms;
                           
                        
                              d)
                           
                           
                              EIVT ir valstybės narės: jos nustato reikalingus informacijos, kuri gali turėti poveikį bet kokio asmens APP ar leidimui susipažinti su ESĮI, perdavimo kanalus.
                           
                        
            
               
                  26.
               
               
                  Visi asmenys, kurie nebeužima pareigų, kurias einant jiems reikia susipažinti su ESĮI, yra informuojami apie jų įsipareigojimus toliau saugoti ESĮI slaptumą ir atitinkamais atvejais jie tai patvirtina raštu.
               
            IV.   IŠSKIRTINĖS APLINKYBĖS
      
      
               
                  27.
               
               
                  Dėl skubos priežasčių, kurios pagrįstos EIVT interesais, laukiant išsamaus patikimumo tyrimo pabaigos, EIVT saugumo institucija, pasikonsultavusi su valstybės narės, kurios pilietis yra atitinkamas asmuo, NSI ir atsižvelgusi į preliminaraus patikrinimo, skirto patikrinti, ar nėra žinomos nepalankios informacijos apie asmenį, rezultatus, gali EIVT pareigūnams ir kitiems tarnautojams išduoti laikiną leidimą susipažinti su ESĮI konkrečiai funkcijai atlikti. Išsamus patikimumo tyrimas turi būti baigtas kuo greičiau. Tokie laikini leidimai galioja ne ilgiau kaip šešis mėnesius ir nesuteikia teisės susipažinti su slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija. Visi asmenys, kuriems išduotas laikinas leidimas, raštu patvirtina, kad jie supranta įsipareigojimus saugoti ESSĮ ir ESĮI neteisėto atskleidimo pasekmes. EIVT registruoja tokius rašytinius patvirtinimus.
               
            
               
                  28.
               
               
                  Kai asmuo turi būti paskirtas į pareigas, kurioms užimti reikalingas APP, kuris vienu lygiu aukštesnis nei turimas APP, jis gali būti paskirtas į tas pareigas laikinai, jeigu:
                  
                              a)
                           
                           
                              asmens vadovas raštu įtikinamai pagrindžia, kad būtina susipažinti su aukštesnio lygio ESĮI;
                           
                        
                              b)
                           
                           
                              suteikiama teisė susipažinti tik su konkrečia ESĮI, kurios reikia užduočiai atlikti;
                           
                        
                              c)
                           
                           
                              asmuo turi galiojantį APP;
                           
                        
                              d)
                           
                           
                              imtasi veiksmų pareigybei reikiamo lygio leidimui gauti;
                           
                        
                              e)
                           
                           
                              kompetentinga institucija atliko pakankamus patikrinimus, kad asmuo nėra rimtai ar pakartotinai pažeidęs saugumo nuostatų;
                           
                        
                              f)
                           
                           
                              asmens paskyrimą patvirtino kompetentinga EIVT institucija;
                           
                        
                              g)
                           
                           
                              pasikonsultuota su atitinkama NSI / PSI, kuri asmeniui išdavė APP, ir negauta jokių prieštaravimų;
                           
                        
                              h)
                           
                           
                              išimtis, įskaitant informacijos, su kuria leista susipažinti, aprašymą, registruoja atsakingos registratūros ar subregistratūros.
                           
                        
            
               
                  29.
               
               
                  Pirmiau nurodytos procedūros laikomasi, kai reikia suteikti leidimą vieną kartą susipažinti su vienu lygiu aukštesne slaptumo žyma pažymėta ESĮI nei ta, su kuria susipažinti jiems buvo leista atlikus patikimumo patikrinimą. Tokia procedūra neturi būti naudojama pakartotinai.
               
            
               
                  30.
               
               
                  Itin išskirtinėmis aplinkybėmis, pvz., vykdant užduotis priešiškoje aplinkoje arba kylant tarptautinei įtampai, kai to reikia imantis neatidėliotinų priemonių, visų pirma siekiant išsaugoti žmonių gyvybes, vyriausiasis įgaliotinis, vykdomasis generalinis sekretorius ar generalinis administracijos direktorius gali, kai įmanoma – raštu, suteikti galimybę susipažinti su slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET pažymėta informacija asmenims, kuriems nėra išduotas reikiamas APP, jeigu tokio leidimo tikrai reikia ir jeigu nėra pagrįstų abejonių dėl atitinkamo asmens lojalumo ir patikimumo. Toks leidimas registruojamas, kartu aprašant informaciją, su kuria leista susipažinti.
               
            
               
                  31.
               
               
                  Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtos informacijos atveju toks leidimo suteikimas skubos tvarka taikomas tik tiems asmenims, kuriems buvo leista susipažinti su nacionaline informacija, atitinkančia TRES SECRET UE/EU TOP SECRET slaptumo lygį, arba su slaptumo žyma SECRET UE/EU SECRET pažymėta informacija.
               
            
               
                  32.
               
               
                  EIVT saugumo komitetas informuojamas apie atvejus, kai taikoma 29 ir 30 dalyse išdėstyta procedūra.
               
            
               
                  33.
               
               
                  EIVT saugumo komitetui pateikiama šiame skirsnyje numatytų procedūrų taikymo metinė ataskaita.
               
            V.   DALYVAVIMAS EIVT BŪSTINĖJE IR SĄJUNGOS DELEGACIJOSE VYKSTANČIUOSE POSĖDŽIUOSE
      
      
               
                  34.
               
               
                  Asmenys, paskirti dalyvauti EIVT būstinėje ir Sąjungos delegacijose vykstančiuose posėdžiuose, kuriuose aptariama CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, gali tai daryti tik patvirtinus jų APP turėtojo statusą. Valstybių narių atstovų ir TGS bei Komisijos pareigūnų APPP ar kitus APP įrodymus atitinkamos institucijos siunčia EIVT saugumo direktoratui, Sąjungos delegacijos saugumo koordinatoriui arba išimtiniais atvejais ją pateikia atitinkamas asmuo. Jei taikytina, gali būti naudojamas suvestinis pavardžių sąrašas, kuriame pateikiami atitinkami APP įrodymai.
               
            
               
                  35.
               
               
                  Jei panaikinamas asmens, kuris eidamas savo pareigas turi dalyvauti EIVT būstinėje ir Sąjungos delegacijose vykstančiuose posėdžiuose, kuriuose aptariama CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija, APP, leidžiantis susipažinti su ESĮI, kompetentinga institucija apie tai praneša EIVT.
               
            VI.   GALIMA PRIEIGA PRIE ESĮI
      
      
               
                  36.
               
               
                  Kai asmenys turi būti įdarbinti tokioje aplinkoje, kurioje jie gali turėti prieigą prie CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėtos informacijos, jų patikimumas turi būti tinkamai patikrintas arba jie turi būti visą laiką lydimi.
               
            
               
                  37.
               
               
                  Kurjerių, apsaugos darbuotojų ir lydinčių asmenų patikimumas turi būti patikrintas atitinkamu lygiu, arba jie turi būti kitaip deramai patikrinti vadovaujantis nacionaliniais įstatymais ir kitais teisės aktais. Jie yra reguliariai supažindinami su ESĮI apsaugai užtikrinti skirtomis saugumo procedūromis ir jiems išdėstomos jų pareigos jiems patikėtos tokios informacijos arba informacijos, su kuria jie susipažįsta per neapdairumą, apsaugos srityje.
               
            
         (1)  OL L 56, 1968 3 4, p. 1.
   
   
      A II PRIEDAS
      
         ES ĮSLAPTINTOS INFORMACIJOS FIZINIS SAUGUMAS
      
      I.   ĮŽANGA
      
      
               
                  1.
               
               
                  Šiame priede pateiktos A priedo 6 straipsnio įgyvendinimo nuostatos. Jame išdėstyti būtiniausi reikalavimai, taikomi patalpų, pastatų, kabinetų, salių ir kitų zonų, kuriose tvarkoma ir saugoma ESĮI, įskaitant zonas, kuriose yra RIS, fizinei apsaugai.
               
            
               
                  2.
               
               
                  Fizinio saugumo priemonės yra skirtos užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI:
                  
                              a)
                           
                           
                              užtikrinant, kad ESĮI būtų tinkamai tvarkoma ir saugoma;
                           
                        
                              b)
                           
                           
                              sudarant sąlygas suskirstyti personalą pagal tai, kas gali susipažinti su ESĮI, remiantis principu „būtina žinoti“ ir atitinkamais atvejais – darbuotojų patikimumo pažymėjimais;
                           
                        
                              c)
                           
                           
                              atgrasant nuo neteisėtų veiksmų, sutrukdant jiems bei juos nustatant ir
                           
                        
                              d)
                           
                           
                              sutrukdant asmenims įsibrauti slaptai ar įsiveržti jėga arba juos užlaikant.
                           
                        
            II.   FIZINIO SAUGUMO REIKALAVIMAI IR PRIEMONĖS
      
      
               
                  3.
               
               
                  ESĮI apsaugai užtikrinti savo patalpose EIVT taiko rizikos valdymo procesą, kad užtikrintų, jog, atsižvelgiant į įvertintą riziką, būtų taikoma atitinkamo lygio fizinė apsauga. Rizikos valdymo procese atsižvelgiama į visus svarbius veiksnius, visų pirma:
                  
                              a)
                           
                           
                              ESĮI slaptumo žymos lygį;
                           
                        
                              b)
                           
                           
                              ESĮI formą ir kiekį, atsižvelgiant į tai, kad dideliam ESĮI kiekiui ar rinkiniui apsaugoti gali reikėti taikyti griežtesnes apsaugos priemones;
                           
                        
                              c)
                           
                           
                              pastatus ar zonas, kuriose laikoma ESĮI, supančią aplinką ir jų struktūrą;
                           
                        
                              d)
                           
                           
                              trečiųjų šalių grėsmės įvertinimą, kurį, remdamasi daugiausia Sąjungos delegacijos ataskaitomis, parengė INTCEN, ir
                           
                        
                              e)
                           
                           
                              įvertintą žvalgybos tarnybų, kurių veikla nukreipta prieš ES arba jos valstybes nares, keliamą grėsmę ir grėsmę dėl sabotažo, terorizmo, ardomosios arba kitų rūšių nusikalstamos veiklos.
                           
                        
            
               
                  4.
               
               
                  EIVT saugumo institucija, taikydama nuodugnios apsaugos sąvoką, nustato tinkamas įgyvendintinas fizinio saugumo priemones. Tai gali būti viena (ar daugiau) iš šių priemonių:
                  
                              a)
                           
                           
                              perimetro barjeras: fizinis barjeras, kuris skirtas zonos, kurioje reikalinga apsauga, ribos apsaugai užtikrinti;
                           
                        
                              b)
                           
                           
                              įsibrovimo aptikimo sistemos (ĮAS): ĮAS gali būti naudojama siekiant padidinti perimetro barjero teikiamo saugumo lygį arba patalpose ir pastatuose vietoj apsaugos personalo ar siekiant jam padėti;
                           
                        
                              c)
                           
                           
                              patekimo kontrolė: gali būti kontroliuojamas patekimas į objektą, pastatą ar pastatus objekte arba į zonas ar patalpas pastate. Kontrolė gali būti vykdoma elektroninėmis arba elektroninėmis-mechaninėmis priemonėmis, ją gali vykdyti apsaugos personalas ir (arba) priimamojo darbuotojas arba ji gali būti vykdoma kitomis fizinėmis priemonėmis;
                           
                        
                              d)
                           
                           
                              apsaugos personalas: galima įdarbinti apmokytą ir prižiūrimą apsaugos personalą, jei reikia, tinkamai patikrinus jų patikimumą, inter alia, siekiant atgrasyti slaptą įsibrovimą planuojančius asmenis;
                           
                        
                              e)
                           
                           
                              apsauginės vaizdo stebėjimo sistemos (AVSS): apsaugos personalas gali naudotis AVSS, kad patikrintų incidentus ir ĮAS pavojaus signalus dideliuose objektuose ar ties perimetru;
                           
                        
                              f)
                           
                           
                              apsauginis apšvietimas: apsauginis apšvietimas ne tik skleidžia šviesą, būtiną veiksmingam stebėjimui, kurį tiesiogiai atlieka apsaugos personalas arba kuris netiesiogiai atliekamas per AVSS sistemą, bet jį taip pat galima naudoti siekiant atgrasyti potencialų įsibrovėlį, ir
                           
                        
                              g)
                           
                           
                              kitos tinkamos fizinės priemonės, skirtos atgrasyti asmenis be leidimo naudotis ESĮI, nustatyti tokio naudojimo atvejus arba užkirsti kelią tam, kad ESĮI būtų prarasta ar jai būtų padaryta žala.
                           
                        
            
               
                  5.
               
               
                  EIVT saugumo direktoratas gali vykdyti įeinančių ir išeinančių asmenų apiešką, kuria siekiama atgrasyti nuo neleistino medžiagos įnešimo arba neleistino ESĮI išnešimo iš patalpų ar pastatų.
               
            
               
                  6.
               
               
                  Iškilus pavojui, kad ESĮI bus pamatyta, netgi atsitiktinai, imamasi tinkamų priemonių siekiant išvengti šio pavojaus.
               
            
               
                  7.
               
               
                  Naujos infrastruktūros atveju infrastruktūros planavimo ir projektavimo metu apibrėžiami fizinio saugumo reikalavimai ir jos funkcinės specifikacijos. Esamos infrastruktūros atveju kiek įmanoma įgyvendinami fizinio saugumo reikalavimai.
               
            III.   ESĮI FIZINEI APSAUGAI SKIRTA ĮRANGA
      
      
               
                  8.
               
               
                  Įsigydama ESĮI fizinei apsaugai užtikrinti skirtą įrangą (pavyzdžiui, apsaugines talpyklas, naikiklius, durų užraktus, elektronines patekimo kontrolės sistemas, įsibrovimo aptikimo sistemas, signalizacijos sistemas), EIVT saugumo institucija užtikrina, kad įranga atitiktų patvirtintus techninius standartus ir būtiniausius reikalavimus.
               
            
               
                  9.
               
               
                  ESĮI fizinei apsaugai užtikrinti naudotinos įrangos techninės specifikacijos išdėstomos saugumo gairėse, kurias turi patvirtinti EIVT saugumo komitetas.
               
            
               
                  10.
               
               
                  Saugumo sistemos reguliariai tikrinamos ir reguliariai atliekama įrangos priežiūra. Atliekant priežiūrą atsižvelgiama į patikrinimų rezultatus, kad būtų užtikrinta, jog įrenginiai toliau veiktų optimaliai.
               
            
               
                  11.
               
               
                  Kiekvieno patikrinimo metu iš naujo vertinamas individualių saugumo priemonių ir visos saugumo sistemos veiksmingumas.
               
            IV.   FIZIŠKAI APSAUGOTOS ZONOS
      
      
               
                  12.
               
               
                  ESĮI fizinės apsaugos tikslais nustatomos dviejų tipų fiziškai apsaugotos zonos arba nacionalinės lygiavertės zonos:
                  
                              a)
                           
                           
                              administracinės zonos ir
                           
                        
                              b)
                           
                           
                              saugumo zonos (įskaitant techniniu požiūriu saugias saugumo zonas).
                           
                        
            
               
                  13.
               
               
                  EIVT saugumo institucija nustato, kad zona atitinka reikalavimus, jog būtų klasifikuojama kaip administracinė zona, saugumo zona ar techniniu požiūriu saugi saugumo zona.
               
            
               
                  14.
               
               
                  Administracinių zonų atveju:
                  
                              a)
                           
                           
                              nustatoma aiškiai apibrėžta išorinė riba, kad būtų galima tikrinti asmenis ir, jei įmanoma, transporto priemones;
                           
                        
                              b)
                           
                           
                              į šias zonas įeiti nelydimiems leidžiama tik tiems asmenims, kuriems EIVT saugumo direktoratas suteikė tinkamą leidimą, ir
                           
                        
                              c)
                           
                           
                              visi kiti asmenys turi būti visą laiką lydimi arba jiems turi būti taikomos lygiavertės kontrolės priemonės.
                           
                        
            
               
                  15.
               
               
                  Saugumo zonų atveju:
                  
                              a)
                           
                           
                              nustatoma aiškiai apibrėžta ir saugoma išorinė riba, per kurią kiekvienas įėjimas ir išėjimas yra kontroliuojamas naudojantis leidimų arba asmens atpažinimo sistema;
                           
                        
                              b)
                           
                           
                              į zoną įeiti nelydimiems leidžiama tik tiems asmenims, kurių patikimumas tinkamai patikrintas ir kurie turi specialų leidimą įeiti į zoną pagal principą „būtina žinoti“;
                           
                        
                              c)
                           
                           
                              visi kiti asmenys turi būti visą laiką lydimi arba jiems turi būti taikomos lygiavertės kontrolės priemonės.
                           
                        
            
               
                  16.
               
               
                  Tais atvejais, kai įėjus į saugumo zoną galima visais praktiniais tikslais tiesiogiai susipažinti su joje laikoma įslaptinta informacija, taikomi tokie papildomi reikalavimai:
                  
                              a)
                           
                           
                              turi būti aiškiai nurodyta paprastai zonoje laikomos informacijos aukščiausio slaptumo žymos lygio specifikacija;
                           
                        
                              b)
                           
                           
                              visi lankytojai privalo turėti specialų leidimą, suteikiantį teisę įeiti į zoną, turi būti visą laiką lydimi ir jų patikimumas turi būti tinkamai patikrintas, nebent imtasi priemonių užtikrinti, kad nebūtų įmanoma susipažinti su ESĮI;
                           
                        
                              c)
                           
                           
                              į zoną draudžiama įnešti elektroninius prietaisus.
                           
                        
            
               
                  17.
               
               
                  Nuo pasiklausymo apsaugotos saugumo zonos klasifikuojamos kaip techniniu požiūriu saugios saugumo zonos. Taikomi šie papildomi reikalavimai:
                  
                              a)
                           
                           
                              tokiose zonose turi būti įdiegta ĮAS ir, kai jose nedirbama, jos turi būti rakinamos, o kai dirbama – saugomos. Visi raktai apskaitomi ir saugomi vadovaujantis šio priedo VI skyriumi;
                           
                        
                              b)
                           
                           
                              visi į tokias zonas įeinantys asmenys ar įnešamos medžiagos turi būti kontroliuojami;
                           
                        
                              c)
                           
                           
                              tokios zonos reguliariai fiziškai ir (arba) techniškai tikrinamos, kaip reikalauja EIVT saugumo institucija. Tokie patikrinimai atliekami, kai į zoną buvo įeita be leidimo ar įtariama apie tokį patekimą, ir
                           
                        
                              d)
                           
                           
                              tokiose zonose negali būti ryšių linijų, kurioms nesuteiktas leidimas, telefonų, kuriems nesuteiktas leidimas, ar kitų ryšių prietaisų bei elektros ar elektroninės įrangos, kuriems nesuteiktas leidimas.
                           
                        
            
               
                  18.
               
               
                  Nepaisant 17 dalies d punkto, prieš naudojantis ryšių prietaisais ir elektros ar elektronine įranga zonose, kuriose rengiami susitikimai ar atliekamas darbas, susijęs su SECRET UE/EU SECRET arba aukštesnio lygio slaptumo žyma pažymėta informacija, taip pat, kai grėsmė ESĮI vertinama kaip didelė, tokius prietaisus ir įrangą visų pirma ištiria EIVT saugumo institucija, siekdama užtikrinti, kad naudojantis šia įranga nebūtų galima perduoti jokios suprantamos informacijos per neapdairumą ar neteisėtai už saugumo zonos perimetro.
               
            
               
                  19.
               
               
                  Saugumo zonos, kuriose nėra visą parą budinčio personalo, atitinkamais atvejais tikrinamos pasibaigus įprastai darbo dienai ir atsitiktiniais intervalais ne įprastomis darbo valandomis, išskyrus atvejus, kai įdiegta ĮAS.
               
            
               
                  20.
               
               
                  Siekiant surengti susitikimą, kuriame naudojama įslaptinta informacija arba bet kokiu kitu panašiu tikslu administracinėje zonoje gali būti laikinai įrengtos saugumo zonos ir techniniu požiūriu saugios saugumo zonos.
               
            
               
                  21.
               
               
                  Saugios eksploatacijos taisyklės rengiamos kiekvienai saugumo zonai ir jose nustatoma:
                  
                              a)
                           
                           
                              ESĮI, kuri gali būti tvarkoma ir saugoma toje zonoje, slaptumo žymos lygis;
                           
                        
                              b)
                           
                           
                              įdiegtinos stebėjimo ir apsaugos priemonės;
                           
                        
                              c)
                           
                           
                              kokie asmenys turi leidimą nelydimi patekti į zoną, vadovaujantis principu „būtina žinoti“ ir asmens patikimumo pažymėjimu;
                           
                        
                              d)
                           
                           
                              atitinkamais atvejais, palydos tvarka ir ESĮI apsaugos tvarka, kai kitiems asmenims leidžiama patekti į zoną;
                           
                        
                              e)
                           
                           
                              bet kurios kitos atitinkamos priemonės ir procedūros.
                           
                        
            
               
                  22.
               
               
                  Saugumo zonose įrengiamos saugyklos. Sienos, grindys, lubos, langai ir durys su užraktais turi būti EIVT saugumo institucijos patvirtintos ir užtikrinti apsaugą, kurią užtikrina apsauginės talpyklos, patvirtintos to paties lygio slaptumo žymos ESĮI saugoti.
               
            V.   FIZINĖS APSAUGOS PRIEMONĖS TVARKANT IR SAUGANT ESĮI
      
      
               
                  23.
               
               
                  Slaptumo žyma RESTREINT UE/EU RESTRICTED pažymėta ESĮI gali būti tvarkoma:
                  
                              a)
                           
                           
                              saugumo zonose;
                           
                        
                              b)
                           
                           
                              administracinėse zonose, jeigu ta ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys, arba
                           
                        
                              c)
                           
                           
                              ne saugumo zonose ar administracinėse zonose, jeigu turėtojas gabena ESĮI pagal A III priedo 30–42 dalis ir yra įsipareigojęs taikyti kompensacines priemones, nustatytas EIVT saugumo institucijos parengtose saugumo instrukcijose, kad būtų užtikrinta, jog ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys.
                           
                        
            
               
                  24.
               
               
                  Slaptumo žyma RESTREINT UE/EU RESTRICTED pažymėta ESĮI saugoma tinkamuose rakinamuose biuro balduose administracinėse zonose arba saugumo zonose. Laikinai ji gali būti saugoma ne saugumo zonose ar administracinėse zonose, jeigu turėtojas yra įsipareigojęs taikyti kompensacines priemones, nustatytas EIVT saugumo institucijos parengtose saugumo instrukcijose.
               
            
               
                  25.
               
               
                  Slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET pažymėta ESĮI gali būti tvarkoma:
                  
                              a)
                           
                           
                              saugumo zonose;
                           
                        
                              b)
                           
                           
                              administracinėse zonose, jeigu ta ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys; arba
                           
                        
                              c)
                           
                           
                              ne saugumo zonose ar administracinėse zonose, jeigu turėtojas:
                              
                                          i)
                                       
                                       
                                          gabena ESĮI pagal A III priedo 30–42 dalis;
                                       
                                    
                                          ii)
                                       
                                       
                                          yra įsipareigojęs taikyti kompensacines priemones, nustatytas EIVT saugumo institucijos parengtose saugumo instrukcijose, kad būtų užtikrinta, jog ESĮI yra apsaugota taip, kad su ja negalėtų susipažinti leidimo neturintys asmenys;
                                       
                                    
                                          iii)
                                       
                                       
                                          visą laiką asmeniškai kontroliuoja šią ESĮI ir
                                       
                                    
                                          iv)
                                       
                                       
                                          jei dokumentai yra popieriniu pavidalu, apie tai pranešė atitinkamai registratūrai.
                                       
                                    
                        
            
               
                  26.
               
               
                  Slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET pažymėta ESĮI saugoma saugumo zonose esančiose apsauginėse talpyklose arba saugyklose.
               
            
               
                  27.
               
               
                  Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta ESĮI tvarkoma saugumo zonose.
               
            
               
                  28.
               
               
                  Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta ESĮI saugoma būstinės saugumo zonose laikantis kurios nors iš toliau nurodytų sąlygų:
                  
                              a)
                           
                           
                              apsauginėje talpykloje laikantis 8 dalies reikalavimų, taikant vieną ar kelias iš toliau nurodytų kontrolės priemonių:
                              
                                          i)
                                       
                                       
                                          nuolatinė apsauga arba tikrinimas, kurį vykdo apsaugos personalas arba budintis personalas, kurio patikimumas patikrintas;
                                       
                                    
                                          ii)
                                       
                                       
                                          patvirtinta ĮAS kartu veikiant apsaugos reagavimo personalui;
                                       
                                    arba
                           
                        
                              b)
                           
                           
                              saugykloje su įrengta ĮAS kartu veikiant apsaugos reagavimo personalui.
                           
                        
            
               
                  29.
               
               
                  ESĮI gabenimą už fiziškai apsaugotų zonų ribų reglamentuojančios taisyklės išdėstytos A III priede.
               
            VI.   ESĮI APSAUGAI UŽTIKRINTI NAUDOJAMŲ RAKTŲ IR KODŲ KONTROLĖ
      
      
               
                  30.
               
               
                  EIVT saugumo institucija nustato kabinetų, patalpų, saugyklų ir apsauginių talpyklų raktų bei kodų valdymo procedūras. Tokios procedūros apsaugo nuo neleistino susipažinimo su informacija.
               
            
               
                  31.
               
               
                  Kodai patikimi kuo mažesniam asmenų skaičiui ir tik tiems asmenims, kuriems reikia juos naudoti; šie asmenys kodus įsimena. Apsauginių talpyklų ir saugyklų, kuriose saugoma ESĮI, kodai keičiami:
                  
                              a)
                           
                           
                              gavus naują talpyklą;
                           
                        
                              b)
                           
                           
                              pasikeitus kodus žinančiam personalui;
                           
                        
                              c)
                           
                           
                              iškilus pavojui ar įtarimui;
                           
                        
                              d)
                           
                           
                              po spynos techninio patikrinimo ar remonto ir
                           
                        
                              e)
                           
                           
                              bent kas 12 mėnesių.
                           
                        
            
   
      A III PRIEDAS
      
         ĮSLAPTINTOS INFORMACIJOS ADMINISTRAVIMAS
      
      I.   ĮŽANGA
      
      
               
                  1.
               
               
                  Šiame priede pateiktos A priedo 7 straipsnio įgyvendinimo nuostatos. Jame išdėstytos administracinės ESĮI kontrolės visą jos gyvavimo ciklą priemonės siekiant atgrasyti nuo tokios informacijos sąmoningo ar atsitiktinio neteisėto atskleidimo arba praradimo, nustatyti tokius atvejus ir pašalinti jų padarinius.
               
            II.   ĮSLAPTINIMO ADMINISTRAVIMAS
      
      
         Slaptumo žymos ir kitos žymos
      
      
               
                  2.
               
               
                  Informacija įslaptinama tuo atveju, jei dėl jos konfidencialumo reikia ją apsaugoti.
               
            
               
                  3.
               
               
                  ESĮI rengėjas atsako už slaptumo žymos lygio nustatymą pagal atitinkamas įslaptinimo gaires ir už informacijos platinimą.
               
            
               
                  4.
               
               
                  ESĮI slaptumo žymos lygis nustatomas vadovaujantis A priedo 2 straipsnio 2 dalimi ir remiantis saugumo politika, kuri turi būti tvirtinama pagal A priedo 3 straipsnio 3 dalį.
               
            
               
                  5.
               
               
                  Valstybių narių įslaptintai informacijai, kuria jos keičiasi su EIVT, suteikiamas toks pat apsaugos lygis, koks suteikiamas atitinkamo slaptumo lygio ESĮI. Atitikmenų lentelė pateikta 2011 m. kovo 31 d. Tarybos sprendimo 2011/292/ES dėl ES įslaptintos informacijos apsaugai užtikrinti skirtų saugumo taisyklių B priedėlyje.
               
            
               
                  6.
               
               
                  Slaptumo žyma ir, jei taikytina, data ar konkretus įvykis, po kurio informacijos slaptumo žymos laipsnis gali būti sumažintas arba ji gali būti išslaptinta, nurodoma aiškiai ir teisingai, neatsižvelgiant į tai, ar ESĮI yra pateikiama popieriuje, žodžiu, elektronine ar bet kuria kita forma.
               
            
               
                  7.
               
               
                  Atskiroms dokumento dalims (t. y. puslapiams, dalims, skirsniams, priedams ir priedėliams) gali būti suteikiamos skirtingos slaptumo žymos ir jos atitinkamai pažymimos, taip pat tais atvejais, kai jos saugomos elektronine forma.
               
            
               
                  8.
               
               
                  Kiek įmanoma, dokumentams, kurių dalys pažymėtos skirtingo lygio slaptumo žymomis, suteikiama tokia struktūra, kad skirtingo lygio slaptumo žymomis pažymėtas dalis būtų galima lengvai nustatyti ir prireikus atskirti.
               
            
               
                  9.
               
               
                  Dokumento ar dokumentų bylos bendras slaptumo žymos lygis nustatomas pagal aukščiausią slaptumo žymos lygį turinčią jo dalį. Kai renkama informacija iš įvairių šaltinių, galutinis dokumentas peržiūrimas siekiant nustatyti jo bendrą slaptumo žymos lygį, nes gali paaiškėti, kad jam turi būti suteiktas aukštesnis slaptumo žymos lygis nei jo dalims.
               
            
               
                  10.
               
               
                  Pridedamų dokumentų lydinčiųjų dokumentų slaptumo žymos lygis atitinka priedų aukščiausio lygio slaptumo žymas. Jei tokie dokumentai pateikiami atskirai nuo priedų, įslaptintos informacijos rengėjas turi aiškiai nurodyti, koks slaptumo žymos lygis jiems suteikiamas, naudodamas atitinkamą žymą, pavyzdžiui:
                  CONFIDENTIEL UE/EU CONFIDENTIAL
                  Be priedo (-ų) RESTREINT UE/EU RESTRICTED
               
            
         Žymos
      
      
               
                  11.
               
               
                  Be vienos iš slaptumo žymų, nurodytų A priedo 2 straipsnio 2 dalyje, ESĮI gali būti pažymėta papildomomis žymomis, pavyzdžiui:
                  
                              a)
                           
                           
                              identifikatoriumi, kuriuo nurodomas įslaptintos informacijos rengėjas;
                           
                        
                              b)
                           
                           
                              bet kuriais apribojimais, kodiniais žodžiais ar santrumpomis, kuriais nurodoma veiklos sritis, su kuria dokumentas yra susijęs, jo specialus platinimas vadovaujantis principu „būtina žinoti“ arba naudojimo apribojimai;
                           
                        
                              c)
                           
                           
                              paskirstymo žymomis.
                           
                        
            
               
                  12.
               
               
                  Priėmus sprendimą suteikti ESĮI trečiajai valstybei ar tarptautinei organizacijai, EIVT saugumo direktoratas perduoda atitinkamą įslaptintą informaciją, pažymėtą leidimo suteikti informaciją žyma, nurodančia trečiąją valstybę ar tarptautinę organizaciją, kuriai ji suteikiama.
               
            
               
                  13.
               
               
                  Patvirtintų žymų sąrašą tvirtina EIVT saugumo institucija.
               
            
         Žymų santrumpos
      
      
               
                  14.
               
               
                  Siekiant nurodyti atskirų teksto pastraipų slaptumo žymos lygį, gali būti naudojamos standartinės slaptumo žymų santrumpos. Santrumpos nepakeičia pilnų slaptumo žymų.
               
            
               
                  15.
               
               
                  ES įslaptintuose dokumentuose gali būti naudojamos šios standartinės santrumpos, kuriomis nurodomas skirsnių arba teksto dalių, užimančių mažiau nei vieną puslapį, slaptumo žymos lygis:
                  
                              TRES SECRET UE/EU TOP SECRET
                           
                           
                              TS-UE/EU-TS
                           
                        
                              SECRET UE/EU SECRET
                           
                           
                              S-UE/EU-S
                           
                        
                              CONFIDENTIEL UE/EU CONFIDENTIAL
                           
                           
                              C-UE/EU-C
                           
                        
                              RESTREINT UE/EU RESTRICTED
                           
                           
                              R-UE/EU-R
                           
                        
            
         ESĮI rengimas
      
      
               
                  16.
               
               
                  Rengiant ES įslaptintą dokumentą:
                  
                              a)
                           
                           
                              kiekvienas puslapis aiškiai pažymimas slaptumo žyma;
                           
                        
                              b)
                           
                           
                              kiekvienas puslapis numeruojamas;
                           
                        
                              c)
                           
                           
                              dokumente nurodomas jo numeris ir dalykas, kurie nėra įslaptinta informacija, išskyrus tuo atveju, kai jie pažymėti kaip įslaptinta informacija;
                           
                        
                              d)
                           
                           
                              dokumente nurodoma data;
                           
                        
                              e)
                           
                           
                              jei platinamos kelios dokumentų, pažymėtų CONFIDENTIEL UE/EU CONFIDENTIAL ar aukštesnio lygio slaptumo žyma, kopijos, kiekvienos iš jų kiekviename puslapyje nurodomas kopijos numeris.
                           
                        
            
               
                  17.
               
               
                  Kai rengiant ESĮI neįmanoma taikyti 15 dalyje išdėstytų reikalavimų, taikomos kitos atitinkamos priemonės vadovaujantis saugumo gairėmis, parengtomis pagal šį sprendimą.
               
            
         ESĮI slaptumo žymos laipsnio sumažinimas ir ESĮI išslaptinimas
      
      
               
                  18.
               
               
                  Įslaptintos informacijos rengėjas, kai įmanoma, rengdamas ESĮI, ypač RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėtą informaciją, nurodo, ar tam tikrą dieną arba po tam tikro įvykio galima sumažinti ESĮI slaptumo žymos laipsnį arba ją išslaptinti.
               
            
               
                  19.
               
               
                  EIVT reguliariai peržiūri jo turimą ESĮI, siekdama įsitikinti, ar slaptumo žymos lygis vis dar taikomas. EIVT sukuria sistemą, skirtą peržiūrėti registruotos ESĮI, kurią ji parengė, slaptumo žymos lygį ne rečiau kaip kas penkerius metus. Tokia peržiūra nėra reikalinga, jeigu įslaptintos informacijos rengėjas iš pat pradžių nurodo konkretų laiką, kada informacijos slaptumo žymos laipsnis bus sumažintas arba informacija bus išslaptinta automatiškai; informacija yra atitinkamai pažymėta.
               
            III.   ESĮI REGISTRAVIMAS SAUGUMO TIKSLAIS
      
      
               
                  20.
               
               
                  Būstinėje įsteigiama centrinė registratūra. Kiekviename EIVT organizaciniame vienete, kuriame tvarkoma ESĮI, steigiamos atsakingos registratūros, pavaldžios centrinei registratūrai, siekiant užtikrinti, kad ESĮI būtų administruojama pagal šį sprendimą. Registratūros steigiamos kaip A priede apibrėžtos saugumo zonos.
                  Kiekviena Sąjungos delegacija įsteigia savo ESĮI registratūrą.
                  Šios registratūroms administruoti EIVT paskiria vyriausiąjį registratūros pareigūną.
               
            
               
                  21.
               
               
                  Šiame sprendime registravimas saugumo tikslais (toliau – registravimas) – procedūrų, kuriomis užregistruojamas informacijos gyvavimo ciklas, įskaitant jo platinimą ir sunaikinimą, taikymas. RIS atveju registravimo procedūros gali būti atliekamos vykdant procesus pačioje RIS.
               
            
               
                  22.
               
               
                  Kai organizacinis vienetas, įskaitant Sąjungos delegacijas, gauna CONFIDENTIEL UE/EU CONFIDENTIAL ir aukštesnio lygio slaptumo žyma pažymėtą medžiagą ir kai ją išsiunčia, visa ši medžiaga registruojama. Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija registruojama tam skirtose registratūrose.
               
            
               
                  23.
               
               
                  EIVT būstinėje centrinė registratūra yra pagrindinis įslaptintos informacijos, kuria keičiamasi su trečiosiomis valstybėmis ir tarptautinėmis organizacijomis, gavimo ir išsiuntimo punktas. Ji registruoja visus šiuos keitimosi informacija atvejus.
               
            
               
                  24.
               
               
                  Vyriausiasis įgaliotinis saugumo tikslais patvirtina ESĮI registravimo saugumo politiką pagal šio sprendimo 14 straipsnį.
               
            
         Tres secret UE/EU top secret registratūros
      
      
               
                  25.
               
               
                  EIVT būstinėje įsteigiama centrinė registratūra, kuri veikia kaip centrinė slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtą informaciją gaunanti ir siunčianti institucija. Prireikus gali būti paskirtos antrinės registratūros, kurios tvarko tokią informaciją jos registravimo tikslais.
               
            
               
                  26.
               
               
                  Tokios antrinės registratūros negali perduoti slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtų dokumentų tiesiogiai kitoms tos pačios centrinės TRES SECRET UE/EU TOP SECRET registratūros antrinėms registratūroms arba į išorę be aiškaus rašytinio tos registratūros leidimo.
               
            IV.   ES ĮSLAPTINTŲ DOKUMENTŲ KOPIJAVIMAS IR VERTIMAS
      
      
               
                  27.
               
               
                  Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėti dokumentai kopijuojami arba verčiami tik gavus išankstinį rašytinį įslaptintos informacijos rengėjo sutikimą.
               
            
               
                  28.
               
               
                  Jeigu SECRET UE/EU SECRET arba žemesnio lygio slaptumo žyma pažymėtų dokumentų įslaptintos informacijos rengėjas nenustatė apribojimų dėl jų kopijavimo ar vertimo, dokumento turėtojo nurodymu tokius dokumentus galima kopijuoti arba versti.
               
            
               
                  29.
               
               
                  Dokumento kopijoms ir vertimams taikomos tos pačios saugumo priemonės kaip ir dokumento originalui. Dokumentų, pažymėtų CONFIDENTIEL UE/EU CONFIDENTIAL ar aukštesnio lygio slaptumo žyma, kopijas daro tik atitinkama (sub)registratūra, naudodama apsaugotą kopijavimo aparatą. Kopijos turi būti registruojamos.
               
            V.   ESĮI GABENIMAS
      
      
               
                  30.
               
               
                  ESĮI gabenimui taikomos 31–41 dalyse išvardytos apsauginės priemonės. Tais atvejais, kai ESĮI gabenama elektroninėje laikmenoje, ir nepaisant A priedo 7 straipsnio 4 dalies, toliau išvardytas apsaugos priemones gali papildyti EIVT saugumo institucijos nurodytos atitinkamos techninės kontrpriemonės, kad būtų sumažinta rizika, jog informacija bus prarasta ar neteisėtai atskleista.
               
            
               
                  31.
               
               
                  EIVT saugumo institucija parengia ESĮI gabenimo instrukcijas pagal šį sprendimą.
               
            
         Pastate arba uždaroje pastatų grupėje
      
      
               
                  32.
               
               
                  Pastate arba uždaroje pastatų grupėje gabenama informacija turi būti uždengta, kad nebūtų galima stebėti jos turinio.
               
            
               
                  33.
               
               
                  Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėta informacija pastate arba uždaroje pastatų grupėje turi būti gabenama apsaugotame voke, ant kurio nurodytas tik gavėjo vardas ir pavardė; ją gabena asmenys, kurių patikimumas tinkamai patikrintas.
               
            
         Europos Sąjungoje
      
      
               
                  34.
               
               
                  ESĮI, gabenama iš vieno pastato ar patalpos į kitą Europos Sąjungoje, turi būti supakuota taip, kad ji būtų apsaugota nuo neteisėto atskleidimo.
               
            
               
                  35.
               
               
                  SECRET UE/EU SECRET ir žemesnio lygio slaptumo žyma pažymėtą informaciją Europos Sąjungoje gabena:
                  
                              a)
                           
                           
                              atitinkamai karinis, vyriausybinis ar diplomatinis kurjeris;
                           
                        
                              b)
                           
                           
                              kurjeris su sąlyga, kad:
                              
                                          i)
                                       
                                       
                                          ESĮI nepaliekama be ją gabenančio asmens priežiūros, išskyrus tuo atveju, kai ji saugoma laikantis A II priede nustatytų reikalavimų;
                                       
                                    
                                          ii)
                                       
                                       
                                          paketas su ESĮI neatidaromas gabenimo metu, o ESĮI neskaitoma viešose vietose;
                                       
                                    
                                          iii)
                                       
                                       
                                          asmenų patikimumas patikrintas atitinkamu lygiu ir jie informuoti apie jų pareigas saugumo srityje;
                                       
                                    
                                          iv)
                                       
                                       
                                          prireikus asmenims suteikiamas kurjerio pažymėjimas;
                                       
                                    
                        
                              c)
                           
                           
                              pašto tarnybos arba komercinės kurjerių pašto tarnybos su sąlyga, kad:
                              
                                          i)
                                       
                                       
                                          jos yra patvirtintos atitinkamos NSI vadovaujantis nacionaliniais įstatymais ir kitais teisės aktais;
                                       
                                    
                                          ii)
                                       
                                       
                                          jos taiko atitinkamas apsaugos priemones laikydamosi būtiniausių reikalavimų, kurie turi būti nustatyti saugumo gairėse pagal šio sprendimo 20 straipsnio 1 dalį.
                                       
                                    
                        Gabenimo iš vienos valstybės narės į kitą atveju c punkto nuostatos taikomos tik gabenant informaciją, pažymėtą slaptumo žyma iki CONFIDENTIEL UE/EU CONFIDENTIAL.
               
            
               
                  36.
               
               
                  CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET slaptumo žyma pažymėtą medžiagą (pavyzdžiui, įrangą ar įrenginius), kurios negalima gabenti 34 dalyje nurodytomis priemonėmis, kaip krovinį pagal A V priedą gabena komercinės vežėjų bendrovės.
               
            
               
                  37.
               
               
                  TRES SECRET UE/EU TOP SECRET slaptumo žyma pažymėtą informaciją iš vieno pastato ar patalpos į kitą Europos Sąjungoje gabena atitinkamai karinis, vyriausybinis ar diplomatinis kurjeris.
               
            
         Iš ES į trečiosios valstybės teritoriją arba tarp ES subjektų trečiosiose valstybėse
      
      
               
                  38.
               
               
                  ESĮI, gabenama iš ES į trečiosios valstybės teritoriją arba tarp ES subjektų trečiosiose valstybėse, turi būti supakuota taip, kad ji būtų apsaugota nuo neteisėto atskleidimo.
               
            
               
                  39.
               
               
                  CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET slaptumo žyma pažymėtą informaciją iš ES į trečiosios valstybės teritoriją ir SECRET UE/EU SECRET slaptumo žyma pažymėtą informaciją tarp ES subjektų trečiosiose valstybėse gabena:
                  
                              a)
                           
                           
                              karinis ar diplomatinis kurjeris;
                           
                        
                              b)
                           
                           
                              kurjeris su sąlyga, kad:
                              
                                          i)
                                       
                                       
                                          ant paketo yra oficialus spaudas arba ESĮI supakuota aiškiai nurodant, kad tai yra oficiali siunta ir jai neturėtų būti taikomas muitinės ar saugumo patikrinimas;
                                       
                                    
                                          ii)
                                       
                                       
                                          asmenys turi kurjerio pažymėjimą, kuriame nurodytas paketas ir kuris suteikia jiems teisę gabenti paketą;
                                       
                                    
                                          iii)
                                       
                                       
                                          ESĮI nepaliekama be ją gabenančio asmens priežiūros, išskyrus tuo atveju, kai ji saugoma laikantis A II priede nustatytų reikalavimų;
                                       
                                    
                                          iv)
                                       
                                       
                                          paketas su ESĮI neatidaromas gabenimo metu, o ESĮI neskaitoma viešose vietose; ir
                                       
                                    
                                          v)
                                       
                                       
                                          asmenų patikimumas patikrintas atitinkamu lygiu ir jie informuoti apie jų pareigas saugumo srityje.
                                       
                                    
                        
            
               
                  40.
               
               
                  Gabenant ES parengtą trečiajai valstybei ar tarptautinei organizacijai skirtą slaptumo žyma CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET pažymėtą informaciją laikomasi atitinkamų nuostatų, numatytų susitarime dėl informacijos saugumo arba administraciniame susitarime pagal A priedo 10 straipsnio 2 dalį.
               
            
               
                  41.
               
               
                  Slaptumo žyma RESTREINT UE/EU RESTRICTED pažymėtą informaciją iš ES į trečiosios valstybės teritoriją taip pat gali gabenti pašto tarnybos ar komercinės kurjerių pašto tarnybos.
               
            
               
                  42.
               
               
                  Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtą informaciją iš ES į trečiosios valstybės teritoriją arba tarp ES subjektų trečiosiose valstybėse gabena karinis ar diplomatinis kurjeris.
               
            VI.   ESĮI NAIKINIMAS
      
      
               
                  43.
               
               
                  Nebereikalingi ES įslaptinti dokumentai gali būti sunaikinti nepažeidžiant atitinkamų taisyklių ir nuostatų dėl archyvavimo.
               
            
               
                  44.
               
               
                  Dokumentus, kurie turi būti registruojami pagal A priedo 7 straipsnio 2 dalį, turėtojo arba kompetentingos institucijos nurodymu sunaikina atsakinga registratūra. Registracijos knygos ir kita registravimo informacija atitinkamai atnaujinama.
               
            
               
                  45.
               
               
                  Dokumentai, pažymėti SECRET UE/EU SECRET arba TRES SECRET UE/EU TOP SECRET slaptumo žyma, naikinami dalyvaujant liudytojui, kuris turi leidimą susipažinti su ne žemesnio už naikinamo dokumento slaptumo žymos lygio įslaptinta informacija.
               
            
               
                  46.
               
               
                  Atsakingas registratūros darbuotojas ir liudytojas, kai pastarojo dalyvavimas privalomas, pasirašo sunaikinimo aktą, kuris registruojamas atitinkamame registre. Slaptumo žyma TRES SECRET UE/EU TOP SECRET pažymėtų dokumentų sunaikinimo aktai registre saugomi bent dešimt metų, o CONFIDENTIEL UE/EU CONFIDENTIAL ir SECRET UE/EU SECRET slaptumo žyma pažymėtų dokumentų – bent penkerius metus.
               
            
               
                  47.
               
               
                  Įslaptinti dokumentai, įskaitant pažymėtus slaptumo žyma RESTREINT UE/EU RESTRICTED, sunaikinami tokiais būdais, kurie atitinka atitinkamus ES arba lygiaverčius standartus arba kuriuos valstybės narės patvirtino laikydamosi nacionalinių techninių standartų, kad jų nebūtų galima visiškai ar iš dalies atkurti.
               
            
               
                  48.
               
               
                  Kompiuterinių duomenų saugojimo laikmenos, naudotos ESĮI, sunaikinamos vadovaujantis A IV priedo 36 dalies nuostatomis.
               
            VII.   SAUGUMO PATIKRINIMAI
      
      
         EIVT saugumo patikrinimai
      
      
               
                  49.
               
               
                  Pagal šio sprendimo 15 straipsnį EIVT saugumo patikrinimai yra:
                  
                              a)
                           
                           
                              bendrieji saugumo patikrinimai, kurių tikslas – nustatyti EIVT būstinės, Sąjungos delegacijų ir visų EIVT priklausančių ir su EIVT susijusių patalpų bendrą saugumo lygį, visų pirma siekiant įvertinti EIVT saugumo interesų apsaugos priemonių efektyvumą;
                           
                        
                              b)
                           
                           
                              EIVT saugumo patikrinimai, kurių tikslas – akreditacijos požiūriu įvertinti EIVT būstinėje ir Sąjungos delegacijose įgyvendintų ESĮI apsaugos priemonių efektyvumą.
                              Tokie patikrinimai atliekami, inter alia, siekiant:
                              
                                          i)
                                       
                                       
                                          užtikrinti, kad būtų laikomasi šiame sprendime nustatytų būtiniausių ESĮI apsaugos standartų;
                                       
                                    
                                          ii)
                                       
                                       
                                          tikrinamuose subjektuose pabrėžti saugumo ir veiksmingo rizikos valdymo svarbą;
                                       
                                    
                                          iii)
                                       
                                       
                                          rekomenduoti atsakomąsias priemones konkrečiam įslaptintos informacijos konfidencialumo praradimo, jos vientisumo ar prieinamumo netekimo poveikiui sušvelninti ir
                                       
                                    
                                          iv)
                                       
                                       
                                          sustiprinti saugumo institucijų vykdomas su saugumu susijusias švietimo ir informavimo programas.
                                       
                                    
                        
            
         EIVT saugumo patikrinimų vykdymas ir jų ataskaitų teikimas
      
      
               
                  50.
               
               
                  EIVT saugumo patikrinimus vykdo EIVT saugumo direktorato patikrinimo grupė, jei reikia, padedant kitų ES institucijų ar valstybių narių saugumo ekspertams.
                  Patikrinimo grupei leidžiama patekti į visas vietas, kuriose tvarkoma ESĮI, visų pirma registratūras ir RIS įrengimo vietas.
               
            
               
                  51.
               
               
                  Jei reikia, EIVT saugumo patikrinimus Sąjungos delegacijose gali padėti vykdyti trečiosiose šalyse esančių valstybių narių ambasadų saugumo pareigūnai.
               
            
               
                  52.
               
               
                  Iki kiekvienų kalendorinių metų pabaigos EIVT saugumo institucija patvirtina kitų metų EIVT tikrinimo programą.
               
            
               
                  53.
               
               
                  Jei reikia, EIVT saugumo institucija gali vykdyti pirmiau nurodytoje programoje nenumatytus saugumo patikrinimus.
               
            
               
                  54.
               
               
                  Pabaigus saugumo patikrinimą, tikrinamam subjektui pateikiamos pagrindinės išvados ir rekomendacijos. Po to patikrinimo grupė parengia patikrinimo ataskaitą. Jei buvo pasiūlyti taisomieji veiksmai ir pateiktos rekomendacijos, ataskaitoje padarytos išvados turėtų būti pakankamai išsamiai pagrįstos. Ataskaita pateikiama EIVT saugumo institucijai ir patikrinto subjekto vadovui.
                  EIVT saugumo direktoratas rengia reguliarią ataskaitą, skirtą nurodytu laikotarpiu atliktų patikrinimų metu įgytai ir EIVT saugumo komiteto išnagrinėtai patirčiai pabrėžti.
               
            
         Saugumo patikrinimų vykdymas pagal ES sutarties V antraštinės dalies 2 skyrių įsteigtose ES agentūrose ir įstaigose ir šių patikrinimų ataskaitų teikimas
      
      
               
                  55.
               
               
                  Jei reikia, EIVT saugumo direktoratas gali paskirti papildomus ekspertus, kurie dalyvautų jungtinėse ES patikrinimo grupėse, kurios vykdo saugumo patikrinimus ES agentūrose ir įstaigose, kurios įsteigtos pagal ES sutarties V antraštinės dalies 2 skyrių.
               
            
         EIVT saugumo patikrinimų kontrolinis sąrašas
      
      
               
                  56.
               
               
                  EIVT saugumo direktoratas parengia ir atnaujina aspektų, kurie tikrintini vykdant EIVT saugumo patikrinimus, kontrolinį sąrašą. Šis kontrolinis sąrašas pateikiamas EIVT saugumo komitetui.
               
            
               
                  57.
               
               
                  Kontroliniam sąrašui užpildyti būtina informacija gaunama visų pirma patikrinimo metu iš tikrinamo subjekto saugumo valdymo tarnybų. Į kontrolinį sąrašą įrašius išsamius atsakymus, susitarus su tikrinamu subjektu, sąrašas įslaptinamas. Jis negali būti patikrinimo ataskaitos sudedamoji dalis.
               
            
   
      A IV PRIEDAS
      
         RIS TVARKOMOS ESĮI APSAUGA
      
      I.   ĮŽANGA
      
      
               
                  1.
               
               
                  Šiame priede pateiktos A priedo 8 straipsnio įgyvendinimo nuostatos.
               
            
               
                  2.
               
               
                  Toliau išdėstytos informacijos saugumo užtikrinimo (ISU) savybės ir sąvokos yra būtinos saugumui ir tinkamam ryšių ir informacijos sistemų (RIS) operacijų vykdymui užtikrinti:
                  
                              Autentiškumas
                           
                           
                              :
                           
                           
                              užtikrinimas, kad informacija yra tikra ir gauta iš bona fide šaltinių;
                           
                        
                              Prieinamumas
                           
                           
                              :
                           
                           
                              galimybė leidimą turinčiam subjektui pateikus prašymą gauti informaciją ir ja naudotis;
                           
                        
                              Konfidencialumas
                           
                           
                              :
                           
                           
                              savybė, kuri reiškia, kad informacija nėra atskleidžiama leidimo neturintiems asmenims, subjektams ar procesams;
                           
                        
                              Vientisumas
                           
                           
                              :
                           
                           
                              savybė, kuri reiškia, kad apsaugomas informacijos tikslumas ir išsamumas bei turtas;
                           
                        
                              Atsakomybės už veiksmus prisiėmimas
                           
                           
                              :
                           
                           
                              galimybė įrodyti, kad veiksmas buvo atliktas ar įvykis įvyko, kad šio įvykio ar veiksmo po to nebūtų galima išsižadėti.
                           
                        
            II.   INFORMACIJOS SAUGUMO UŽTIKRINIMO PRINCIPAI
      
      
               
                  3.
               
               
                  Toliau išdėstytos nuostatos yra RIS, kurioje tvarkoma ESĮI, saugumo užtikrinimo pagrindas. Išsamūs šių nuostatų įgyvendinimo reikalavimai nustatyti ISU saugumo politikoje ir saugumo gairėse.
               
            
         Saugumo rizikos valdymas
      
      
               
                  4.
               
               
                  Saugumo rizikos valdymas yra neatsiejama RIS apibrėžties, kūrimo, veikimo ir priežiūros dalis. Rizikos valdymą (įvertinimą, traktavimą, pripažinimą ir informavimą) kaip kartotinį procesą kartu vykdo sistemos savininkų, projekto institucijų, vykdančiųjų institucijų ir saugumo patvirtinimo institucijų atstovai, taikydami pavirtintą, skaidrų ir visiškai suprantamą rizikos įvertinimo procesą. RIS ir jos turinio taikymo sritis aiškiai apibrėžiama rizikos valdymo proceso pradžioje.
               
            
               
                  5.
               
               
                  EIVT kompetentingos institucijos peržiūri pavojus, kurie gali kilti RIS, ir nuolat vykdo naujausiais duomenimis grindžiamus ir tikslius pavojų įvertinimus, kurie atspindi esamą sistemos operacinę aplinką. Jos nuolat atnaujina savo žinias pažeidžiamumo klausimais ir reguliariai peržiūri pažeidžiamumo įvertinimą, neatsilikdamos nuo informacinių technologijų (IT) aplinkos pokyčių.
               
            
               
                  6.
               
               
                  Tvarkant saugumo riziką siekiama taikyti apsaugos priemonių rinkinį, kuris užtikrina tinkamą vartotojų reikalavimų ir su saugumu susijusios likutinės rizikos pusiausvyrą.
               
            
               
                  7.
               
               
                  RIS akreditavimui taikomi konkretūs reikalavimai, reikalavimai dėl informacijos apimties ir išsamumo, kuriuos nustato atitinkama saugumo akreditavimo institucija (SAI), turi atitikti įvertintą riziką, atsižvelgiant į visus svarbius veiksnius, įskaitant ESĮI, kuri tvarkoma RIS, slaptumo žymos lygį. Akreditavimas apima atsakingos institucijos oficialų pareiškimą dėl likutinės rizikos ir likutinės rizikos pripažinimą.
               
            
         Saugumas viso RIS gyvavimo ciklo metu
      
      
               
                  8.
               
               
                  Saugumas turi būti užtikrintas viso RIS gyvavimo ciklo metu – nuo pradžios iki naudojimosi pabaigos.
               
            
               
                  9.
               
               
                  Kiekvienu gyvavimo ciklo etapu nustatomas kiekvieno RIS dalyvio ir jo sąveikos su kitais dalyviais vaidmuo saugumo požiūriu.
               
            
               
                  10.
               
               
                  RIS, įskaitant technines ir netechnines saugumo priemones, bandomos saugumo požiūriu akreditavimo proceso metu siekiant užtikrinti tinkamą įgyvendintų saugumo priemonių lygį ir patikrinti, ar jos teisingai įgyvendintos, integruotos ir sukonfigūruotos.
               
            
               
                  11.
               
               
                  Saugumo įvertinimai, patikrinimai ir peržiūros atliekami reguliariai RIS veikimo ir techninės priežiūros metu bei susidarius išskirtinėms aplinkybėms.
               
            
               
                  12.
               
               
                  RIS saugumo dokumentų atnaujinimas viso jos gyvavimo ciklo metu vykdomas kaip neatsiejama pakeitimų atlikimo ir konfigūracijos tvarkymo proceso dalis.
               
            
         Geriausia praktika
      
      
               
                  13.
               
               
                  EIVT bendradarbiauja su TGS, Komisija ir valstybėmis narėmis, kad nustatytų geriausią praktiką RIS tvarkomos ESĮI apsaugos srityje. Geriausios praktikos gairėse išdėstomos RIS skirtos techninės, fizinės, organizacinės ir procedūrinės saugumo priemonės, kurių veiksmingumas apsisaugant nuo konkrečių grėsmių ir pažeidžiamumo buvo įrodytas.
               
            
               
                  14.
               
               
                  RIS tvarkomos ESĮI apsauga grindžiama ir ES, ir už jos ribų ISU srityje dirbančių subjektų įgyta patirtimi.
               
            
               
                  15.
               
               
                  Geriausios praktikos pavyzdžių platinimu ir jų įgyvendinimu prisidedama prie siekio užtikrinti lygiavertį įvairių EIVT naudojamų RIS, kuriose tvarkoma ESĮI, saugumo užtikrinimo lygį.
               
            
         Nuodugni apsauga
      
      
               
                  16.
               
               
                  Siekiant sušvelninti pavojų RIS, įgyvendinama daug techninių ir netechninių saugumo priemonių, kurios grupuojamos kaip kelios gynybinės linijos. Jos apima:
                  a)   atgrasymą: saugumo priemones, skirtas įtikinti nerengti priešiškų planų pulti RIS;
                  b)   prevenciją: saugumo priemones, skirtas apsunkinti RIS puolimą arba jam sutrukdyti;
                  c)   aptikimą: saugumo priemones, skirtas aptikti RIS puolimo atvejį;
                  d)   atsparumą: saugumo priemones, skirtas apriboti puolimo poveikį iki mažiausio informacijos rinkinio ar RIS dalių grupės bei užkirsti kelią tolesnei žalai; ir
                  e)   atstatymą: saugumo priemones, skirtas atkurti saugią RIS padėtį.
                  Tokių saugumo priemonių griežtumo ir taikymo lygis nustatomas atsižvelgiant į rizikos įvertinimą.
               
            
               
                  17.
               
               
                  EIVT kompetentingos institucijos užtikrina savo gebėjimus reaguoti į incidentus, kurie gali apimti kelias organizacijas ar valstybes, kad galėtų derinti reagavimo veiksmus ir dalytis informacija apie šiuos incidentus bei susijusią riziką (kompiuterinių incidentų tyrimo gebėjimai).
               
            
         Minimalumo ir mažiausių privilegijų principas
      
      
               
                  18.
               
               
                  Siekiant išvengti nereikalingos rizikos, įdiegiamos tik tos funkcijos, prietaisai ir paslaugos, kurie atitinka operacinius reikalavimus.
               
            
               
                  19.
               
               
                  RIS naudotojams ir automatizuotiems procesams suteikiama tik tokia prieiga, privilegijos ar leidimai, kokių jiems reikia savo užduotims atlikti siekiant apriboti žalą, kuri padaroma dėl avarijų, klaidų ar RIS išteklių naudojimo be leidimo.
               
            
               
                  20.
               
               
                  RIS atliekamos registravimo procedūros prireikus patikrinamos akreditavimo proceso metu.
               
            
         Informuotumas informacijos saugumo užtikrinimo srityje
      
      
               
                  21.
               
               
                  Informuotumas apie riziką ir turimas saugumo priemones yra pirmoji RIS saugumo gynybos linija. Visų pirma visi personalo nariai, susiję su RIS gyvavimo ciklu, įskaitant naudotojus, suvokia:
                  
                              a)
                           
                           
                              kad saugumo spragos gali labai pakenkti RIS ir visai organizacijai;
                           
                        
                              b)
                           
                           
                              galimą žalą kitiems, kuri gali kilti dėl tarpusavio sujungimo ir tarpusavio priklausomybės, ir
                           
                        
                              c)
                           
                           
                              savo asmeninę atsakomybę ir atskaitomybę už RIS saugumą atsižvelgdami į savo vaidmenį naudojant sistemas ir procesus.
                           
                        
            
               
                  22.
               
               
                  Siekiant užtikrinti, kad būtų suvokiama atsakomybė už saugumą, visam dalyvaujančiam personalui, įskaitant aukštesniąją vadovybę ir RIS naudotojus, yra privalomi ISU švietimo ir informuotumo mokymai.
               
            
         IT saugumo priemonių vertinimas ir patvirtinimas
      
      
               
                  23.
               
               
                  Reikiamas saugumo priemonių patikimumo lygis, apibrėžiamas kaip saugumo užtikrinimo lygis, nustatomas remiantis rizikos valdymo proceso rezultatais ir laikantis atitinkamos saugumo politikos bei saugumo gairių.
               
            
               
                  24.
               
               
                  Saugumo užtikrinimo lygis patikrinamas taikant tarptautiniu arba nacionaliniu lygiu patvirtintus procesus ir metodus. Tai apima pirminį įvertinimą, kontrolę ir auditą.
               
            
               
                  25.
               
               
                  ESĮI apsaugai skirtas šifravimo priemones įvertina ir patvirtina valstybės narės nacionalinė kriptografijos patvirtinimo institucija (KPI).
               
            
               
                  26.
               
               
                  Prieš rekomenduojant, kad pagal šio sprendimo 7 straipsnio 5 dalį jas patvirtintų EIVT KPI, tokias šifravimo priemones turi būti įvertinusi antra šalis, t. y. valstybės narės Tinkamos kvalifikacijos institucija (TKI), kuri nesusijusi su įrangos projektavimu arba gamyba. Reikalaujamas antros šalies įvertinimo išsamumo lygis priklauso nuo numatomo didžiausio ESĮI, kuri bus apsaugoma šiomis priemonėmis, slaptumo žymos lygio.
               
            
               
                  27.
               
               
                  EIVT KPI, remdamasi Tarybos saugumo komiteto rekomendacija, gali netaikyti 25 arba 26 dalyse nustatytų reikalavimų ir tam tikram laikotarpiui suteikti laikiną patvirtinimą pagal šio sprendimo 7 straipsnio 5 dalyje nustatytą tvarką, kai tai pateisinama dėl konkrečių su veikla susijusių priežasčių.
               
            
               
                  28.
               
               
                  TKI yra valstybės narės KPI, kuri buvo akredituota remiantis Tarybos nustatytais kriterijais antram ESĮI apsaugai skirtų šifravimo priemonių įvertinimui atlikti.
               
            
               
                  29.
               
               
                  Vyriausiasis įgaliotinis patvirtina ne šifravimo IT saugumo priemonių reikalavimų atitikimo ir patvirtinimo saugumo politiką.
               
            
         Perdavimas saugumo zonose
      
      
               
                  30.
               
               
                  Nepaisant šio sprendimo nuostatų, kai ESĮI perdavimas vykdomas saugumo zonose, remiantis rizikos valdymo proceso rezultatais ir SAI pritarus, gali būti naudojamas nešifruotas platinimas arba šifravimas žemesniu lygiu.
               
            
         Saugus RIS tarpusavio sujungimas
      
      
               
                  31.
               
               
                  Šiame sprendime sistemų tarpusavio sujungimas reiškia tiesioginį dviejų ar daugiau IT sistemų sujungimą siekiant dalytis duomenimis ir kitais informacijos šaltiniais (pavyzdžiui, ryšiais) vienakrypčiu arba daugiakrypčiu būdu.
               
            
               
                  32.
               
               
                  RIS kiekviena tarpusavyje sujungta IT sistema pirmiausia yra traktuojama kaip nepatikima ir sistemoje įdiegiamos apsaugos priemonės keitimuisi įslaptinta informacija kontroliuoti.
               
            
               
                  33.
               
               
                  Bet kokio RIS ir kitos IT sistemos tarpusavio sujungimo atveju laikomasi toliau išdėstytų pagrindinių reikalavimų:
                  
                              a)
                           
                           
                              tokiems tarpusavio sujungimams taikomus veiklos arba operacinius reikalavimus nurodo ir patvirtina atsakingos institucijos;
                           
                        
                              b)
                           
                           
                              tarpusavio sujungimui taikomas rizikos valdymas ir akreditavimo procesas ir yra reikalingas kompetentingų SAI pavirtinimas ir
                           
                        
                              c)
                           
                           
                              ribų apsaugos priemonės (RAP) įdiegiamos visų RIS perimetre.
                           
                        
            
               
                  34.
               
               
                  Akredituota RIS ir neapsaugotas arba viešas tinklas negali būti tarpusavyje sujungiami, išskyrus atvejus, kai tarp RIS ir neapsaugoto arba viešo tinklo yra šiuo tikslu įdiegtos patvirtintos ribų apsaugos priemonės. Tokiems tarpusavio sujungimams taikytinas saugumo priemones peržiūri kompetentinga informacijos saugumo užtikrinimo institucija (ISUI) ir patvirtina kompetentinga SAI.
                  Kai duomenys, perduodami neapsaugotu arba viešu tinklu, yra užšifruojami pagal šio sprendimo 7 straipsnio 5 dalį patvirtinta šifravimo priemone, toks sujungimas nelaikomas tarpusavio sujungimu.
               
            
               
                  35.
               
               
                  Draudžiamas tiesioginis arba pakopinis RIS, akredituotos tvarkyti slaptumo žyma TRES SECFRET UE/EU TOP SECRET pažymėtą informaciją, ir neapsaugoto arba viešo tinklo tarpusavio sujungimas.
               
            
         Kompiuterinių duomenų saugojimo laikmenos
      
      
               
                  36.
               
               
                  Kompiuterinių duomenų saugojimo laikmenos sunaikinamos laikantis EIVT saugumo institucijos patvirtintų procedūrų.
               
            
               
                  37.
               
               
                  Kompiuterinių duomenų saugojimo laikmenos gali būti naudojamos pakartotinai, gali būti sumažintas jų slaptumo žymos laipsnis arba jos gali būti išslaptinamos laikantis saugumo politikos, kuri turi būti nustatyta pagal šio sprendimo 7 straipsnio 2 dalį.
               
            
         Nepaprastosios padėties sąlygos
      
      
               
                  38.
               
               
                  Nepaisant šio sprendimo nuostatų, toliau apibūdintos specialios procedūros gali būti ribotą laiką taikomos esant nepaprastajai padėčiai, pavyzdžiui, gresiant ar esant krizei, konfliktui ar karinei padėčiai arba susidarius išskirtinėms su eksploatavimu susijusioms sąlygoms.
               
            
               
                  39.
               
               
                  ESĮI gali būti perduodama naudojant šifravimo priemones, kurios buvo patvirtintos žemesnio įslaptinimo lygio informacijai, arba nešifruota kompetentingai institucijai pritarus, jei vėlavimas padarytų aiškiai didesnę žalą nei įslaptintos medžiagos atskleidimas ir jei:
                  
                              a)
                           
                           
                              siuntėjas ir gavėjas neturi reikiamos šifravimo įrangos arba jokios šifravimo įrangos ir
                           
                        
                              b)
                           
                           
                              įslaptinta medžiaga negali būti laiku perduota kitomis priemonėmis.
                           
                        
            
               
                  40.
               
               
                  39 dalyje išdėstytomis aplinkybėmis perduodama įslaptinta informacija nėra pažymėta jokiomis žymomis arba nuorodomis, kurios sudarytų sąlygas ją atskirti nuo neįslaptintos informacijos, kurią galima apsaugoti naudojant turimas šifravimo priemones. Gavėjams kitomis priemonėmis nedelsiant pranešama apie informacijos slaptumo lygį.
               
            
               
                  41.
               
               
                  Jeigu taikoma 39 dalis, EVIT saugumo direktoratui, o per jį – EIVT saugumo komitetui vėliau pateikiama ataskaita. Šioje ataskaitoje nurodomas kiekvieno ESĮI elemento siuntėjas, gavėjas ir rengėjas.
               
            III.   SU INFORMACIJOS SAUGUMO UŽTIKRINIMU SUSIJUSIOS FUNKCIJOS IR INSTITUCIJOS
      
      
               
                  42.
               
               
                  EIVT nustatomos toliau išdėstytos su informacijos saugumo užtikrinimu susijusios funkcijos. Šioms funkcijoms nereikalingas vienas bendras organizacinis subjektas. Dėl jų suteikiami atskiri įgaliojimai. Tačiau šios funkcijos ir su jomis susijusi atsakomybė gali būti sujungtos arba integruotos viename organizaciniame vienete arba padalytos skirtingiems organizaciniams vienetams, jei išvengiama vidaus interesų arba užduočių konfliktų.
               
            
         Informacijos saugumo užtikrinimo institucija (ISUI)
      
      
               
                  43.
               
               
                  ISUI atsako už šias sritis:
                  
                              a)
                           
                           
                              ISU srities saugumo politikos formavimą ir saugumo gairių rengimą bei jų veiksmingumo ir reikšmingumo stebėjimą;
                           
                        
                              b)
                           
                           
                              su šifravimo priemonėmis susijusios techninės informacijos apsaugą ir administravimą;
                           
                        
                              c)
                           
                           
                              užtikrinimą, kad ESĮI apsaugai parinktos ISU priemonės atitiktų atitinkamą jų tinkamumo nustatymo ir atrankos politiką;
                           
                        
                              d)
                           
                           
                              užtikrinimą, kad šifravimo priemonės būtų pasirenkamos laikantis jų tinkamumo nustatymo ir atrankos politikos;
                           
                        
                              e)
                           
                           
                              mokymo ir informuotumo ISU srityje derinimą;
                           
                        
                              f)
                           
                           
                              konsultavimąsi su sistemos tiekėju, saugumo srities subjektais ir vartotojų atstovais ISU saugumo politikos ir saugumo gairių klausimais ir
                           
                        
                              g)
                           
                           
                              užtikrinimą, kad EIVT saugumo komiteto ISU klausimais ekspertų pogrupis turėtų atitinkamas žinias.
                           
                        
            
         TEMPEST institucija
      
      
               
                  44.
               
               
                  TEMPEST institucija (TEI) užtikrina, kad RIS atitiktų TEMPEST politiką ir gaires. Ji patvirtina TEMPEST kontrpriemones, skirtas įrenginiams ir priemonėms, siekdama apsaugoti ESĮI iki nustatyto slaptumo žymos lygio jos operacinėje aplinkoje.
               
            
         Kriptografijos patvirtinimo institucija (KPI)
      
      
               
                  45.
               
               
                  KPI institucija užtikrina šifravimo priemonių atitiktį atitinkamai šifravimo politikai. Ji patvirtina šifravimo priemonę, siekdama apsaugoti ESĮI iki nustatyto slaptumo žymos lygio jos operacinėje aplinkoje.
               
            
         Kriptografijos platinimo institucija (KPLI)
      
      
               
                  46.
               
               
                  KPLI atsako už šias sritis:
                  
                              a)
                           
                           
                              ES šifravimo medžiagos valdymą ir apskaitą;
                           
                        
                              b)
                           
                           
                              užtikrinimą, kad visos ES šifravimo medžiagos apskaitai, saugiam tvarkymui, saugojimui ir platinimui būtų taikomos tinkamos procedūros ir nustatyti tinkami kanalai, ir
                           
                        
                              c)
                           
                           
                              ES šifravimo medžiagos perdavimo ją naudojantiems asmenims ir tarnyboms arba priėmimo iš jų užtikrinimą.
                           
                        
            
         Saugumo akreditavimo institucija (SAI)
      
      
               
                  47.
               
               
                  Kiekvienai sistemai skirta SAI atsako už šias sritis:
                  
                              a)
                           
                           
                              užtikrinimą, kad RIS atitiktų atitinkamą saugumo politiką ir saugumo gaires, pareiškimo dėl RIS patvirtinimo, leidžiant jas naudoti tvarkant ESĮI iki nustatyto slaptumo žymos lygio jos operacinėje aplinkoje, pateikimą, nurodant akreditavimo reikalavimus ir sąlygas bei kriterijus, kuriais remiantis sprendžiama, kad reikia iš naujo patvirtinti arba akredituoti RIS;
                           
                        
                              b)
                           
                           
                              saugumo akreditavimo proceso nustatymą vadovaujantis atitinkama politika, aiškiai nurodant patvirtinimo sąlygas, nustatytas jos priežiūrai pavestoms RIS;
                           
                        
                              c)
                           
                           
                              saugumo akreditavimo strategijos, kurioje išdėstytas akreditavimo proceso išsamumo lygis, atitinkantis reikiamą saugumo užtikrinimo lygį, nustatymą;
                           
                        
                              d)
                           
                           
                              su saugumu susijusių dokumentų, įskaitant pareiškimus dėl rizikos valdymo ir likutinės rizikos, sistemos saugumo reikmių aktus (toliau – SSRA), saugumo įgyvendinimo patikrinimo dokumentus ir saugios eksploatacijos taisykles (toliau – SecOPs), nagrinėjimą ir patvirtinimą bei užtikrinimą, kad jie atitiktų EIVT saugumo taisykles ir strategijas;
                           
                        
                              e)
                           
                           
                              su RIS susijusių saugumo priemonių įgyvendinimo patikrinimą vykdant saugumo įvertinimus, patikrinimus ar peržiūras arba juos finansuojant;
                           
                        
                              f)
                           
                           
                              saugumo reikalavimų (pavyzdžiui, susijusių su asmens patikimumo lygiais), taikomų svarbiausioms, susijusioms su RIS apsauga pareigoms, nustatymą;
                           
                        
                              g)
                           
                           
                              patvirtintų šifravimo ir TEMPEST priemonių, naudojamų siekiant užtikrinti RIS saugumą, parinkimo patvirtinimą;
                           
                        
                              h)
                           
                           
                              RIS tarpusavio sujungimo su kitomis RIS patvirtinimą arba prireikus dalyvavimą bendrame patvirtinime ir
                           
                        
                              i)
                           
                           
                              sistemos tiekėjo, saugumo srities subjektų ir vartotojų atstovų konsultavimą saugumo rizikos valdymo, visų pirma likutinės rizikos, ir pareiškimo dėl patvirtinimo reikalavimų ir sąlygų klausimais.
                           
                        
            
               
                  48.
               
               
                  EIVT SAI atsako už visų į EIVT kompetencijos sritį patenkančių RIS akreditavimą.
               
            
         Saugumo akreditavimo valdyba (SAV)
      
      
               
                  49.
               
               
                  Jungtinė SAV atsakinga ir už EIVT SAI žinioje, ir už valstybių narių SAI žinioje esančių RIS akreditavimą. Ją sudaro po vieną kiekvienos valstybės narės SAI atstovą, o jos posėdžiuose dalyvauja TGS ir Komisijos atstovai SAI klausimais. Kiti subjektai, turintys prijungimo prie RIS mazgus, kviečiami dalyvauti posėdžiuose, kai svarstomi su ta sistema susiję klausimai.
                  SAV pirmininkauja EIVT SAI atstovas. Ji sprendimus priima institucijų, valstybių narių ir kitų subjektų, turinčių prijungimo prie RIS mazgus, SAI atstovų sutarimu. SAV reguliariai teikia savo veiklos ataskaitas EIVT saugumo komitetui ir jam praneša apie visus pareiškimus dėl akreditavimo.
               
            
         Informacijos saugumo užtikrinimo operacinė institucija
      
      
               
                  50.
               
               
                  Kiekvienai sistemai skirta ISU operacinė institucija atsako už šias sritis:
                  
                              a)
                           
                           
                              saugumo dokumentų, atitinkančių saugumo politiką ir saugumo gaires, rengimą, visų pirma sistemos saugumo reikmių aktus (SSRA), įskaitant pareiškimą dėl likutinės rizikos, saugios eksploatacijos taisykles (SecOPs) ir šifravimo planą vykdant RIS akreditavimo procesą, rengimą;
                           
                        
                              b)
                           
                           
                              dalyvavimą atrenkant ir bandant konkrečioms sistemoms skirtas techninio saugumo priemones, prietaisus ir programinę įrangą, jų įgyvendinimo priežiūrą ir užtikrinimą, kad jie būtų saugiai įdiegti, sukonfigūruoti bei eksploatuojami pagal atitinkamus saugumo dokumentus;
                           
                        
                              c)
                           
                           
                              dalyvavimą parenkant TEMPEST saugumo priemones ir prietaisus, jei reikia pagal SSRA, ir užtikrinimą, kad jie būtų saugiai įdiegti ir eksploatuojami bendradarbiaujant su TEI;
                           
                        
                              d)
                           
                           
                              SecOPs įgyvendinimo ir taikymo stebėjimą ir prireikus atsakomybę už eksploatavimo saugumą deleguojant sistemos savininkui;
                           
                        
                              e)
                           
                           
                              šifravimo priemonių valdymą ir tvarkymą užtikrinant šifravimo ir kontroliuojamų objektų saugojimą ir prireikus užtikrinant šifravimo kintamųjų generavimą;
                           
                        
                              f)
                           
                           
                              saugumo analizės peržiūros ir bandymų atlikimą, visų pirma siekiant parengti atitinkamas rizikos ataskaitas, kurių reikalauja SAI;
                           
                        
                              g)
                           
                           
                              mokymo apie ISU, skirto konkrečioms RIS, teikimą;
                           
                        
                              h)
                           
                           
                              konkrečių RIS apsaugos priemonių įgyvendinimą ir vykdymą.
                           
                        
            
   
      A V PRIEDAS
      
         PRAMONINIS SAUGUMAS
      
      I.   ĮŽANGA
      
      
               
                  1.
               
               
                  Šiame priede pateiktos A priedo 9 straipsnio įgyvendinimo nuostatos. Jame išdėstytos bendros saugumo nuostatos, taikomos pramonės ar kitiems subjektams derybų dėl sutarčių sudarymo metu arba visą EIVT sudarytų įslaptintų sutarčių gyvavimo ciklą.
               
            
               
                  2.
               
               
                  Vyriausiasis įgaliotinis patvirtina pramoninio saugumo politiką, kurioje visų pirma apibrėžiami išsamūs reikalavimai, susiję su Įmonės patikimumą patvirtinančiu pažymėjimu (ĮPPP), saugumo aspektų paaiškinimais (SAP), vizitais, ESĮI perdavimu ir gabenimu.
               
            II.   SAUGUMO ASPEKTAI ĮSLAPTINTOSE SUTARTYSE
      
      
         Slaptumo žymų vadovas (SŽV)
      
      
               
                  3.
               
               
                  Prieš paskelbdama kvietimą teikti pasiūlymus įslaptintai sutarčiai sudaryti arba prieš sudarydama įslaptintą sutartį, EIVT, kaip perkančioji institucija, nustato visos informacijos, kuri turi būti suteikta konkurso dalyviams ir rangovams, slaptumo žymą, taip pat visos informacijos, kurią turi parengti rangovas, slaptumo žymą. Šiuo tikslu EIVT parengia SŽV, kuris turi būti naudojamas vykdant sutartį.
               
            
               
                  4.
               
               
                  Siekiant nustatyti skirtingų įslaptintos sutarties dalių slaptumo žymą, taikomi toliau nurodyti principai:
                  
                              a)
                           
                           
                              rengdama SŽV, EIVT atsižvelgia į visus svarbius saugumo aspektus, įskaitant slaptumo žymą, kurią informacijai priskyrė jos įslaptintos informacijos rengėjas ir kurią jis patvirtino kaip naudotiną tai sutarčiai;
                           
                        
                              b)
                           
                           
                              bendras sutarties slaptumo žymos lygis negali būti žemesnis nei aukščiausia bet kurios jos dalies slaptumo žyma ir
                           
                        
                              c)
                           
                           
                              atitinkamais atvejais, jei daromi pakeitimai, susiję su slaptumo žymų suteikimu informacijai, parengtai rangovų ar jiems suteiktai vykdant sutartį, ir jei daromi vėlesni SŽV pakeitimai, EIVT palaiko ryšius su valstybių narių NSI / PSI ar kitomis atitinkamomis kompetentingomis saugumo institucijomis.
                           
                        
            
         Saugumo aspektų paaiškinimas (SAP)
      
      
               
                  5.
               
               
                  Konkrečioms sutartims skirti saugumo reikalavimai aprašomi SAP. Prireikus į SAP įtraukiamas SŽV. SAP yra neatsiejama įslaptintos sutarties ar subrangos sutarties dalis.
               
            
               
                  6.
               
               
                  SAP nustatomos nuostatos, pagal kurias reikalaujama, kad rangovas ir (arba) subrangovas laikytųsi būtiniausių šiame sprendime nustatytų standartų. Šių būtiniausių standartų nesilaikymas gali būti pakankamas pagrindas sutarčiai nutraukti.
               
            
         Programos / projekto saugumo instrukcijos (PSI)
      
      
               
                  7.
               
               
                  Atsižvelgiant į programų ar projektų, kuriuos vykdant reikia susipažinti su ESĮI arba ją tvarkyti ar saugoti, apimtį, programą ar projektą valdyti paskirta perkančioji institucija gali parengti konkrečios programos / projekto saugumo instrukcijas (PSI). PSI turi patvirtinti valstybių narių NSI / PSI ar kita programoje / projekte dalyvaujanti kompetentinga saugumo institucija. Jose gali būti nustatyti papildomi saugumo reikalavimai.
               
            III.   ĮMONĖS PATIKIMUMĄ PATVIRTINANTIS PAŽYMĖJIMAS (ĮPPP)
      
      
               
                  8.
               
               
                  EIVT saugumo direktoratas prašo atitinkamos valstybės narės NSI, PSI ar kitos kompetentingos saugumo institucijos pagal nacionalinius įstatymus ir kitus teisės aktus suteikti ĮPPP, pažymintį, kad pramonės arba kitas subjektas savo patalpose gali apsaugoti atitinkamo slaptumo žymos (CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET) lygio ESĮI. Rangovui ar subrangovui arba potencialiam rangovui ar subrangovui ESĮI arba galimybė susipažinti su ESĮI suteikiama tik tada, kai EIVT pateikiamas ĮPPP turėjimo įrodymas.
               
            
               
                  9.
               
               
                  Atitinkamais atvejais EIVT, kaip perkančioji institucija, praneša atitinkamai NSI / PSI ar kitai kompetentingai saugumo institucijai, kad prieš sudarant sutartį arba sutarties vykdymui reikalingas ĮPPP. ĮPPP arba APP reikalaujama prieš sudarant sutartį tais atvejais, kai ESĮI, pažymėta CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET slaptumo žyma, turi būti suteikta paraiškų teikimo proceso metu.
               
            
               
                  10.
               
               
                  EIVT, kaip perkančioji institucija, nesudaro įslaptintos sutarties su pasirinktu dalyviu prieš tai negavusi valstybės narės, kurioje yra registruotas atitinkamas rangovas ar subrangovas, NSI / PSI ar kitos kompetentingos saugumo institucijos patvirtinimo, kad reikiamais atvejais yra išduotas tinkamas ĮPPP.
               
            
               
                  11.
               
               
                  EIVT, kaip perkančioji institucija, prašo NSI / PSI ar kitos ĮPPP išdavusios kompetentingos saugumo institucijos pranešti visą neigiamą informaciją, galinčią turėti įtakos ĮPPP. Subrangos sutarties atveju atitinkamai informuojama NSI / PSI ar kita kompetentinga saugumo institucija.
               
            
               
                  12.
               
               
                  Jeigu atitinkama NSI / PSI ar kita kompetentinga saugumo institucija panaikina ĮPPP, tai yra pakankamas pagrindas EIVT, kaip perkančiajai institucijai, nutraukti įslaptintą sutartį arba pašalinti dalyvį iš konkurso.
               
            IV.   RANGOVO DARBUOTOJAMS IŠDUODAMI ASMENS PATIKIMUMO PAŽYMĖJIMAI (APP)
      
      
               
                  13.
               
               
                  Visų subrangovo darbuotojų, kuriems reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta ESĮI, patikimumas tinkamai patikrinamas ir jie atitinka principą „būtina žinoti“, kurio reikia norint susipažinti su informacija. Nors, norint susipažinti su informacija, pažymėta slaptumo žyma RESTREINT UE/EU RESTRICTED, APP nereikia, vis tiek reikia atitikti principą „būtina žinoti“.
               
            
               
                  14.
               
               
                  Prašymai rangovo darbuotojams išduoti APP teikiami už atitinkamą subjektą atsakingai NSI / PSI.
               
            
               
                  15.
               
               
                  Rangovams, norintiems įdarbinti trečiosios valstybės pilietį, kuris užimtų pareigas, kurias einant reikia susipažinti su ESĮI, EIVT praneša, kad už sprendimą, ar asmeniui suteikti teisę susipažinti su šia informacija pagal šį sprendimą, ir patvirtinimą, kad prieš suteikiant tokią teisę gautas informacijos rengėjo sutikimas, atsakinga valstybės narės, kurioje samdomasis subjektas yra įsikūręs ir įregistruotas, NSI / PSI.
               
            V.   ĮSLAPTINTOS SUTARTYS IR SUBRANGOS SUTARTYS
      
      
               
                  16.
               
               
                  Tais atvejais, kai ESĮI suteikiama dalyviui prieš sudarant sutartį, kvietime teikti paraiškas numatoma nuostata, kuria paraiškos nepateikęs dalyvis arba dalyvis, kuris nebuvo atrinktas, įpareigojamas per nurodytą laiką grąžinti visus įslaptintus dokumentus.
               
            
               
                  17.
               
               
                  Sudarius įslaptintą sutartį ar subrangos sutartį, EIVT, kaip perkančioji institucija, praneša rangovo ar subrangovo NSI / PSI ar kitai kompetentingai saugumo institucijai tos įslaptintos sutarties saugumo nuostatas.
               
            
               
                  18.
               
               
                  Nutraukus tokią sutartį ar jai pasibaigus, EIVT, kaip perkančioji institucija (ir (arba) atitinkamai NSI / PSI ar kita kompetentinga saugumo institucija subrangos sutarties atveju) skubiai apie tai praneša valstybės narės, kurioje registruotas rangovas arba subrangovas, NSI / PSI ar kitai kompetentingai saugumo institucijai.
               
            
               
                  19.
               
               
                  Paprastai reikalaujama, kad nutraukus įslaptintą sutartį ar subrangos sutartį ar jai pasibaigus rangovas arba subrangovas perkančiajai institucijai grąžintų visą turimą ESĮI.
               
            
               
                  20.
               
               
                  Konkrečios nuostatos dėl ESĮI sunaikinimo vykdant sutartį, ją nutraukus arba jai pasibaigus nustatomos SAP.
               
            
               
                  21.
               
               
                  Tais atvejais, kai rangovui arba subrangovui duotas leidimas nutraukus sutartį arba jai pasibaigus pasilikti ESĮI, rangovas ir subrangovas toliau laikosi šiame sprendime nustatytų būtiniausių standartų bei užtikrina ESĮI konfidencialumą.
               
            
               
                  22.
               
               
                  Sąlygos, kuriomis rangovas gali sudaryti subrangos sutartis, nurodomos kvietime teikti paraiškas ir sutartyje.
               
            
               
                  23.
               
               
                  Prieš sudarydamas subrangos sutartis dėl įslaptintos sutarties dalių, rangovas turi gauti EIVT, kaip perkančiosios institucijos, leidimą. Su pramonės arba kitais subjektais, registruotais valstybėje, kuri nėra ES valstybė narė ir nėra sudariusi susitarimo dėl informacijos saugumo su ES, subrangos sutartys negali būti sudaromos.
               
            
               
                  24.
               
               
                  Rangovas atsako už tai, kad visa subrangos veikla būtų vykdoma laikantis šiame sprendime nustatytų būtiniausių standartų, ir negali suteikti subrangovui ESĮI be išankstinio rašytinio perkančiosios institucijos sutikimo.
               
            
               
                  25.
               
               
                  ESĮI, kurią parengė ar tvarko rangovas arba subrangovas, atžvilgiu įslaptintos informacijos rengėjo teisėmis naudojasi perkančioji institucija.
               
            VI.   SU ĮSLAPTINTOMIS SUTARTIMIS SUSIJĘ VIZITAI
      
      
               
                  26.
               
               
                  Jei EIVT, rangovams ar subrangovams vykdant įslaptintą sutartį jiems priklausančiose patalpose reikia susipažinti su CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET slaptumo žyma pažymėta informacija, dėl jų vizitų susitariama palaikant ryšius su NSI / PSI arba kita susijusia kompetentinga saugumo institucija. Tai nepažeidžia NSI / PSI prerogatyvos konkrečių projektų atveju susitarti dėl tvarkos, pagal kurią dėl tokių vizitų gali būti susitariama tiesiogiai.
               
            
               
                  27.
               
               
                  Tam, kad būtų leista susipažinti su ESĮI, susijusia su EIVT sutartimi, visi lankytojai turi turėti atitinkamą APP ir turi būti vadovaujamasi principu „būtina žinoti“.
               
            
               
                  28.
               
               
                  Lankytojams leidžiama susipažinti tik su ta ESĮI, kuri yra susijusi su vizito tikslu.
               
            VII.   ESĮI PERDAVIMAS IR GABENIMAS
      
      
               
                  29.
               
               
                  Perduodant ESĮI elektroninėmis priemonėmis taikomos atitinkamos A priedo 8 straipsnio ir A IV priedo nuostatos.
               
            
               
                  30.
               
               
                  Gabenant ESĮI taikomos atitinkamos A III priedo nuostatos, laikantis nacionalinių įstatymų ir kitų teisės aktų.
               
            
               
                  31.
               
               
                  Nustatant įslaptintos medžiagos kaip krovinio gabenimui taikomą saugumo tvarką taikomi toliau nurodyti principai:
                  
                              a)
                           
                           
                              saugumas užtikrinamas visuose gabenimo etapuose nuo gabenimo pradžios vietos iki galutinės paskirties vietos;
                           
                        
                              b)
                           
                           
                              siuntai suteikiamas apsaugos lygis nustatomas pagal joje esančios medžiagos aukščiausią slaptumo žymos lygį;
                           
                        
                              c)
                           
                           
                              gabenimą užtikrinančios bendrovės turi gauti atitinkamos slaptumo žymos ĮPPP, jei gabenant įslaptinta informacija saugoma rangovo patalpose. Bet kuriuo atveju siuntą gabenančio personalo patikimumas turi būti patikrintas pagal A I priedą;
                           
                        
                              d)
                           
                           
                              prieš gabenant per valstybių sienas medžiagą, pažymėtą CONFIDENTIEL UE/EU CONFIDENTIAL arba SECRET UE/EU SECRET slaptumo žyma, siuntėjas parengia, o EIVT, jei reikia, bendradarbiaudama su siuntėjo ir gavėjo valstybių NSI/DSI ar kitomis atitinkamomis kompetentingomis saugumo institucijomis, patvirtina gabenimo planą;
                           
                        
                              e)
                           
                           
                              stengiamasi, kad kelionės vyktų be sustojimo ir būtų užbaigtos kuo greičiau, atsižvelgiant į aplinkybes;
                           
                        
                              f)
                           
                           
                              kai galima, turėtų būti pasirenkami maršrutai tik per valstybių narių teritorijas. Maršrutais per valstybes, kurios nėra valstybės narės, turėtų būti gabenama tik gavus EIVT arba siuntėjo ir gavėjo valstybių kompetentingų saugumo institucijų leidimą.
                           
                        
            VIII.   ESĮI PERDAVIMAS TREČIOSIOSE VALSTYBĖSE ĮSIKŪRUSIEMS RANGOVAMS
      
      
               
                  32.
               
               
                  ESĮI trečiosiose valstybėse, kurios su ES yra sudariusios galiojantį saugumo susitarimą, įsikūrusiems rangovams ir subrangovams perduodama laikantis saugumo priemonių, dėl kurių susitarė EIVT, kaip perkančioji institucija, ir atitinkamos trečiosios valstybės, kurioje registruotas rangovas, NSI / PSI.
               
            IX.   RESTREINT UE/EU RESTRICTED SLAPTUMO ŽYMA PAŽYMĖTOS INFORMACIJOS TVARKYMAS IR SAUGOJIMAS
      
      
               
                  33.
               
               
                  Palaikydama ryšius su valstybės narės NSI / PSI EIVT, kaip perkančioji institucija, prireikus turi teisę remiantis sutarties nuostatomis rengti vizitus į rangovo / subrangovo patalpas, kad patikrintų, ar įgyvendintos pagal sutartį reikalaujamos tinkamos saugumo priemonės, skirtos apsaugoti RESTREINT UE/EU RESTRICTED lygio slaptumo žyma pažymėtą ESĮI.
               
            
               
                  34.
               
               
                  Kiek būtina pagal nacionalinius įstatymus ir kitus teisės aktus, NSI / PSI ar kitoms kompetentingoms saugumo institucijoms EIVT, kaip perkančioji institucija, praneša apie sutartis arba subrangos sutartis, kuriose yra RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėtos informacijos.
               
            
               
                  35.
               
               
                  EIVT sudarytų sutarčių, kuriose yra RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėtos informacijos, atveju rangovai ar subrangovai ir jų personalas neprivalo turėti ĮPPP ar APP.
               
            
               
                  36.
               
               
                  EIVT, kaip perkančioji institucija, išnagrinėja atsakymus į kvietimus dalyvauti konkurse dėl sutarčių, pagal kurias turi būti suteikta galimybė susipažinti su RESTREINT UE/EU RESTRICTED slaptumo žyma pažymėta informacija, neatsižvelgdama į reikalavimus, susijusius su ĮPPP ar APP, kurie gali būti numatyti nacionaliniuose įstatymuose ir kituose teisės aktuose.
               
            
               
                  37.
               
               
                  Sąlygos, kuriomis rangovas gali sudaryti subrangos sutartis, turi atitikti 22–24 punktų reikalavimus.
               
            
               
                  38.
               
               
                  Kai pagal sutartį numatytas informacijos, pažymėtos RESTREINT UE/EU RESTRICTED slaptumo žyma, tvarkymas rangovo naudojamoje RIS, EIVT, kaip perkančioji institucija, užtikrina, kad sutartyje arba subrangos sutartyje būtų nustatyti su RIS akreditavimu susiję būtini techniniai ir administraciniai reikalavimai, kurie atitiktų įvertintą riziką, atsižvelgiant į visus svarbius veiksnius. Perkančioji institucija ir atitinkama NSI / PSI susitaria dėl tokio RIS akreditavimo masto.
               
            
   
      A VI PRIEDAS
      
         KEITIMASIS ĮSLAPTINTA INFORMACIJA SU TREČIOSIOMIS VALSTYBĖMIS IR TARPTAUTINĖMIS ORGANIZACIJOMIS
      
      I.   ĮŽANGA
      
      
               
                  1.
               
               
                  Šiame priede pateiktos A priedo 10 straipsnio įgyvendinimo nuostatos.
               
            II.   KEITIMĄSI ĮSLAPTINTA INFORMACIJA REGLAMENTUOJANTI TVARKA
      
      
               
                  2.
               
               
                  EIVT gali keistis ESĮI su trečiosiomis valstybėmis ar tarptautinėmis organizacijomis pagal A priedo 10 straipsnio 1 dalį.
                  Siekiant padėti vyriausiajam įgaliotiniui vykdyti SESV 218 straipsnyje nurodytas aplinkybes:
                  
                              a)
                           
                           
                              atitinkamas EIVT geografinis ar teminis departamentas, konsultuodamasis su EIVT saugumo direktoratu, reikiamais atvejais nustato ilgalaikio keitimosi ESĮI su atitinkama trečiąja valstybe ar tarptautine organizacija poreikį;
                           
                        
                              b)
                           
                           
                              EIVT saugumo direktoratas, konsultuodamasis su atitinkamu EIVT geografiniu departamentu, reikiamais atvejais vyriausiajam įgaliotiniui teikia projektų tekstus, kuriuos ketinama pasiūlyti Tarybai pagal SESV 218 straipsnio 3, 5 ir 6 dalis;
                           
                        
                              c)
                           
                           
                              EIVT saugumo direktoratas vyriausiajam įgaliotiniui padeda vykdyti derybas, savo veiksmus koordinuodamas su atitinkamomis Komisijos ir Tarybos generalinio sekretoriato tarnybomis;
                           
                        
                              d)
                           
                           
                              susitarimų ar administracinių susitarimų su trečiosiomis valstybėmis dėl jų dalyvavimo BSGP krizių valdymo operacijose pagal A priedo 10 straipsnio 1 dalies c punktą atveju EIVT krizių valdymo ir planavimo direktoratas, konsultuodamasis su atitinkamomis EIVT tarnybomis, reikiamais atvejais vyriausiajam įgaliotiniui teikia projektų tekstus, kuriuos ketinama pasiūlyti Tarybai pagal SESV 218 straipsnio 3, 5 ir 6 dalis, ir vyriausiajam įgaliotiniui padeda vykdyti derybas, savo veiksmus koordinuodamas su atitinkamomis EIVT ir Tarybos generalinio sekretoriato tarnybomis.
                           
                        
            
               
                  3.
               
               
                  Jei susitarimuose dėl informacijos saugumo numatytos techninio įgyvendinimo nuostatos, dėl kurių EIVT saugumo direktoratas, savo veiksmus koordinuodamas su Komisijos Žmogiškųjų išteklių ir saugumo generalinio direktorato Saugumo direktoratu ir Tarybos generalinio sekretoriato Saugumo tarnyba, susitaria su atitinkamos trečiosios valstybės ar tarptautinės organizacijos kompetentinga saugumo institucija, tokiose nuostatose atsižvelgiama į esamais teisės aktais, struktūromis ir procedūromis atitinkamoje trečiojoje valstybėje ar tarptautinėje organizacijoje užtikrinamą apsaugos lygį.
               
            
               
                  4.
               
               
                  Esant ilgalaikiam poreikiui su trečiąja valstybe ar tarptautine organizacija keistis įslaptinta informacija, kurios slaptumo žymos lygis nėra aukštesnis nei RESTREINT UE/EU RESTRICTED, ir nustačius, kad atitinkama šalis neturi pakankamai išplėtotos tokiai informacijai skirtos saugumo sistemos, kad ta šalis galėtų sudaryti susitarimą dėl informacijos saugumo, vyriausiasis įgaliotinis gali, vieningai pritarus EIVT saugumo komitetui pagal šio sprendimo 14 straipsnio 5 dalį, sudaryti administracinį susitarimą su atitinkamos trečiosios valstybės ar tarptautinės organizacijos kompetentingomis saugumo institucijomis.
               
            
               
                  5.
               
               
                  Keistis ESĮI su trečiąja valstybe ar tarptautine organizacija elektroninėmis priemonėmis neleidžiama, jei tai nėra aiškiai numatyta susitarime dėl informacijos saugumo arba administraciniame susitarime.
               
            
               
                  6.
               
               
                  Pagal administracinį susitarimą dėl keitimosi įslaptinta informacija EIVT ir trečioji valstybė ar tarptautinė organizacija įsteigia savo registratūras, kurios yra pagrindiniai įslaptintos informacijos, kuria keičiamasi, gavimo ir išsiuntimo punktai. EIVT atveju tai EIVT centrinė registratūra.
               
            
               
                  7.
               
               
                  Administraciniai susitarimai paprastai sudaromi pasikeičiant laiškais.
               
            III.   ĮVERTINIMO VIZITAI
      
      
               
                  8.
               
               
                  Šio sprendimo 16 straipsnyje nurodyti įvertinimo vizitai vykdomi sudarius dvišalį susitarimą su atitinkama trečiąja valstybe ar tarptautine organizacija; jų metu vertinami šie aspektai:
                  
                              a)
                           
                           
                              įslaptintai informacijai apsaugoti taikoma reglamentavimo sistema;
                           
                        
                              b)
                           
                           
                              bet kokie trečiosios valstybės ar tarptautinės organizacijos saugumo įstatymų, taisyklių, strategijų ar procedūrų ypatumai, kurie galėtų daryti poveikį įslaptintos informacijos, kuria gali būti keičiamasi, didžiausiam slaptumo žymos lygiui;
                           
                        
                              c)
                           
                           
                              esamos saugumo priemonės ir procedūros, skirtos įslaptintai informacijai apsaugoti, ir
                           
                        
                              d)
                           
                           
                              patikimumo patikrinimo procedūros, susijusios su numatomos suteikti ESĮI slaptumo žymos lygiu.
                           
                        
            
               
                  9.
               
               
                  Kol neįvykdytas įvertinimo vizitas ir nenustatytas lygis, kuriuo šalys gali keistis įslaptinta informacija (remiantis jai suteikto apsaugos lygio lygiavertiškumo principu), ESĮI keistis negalima.
                  Jei prieš tokį įvertinimą vyriausiajam įgaliotiniui pranešama apie kokias nors išskirtines ar ypač svarbias priežastis keistis įslaptinta informacija, EIVT vykdo šiuos veiksmus:
                  
                              a)
                           
                           
                              visų pirma siekia gauti informacijos rengėjo rašytinį sutikimą, kad įsitikintų, kad nėra jokių prieštaravimų suteikti šią informaciją;
                           
                        
                              b)
                           
                           
                              remiasi EIVT saugumo institucija, kuri gali nuspręsti suteikti informaciją, jei tam vieningai pritaria valstybės narės, atstovaujamos EIVT saugumo komitete.
                           
                        Jei EIVT negali nustatyti atitinkamos informacijos rengėjo, EIVT saugumo institucija, gavusi vieningą EIVT saugumo komiteto narių pritarimą, perima rengėjo atsakomybę.
               
            IV.   LEIDIMAS SUTEIKTI ESĮI TREČIOSIOMS VALSTYBĖMS ARBA TARPTAUTINĖMS ORGANIZACIJOMS
      
      
               
                  10.
               
               
                  Jei nustatyta keitimosi įslaptinta informacija su trečiąja valstybe ar tarptautine organizacija sistema pagal A priedo 10 straipsnio 1 dalį, sprendimą, kuriuo EIVT trečiajai valstybei ar tarptautinei organizacijai suteikiama ESĮI, priima EIVT saugumo institucija, kuri tokio leidimo suteikimą gali deleguoti aukštesnio rango EIVT pareigūnams ar kitiems jos vadovaujamiems darbuotojams.
               
            
               
                  11.
               
               
                  Jei EIVT nėra įslaptintos informacijos, kurią ketinama suteikti, rengėja, įskaitant pradinės medžiagos, kuri gali būti įtraukta į tą informaciją, rengėjus, EIVT pirmiausia prašo šios informacijos rengėjo pateikti rašytinį sutikimą suteikti šią informaciją, kad įsitikintų, kad nėra jokių prieštaravimų suteikti šią informaciją. Jei EIVT negali nustatyti atitinkamos informacijos rengėjo, EIVT saugumo institucija, gavusi vieningą valstybių narių, atstovaujamų EIVT saugumo komitete, pritarimą, perima rengėjo atsakomybę.
               
            V.   ESĮI AD HOC SUTEIKIMAS IŠIMTINE TVARKA
      
      
               
                  12.
               
               
                  Jei nėra vienos iš A priedo 10 straipsnio 1 dalyje nurodytų sistemų ir jei ES arba vienai ar daugiau jos valstybių narių dėl politinių, operacinių ar labai svarbių priežasčių būtina suteikti ESĮI, ESĮI gali būti išimties tvarka suteikta trečiajai valstybei ar tarptautinei organizacijai, jei įvykdyti toliau nurodyti veiksmai.
                  EIVT saugumo direktoratas, įsitikinęs, kad pirmiau pateiktoje 11 dalyje nurodytos sąlygos įvykdytos:
                  
                              a)
                           
                           
                              kiek įmanoma, patikrina atitinkamas trečiosios valstybės ar tarptautinės organizacijos saugumo institucijas, ar jų saugumo teisės aktai, struktūros bei procedūros yra pakankami, kad užtikrintų, jog joms suteikta ESĮI būtų apsaugota pagal ne mažiau griežtus standartus, nei yra nustatyti šiame sprendime;
                           
                        
                              b)
                           
                           
                              prašo EIVT saugumo komiteto remiantis turima informacija pateikti nuomonę, kiek galima pasitikėti atitinkamos trečiosios valstybės ar tarptautinės organizacijos, kuriai bus suteikta ESĮI, saugumo teisės aktais, struktūromis ir procedūromis;
                           
                        
                              c)
                           
                           
                              remiasi EIVT saugumo institucija, kuri gali nuspręsti suteikti informaciją, jei tam vieningai pritaria valstybės narės, atstovaujamos EIVT saugumo komitete.
                           
                        
            
               
                  13.
               
               
                  Jei nėra vienos iš A priedo 10 straipsnio 1 dalyje nurodytų sistemų, atitinkama trečioji šalis raštu prašo tinkamai apsaugoti ESĮI.
               
            
   
      A PRIEDĖLIS
      TERMINŲ APIBRĖŽTYS
      Šiame sprendime vartojamų terminų apibrėžtys:
      
                   
               
               
                  akreditavimas – procesas, po kurio Saugumo akreditavimo institucija (SAI) pateikia oficialų pareiškimą, patvirtinantį, kad sistemai yra leista veikti taikant nustatytą slaptumo žymos lygį, konkrečiu slaptumo režimu jos operacinėje aplinkoje ir priimtinu rizikos lygiu, laikantis prielaidos, kad įgyvendintas patvirtintas techninių, fizinių, organizacinių ir procedūrinių saugumo priemonių rinkinys;
               
            
                   
               
               
                  turtas – viskas, kas turi tam tikrą vertę organizacijai, jos veiklos operacijoms bei jų tęstinumui, įskaitant informacijos išteklius, padedančius vykdyti organizacijos misiją;
               
            
                   
               
               
                  leidimas susipažinti su ESĮI – EIVT saugumo institucijos leidimas, kuris suteikiamas pagal šį sprendimą, po to, kai valstybės narės kompetentingos institucijos suteikia APP, ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI (žr. A I priedo 2 straipsnį);
               
            
                   
               
               
                  pažeidimas – šiame sprendime nustatytoms saugumo taisyklėms ir (arba) saugumo strategijoms ar gairėms, kuriose nustatytos šių taisyklių įgyvendinimo priemonės, priešingas asmens veiksmas arba neveikimas;
               
            
                   
               
               
                  RIS gyvavimo ciklas – visa RIS egzistavimo trukmė, įskaitant inicijavimą, koncepciją, planavimą, reikalavimų analizę, projektavimą, sukūrimą, bandymą, įdiegimą, veikimą, priežiūrą ir naudojimo nutraukimą;
               
            
                   
               
               
                  įslaptinta sutartis – EIVT ir rangovo sudaryta prekių tiekimo, darbų vykdymo arba paslaugų teikimo sutartis, kurią vykdant reikia susipažinti su ESĮI ar ją rengti arba suteikiama galimybė su ja susipažinti ar ją rengti;
               
            
                   
               
               
                  įslaptinta subrangos sutartis – EIVT rangovo ir kito rangovo (t. y. subrangovo) sudaryta prekių tiekimo, darbų vykdymo arba paslaugų teikimo sutartis, kurią vykdant reikia susipažinti su ESĮI ar ją rengti arba suteikiama galimybė su ja susipažinti ar ją rengti;
               
            
                   
               
               
                  ryšių ir informacinė sistema (RIS) – sistema, sudaranti sąlygas tvarkyti informaciją elektroniniu būdu. Ryšių ir informacinė sistema apima visas sistemos dalis, kurių reikia jos veikimui, įskaitant infrastruktūrą, organizavimą, personalą ir informacijos šaltinius (žr. A priedo 8 straipsnio 2 dalį);
               
            
                   
               
               
                  EIVT neteisėtas atskleidimas – visiškas ar dalinis ESĮI atskleidimas leidimo neturintiems asmenims ar subjektams (žr. 8 straipsnio 2 dalį);
               
            
                   
               
               
                  rangovas – fizinis arba juridinis asmuo, turintis teisnumą ir veiksnumą sudaryti sutartis;
               
            
                   
               
               
                  šifravimo priemonės – šifravimo algoritmai, šifravimo techninės ir programinės įrangos moduliai, priemonės, apimančios vykdymo informaciją bei susijusius dokumentus ir raktų duomenis;
               
            
                   
               
               
                  BSGP operacija – karinio ar civilinio krizių valdymo operacija pagal ES sutarties V antraštinės dalies 2 skyrių;
               
            
                   
               
               
                  išslaptinimas – bet kokios saugumo žymos panaikinimas;
               
            
                   
               
               
                  nuodugni apsauga – saugumo priemonių, kurios grupuojamos į kelis apsaugos lygius, taikymas;
               
            
                   
               
               
                  paskirtoji saugumo institucija (PSI) valstybės narės nacionalinei saugumo institucijai (NSI) atsakinga institucija, kuri atsako už pramonės ir kitų subjektų informavimą apie nacionalinę politiką visais pramoninio saugumo klausimais ir duoda nurodymus bei padeda ją įgyvendinti. PSI funkciją gali vykdyti NSI arba kita kompetentinga institucija;
               
            
                   
               
               
                  dokumentas – fiksuota informacija, neatsižvelgiant į jos fizinę formą ar charakteristikas;
               
            
                   
               
               
                  slaptumo žymos laipsnio sumažinimas – slaptumo žymos lygio sumažinimas;
               
            
                   
               
               
                  ES įslaptinta informacija (ESĮI) – bet kuri informacija arba medžiaga, kurią neteisėtai atskleidus galėtų būti padaryta tam tikro dydžio žala Europos Sąjungos arba vienos ar kelių valstybių narių interesams ir kuriai suteikta ES slaptumo žyma (žr. 2 straipsnio f punktą);
               
            
                   
               
               
                  įmonės patikimumą patvirtinantis pažymėjimas (ĮPPP) – NSI ar PSI administracinis patvirtinimas, kad saugumo požiūriu patalpose gali būti užtikrinta nurodyto slaptumo žymos lygio ESĮI tinkama apsauga ir kad buvo tinkamai patikrintas jose dirbančio personalo narių, kuriems reikia susipažinti su ESĮI, patikimumas bei jie buvo informuoti apie atitinkamus saugumo reikalavimus, būtinus norint susipažinti su ESĮI ir ją apsaugoti;
               
            
                   
               
               
                  ESĮI administravimas – visi galimi veiksmai, kurie gali būti atliekami su ESĮI per visą jos gyvavimo ciklą. Tai apima ESĮI parengimą, apdorojimą, gabenimą, slaptumo žymos laipsnio sumažinimą, išslaptinimą ir sunaikinimą. RIS atžvilgiu tai taip pat apima ESĮI rinkimą, skelbimą, perdavimą ir saugojimą;
               
            
                   
               
               
                  turėtojas – tinkamą leidimą turintis asmuo, kuris atitinka principą „būtina žinoti“ ir turi ESĮI dalį bei yra atitinkamai atsakingas už jos apsaugą;
               
            
                   
               
               
                  pramonės arba kitas subjektas – subjektas, tiekiantis prekes, vykdantis darbus arba teikiantis paslaugas; tai gali būti pramonės, prekybos, paslaugų, mokslo, mokslinių tyrimų, švietimo ar vystymo subjektas arba savarankiškai dirbantis asmuo;
               
            
                   
               
               
                  pramoninis saugumas – priemonių, kurias rangovai arba subrangovai taiko derybų dėl sutarčių sudarymo metu ir visą įslaptintų sutarčių gyvavimo ciklą siekdami užtikrinti ESĮI apsaugą, taikymas (žr. A priedo 9 straipsnio 1 dalį);
               
            
                   
               
               
                  informacijos saugumo užtikrinimas (ISU) ryšių ir informacinių sistemų srityje – užtikrinimas, kad tokiose sistemose tvarkoma informacija bus apsaugota ir kad, valdant teisėtiems naudotojams, jos veiks taip, kaip turi veikti, ir tada, kada turi veikti. Veiksmingas ISU užtikrina tinkamą konfidencialumo, vientisumo, prieinamumo, atsakomybės už veiksmus prisiėmimo ir autentiškumo lygį. ISU grindžiamas rizikos valdymo procesu (žr. A priedo 8 straipsnio 1 dalį);
               
            
                   
               
               
                  šiame sprendime sistemų tarpusavio sujungimas – tiesioginis dviejų ar daugiau IT sistemų sujungimas siekiant dalytis duomenimis ir kitais informacijos šaltiniais (pavyzdžiui, ryšiais) vienakrypčiu arba daugiakrypčiu būdu (žr. A IV priedo 31 dalį);
               
            
                   
               
               
                  įslaptintos informacijos administravimas – administracinių ESĮI kontrolės visą jos gyvavimo ciklą priemonių taikymas siekiant papildyti 5, 6 ir 8 straipsniuose numatytas priemones ir tokiu būdu atgrasyti nuo tokios informacijos sąmoningo ar tikslingo atskleidimo arba praradimo, nustatyti tokius atvejus ir pašalinti jų padarinius. Tokios priemonės visų pirma yra susijusios su ESĮI rengimu, registravimu, kopijavimu, vertimu, gabenimu, tvarkymu, saugojimu ir naikinimu (žr. A priedo 7 straipsnio 1 dalį);
               
            
                   
               
               
                  medžiaga – dokumentas arba bet kokie pagaminti ar gaminami įrenginiai ar įranga;
               
            
                   
               
               
                  įslaptintos informacijos rengėjas – ES institucija, agentūra ar įstaiga, valstybė narė, trečioji valstybė ar tarptautinė organizacija, kurios atsakomybe įslaptinta informacija buvo parengta ir (arba) pateikta naudoti ES struktūrose;
               
            
                   
               
               
                  personalo patikimumas – priemonių taikymas, siekiant užtikrinti, kad galimybė susipažinti su ESĮI būtų suteikta tik asmenims:
                  
                              —
                           
                           
                              kurie atitinka principą „būtina žinoti“;
                           
                        
                              —
                           
                           
                              kurių patikimumas patikrintas atitinkamu lygiu ir suteikta teisė prieiti prie informacijos, pažymėtos CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio saugumo žyma, arba kiti tinkami leidimai pagal nacionalinius įstatymus ir kitus teisės aktus ir
                           
                        
                              —
                           
                           
                              kurie informuoti apie jų pareigas
                           
                        (žr. A priedo 5 straipsnio 1 dalį);
               
            
                   
               
               
                  asmens patikimumo pažymėjimas (APP), kuriuo suteikiama teisė susipažinti su ESĮI – valstybės narės kompetentingos institucijos patvirtinimas, kuris pateikiamas valstybės narės kompetentingoms institucijoms baigus patikimumo tyrimą ir kuriuo pažymima, kad atitinkamam asmeniui, nustačius, kad jis atitinka principą „būtina žinoti“, suteikiamas leidimas iki nurodytos datos susipažinti su atitinkamo lygio slaptumo žyma (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma) pažymėta ESĮI. Laikoma, kad asmens, kuriam taikoma ši apibrėžtis, patikimumas patikrintas;
               
            
                   
               
               
                  asmens patikimumo pažymėjimą patvirtinanti pažyma (APPP) – kompetentingos institucijos išduota pažyma, kurioje nurodoma, kad asmens patikimumas yra patikrintas ir jis turi galiojantį APP, ir nurodomas ESĮI, su kuria tam asmeniui gali būti leista susipažinti, slaptumo žymos lygis (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio laipsnio slaptumo žyma), atitinkamo APP galiojimo laikas ir pačios pažymos galiojimo laikas;
               
            
                   
               
               
                  fizinis saugumas – fizinių ir techninių apsaugos priemonių taikymas siekiant užkirsti kelią leidimo neturintiems asmenims susipažinti su ESĮI (žr. A priedo 6 straipsnį);
               
            
                   
               
               
                  programos / projekto saugumo instrukcijos (PSI) – saugumo procedūrų, kurios yra taikomos konkrečiai programai / projektui siekiant standartizuoti saugumo procedūras, sąrašas. Jos gali būti tikslinamos įgyvendinant programą / projektą;
               
            
                   
               
               
                  registravimas – procedūrų, kuriomis užregistruojamas informacijos gyvavimo ciklas, įskaitant jo platinimą ir sunaikinimą, taikymas (žr. A III priedo 21 dalį);
               
            
                   
               
               
                  likutinė rizika – rizika, kuri lieka po to, kai buvo įgyvendintos saugumo priemonės, atsižvelgiant į tai, kad ne nuo visų grėsmių apsisaugoma ir ne visi pažeidžiamumo aspektai gali būti pašalinti;
               
            
                   
               
               
                  rizika – galimybė, kad tam tikros grėsmės atveju bus pasinaudota organizacijos ar sistemų vidiniu ir išoriniu pažeidžiamumu ir taip bus padaryta žala organizacijai ir jos materialiajam ar nematerialiajam turtui. Ji įvertinama atsižvelgiant į kylančios grėsmės tikimybę ir į jos poveikį;
               
            
                   
               
               
                  rizikos pripažinimas – sprendimas atlikus rizikos tvarkymą pripažinti, kad vis dar yra likutinė rizika;
               
            
                   
               
               
                  rizikos įvertinimas – grėsmių ir pažeidžiamų sričių nustatymas bei susijusios rizikos analizės, t. y. galimumo ir poveikio analizės, atlikimas;
               
            
                   
               
               
                  informavimas apie riziką – RIS vartotojų bendruomenės informuotumo apie riziką didinimas, patvirtinimo institucijų informavimas apie tokią riziką ir pranešimų vykdančiosioms institucijoms teikimas;
               
            
                   
               
               
                  saugumo rizikos valdymo procesas – visas nebūtinai galinčių įvykti atvejų, kurie gali paveikti organizacijos arba jos naudojamų sistemų saugumą, nustatymo, kontrolės ir mažinimo procesas. Jis apima visą su rizika susijusią veiklą, įskaitant jos įvertinimą, tvarkymą, pripažinimą ir informavimą apie ją;
               
            
                   
               
               
                  rizikos tvarkymas – rizikos silpninimas, šalinimas, mažinimas (taikant tinkamas technines, fizines, valdymo ar procedūrines priemones), perkėlimas arba stebėjimas;
               
            
                   
               
               
                  saugumo aspektų paaiškinimas (SAP) – specialių sutartinių sąlygų rinkinys, kurį parengia perkančioji institucija ir kuris yra įslaptintos sutarties, pagal kurią gali būti susipažįstama su ESĮI arba tokia informacija gali būti rengiama, sudėtinė dalis – jame nurodomi saugumo reikalavimai arba sutarties dalys, kurių saugumą būtina užtikrinti (žr. A V priedo II skyrių);
               
            
                   
               
               
                  slaptumo žymų vadovas (SŽV) – dokumentas, kuriame aprašomos programos arba sutarties įslaptintos dalys, nurodant taikomus slaptumo žymų lygius. SŽV gali būti papildomas programos arba sutarties vykdymo laikotarpiu, o informacijos dalims gali būti suteiktos naujos slaptumo žymos arba jų slaptumo žymos laipsnis gali būti sumažintas; tais atvejais, kai yra parengtas SŽV, jis yra SAP dalis (žr. A V priedo II skyrių);
               
            
                   
               
               
                  patikimumo tyrimas – tyrimo procedūros, kurias, vadovaudamasi valstybėje narėje galiojančiais įstatymais ir kitais teisės aktais, atlieka kompetentinga institucija siekdama gauti užtikrinimą, kad nėra jokios nepalankios informacijos, kuri neleistų asmeniui išduoti nacionalinio arba ES asmens patikimumo pažymėjimo, suteikiančio galimybę susipažinti su tam tikro lygio ESĮI (CONFIDENTIEL UE/EU CONFIDENTIAL arba aukštesnio lygio slaptumo žyma pažymėta informacija);
               
            
                   
               
               
                  saugios eksploatacijos taisyklės (SecOPs) – saugumo politikos įgyvendinimo, kurį ketinama patvirtinti, eksploatacijos taisyklių, kurių reikia laikytis, ir personalo atsakomybės aprašas;
               
            
                   
               
               
                  sistemos saugumo reikmių aktas (SSRA) – saugumo principų, kurių reikia laikytis, ir išsamių saugumo reikalavimų, kuriuos reikia įgyvendinti, rinkinys, kuris yra RIS sertifikavimo ir akreditavimo pagrindas;
               
            
                   
               
               
                  TEMPEST – elektromagnetinio spinduliavimo, dėl kurio neteisėtai atskleidžiama informacija, tikrinimas, tyrimas bei kontrolė ir jo šalinimo priemonės;
               
            
                   
               
               
                  grėsmė – galimas nepageidaujamas atvejis, dėl kurio gali būti padaryta žala organizacijai ar jos naudojamoms sistemoms; tokios grėsmės gali būti atsitiktinės arba tyčinės (piktybinės); jas apibūdina pavojingi elementai, galimi taikiniai ir puolimo būdai;
               
            
                   
               
               
                  pažeidžiamumas – bet kokio pobūdžio silpnumas, kuriuo gali būti naudojamasi vienos ar daugiau grėsmių atveju. Pažeidžiamumas gali atsirasti dėl neveikimo arba gali būti susijęs su kontrolės stiprumo, išsamumo ar nuoseklumo trūkumu ir gali būti techninio, procedūrinio, fizinio, organizacinio ar veiklos pobūdžio.