CELEX: 32018D0410(01)
Language: pt
Date: 2017-09-19 00:00:00
Title: Decisão da Alta-Representante da União para os Negócios Estrangeiros e a Política de Segurança, de 19 de setembro de 2017, relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa — ADMIN(2017) 10

10.4.2018   
            
            
               PT
            
            
               Jornal Oficial da União Europeia
            
            
               C 126/1
            
         Decisão da Alta-Representante da União para os Negócios Estrangeiros e a Política de Segurança, de 19 de setembro de 2017, relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa
   ADMIN(2017) 10
   (2018/C 126/01)
   A ALTA-REPRESENTANTE DA UNIÃO PARA OS NEGÓCIOS ESTRANGEIROS E A POLÍTICA DE SEGURANÇA
   Tendo em conta a Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa (1)«(SEAE)»,
   Tendo em conta o parecer do Comité referido no artigo 9.o, n.o 6, da Decisão da Alta-Representante, de 15 de junho de 2011, relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa (2),
   Considerando o seguinte:
   
               (1)
            
            
               Enquanto órgão da União Europeia (UE) funcionalmente autónomo, o SEAE deve ter regras de segurança, tal como referido no artigo 10.o, n.o 1, da Decisão 2010/427/UE do Conselho;
            
         
               (2)
            
            
               A Alta-Representante da União para os Negócios Estrangeiros e a Política de Segurança (a seguir designada «alta-representante» ou «AR») deve decidir das regras de segurança aplicáveis ao SEAE, que deverão cobrir os aspetos da segurança do funcionamento do SEAE, para assegurar que este serviço efetue uma gestão eficaz dos riscos incorridos pelo respetivo pessoal, os ativos físicos, as informações e os visitantes e cumpra o dever de diligência que lhe compete;
            
         
               (3)
            
            
               Mais concretamente, deve ser garantido um nível de proteção ao pessoal colocado sob a responsabilidade do SEAE, aos ativos físicos do SEAE, incluindo sistemas de comunicação e informação, informações e visitantes, conforme com as melhores práticas seguidas no Conselho, na Comissão, nos Estados-Membros e, se for caso disso, nas organizações internacionais;
            
         
               (4)
            
            
               As regras de segurança aplicáveis ao SEAE devem contribuir para um quadro geral completo mais coerente na UE tendo em vista a proteção de Informações Classificadas da UE (a seguir designadas «ICUE»), com base em, e mantendo tanta coerência quanto possível com, as regras de segurança do Conselho da União Europeia (a seguir designado «o Conselho») e as disposições em matéria de segurança da Comissão Europeia;
            
         
               (5)
            
            
               O SEAE, o Conselho e a Comissão estão empenhados em aplicar normas de segurança equivalentes para proteção das ICUE;
            
         
               (6)
            
            
               A presente decisão é aprovada sem prejuízo dos artigos 15.o e 16.o do Tratado sobre o Funcionamento da União Europeia (TFUE) e dos instrumentos que lhes dão execução;
            
         
               (7)
            
            
               É necessário definir a organização da segurança na SEAE e a atribuição de funções de segurança dentro das estruturas do SEAE;
            
         
               (8)
            
            
               A alta-representante deve apoiar-se nas competências pertinentes existentes nos Estados-Membros, no Secretariado-Geral do Conselho e na Comissão, conforme necessário;
            
         
               (9)
            
            
               A alta-representante deve tomar todas as medidas adequadas necessárias para aplicar essas regras com o apoio dos Estados-Membros, do Secretariado-Geral do Conselho e da Comissão,
            
         
               (10)
            
            
               O secretário-geral do SEAE é a Autoridade de Segurança do SEAE, e o artigo 1.o da Decisão ADMIN (2015)34, de 14 de setembro de 2015, do secretário-geral do Serviço Europeu para a Ação Externa prevê que as funções de segurança da Autoridade de Segurança, tal como previsto nas regras de segurança do SEAE, sejam exercidas pelo diretor-geral do Orçamento e da Administração,
            
         ADOTOU A PRESENTE DECISÃO:
   Artigo 1.o
   
   Objetivo e âmbito de aplicação
   A presente decisão estabelece as regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa (a seguir designadas «regras de segurança do SEAE»).
   Nos termos do artigo 10.o, n.o 1, da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa, as regras de segurança são aplicáveis ao pessoal do SEAE e a todo o pessoal das delegações da União, independentemente do seu estatuto administrativo ou da sua origem, e estabelece o quadro regulamentar geral para assegurar uma gestão eficaz dos riscos a que está sujeito o pessoal sob responsabilidade do SEAE, tal como referido no artigo 2.o, as instalações, os ativos físicos, as informações e os visitantes do SEAE.
   Artigo 2.o
   
   Definições
   Para efeitos da presente decisão, entende-se por:
   
               a)
            
            
               «Pessoal do SEAE», funcionários e outros agentes do SEAE, incluindo pessoal dos serviços diplomáticos dos Estados-Membros nomeados como agentes temporários, e peritos nacionais destacados, na aceção do artigo 6.o da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa.
            
         
               b)
            
            
               «Pessoal sob responsabilidade do SEAE», o pessoal do SEAE adstrito à sede ou às delegações da União, e outro pessoal afeto às delegações da União, independentemente do seu estatuto administrativo ou da sua origem, bem como, no contexto da presente decisão, a alta-representante e, se for caso disso, outro pessoal residente nas instalações da sede do SEAE.
            
         
               c)
            
            
               «Pessoas a cargo», os membros da família do pessoal sob responsabilidade do SEAE nas delegações da União que façam parte do respetivo agregado familiar conforme notificado ao Ministério de Negócios Estrangeiros do Estado de acolhimento.
            
         
               d)
            
            
               «Instalações do SEAE», todos os estabelecimentos do SEAE, incluindo edifícios, escritórios, salas e outras áreas, bem como zonas em que se encontrem sistemas de comunicação e de informação (incluindo as que manuseiam ICUE), em que o SEAE realize atividades permanentes ou temporárias.
            
         
               e)
            
            
               «Interesses de segurança do SEAE», pessoal sob responsabilidade do SEAE, instalações e pessoas a cargo, ativos físicos, incluindo sistemas de comunicação e informação, informações e visitantes do SEAE.
            
         
               f)
            
            
               «ICUE», quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada seja suscetível de causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros.
            
         
               g)
            
            
               «Delegação da União», as delegações da União junto de países terceiros ou de organizações internacionais, tal como referido no artigo 1.o, n.o 4, da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa.
            
         São apresentadas outras definições nos anexos pertinentes e no apêndice A.
   Artigo 3.o
   
   Dever de diligência
   1.   As regras de segurança do SEAE visam cumprir o dever de diligência do SEAE.
   2.   O dever de diligência do SEAE inclui as diligências devidas na adoção de todas as medidas razoáveis para implementar medidas de segurança de modo a impedir danos razoavelmente previsíveis a interesses de segurança do SEAE.
   Engloba componentes de proteção e segurança, incluindo os que resultam de situações de emergência ou de crises, independentemente da sua natureza.
   3.   Tendo em conta o dever de diligência dos Estados-Membros, das instituições ou órgãos da UE e de outras partes com o pessoal em delegações da União e/ou em instalações de delegações da União, ou tal responsabilidade a cargo do SEAE quando as delegações da União estão alojadas em instalações de outras partes supramencionadas, o SEAE deve celebrar convénios administrativos com cada uma das entidades acima que especifiquem os respetivos papéis e responsabilidades, tarefas e mecanismos de cooperação.
   Artigo 4.o
   
   Segurança física e das infraestruturas
   1.   O SEAE deve implementar todas as medidas de segurança física adequadas (permanentes ou temporárias), nomeadamente disposições para o controlo do acesso, em todas as instalações do SEAE, para a proteção dos interesses de segurança do SEAE. Essas medidas devem ser tidas em conta na conceção e no planeamento de novas instalações ou antes do arrendamento de instalações existentes.
   2.   Para isso, podem impor-se obrigações ou restrições especiais ao pessoal sob responsabilidade do SEAE e às pessoas a seu cargo, por razões de segurança, durante um período específico e em zonas específicas.
   3.   As medidas referidas nos n.os 1 e 2 devem ser proporcionais aos riscos avaliados.
   Artigo 5.o
   
   Estados de alerta e gestão de situações de crise
   1.   A Autoridade de Segurança do SEAE, definida no artigo 13.o, n.o 1, secção I, é responsável pela adoção de medidas apropriadas para estados de alerta, em antecipação ou em reação a ameaças e incidentes que afetem a segurança no SEAE, bem como pela adoção das medidas necessárias à gestão de situações de crise.
   2.   As medidas de estados de alerta referidas no n.o 1 devem ser proporcionais ao nível da ameaça à segurança. Os níveis de estados de alerta são definidos em estreita cooperação com os serviços competentes de outras instituições, agências e organismos da União, e do Estado-Membro ou Estados-Membros que acolhem instalações do SEAE.
   3.   A Autoridade de Segurança do SEAE é o ponto de contacto aquando da ocorrência de estados de alerta e para a gestão de situações de crise.
   Artigo 6.o
   
   Proteção de informações classificadas
   1.   A proteção das ICUE é regida pelos requisitos previstos na presente decisão e em particular no Anexo A. Cabe ao detentor de quaisquer ICUE a responsabilidade pela sua proteção nestes termos.
   2.   O SEAE deve assegurar que o acesso a informações classificadas seja concedido apenas a quem satisfizer as condições definidas no artigo 5.o do Anexo A.
   3.   As condições em que os agentes locais podem ter acesso a ICUE devem também ser definidas pela alta-representante, em conformidade com as regras para a proteção das ICUE previstas no Anexo A da presente decisão.
   4.   A Direção do SEAE responsável pela segurança gere uma base de dados com o estatuto de credenciação de segurança de todo o pessoal sob responsabilidade do SEAE e dos contratantes do SEAE.
   5.   Quando os Estados-Membros introduzirem nas estruturas ou redes do SEAE informações classificadas que ostentem uma marca de classificação de segurança nacional, o SEAE deve proteger essas informações em conformidade com os requisitos aplicáveis às ICUE de nível equivalente, como estabelecido na tabela de equivalências das classificações de segurança constante do apêndice B da presente decisão.
   6.   As zonas no SEAE onde são armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, ou com classificação de nível equivalente, são consideradas Zonas de Segurança em conformidade com as regras estabelecidas no anexo AII da presente decisão e devem ser aprovadas pela Autoridade de Segurança do SEAE.
   7.   Os procedimentos para executar responsabilidades de alto-representante no quadro de acordos ou nos convénios administrativos para o intercâmbio de ICUE com Estados terceiros ou organizações internacionais são descritos nos anexos A e A VI da presente decisão.
   8.   O secretário-geral determina as condições em que o SEAE pode partilhar ICUE que se encontrem na sua posse com outras instituições, organismos, serviços ou agências da União. Será definido um quadro adequado para esse efeito, nomeadamente mediante a celebração de acordos interinstitucionais, ou outras disposições necessárias para esse fim.
   9.   Qualquer quadro dessa natureza deve assegurar que as ICUE sejam objeto de uma proteção adequada ao respetivo nível de classificação, nos termos dos princípios básicos e das normas mínimas, que devem ser equivalentes aos estabelecidos na presente decisão.
   Artigo 7.o
   
   Incidentes e emergências de segurança
   1.   A fim de assegurar uma resposta pronta e eficaz a incidentes de segurança, o SEAE deve definir um processo para comunicar tais incidentes e emergências, que deve estar operacional vinte e quatro horas por dia, sete dias por semana e abranger todos os tipos de incidentes de segurança ou ameaças aos interesses de segurança do SEAE (por exemplo, acidentes, conflitos, atos mal-intencionados, atos criminosos, raptos e situações de tomada de reféns, emergências médicas, incidentes com sistemas de informação e comunicação, ciberataques, etc.).
   2.   Deverão criar-se canais de ligação de emergência entre a sede do SEAE, as delegações da União, o Conselho, a Comissão, os Representantes Especiais da UE e os Estados-Membros, para prestar apoio na gestão de incidentes de segurança que envolvam pessoal e das respetivas consequências, incluindo planos de contingência.
   3.   Esta gestão de incidentes de segurança incluirá, nomeadamente:
   
               —
            
            
               procedimentos para apoiar eficazmente o processo de tomada de decisões relativo a um incidente de segurança que envolva pessoal, incluindo decisões relativas à extração ou suspensão de uma missão; e
            
         
               —
            
            
               uma política e procedimentos para recuperação de pessoal — por exemplo, no caso de desaparecimento de pessoal ou rapto e situações de tomada reféns —, tendo em conta as responsabilidades específicas dos Estados-Membros, das Instituições da UE e do SEAE nesta matéria. A necessidade de competências específicas, no âmbito da gestão de tais operações neste contexto, deve ser determinada tendo em conta os recursos que poderão ser disponibilizados pelos Estados-Membros.
            
         4.   O SEAE deve celebrar convénios administrativos adequados para comunicar incidentes de segurança nas delegações da União. Sempre que adequado, os Estados-Membros, a Comissão, qualquer outra autoridade competente, bem como os Comités de Segurança competentes devem ser informados.
   5.   Os processos de gestão de incidentes serão executados e revistos com regularidade.
   Artigo 8.o
   
   Segurança dos sistemas de comunicação e informação
   1.   O SEAE protege as informações tratadas nos sistemas de comunicação e informação (SCI) contra as ameaças à confidencialidade, à integridade, à disponibilidade, à autenticidade e à não rejeição.
   2.   As normas de segurança, as diretrizes em matéria de segurança e um programa de segurança destinado a proteger os SCI que sejam propriedade ou operados pelo SEAE devem ser aprovados pela Autoridade de Segurança do SEAE.
   3.   As regras, a política e o programa devem estar em conformidade e a respetiva implementação deverá ser realizada em estreita colaboração com os do Conselho e da Comissão e, sempre que adequado, com as políticas de segurança aplicadas pelos Estados-Membros.
   4.   Todos os SCI que tratem informações classificadas devem ser submetidos a um processo de acreditação. O SEAE deve aplicar um sistema de gestão da acreditação de segurança em consulta com o Secretariado-Geral do Conselho e com a Comissão.
   5.   Quando a proteção de ICUE manuseadas pelo SEAE for assegurada por produtos criptográficos, estes devem ser aprovados pela Autoridade de Aprovação Criptográfica do SEAE sob recomendação do Comité de Segurança do Conselho.
   6.   A Autoridade de Segurança do SEAE criará, na medida do necessário, as seguintes funções em matéria de garantia de informação:
   
               a)
            
            
               Uma Autoridade de Garantia da Informação
            
         
               b)
            
            
               Uma Autoridade TEMPEST;
            
         
               c)
            
            
               Uma Autoridade de Aprovação Criptográfica
            
         
               d)
            
            
               Uma Autoridade de Distribuição Criptográfica.
            
         7.   Para cada sistema, a Autoridade de Segurança do SEAE criará as seguintes funções:
   
               a)
            
            
               Uma Autoridade de Acreditação de Segurança
            
         
               b)
            
            
               Uma autoridade operacional de garantia da informação.
            
         8.   As regras de execução do presente artigo no que respeita à proteção das ICUE são estabelecidas nos Anexos A e A IV.
   Artigo 9.o
   
   Falhas Quebras de segurança e comprometimento de informações classificadas
   1.   As quebras de segurança resultam de atos ou omissões de uma pessoa que são contrários às regras de segurança estabelecidas na presente decisão e/ou às políticas de segurança ou diretrizes que estabeleçam medidas necessárias para a sua implementação, como aprovado nos termos do artigo 21.o, n.o 1.
   2.   Os comprometimentos de informações classificadas resultam da divulgação integral ou parcial das mesmas a pessoas ou identidades não autorizadas.
   3.   Qualquer quebra ou suspeita de quebra de segurança e qualquer comprometimento ou suspeita de comprometimento de informações classificadas será imediatamente comunicado à Direção do SEAE responsável pela segurança, que tomará as medidas adequadas, tal como definido no anexo A, artigo 11.o.
   4.   A pessoa responsável pela quebra das regras de segurança previstas na presente decisão, ou pelo comprometimento de informações classificadas, é passível de ação disciplinar e/ou judicial, nos termos das disposições legislativas e regulamentares aplicáveis, como disposto no artigo 11.o, n.o. 3, do Anexo A.
   Artigo 10.o
   
   Investigação de incidentes, quebras e/ou comprometimentos de segurança e medidas corretivas
   1.   Sem prejuízo do disposto no artigo 86.o (Medidas disciplinares) e anexo IX do Estatuto (3), os inquéritos de segurança podem ser conduzidos pela direção do SEAE responsável pela segurança:
   
               a)
            
            
               Em caso de eventuais fugas, manuseamentos indevidos ou comprometimentos de ICUE, informações classificadas Euratom ou informações sensíveis não classificadas;
            
         
               b)
            
            
               Para combater ataques de serviços de informação hostis contra o SEAE e o seu pessoal;
            
         
               c)
            
            
               Para combater ataques terroristas contra o SEAE e o seu pessoal;
            
         
               d)
            
            
               Em caso de incidente informático;
            
         
               e)
            
            
               No caso de outros incidentes que afetam ou que são suscetíveis de afetar a segurança geral do SEAE, incluindo suspeitas de infrações penais.
            
         2.   A Direção do SEAE responsável pela segurança, assistida por peritos dos Estados-Membros e/ou de outras instituições da UE, conforme adequado, e mediante autorização da Autoridade de Segurança do SEAE, na medida do necessário, executa as ações corretivas necessárias resultantes dos inquéritos, quando e conforme necessário.
   As competências para levar a cabo e coordenar os inquéritos de segurança no SEAE só podem ser atribuídas a pessoal autorizado com base num mandato nominativo que a Autoridade de Segurança do SEAE lhe confira tendo em conta as suas funções atuais.
   3.   Os investigadores deverão ter acesso a todas as informações necessárias para a realização de tais inquéritos e deverão receber o apoio total de todos os serviços do SEAE e respetivo pessoal nesta matéria.
   Os investigadores podem tomar medidas adequadas para salvaguardar o rasto de indícios de forma proporcionada à gravidade da questão sob inquérito.
   4.   Quando o acesso a informações disser respeito a dados pessoais, incluindo os constantes dos sistemas de informação e comunicação, esse acesso deve ser conforme com o Regulamento (CE) n.o 45/2001 (4).
   5.   Quando for necessário criar uma base de dados de investigação que contenha dados pessoais, a Autoridade Europeia para a Proteção de Dados (AEPD) será notificada, em conformidade com o disposto no regulamento supramencionado.
   Artigo 11.o
   
   Gestão dos riscos de segurança
   1.   A fim de determinar as suas necessidades em matéria de proteção e segurança, o SEAE deve desenvolver uma metodologia global de avaliação dos riscos de segurança, em cooperação estreita com a Direção da Segurança da Comissão e, se adequado, com o Gabinete de Segurança do Secretariado-Geral do Conselho.
   2.   Os riscos a que os interesses de segurança do SEAE estão expostos são sujeitos a um processo de gestão. Este processo terá por objetivo determinar os riscos de segurança conhecidos, definir as medidas de segurança destinadas a reduzir esses riscos para um nível aceitável e aplicar tais medidas de acordo com o conceito de defesa em profundidade. A eficácia dessas medidas e o nível de risco serão sujeitos a avaliação contínua.
   3.   Os papéis, responsabilidades e tarefas estabelecidos na presente decisão não prejudicam a responsabilidade de cada membro do pessoal sob responsabilidade do SEAE; em particular, o pessoal da UE em missão em países terceiros deve dar provas de bom senso e de discernimento no que se refere à sua própria proteção e segurança e cumprir todas as regras, regulamentos, procedimentos e instruções aplicáveis em matéria de segurança.
   4.   Para fins de prevenção e controlo dos riscos de segurança, o pessoal mandatado pode proceder à verificação dos antecedentes das pessoas abrangidas pelo âmbito de aplicação da presente decisão, a fim de determinar se facultar a essas pessoas o acesso a instalações ou a informações do SEAE constitui uma ameaça à segurança. Para o efeito, e em conformidade com o Regulamento (CE) n.o 45/2001, o pessoal mandatado pode: a) Utilizar todas as fontes de informação de que dispõe o SEAE, tendo em conta a fiabilidade das mesmas; b) Ter acesso aos ficheiros ou aos dados do pessoal que o SEAE detém em relação às pessoas que emprega ou pretende empregar ou, quando devidamente justificado, ao pessoal contratado.
   5.   O SEAE deve tomar todas as medidas razoáveis para garantir a proteção dos seus interesses de segurança e para impedir danos razoavelmente previsíveis aos mesmos.
   6.   As medidas de segurança no SEAE para proteção de ICUE ao longo do seu ciclo de vida devem ser proporcionais em especial ao seu nível de classificação de segurança, à forma e ao volume de informações ou de material, à localização e construção das instalações que albergam ICUE e à ameaça, incluindo a ameaça avaliada a nível local, que representam os atos mal-intencionados e/ou atividades criminosas, nomeadamente espionagem, sabotagem e terrorismo.
   Artigo 12.o
   
   Sensibilização e formação em matéria de segurança
   1.   A autoridade de segurança do SEAE deve garantir que sejam elaborados e executados programas de sensibilização e formação em matéria de segurança e que o pessoal sob responsabilidade do SEAE e, se for caso disso, as pessoas a seu cargo, beneficiem das ações de formação e sensibilização necessárias em função dos riscos inerentes ao seu local de trabalho ou de residência.
   2.   Antes de lhes ser facultado acesso às ICUE e, posteriormente, a intervalos regulares, o pessoal deve ser informado e reconhecer as suas responsabilidades na proteção das ICUE de acordo com as regras adotadas nos termos do artigo 6.o.
   Artigo 13.o
   
   Organização da segurança no SEAE
   1.   O secretário-geral é a Autoridade de Segurança do SEAE. Nesta qualidade, o secretário-geral assegura que:
   
               a)
            
            
               As medidas de segurança sejam coordenadas, conforme necessário, com as autoridades competentes dos Estados-Membros, o Secretariado-Geral do Conselho e a Comissão, e, se for caso disso, de países terceiros ou de organizações internacionais, em todas as questões de segurança pertinentes para as atividades do SEAE, incluindo sobre a natureza dos riscos para os interesses de segurança do SEAE e os meios de proteção contra esses riscos;
            
         
               b)
            
            
               Os aspetos de segurança sejam plenamente tidos em conta desde o início de todas as atividades do SEAE;
            
         
               c)
            
            
               O acesso a informações classificadas seja concedido apenas a quem satisfaça as condições definidas no artigo 5.o do anexo A.
            
         
               d)
            
            
               Seja criado um sistema de registo que garanta que as informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior sejam manuseadas nos termos da presente decisão no SEAE e quando comunicadas a Estados-Membros da UE, instituições, órgãos ou agências da UE ou outros destinatários autorizados. Manter-se-á um registo separado de todas as ICUE comunicadas pelo SEAE a Estados terceiros e organizações internacionais, bem como de todas as informações classificadas recebidas de Estados terceiros e de organizações internacionais;
            
         
               e)
            
            
               Sejam realizadas as inspeções de segurança referidas no artigo 16.o;
            
         
               f)
            
            
               Sejam realizados inquéritos sobre qualquer quebra de segurança real ou suspeita, assim como sobre qualquer comprometimento real ou suspeito ou perda de informações classificadas detidas ou emanadas do SEAE, e seja solicitado às autoridades de segurança competentes que prestem assistência nesses inquéritos;
            
         
               g)
            
            
               Sejam estabelecidos mecanismos e planos de gestão adequados dos incidentes e consequências, a fim de dar uma resposta pronta e eficaz a incidentes de segurança;
            
         
               h)
            
            
               Sejam tomadas medidas adequadas caso alguém não cumpra a presente decisão;
            
         
               i)
            
            
               Sejam instauradas medidas físicas e organizativas adequadas para a proteção dos interesses de segurança do SEAE.
               A este respeito, a Autoridade de Segurança do SEAE:
               
                           —
                        
                        
                           define a categoria de segurança das delegações da União, em consulta com a Comissão,
                        
                     
                           —
                        
                        
                           decide, após consulta à AR, quando evacuar pessoal das delegações da União se a situação de segurança assim o exigir,
                        
                     
                           —
                        
                        
                           decide que medidas aplicar para proteger pessoas a cargo, se for caso disso, tendo em conta convénios com instituições da UE, tal como referido no artigo 3.o n.o 3;
                        
                     
                           —
                        
                        
                           aprova a política de comunicação criptográfica, nomeadamente o programa de instalação de produtos e mecanismos criptográficos.
                        
                     
         2.   A Autoridade de Segurança do SEAE é assistida nesta tarefa pelo diretor-geral do Orçamento e da Administração, pelo diretor responsável pela segurança no SEAE e, se for caso disso, pelo secretário-geral adjunto para a PCSD e a resposta a situações de crise.
   3.   O secretário-geral, na sua qualidade de autoridade de segurança do SEAE, pode delegar tarefas neste âmbito, se for caso disso.
   4.   Cada chefe de departamento/divisão é responsável pela implementação de regras para proteção de ICUE no/a respetivo/a departamento/divisão.
   Mantendo-se responsável tal como supramencionado, cada chefe de departamento/divisão designa pessoal para a função de coordenador de Segurança Departamental, com recursos adequados à quantidade de ICUE manuseadas por cada departamento/divisão.
   Os coordenadores de Segurança Departamental assistem e apoiam o chefe de departamento/divisão, sempre que adequado, na execução de tarefas relacionadas com segurança, tais como:
   
               a)
            
            
               Desenvolver requisitos de segurança adicionais adequados às necessidades específicas do/a departamento/divisão;
            
         
               b)
            
            
               Comunicar periodicamente informações de segurança aos membros do/a departamento/divisão
            
         
               c)
            
            
               Garantir que o princípio da necessidade de tomar conhecimento é respeitado pelo/a departamento/divisão;
            
         
               d)
            
            
               Manter uma lista atualizada de códigos e chaves de segurança;
            
         
               e)
            
            
               Manter procedimentos e medidas de segurança;
            
         
               f)
            
            
               Comunicar eventuais quebras e/ou comprometimento de segurança de ICUE tanto ao diretor como à Direção da Segurança;
            
         
               g)
            
            
               Realizar reuniões de balanço com os membros do pessoal que deixem de exercer funções no SEAE;
            
         
               h)
            
            
               Apresentar regularmente relatórios a toda a hierarquia sobre questões de segurança do/a departamento/divisão;
            
         
               i)
            
            
               Colaborar com a Direção da Segurança do SEAE em questões de segurança.
            
         Qualquer atividade ou questão que possa afetar a segurança deve ser atempadamente notificada à Direção da Segurança do SEAE.
   5.   Cada chefe de delegação da União é responsável pela aplicação de todas as medidas relativas à segurança da delegação da União.
   1.   O SEAE terá uma Direção responsável pela segurança que ficará incumbida das seguintes funções:
   
               a)
            
            
               Gerir, coordenar, supervisionar e/ou executar todas as medidas de segurança em todas as instalações sob responsabilidade do SEAE, na sede, na UE e em Estados terceiros;
            
         
               b)
            
            
               Assegurar coerência e consistência com a presente decisão e com as disposições de execução de qualquer atividade que possa afetar a proteção dos interesses de segurança do SEAE;
            
         
               c)
            
            
               Ser a principal conselheira da AR, da Autoridade de Segurança do SEAE e do secretário-geral adjunto em todas as questões de segurança;
            
         
               d)
            
            
               Ser assistida pelos serviços competentes dos Estados-Membros, em conformidade com o disposto no artigo 10.o, n.o 3, da Decisão 2010/427/UE do Conselho, que estabelece a organização e o funcionamento do SEAE.
            
         
               e)
            
            
               Apoiar as atividades da Autoridade de Acreditação de Segurança do SEAE através da realização de avaliações da segurança física das Condições Gerais de Segurança (CGS)/Condições Locais de Segurança (CLS) dos sistemas de comunicação e informação que manuseiam ICUE e das instalações a ser autorizadas para manuseamento e armazenamento de ICUE.
            
         2.   Compete ao diretor do SEAE responsável pela segurança:
   
               a)
            
            
               Assegurar a proteção geral dos interesses de segurança do SEAE;
            
         
               b)
            
            
               Elaborar, rever e atualizar as regras de segurança, bem como coordenar medidas de segurança com as autoridades competentes dos Estados-Membros e, se for caso disso, com as autoridades competentes de Estados terceiros e organizações internacionais ligadas à UE através de acordos e/ou convénios de segurança;
            
         
               c)
            
            
               Apoiar os procedimentos do Comité de Segurança do SEAE, tal como definido no artigo 15.o, n.o 1, da presente decisão;
            
         
               d)
            
            
               Colaborar com quaisquer parceiros ou autoridades para além dos referidos na alínea b) acima em questões de segurança, se for caso disso;
            
         
               e)
            
            
               Ordenar em termos de prioridade e apresentar propostas para a gestão do orçamento para a segurança na sede e nas delegações da União.
            
         3.   Cabe ao chefe da Direção do SEAE responsável pela segurança:
   
               a)
            
            
               Assegurar que as quebras e os comprometimentos de segurança sejam registados e que sejam iniciadas e realizados inquéritos quando necessário;
            
         
               b)
            
            
               Reunir-se regularmente, e sempre que necessário, para debater domínios de interesse comum com o diretor da Segurança do Secretariado-Geral do Conselho e o diretor da Segurança da Comissão.
            
         4.   A Direção do SEAE responsável pela segurança deve estabelecer contactos e manter uma estreita cooperação com:
   
               —
            
            
               os departamentos responsáveis pela segurança nos Ministérios de Negócios Estrangeiros dos Estados-Membros;
            
         
               —
            
            
               as Autoridades Nacionais de Segurança (ANS) e/ou as outras autoridades de segurança competentes dos Estados-Membros, para permitir a assistência das mesmas no que compete à informação necessária para avaliar os perigos e ameaças que o SEAE, o pessoal, as atividades, os ativos e recursos e as informações classificadas do SEAE podem enfrentar no seu local de atividade habitual;
            
         
               —
            
            
               as autoridades de segurança competentes dos Estados-Membros ou dos Estados de acolhimento no território em que o SEAE possa exercer atividades, no que compete a qualquer questão relacionada com a proteção do pessoal, da atividade, dos ativos e recursos e das informações classificadas enquanto se encontram no seu território;
            
         
               —
            
            
               o Gabinete de Segurança do Secretariado-Geral do Conselho e a Direção da Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão e, quando oportuno, com os departamentos de segurança de outras instituições, órgãos e agências da EU;
            
         
               —
            
            
               os departamentos de segurança de Estados terceiros ou organizações internacionais com vista a uma eventual coordenação útil; e
            
         
               —
            
            
               as ANS dos Estados-Membros, no que compete a qualquer questão relativa à proteção de ICUE.
            
         1.   Cada chefe de delegação da União é responsável pela implementação e gestão local de todas as medidas relativas à proteção dos interesses de segurança do SEAE nas instalações da delegação da União e que sejam da sua competência.
   Aplicará, em consulta com as autoridades competentes do Estado de acolhimento sempre que necessário, todas as medidas razoavelmente aplicáveis para assegurar que as medidas físicas e organizacionais adequadas estão em vigor para atingir este objetivo.
   O chefe de delegação definirá procedimentos de segurança para a proteção das pessoas a cargo, tal como definido no artigo 2.o, alínea c), quando adequado, tendo em conta eventuais convénios administrativos, tal como referido no artigo 3.o, n.o 3. O chefe de delegação apresentará um relatório sobre todas as questões de segurança que sejam da sua competência ao chefe da Direção da Segurança do SEAE responsável pela segurança.
   Será assistido nessas funções pela Direção da Segurança do SEAE, pela equipa de gestão da segurança da delegação da União que é composta por pessoal que exerce tarefas e funções inerentes à segurança e por pessoal de segurança destacado caso necessário.
   A delegação da União deve estabelecer contactos regulares e manter uma estreita cooperação em questões de segurança com as missões diplomáticas dos Estados-Membros.
   2.   Além disso, o chefe de delegação irá:
   
               —
            
            
               elaborar planos de segurança e contingência detalhados para a delegação da União, com base em procedimentos operacionais normalizados genéricos,
            
         
               —
            
            
               estabelecer um sistema eficaz, operacional 24 horas por dia, 7 dias por semana, para gerir incidentes e emergências de segurança no âmbito da atividade da delegação da União,
            
         
               —
            
            
               assegurar que todo o pessoal destacado na delegação da União está coberto por seguro adequado às condições vigentes na área,
            
         
               —
            
            
               assegurar que a segurança faz parte da formação inicial da delegação da União facultada a todo o pessoal destacado na delegação da União no momento da chegada à delegação da União, e
            
         
               —
            
            
               assegurar que as eventuais recomendações feitas após avaliações da segurança são implementadas e apresentar relatórios escritos periodicamente sobre a sua implementação e sobre outras questões de segurança à Autoridade de Segurança do SEAE.
            
         3.   Sendo responsável e responsabilizável por salvaguardar a gestão da segurança, bem como por assegurar resiliência coletiva, o chefe de delegação pode delegar a execução das suas tarefas de segurança ao coordenador de Segurança da Delegação («CSD»), que pode ser o chefe de Delegação adjunto ou, quando este não tiver sido nomeado, alguém que possa desempenhar essa função.
   Nomeadamente, podem atribuir-se as seguintes responsabilidades ao CSD:
   
               —
            
            
               coordenar as funções de segurança na delegação da União;
            
         
               —
            
            
               concertar-se em questões de segurança com as autoridades competentes do país de acolhimento e com os homólogos adequados nas embaixadas e missões diplomáticas dos Estados-Membros;
            
         
               —
            
            
               aplicar procedimentos de gestão de segurança adequados relativos aos interesses de segurança do SEAE, incluindo a proteção de ICUE;
            
         
               —
            
            
               assegurar a observância das regras e instruções de segurança;
            
         
               —
            
            
               informar o pessoal sobre as regras de segurança que lhes são aplicáveis e sobre os riscos específicos no país de acolhimento;
            
         
               —
            
            
               apresentar pedidos à Direção da Segurança do SEAE responsável pelas credenciações de segurança no que respeita às posições que exigem uma Credenciação de Segurança do Pessoal (CSP); e
            
         
               —
            
            
               manter o chefe de delegação, o Oficial de Segurança Regional (OSR) e a Direção do SEAE responsável pela segurança permanentemente informados sobre incidentes ou desenvolvimentos na zona que afetem a proteção dos interesses de segurança do SEAE.
            
         4.   O chefe da delegação pode delegar tarefas de segurança de cariz administrativo ou técnico no chefe de Administração e noutros membros do pessoal da delegação da União.
   5.   A delegação da União é assistida por um oficial de Segurança Regional (OSR). Os OSR desempenham os papéis definidos abaixo nas delegações da União em cada uma das respetivas zonas geográficas de responsabilidade.
   Em certas circunstâncias, quando a situação de segurança assim o exige, um OSR pode ser destacado a tempo inteiro para uma delegação da União específica.
   Pode ser necessário que um OSR seja destacado para uma área exterior à sua zona de responsabilidade atual, incluindo a sede em Bruxelas ou até assumir um posto residencial de acordo com a situação de segurança relevante num determinado país e conforme exigido pela Direção da Segurança do SEAE.
   6.   Os OSR devem ser colocados diretamente sob o controlo operacional do serviço na sede do SEAE responsável pela Segurança no Terreno, mas sob o controlo administrativo partilhado do chefe de Delegação do seu local de afetação e do serviço na sede responsável pela Segurança no Terreno. Deverão assistir aconselhar o chefe da delegação e o pessoal da delegação da União na organização e implementação de todas as medidas físicas, organizacionais e processuais relativas à segurança na delegação da União.
   7.   Os OSR aconselham e apoiam o chefe de delegação e o pessoal da delegação da União. Caso seja adequado, especialmente se um OSR for residente a tempo inteiro, pode assistir uma delegação da União na gestão e implementação da segurança, incluindo na preparação de contratos de segurança, na gestão de acreditações e credenciações.
   Artigo 14.o
   
   Operações PCSD e Representantes Especiais da UE
   A Direção do SEAE responsável pela segurança assiste e aconselha o diretor da Direção de Gestão de Crises e Planeamento (DGCP), o diretor-geral do Estado-Maior da União Europeia (EMUE), o comandante de Operações Civis a cargo da Capacidade Civil de Planeamento e Condução (CPCC) e os comandantes das Operações Militares da UE no que respeita a aspetos de segurança de operações PCSD, bem como os representantes especiais da UE sobre aspetos de segurança do seu mandato, complementares às disposições específicas que existem neste âmbito nas políticas pertinentes adotadas pelo Conselho.
   Artigo 15.o
   
   O Comité de Segurança do SEAE
   1.   É criado um Comité de Segurança do SEAE.
   O Comité será presidido pela Autoridade de Segurança do SEAE ou por um seu delegado, e reúne-se segundo as instruções do presidente ou a pedido de qualquer dos seus membros. A Direção do SEAE responsável pela segurança apoia o presidente na sua função e presta assistência administrativa, quando necessário, aos procedimentos do Comité.
   2.   O Comité de Segurança do SEAE será composto por representantes:
   
               —
            
            
               de todos os Estados-Membros,
            
         
               —
            
            
               do Gabinete de Segurança do Secretariado-Geral do Conselho;
            
         
               —
            
            
               da Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão.
            
         Uma delegação de um Estado-Membro para o Comité de Segurança do SEAE pode ser composta por membros:
   
               —
            
            
               da Autoridade Nacional de Segurança e/ou a Autoridade de Segurança Designada,
            
         
               —
            
            
               dos departamentos responsáveis pela segurança nos Ministérios de Negócios Estrangeiros.
            
         3.   Os representantes do Comité podem ser acompanhados e aconselhados por peritos se considerarem necessário. Os representantes de outras instituições, agências ou órgãos da UE podem ser convidados a participar em debates sobre questões pertinentes para a sua segurança.
   4.   Sem prejuízo do disposto no n.o 5, o Comité de Segurança do SEAE deverá assistir o SEAE, através de consultas, em todas as questões de segurança relevantes para as atividades do SEAE, para a sede e as delegações da União.
   Em particular, sem prejuízo do disposto no n.o 5, o Comité de Segurança do SEAE:
   
               a)
            
            
               É consultado sobre:
               
                           —
                        
                        
                           políticas de segurança, diretrizes, conceitos ou outros documentos metodológicos relativos à segurança, nomeadamente no que respeita à proteção de informações classificadas e às medidas a tomar em caso de incumprimento das regras de segurança por parte do pessoal do SEAE;
                        
                     
                           —
                        
                        
                           aspetos de segurança técnica que possam influenciar a decisão da AR de apresentar uma recomendação ao Conselho para a abertura de negociações para acordos de segurança das informações a que se refere o artigo 10.o, n.o 1, alínea a), do anexo A;
                        
                     
                           —
                        
                        
                           eventuais alterações à presente decisão.
                        
                     
         
               b)
            
            
               Pode ser consultado ou informado, sempre que adequado, acerca de assuntos relacionados com a segurança do pessoal e dos ativos na sede do SEAE e nas delegações da União, sem prejuízo do disposto no artigo 3.o, n.o 3;
            
         
               c)
            
            
               Deve ser informado de quaisquer comprometimentos ou perdas de ICUE ocorridas no SEAE.
            
         5.   Qualquer alteração às regras relacionadas com a proteção das ICUE constantes da presente decisão e do respetivo anexo A necessitam de um parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE. Tal parecer favorável por unanimidade é também necessário antes de:
   
               —
            
            
               iniciar negociações de convénios administrativos a que se refere o artigo 10.o, n.o 1, alínea b) do anexo A,
            
         
               —
            
            
               divulgar informações classificadas nas circunstâncias excecionais referidas no n.os 9, 11 e 12 do anexo A VI,
            
         
               —
            
            
               assumir a responsabilidade como entidade de origem das informações nas circunstâncias referidas no artigo 10.o, n.o 6, última frase, do anexo A.
            
         Quando for necessário um parecer favorável unânime, tal será conseguido quando não forem formuladas objeções pelas delegações dos Estados-Membros durante os procedimentos do Comité.
   6.   O Comité de Segurança do SEAE terá plenamente em conta as políticas e orientações em matéria de segurança em vigor no Conselho e na Comissão.
   7.   O Comité de Segurança do SEAE recebe a lista das inspeções anuais do SEAE e, quando finalizados, os relatórios das inspeções.
   8.   Organização das reuniões:
   
               —
            
            
               O Comité de Segurança do SEAE reúne-se pelo menos duas vezes por ano. As reuniões adicionais, na sua configuração de pleno direito ou em ANS/ASD ou em formato de segurança do MNE, podem ser organizadas pelo Presidente ou solicitadas pelos membros do Comité;
            
         
               —
            
            
               O Comité de Segurança do SEAE organiza as suas atividades de forma a poder formular recomendações sobre domínios de segurança específicos. Pode estabelecer outras subformações especializadas, consoante as necessidades. O Comité define os mandatos dessas subformações especializadas, as quais lhe apresentam relatórios das suas atividades;
            
         
               —
            
            
               À Direção do SEAE responsável pela segurança incumbirá preparar tópicos para debate. O presidente fixa a ordem de trabalhos provisória de cada reunião. Os membros do Comité podem propor tópicos adicionais para discussão.
            
         Artigo 16.o
   
   Inspeções de segurança
   1.   A Autoridade de Segurança do SEAE assegura a realização de inspeções de segurança periódicas, na sede do SEAE e nas delegações da União a fim de avaliar a adequação das medidas de segurança e de verificar a sua conformidade com a presente decisão. A Direção do SEAE responsável pela segurança pode, se adequado, destacar peritos auxiliares para participar nas inspeções de segurança às agências e aos órgãos da UE instituídos ao abrigo do disposto no Capítulo 2 do Título V do TUE.
   2.   As Inspeções de Segurança do SEAE são realizadas sob a autoridade da Direção do SEAE responsável pela segurança e, se adequado, com o apoio de peritos em segurança em representação de outras instituições ou Estados-Membros da UE, nomeadamente no contexto dos convénios referidos no artigo 3.o, n.o 3.
   3.   O SEAE pode recorrer, se necessário, aos conhecimentos especializados dos Estados-Membros, do Secretariado-Geral do Conselho e da Comissão.
   Quando necessário, podem convidar-se peritos em segurança competentes sediados em Missões de Estados-Membros em Estados terceiros e/ou representantes dos departamentos de segurança diplomática dos Estados-Membros a participar na inspeção de segurança da delegação da União.
   4.   As regras de execução deste artigo no que respeita à proteção de ICUE são estabelecidas no anexo A III.
   Artigo 17.o
   
   Visitas de Avaliação
   São organizadas visitas de avaliação para avaliar a eficácia das medidas de segurança aplicadas num Estado terceiro ou organização internacional para proteção das ICUE trocadas ao abrigo de um convénio administrativo a que se refere o artigo 10.o, n.o 1, alínea b), do anexo A.
   A Direção do SEAE responsável pela segurança pode destacar peritos auxiliares para participar em visitas de avaliação a Estados terceiros ou organizações internacionais com as quais a UE tenha concluído um Acordo de segurança das informações a que se refere o artigo 10.o, n.o 1, alínea a), do anexo A.
   Artigo 18.o
   
   Planeamento da continuidade das atividades
   A Direção do SEAE responsável pela segurança apoia a Autoridade de Segurança do SEAE na gestão dos aspetos ligados à segurança dos processos de continuidade das atividades do SEAE como parte integrante do planeamento global da continuidade das atividades do SEAE.
   Artigo 19.o
   
   Conselhos de viagem para missões no exterior da UE
   A Direção do SEAE responsável pela segurança assegura a disponibilidade de conselhos de viagem no que respeita a missões do pessoal sob responsabilidade do SEAE no exterior da UE, apoiando-se nos recursos de todos os serviços competentes do SEAE, em especial a Sala de Situação (SITROOM), o INTCEN, os departamentos geográficos e as delegações da União.
   A Direção do SEAE responsável pela segurança presta, a pedido e com base nos recursos supramencionados, aconselhamento de viagem específico no que respeita a missões do pessoal sob a responsabilidade do SEAE a Estados terceiros que apresentem um risco elevado ou um nível de risco mais elevado.
   Artigo 20.o
   
   Execução e reapreciação
   The EEAS security rules complement the EEAS rules for the protection of health and safety, as adopted by the High Representative.
   Artigo 21.o
   
   Implementation and review
   1.   A Autoridade de Segurança do SEAE aprova, após consulta com o Comité de Segurança do SEAE se adequado, diretrizes de segurança que estabeleçam eventuais medidas necessárias para a implementação destas regras no SEAE e cria as capacidades adequadas para abranger todos os aspetos da segurança, em estreita cooperação com as autoridades de segurança competentes dos Estados-Membros e com o apoio dos serviços competentes das Instituições da UE.
   2.   Em conformidade com o disposto no do artigo 4.o, n.o 5 da Decisão 2010/427/UE do Conselho, de 26 de julho de 2010, que estabelece a organização e o funcionamento do Serviço Europeu para a Ação Externa, pode recorrer-se, se necessário, a disposições transitórias através de acordos a nível dos serviços com os serviços competentes do Secretariado-Geral do Conselho e da Comissão.
   3.   A AR garante a coerência global na aplicação da presente decisão e reaprecia regularmente as presentes regras de segurança.
   4.   As regras de segurança do SEAE devem ser implementadas em estreita colaboração com as autoridades dos Estados-Membros competentes em matéria de segurança.
   5.   O SEAE assegura que todos os aspetos do processo de segurança são considerados no sistema do SEAE de resposta a situações de crise.
   6.   O secretário-geral, na sua qualidade de Autoridade de Segurança, e o chefe da Direção do SEAE responsável pela segurança devem assegurar a aplicação da presente decisão.
   Artigo 22.o
   
   Substituição de decisões anteriores
   A presente decisão revoga e substitui a Decisão da Alta-Representante da União para os Negócios Estrangeiros e a Política de Segurança, de 19 de abril de 2013, relativa às regras de segurança aplicáveis ao Serviço Europeu para a Ação Externa (5).
   Artigo 23.o
   
   Disposições finais
   A presente decisão entra em vigor na data da sua assinatura.
   A presente decisão é publicada no Jornal Oficial da União Europeia.
   As autoridades competentes no SEAE informam devida e prontamente todo o pessoal abrangido pela presente decisão e respetivos anexos, acerca do conteúdo, entrada em vigor e eventuais alterações subsequentes.
   
      Feito em Bruxelas, em 19 de setembro de 2017.
      
         Federica MOGHERINI
         
            Alta-Representante da União para os Negócios Estrangeiros e a Política de Segurança
         
      
   
   
      (1)  JO L 201 de 3.8.2010, p. 30.
   
      (2)  JO C 304 de 15.10.2011, p. 7.
   
      (3)  Estatuto dos Funcionários da União Europeia e o Regime Aplicável aos Outros Agentes da União Europeia, estabelecidos pelo Regulamento (CEE, Euratom, CECA) n.o 259/68 do Conselho (JO L 56 de 4.3.1968, p. 1), a seguir designado «o Estatuto».
   
      (4)  Regulamento (CE) n.o 45/2001 do Parlamento Europeu e do Conselho, de 18 de dezembro de 2000, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos comunitários e à livre circulação desses dados (JO L 8 de 12.1.2001, p. 1).
   
      (5)  JO C 190 de 29.6.2013, p. 1.
   
      ANEXO A
      
         PRINCÍPIOS E NORMAS PARA A PROTEÇÃO DE ICUE
      
      Artigo 1.o
      
      Objetivo, âmbito de aplicação e definições
      1.   O presente anexo define os princípios básicos e as normas mínimas de segurança aplicáveis à proteção das ICUE.
      2.   Estes princípios básicos e normas mínimas são aplicáveis ao SEAE e ao pessoal sob a responsabilidade do SEAE, tal como referido e definido respetivamente nos artigos 1.o e 2.o da presente decisão.
      Artigo 2.o
      
      Definição de ICUE, classificações e marcas de segurança
      1.   Entende-se por «informações classificadas da UE» (ICUE) quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros.
      2.   As ICUE são classificadas num dos seguintes níveis:
      a)   TRES SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excecionalmente grave os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
      b)   SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
      c)   CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
      d)   RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros.
      3.   As ICUE devem ostentar uma marca de classificação de segurança em conformidade com o n.o 2. Podem ostentar marcas adicionais que designem o domínio de atividade a que se referem, identifiquem a entidade de origem, limitem a distribuição, restrinjam a utilização ou indiquem a comunicabilidade.
      Artigo 3.o
      
      Gestão das classificações
      1.   O SEAE garante que as ICUE sejam devidamente classificadas e claramente identificadas como informações classificadas e mantenham o seu nível de classificação durante o tempo necessário.
      2.   As ICUE não podem ser desgraduadas nem desclassificadas e nenhuma das marcas a que se refere o artigo 2.o, n.o 3, pode ser alterada ou suprimida sem o consentimento prévio escrito da entidade de origem.
      3.   A Autoridade de Segurança do SEAE aprova, após consulta do Comité de Segurança do SEAE em conformidade com o artigo 15.o, n.o 5, da presente decisão, diretrizes de segurança para a produção de ICUE, que compreende um guia prático de classificação.
      Artigo 4.o
      
      Proteção das informações classificadas
      1.   As ICUE são protegidas em conformidade com a presente decisão.
      2.   O detentor de quaisquer ICUE é responsável pela sua proteção nos termos da presente decisão.
      3.   Quando os Estados-Membros introduzirem nas estruturas ou redes do SEAE informações classificadas que ostentem uma marca de classificação de segurança nacional, o SEAE deve proteger essas informações em conformidade com os requisitos aplicáveis às ICUE de nível equivalente, como estabelecido na tabela de equivalências das classificações de segurança constante do apêndice B.
      O SEAE estabelece procedimentos adequados para manter registos rigorosos relativos à entidade de origem de
      
                  —
               
               
                  informações classificadas recebidas pelo SEAE; e
               
            
                  —
               
               
                  material de referência incluído em informações classificadas emanadas do SEAE.
               
            O Comité de Segurança do SEAE será informado acerca destes procedimentos.
      4.   As grandes quantidades ou o acervo de ICUE podem justificar um nível de proteção correspondente a uma classificação mais elevada do que a dos seus componentes.
      Artigo 5.o
      
      Segurança do pessoal para manuseamento de informações classificadas da UE
      1.   Garantir a segurança do pessoal consiste na aplicação de medidas que garantam que o acesso às ICUE só seja concedido a pessoas que:
      
                  —
               
               
                  tenha necessidade de tomar conhecimento das informações;
               
            
                  —
               
               
                  para efeitos de acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, possuam a credenciação de segurança para o nível adequado ou outra autorização devidamente emitida em virtude das funções que exercem, nos termos das disposições legislativas e regulamentares nacionais; e
               
            
                  —
               
               
                  tenham sido informadas das responsabilidades que lhe cabem.
               
            2.   Os procedimentos de Credenciação de Segurança do Pessoal (CSP) visam determinar se uma pessoa, tendo em conta a sua lealdade, idoneidade e fiabilidade, pode ser autorizada a aceder a ICUE.
      3.   Todas as pessoas são informadas das suas responsabilidades no que respeita à proteção das ICUE nos termos da presente decisão e reconhecem essas mesmas responsabilidades, por escrito, antes de lhes ser facultado o acesso a ICUE e, posteriormente, de forma periódica.
      4.   As regras de execução do presente artigo são estabelecidas no anexo A I.
      Artigo 6.o
      
      Segurança física das informações classificadas da UE
      1.   A segurança física consiste na aplicação de medidas físicas e técnicas de proteção destinadas a dissuadir o acesso não autorizado a ICUE.
      2.   São adotadas medidas de segurança física para impedir a entrada sub-reptícia ou forçada de intrusos, dissuadir, impedir e detetar ações não autorizadas e permitir uma diferenciação do pessoal no que se refere ao acesso a ICUE, segundo o princípio da necessidade de tomar conhecimento de tais informações. Essas medidas são determinadas com base num processo de gestão de riscos.
      3.   São aplicadas medidas de segurança física em todas as instalações, edifícios, gabinetes, salas e outras zonas onde sejam manuseadas ou armazenadas ICUE, nomeadamente zonas em que se encontrem sistemas de comunicação e de informação, tal como definidos no artigo 8.o, n.o 2, do anexo A.
      4.   As zonas em que estejam armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são instituídas como zonas de segurança, nos termos do anexo A II, e aprovadas pela Autoridade de Segurança do SEAE.
      5.   Só são utilizados equipamentos ou dispositivos aprovados para proteger as ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou superior.
      6.   As regras de execução do presente artigo são estabelecidas no anexo A II.
      Artigo 7.o
      
      Gestão das informações classificadas
      1.   A gestão das informações classificadas consiste na aplicação de medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida para complementar as medidas previstas nos artigos 5.o, 6.o e 8.o e contribuir, deste modo, para dissuadir e detetar a perda ou o comprometimento deliberados ou acidentais de informações e para as recuperar em caso de perda ou comprometimento. Estas medidas dizem respeito, em especial, à produção, registo, cópia, tradução, transporte, manuseamento, armazenamento e destruição de ICUE.
      2.   As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são registadas, para fins de segurança, antes da distribuição e no momento da receção. Para o efeito, as autoridades competentes do SEAE criam um sistema de registo. As informações com classificação TRÈS SECRET UE/EU TOP SECRET devem ser inscritas em registos próprios.
      3.   Os serviços e instalações em que se procede ao manuseamento ou armazenamento de ICUE são periodicamente inspecionados pela Autoridade de Segurança do SEAE.
      4.   As ICUE são transmitidas entre diferentes serviços e instalações fora do perímetro das zonas fisicamente protegidas de acordo com as regras a seguir enunciadas:
      
                  a)
               
               
                  Regra geral, as ICUE são transmitidas por meios eletrónicos protegidos por produtos criptográficos aprovados nos termos do artigo 7.o n.o 5, da presente decisão e de acordo com Procedimentos Operacionais de Segurança (POS) claramente definidos;
               
            
                  b)
               
               
                  Se não se utilizarem os meios referidos na alínea a), as ICUE são transportadas:
                  
                              i)
                           
                           
                              em suporte eletrónico (chaves USB, CD, discos rígidos) protegido por produtos criptográficos aprovados nos termos do artigo 8.o n.o 5, da presente decisão; ou
                           
                        
                              ii)
                           
                           
                              nos demais casos, nas condições estipuladas pela Autoridade de Segurança do SEAE, de acordo com as medidas de proteção pertinentes estabelecidas na secção V do anexo A III.
                           
                        
            5.   As regras de execução do presente artigo são estabelecidas no anexo A III.
      Artigo 8.o
      
      Proteção de ICUE manuseadas nos sistemas de comunicação e informação
      1.   A garantia da informação (GI) no domínio dos sistemas de comunicação e informação consiste na confiança em que esses sistemas protegem as informações neles manuseadas e funcionam como for necessário, quando for necessário, sob o controlo de utilizadores legítimos. Uma GI eficaz deve assegurar níveis adequados de confidencialidade, integridade, disponibilidade, não rejeição e autenticidade. A GI baseia-se num processo de gestão de risco.
      2.   Entende-se por «sistema de comunicação e informação (SCI)» um sistema que permita o manuseamento automatizado de informações. Um sistema de comunicação e informação compreende todos os recursos necessários ao seu funcionamento, designadamente a infraestrutura, a organização, o pessoal e os recursos em matéria de informação. O presente anexo é aplicável a qualquer SCI do SEAE em que sejam manuseadas ICUE.
      3.   As ICUE são manuseados pelos SCI de acordo com o conceito de GI.
      4.   Todos os SCI que manuseiem ICUE devem ser submetidos a um processo de acreditação. A acreditação visa obter a garantia de que foram implementadas todas as medidas de segurança adequadas e de que foi alcançado um nível suficiente de proteção das ICUE e do próprio SCI, nos termos da presente decisão. A declaração de acreditação determina o nível máximo de classificação das informações que podem ser manuseadas pelo SCI, bem como os termos e condições correspondentes.
      5.   Os SCI em que sejam manuseadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são protegidos de forma a impedir o comprometimento das informações devido a emanações electromagnéticas não intencionais («medidas de segurança TEMPEST»).
      6.   Quando a proteção de ICUE for assegurada por produtos criptográficos, estes são aprovados em conformidade com o artigo 8.o, n.o 5, da presente decisão.
      7.   Durante a transmissão de ICUE por via eletrónica, são utilizados produtos criptográficos aprovados. Não obstante este requisito, podem ser aplicados procedimentos específicos em circunstâncias de emergência ou configurações técnicas específicas, nos termos do anexo A IV.
      8.   Em conformidade com o artigo 8.o, n.o 6, da presente decisão, as seguintes funções em matéria de GI serão criadas na medida do necessário:
      
                  a)
               
               
                  Autoridade de GI (AGI);
               
            
                  b)
               
               
                  Autoridade TEMPEST (AT);
               
            
                  c)
               
               
                  Autoridade de Aprovação Criptográfica (AAC);
               
            
                  d)
               
               
                  Autoridade de Distribuição Criptográfica (ADC).
               
            9.   Ao abrigo do artigo 8.o, n.o 7 da presente decisão, será criado, para cada sistema:
      
                  a)
               
               
                  Uma Autoridade de Acreditação de Segurança (AAS);
               
            
                  b)
               
               
                  Uma Autoridade Operacional de GI.
               
            10.   As regras de execução do presente artigo são estabelecidas no anexo A IV.
      Artigo 9.o
      
      Segurança industrial
      1.   Entende-se por «segurança industrial» a aplicação de medidas destinadas a garantir a proteção das ICUE pelos contratantes ou subcontratantes no âmbito das negociações pré-contratuais e durante a vigência de contratos classificados. Estes contratos não devem, regra geral, envolver o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET.
      2.   O SEAE pode confiar tarefas que envolvam ou impliquem o acesso a ICUE ou o seu manuseamento ou armazenamento a entidades industriais ou outras registadas num Estado-Membro ou num Estado terceiro que tenha celebrado um acordo de segurança das informações ou um convénio administrativo a que se refere o artigo 10.o, n.o 1 do anexo A.
      3.   Ao adjudicar contratos classificados a entidades industriais ou outras, o SEAE, na qualidade de entidade contratante, garante o cumprimento das normas mínimas de segurança industrial estabelecidas na presente decisão, às quais o contrato fará referência. Assegura o cumprimento dessas tais normas mínimas através das ANS/ASD competentes.
      4.   Os contratantes ou subcontratantes registados num Estado-Membro que participem na execução de contratos ou subcontratos classificados que exijam o manuseamento e armazenamento de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dentro das suas próprias instalações, seja na execução do contrato, seja na fase pré-contratual, deverão possuir uma Credenciação de Segurança da Empresa (CSE) para o nível de classificação adequado, concedida pela ANS, pela ASD ou por qualquer outra autoridade de segurança competente do respetivo Estado-Membro.
      5.   O pessoal do contratante ou subcontratante que tenha de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET para a execução de contratos classificados deve possuir uma CSP, emitida pela respetiva Autoridade Nacional de Segurança (ANS), Autoridade de Segurança Designada (ASD) ou por qualquer outra autoridade de segurança competente nos termos das disposições legislativas e regulamentares nacionais e das normas mínimas estabelecidas no anexo A I.
      6.   As regras de execução do presente artigo são estabelecidas no anexo A V.
      Artigo 10.o
      
      Intercâmbio de informações classificadas com Estados terceiros e organizações internacionais
      1.   O SEAE só pode trocar ICUE com um Estado terceiro ou uma organização internacional se:
      
                  a)
               
               
                  Estiver em vigor um acordo de segurança das informações entre a UE e um Estado terceiro ou organização internacional, celebrado nos termos do artigo 37.o do TUE e do artigo 218.o do TFUE; ou
               
            
                  b)
               
               
                  Estiver em vigor um convénio administrativo entre a AR e as autoridades de segurança competentes do respetivo Estado terceiro ou organização internacional, para o intercâmbio de informações com classificação, em princípio, não superior a RESTREINT UE/EU RESTRICTED, celebrado em conformidade com o procedimento definido no artigo 15.o, n.o 5 da presente decisão; ou
               
            
                  c)
               
               
                  For aplicável um acordo-quadro de participação ou um acordo de participação ad hoc entre a UE e o respetivo Estado terceiro no contexto de uma operação PCSD de gestão de crises, celebrado nos termos do artigo 37.o do TUE e do artigo 218.o do TFUE,
               
            e as condições definidas nesse instrumento forem cumpridas.
      As exceções à regra geral supramencionada são estabelecidas na secção V do anexo A VI.
      2.   Os convénios administrativos a que se refere o n.o 1, alínea b), contêm disposições destinadas a assegurar que, ao receberem ICUE, os Estados terceiros e as organizações internacionais concedam a essas informações uma proteção adequada ao respetivo nível de classificação e obedeçam a normas mínimas não menos rigorosas do que as estabelecidas na presente decisão.
      O intercâmbio de informações com base em acordos a que se refere o n.o 1, alínea c) deve ser limitado a informações respeitantes a operações PCSD em que o Estado terceiro em questão participa com base neste acordos e em conformidade com as respetivas disposições.
      3.   Se for posteriormente celebrado um acordo de segurança das informações entre a União e um Estado terceiro ou organização internacional participante, esse acordo substitui-se à disposição sobre o intercâmbio de informações classificadas estabelecida em qualquer acordo-quadro de participação, acordo de participação ad hoc ou convénio administrativo ad hoc no que diz respeito ao intercâmbio e manuseamento de ICUE.
      4.   As ICUE produzidas para efeitos de uma operação PCSD podem ser divulgadas ao pessoal destacado para a operação por Estados terceiros ou organizações internacionais, nos termos dos pontos 1 a 3 e do anexo A VI. Se o referido pessoal for autorizado a aceder a ICUE nas instalações ou no SCI de uma operação PCSD, devem ser aplicadas medidas (que incluam o registo das ICUE divulgadas) para atenuar o risco de perda ou comprometimento. Essas medidas serão definidas nos documentos de planeamento ou de missão pertinentes.
      5.   São organizadas visitas a Estados terceiros ou organizações internacionais, a que se refere o artigo 17.o da presente decisão, a fim de avaliar a eficácia das medidas de segurança aplicadas para proteção das ICUE trocadas.
      6.   A decisão de comunicar ICUE detidas pelo SEAE a um Estado terceiro ou a uma organização internacional é tomada caso a caso, em função da natureza e do teor dessas informações, da necessidade que o destinatário tenha de tomar conhecimento das mesmas e das vantagens que daí advenham para a UE.
      O SEAE deve solicitar o consentimento escrito de qualquer entidade que tenha fornecido informações classificadas como material de referência para ICUE de que a SEAE seja a entidade de origem, a fim de determinar que não existem objeções à comunicação das mesmas.
      Se as informações classificadas cuja comunicação se pretende não emanarem do SEAE, este solicita à entidade de origem que dê, por escrito, o consentimento prévio para a sua comunicação.
      Todavia, se o SEAE não conseguir identificar a entidade de origem, a Autoridade de Segurança do SEAE assume a responsabilidade em seu lugar, após obtenção do parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE.
      7.   As regras de execução do presente artigo são estabelecidas no anexo A VI.
      Artigo 11.o
      
      Quebras de segurança e comprometimento de informações classificadas
      1.   Qualquer quebra ou suspeita de quebra de segurança e qualquer comprometimento ou suspeita de comprometimento de informações classificadas será imediatamente comunicada(o) à Direção do SEAE responsável pela segurança, que do facto informará o(s) Estado(s)-Membro(s) em questão, ou qualquer outra entidade afetada.
      2.   Quando se saiba ou haja motivos razoáveis para suspeitar que informações classificadas foram comprometidas ou perdidas, o pessoal da Direção do SEAE responsável pela segurança informará as ANS do(s) Estado(s)-Membro(s) em causa e tomará todas as medidas adequadas, nos termos das disposições legislativas e regulamentares pertinentes, para:
      
                  a)
               
               
                  Proteger os elementos de prova;
               
            
                  b)
               
               
                  Garantir que o caso seja investigado por elementos do pessoal não diretamente envolvidos na quebra de segurança ou no comprometimento, a fim de determinar os factos ocorridos;
               
            
                  c)
               
               
                  Informar imediatamente a entidade de origem ou qualquer outra entidade em causa;
               
            
                  d)
               
               
                  Tomar as medidas adequadas para impedir novas ocorrências;
               
            
                  e)
               
               
                  Avaliar os danos eventualmente causados aos interesses da UE ou dos Estados-Membros; e
               
            
                  f)
               
               
                  Notificar as autoridades competentes dos efeitos de casos concretos ou de suspeitas de comprometimento e da ação tomada.
               
            3.   Os membros do pessoal sob a responsabilidade do SEAE que são responsáveis pela violação das regras de segurança estabelecidas na presente decisão são passíveis de ação disciplinar nos termos das disposições regulamentares aplicáveis.
      Quem for responsável pelo comprometimento ou pela perda de informações classificadas é passível de ação disciplinar e/ou judicial nos termos das disposições legislativas e regulamentares aplicáveis.
      4.   No decorrer de um inquérito sobre um comprometimento e/ou quebra de segurança, o chefe da Direção do SEAE responsável pela segurança pode suspender o acesso da pessoa em questão às ICUE e às instalações do SEAE. A Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão, o Gabinete de Segurança do Secretariado-Geral do Conselho ou a ANS do(s) Estado(s)-Membro(s) ou outra entidade competente, devem ser imediatamente informados da referida decisão.
      
         ANEXO A I
         
            SEGURANÇA DO PESSOAL
         
         I.   INTRODUÇÃO
         
                  
                     1.
                  
                  
                     O presente anexo estabelece as regras de execução do artigo 5.o do Anexo A. Nele se definem não só os critérios a ter em conta pelo SEAE para determinar se, com base nas sua lealdade, idoneidade e fiabilidade, uma determinada pessoa pode ser autorizada a ter acesso a ICUE, mas também os procedimentos administrativos e de inquérito a seguir para esse efeito.
                  
               
                  
                     2.
                  
                  
                     A «Credenciação de Segurança do Pessoal» (CSP) para acesso a ICUE consiste numa declaração de uma autoridade competente de um Estado-Membro feita depois de concluído um inquérito de segurança conduzido pelas autoridades competentes de um Estado-Membro, e pela qual se atesta que uma dada pessoa pode aceder a ICUE até um determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, desde que tenha sido comprovada a sua «necessidade de tomar conhecimento»; diz-se da pessoa nestas condições que «possui credenciação de segurança».
                  
               
                  
                     3.
                  
                  
                     O «Certificado de Credenciação de Segurança do Pessoal» (CCSP) é um certificado emitido pela autoridade de segurança do SEAE que indica a credenciação de segurança de uma pessoa e apresenta o nível de ICUE a que a mesma pode ter acesso, o período de validade da CSP e o prazo de validade do próprio certificado.
                  
               
                  
                     4.
                  
                  
                     A «Autorização para acesso a ICUE» é uma autorização dada pela Autoridade de Segurança do SEAE, tomada nos termos da presente decisão após emissão de uma CSP pelas autoridades competentes de um Estado-Membro, e pela qual se atesta que uma dada pessoa pode aceder a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, desde que tenha sido comprovada a sua «necessidade de tomar conhecimento»; diz-se da pessoa nestas condições que «possui credenciação de segurança».
                  
               II.   AUTORIZAÇÃO DE ACESSO ÀS ICUE
         
                  
                     5.
                  
                  
                     O acesso a informações com classificação RESTREINT UE/EU RESTRICTED não exige uma credenciação de segurança e é concedido após:
                     
                                 a)
                              
                              
                                 Identificação do vínculo de natureza estatuária ou contratual ao SEAE;
                              
                           
                                 b)
                              
                              
                                 Confirmação da necessidade de tomar conhecimento de tais informações;
                              
                           
                                 c)
                              
                              
                                 Comunicação das regras e procedimentos de segurança aplicáveis à proteção das ICUE à pessoa e reconhecimento pela mesma, por escrito, das suas responsabilidades no que respeita à proteção dessas informações em conformidade com a presente decisão.
                              
                           
               
                  
                     6.
                  
                  
                     Ninguém pode ser autorizado a ter acesso a informações da UE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior sem:
                     
                                 a)
                              
                              
                                 A identificação do vínculo de natureza estatuária ou contratual ao SEAE;
                              
                           
                                 b)
                              
                              
                                 Ter ficado comprovada a sua necessidade de tomar conhecimento de tais informações;
                              
                           
                                 c)
                              
                              
                                 Lhe tenha sido conferida a CSP para o nível adequado ou outra autorização devidamente emitida em virtude das funções que exerce nos termos das disposições legislativas e regulamentares nacionais; e
                              
                           
                                 d)
                              
                              
                                 Tenha sido informado das regras e procedimentos de segurança aplicáveis à proteção das ICUE e tenha reconhecido, por escrito, as suas responsabilidades no que respeita à proteção dessas informações.
                              
                           
               
                  
                     7.
                  
                  
                     O SEAE identificará os cargos que, nas respetivas estruturas, exigem o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior e para os quais é, por esse motivo, necessária uma CSP para o nível adequado, a que se refere o supramencionado n.o 4.
                  
               
                  
                     8.
                  
                  
                     O pessoal do SEAE deve declarar se têm cidadania em mais do que um país.
                  
               
            Procedimento de solicitação de CSP no SEAE
         
         
                  
                     9.
                  
                  
                     No que respeita ao pessoal do SEAE, a Autoridade de Segurança do SEAE enviará o questionário de segurança do pessoal, preenchido, à ANS do Estado-Membro de nacionalidade da pessoa, solicitando que seja levado a cabo um inquérito de segurança para o nível de ICUE às quais a pessoa necessitará de acesso.
                  
               
                  
                     10.
                  
                  
                     Quando uma pessoa tiver cidadania em mais do que um país, o pedido de verificação será endereçado à ANS do país correspondente à nacionalidade a partir da qual a pessoa foi recrutada.
                  
               
                  
                     11.
                  
                  
                     Se o SEAE tomar conhecimento de informações relevantes para o inquérito de segurança a respeito de alguém que tenha solicitado uma CSP, o SEAE informará desse facto a ANS competente, nos termos das regras e regulamentações pertinentes.
                  
               
                  
                     12.
                  
                  
                     Após a conclusão do inquérito de segurança, a ANS competente notifica a Direção do SEAE responsável pela segurança do resultado do referido inquérito.
                     
                                 a)
                              
                              
                                 Se o inquérito de segurança concluir que não há garantidamente conhecimento de fatores desfavoráveis que ponham em dúvida a lealdade, a idoneidade e a fiabilidade da pessoa, a Autoridade de Segurança do SEAE pode conceder à pessoa em questão uma autorização para aceder a ICUE até ao nível adequado e até determinada data;
                              
                           
                                 b)
                              
                              
                                 O SEAE toma todas as medidas adequadas para assegurar que as condições ou restrições impostas pela ANS sejam devidamente aplicadas. A ANS é informada do resultado;
                              
                           
                                 c)
                              
                              
                                 Se o inquérito de segurança não concluir pela existência dessa garantia, a Autoridade de Segurança do SEAE notificará do facto a pessoa em causa, que poderá pedir para ser ouvida pela referida Autoridade. A Autoridade de Segurança do SEAE poderá pedir à ANS competente outros esclarecimentos que esta possa prestar nos termos das respetivas disposições legislativas e regulamentares nacionais. Se as conclusões se confirmarem, não será concedida uma autorização para acesso a ICUE. Nesse caso, o SEAE toma todas as medidas adequadas para que seja negado ao requerente o acesso a ICUE.
                              
                           
               
                  
                     13.
                  
                  
                     O inquérito de segurança, em conjunto com os resultados obtidos, nos quais o SEAE baseia a sua decisão de conceder ou não uma autorização para acesso a ICUE, ficará sujeito às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela Autoridade de Segurança do SEAE são passíveis de recurso nos termos do Estatuto do Pessoal.
                  
               
                  
                     14.
                  
                  
                     A garantia em que se baseia a CSP, desde que se mantenha válida, abrangerá quaisquer funções que a pessoa em causa venha a desempenhar no SEAE, no Secretariado-Geral do Conselho ou na Comissão.
                  
               
                  
                     15.
                  
                  
                     O SEAE aceita uma autorização de acesso a ICUE que seja concedida por qualquer outra instituição, organismo ou agência da União Europeia, desde que se mantenha válida. A autorização abrange quaisquer funções que a pessoa em causa venha a desempenhar no SEAE. A instituição, organismo ou agência da União Europeia na qual a pessoa assume funções informará a ANS competente da mudança de empregador.
                  
               
                  
                     16.
                  
                  
                     Se o período de serviço da pessoa não tiver começado no prazo de 12 meses a contar da notificação dos resultados do inquérito de segurança à Autoridade de Segurança do SEAE ou se houver uma interrupção de 12 meses ou mais no serviço durante a qual a pessoa não exerça funções no SEAE, em outras Instituições, agências ou órgãos da UE ou na administração de um Estado-Membro, que exija acesso a informações classificadas, os referidos resultados serão remetidos à ANS competente, para confirmação de que continuam a ser válidos e pertinentes.
                  
               
                  
                     17.
                  
                  
                     Se o SEAE tomar conhecimento de informações sobre a existência de um eventual risco para a segurança que provenha de alguém com uma CSP válida, o SEAE informará desse facto a ANS competente, nos termos das regras e regulamentações aplicáveis, e poderá suspender o acesso às ICUE ou retirar a autorização para lhes aceder. Quando a ANS comunicar ao SEAE que retirou a alguém que possui uma autorização válida para acesso a ICUE a garantia que lhe fora dada nos termos do ponto 12, alínea a), a Autoridade de Segurança do SEAE pode solicitar à ANS esclarecimentos que esta possa prestar nos termos das respetivas disposições legislativas e regulamentares nacionais. Se as informações desfavoráveis forem confirmadas, a autorização supramencionada será retirada e a pessoa em causa deixará de ter acesso às ICUE e afastada de funções no âmbito das quais esse acesso seja possível ou a pessoa possa prejudicar a segurança.
                  
               
                  
                     18.
                  
                  
                     A decisão de retirar uma autorização para acesso a ICUE a um membro do pessoal do SEAE e, se necessário, as razões subjacentes serão notificadas à pessoa em causa, que pode pedir para ser ouvida pela Autoridade de Segurança do SEAE. As informações prestadas pela ANS ficarão sujeitas às disposições legislativas e regulamentares pertinentes em vigor no Estado-Membro em questão, incluindo em matéria de recurso. As decisões tomadas pela Autoridade de Segurança do SEAE são passíveis de recurso nos termos do Estatuto do Pessoal.
                  
               
                  
                     19.
                  
                  
                     Os peritos nacionais destacados junto do SEAE para um cargo que exija o acesso a informações classificadas CONFIDENTIEL UE/EU CONFIDENTIAL ou de nível superior devem apresentar à Autoridade de Segurança do SEAE, antes de assumirem funções, uma CSP válida que dê acesso às ICUE. O processo supramencionado deve ser gerido pelo Estado-Membro remetente
                  
               
            Registos de CSP
         
         
                  
                     20.
                  
                  
                     O SEAE manterá uma base de dados com o estatuto de credenciação de segurança de todo o pessoal sob responsabilidade do SEAE e do pessoal dos contratantes do SEAE. Esses registos incluirão o nível das ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de concessão e o período de validade da CSP.
                  
               
                  
                     21.
                  
                  
                     Devem ser definidos procedimentos de coordenação adequados com os Estados-Membros e outras instituições, agências e órgãos da UE para garantir que o SEAE possui um registo rigoroso e abrangente dos estatutos de credenciação de segurança de todo o pessoal sob responsabilidade do SEAE e do pessoal dos contratantes do SEAE.
                  
               
                  
                     22.
                  
                  
                     A Autoridade de Segurança do SEAE poderá emitir um Certificado de Credenciação de Segurança do Pessoal (CCSP) que indique o nível de ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), o período de validade da CSP ou da autorização e o prazo de validade do certificado propriamente dito.
                  
               
            Isenção do requisito de CSP
         
         
                  
                     23.
                  
                  
                     Quem estiver devidamente autorizado a aceder a ICUE em virtude das funções que exerce nos termos das respetivas disposições legislativas e regulamentares nacionais deve ser informado pela Direção do SEAE responsável pela segurança, consoante adequado, das suas obrigações de segurança no que respeita à proteção das ICUE.
                  
               III.   FORMAÇÃO E SENSIBILIZAÇÃO PARA A SEGURANÇA
         
                  
                     24.
                  
                  
                     Antes de serem autorizadas a aceder a ICUE, todas as pessoas confirmarão por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. O SEAE conservará um registo dessas declarações escritas.
                  
               
                  
                     25.
                  
                  
                     Todas as pessoas autorizadas a aceder a ICUE ou que precisem de manusear ICUE serão inicialmente sensibilizadas e periodicamente informadas das ameaças existentes à segurança e deverão comunicar imediatamente às autoridades de segurança competentes qualquer atitude ou atividade que considerem suspeita ou pouco habitual.
                  
               
                  
                     26.
                  
                  
                     Todas as pessoas com acesso a ICUE são sujeitas a medidas contínuas de segurança do pessoal (isto é, acompanhamento posterior) durante o período em que manuseiam ICUE. A segurança contínua do pessoal é da responsabilidade de:
                     
                                 a)
                              
                              
                                 Pessoas com acesso a ICUE: as pessoas são pessoalmente responsáveis pela sua conduta de segurança e devem comunicar imediatamente às autoridades de segurança competentes qualquer atitude ou atividade que considerem suspeita ou pouco habitual e qualquer alteração na sua situação pessoal que possa afetar a sua CSP ou a autorização para acesso a ICUE.
                              
                           
                                 b)
                              
                              
                                 Superiores hierárquicos: são responsáveis por garantir que o pessoal tem conhecimento das medidas e responsabilidades de segurança para proteção das ICUE, por controlar a conduta de segurança do pessoal e por lidar pessoalmente com questões de segurança importantes ou comunicar às autoridades de segurança adequadas quaisquer informações adversas que possam afetar a CSP do pessoal ou a autorização para acesso a ICUE.
                              
                           
                                 c)
                              
                              
                                 Intervenientes no domínio da segurança da organização de segurança do SEAE a que se refere o artigo 12.o da presente decisão: são responsáveis por realizar reuniões de sensibilização em matéria de segurança para assegurar que o pessoal na sua área é informado periodicamente, por fomentar uma cultura de segurança forte na sua área de responsabilidade, por definir medidas de controlo da conduta de segurança do pessoal e por comunicar às autoridades de segurança adequadas quaisquer informações adversas que possam afetar a CSP de alguém.
                              
                           
                                 d)
                              
                              
                                 SEAE e Estados-Membros: criação dos canais necessários para comunicar informações que possam afetar a CSP ou a autorização para acesso a ICUE de alguém.
                              
                           
               
                  
                     27.
                  
                  
                     Quem deixar de exercer funções que exijam acesso a ICUE será informado de que deverá continuar a salvaguardar as ICUE, devendo, se necessário, confirmar por escrito essa sua obrigação.
                  
               IV.   CIRCUNSTÂNCIAS EXCECIONAIS
         
                  
                     28.
                  
                  
                     Por motivos de urgência devidamente justificados pelo interesse do SEAE e enquanto se aguarda a conclusão de um inquérito de segurança exaustivo, a Autoridade de Segurança do SEAE, após consulta à ANS do Estado-Membro de nacionalidade do interessado e sob reserva dos resultados da verificação inicial de que não há conhecimento de informações desfavoráveis, pode conceder aos funcionários e outros agentes do SEAE uma autorização temporária de acesso a ICUE para uma função específica. Deverá completar-se um inquérito de segurança exaustivo logo que possível. Essas autorizações temporárias terão uma validade não superior a seis meses e não permitirão o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET. Todas as pessoas a quem tiver sido concedida uma autorização temporária confirmarão por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. O SEAE conservará um registo dessas declarações escritas.
                  
               
                  
                     29.
                  
                  
                     Quando devam ser atribuídas a alguém funções que exijam uma CSP de nível superior ao que essa pessoa possui, a atribuição pode ser feita a título temporário, desde que:
                     
                                 a)
                              
                              
                                 A necessidade urgente de acesso a ICUE de nível superior seja justificada, por escrito, pelo superior hierárquico da pessoa em causa;
                              
                           
                                 b)
                              
                              
                                 O acesso seja limitado a ICUE específicas de apoio às funções exercidas;
                              
                           
                                 c)
                              
                              
                                 A pessoa em causa possua uma CSP válida;
                              
                           
                                 d)
                              
                              
                                 Tenham sido iniciados os trâmites necessários para obter autorização para o nível de acesso exigido para essas funções;
                              
                           
                                 e)
                              
                              
                                 A autoridade competente tenha feito verificações satisfatórias que tenham concluído que a pessoa em causa não infringiu as regras de segurança de forma grave nem reiterada;
                              
                           
                                 f)
                              
                              
                                 A atribuição de funções à pessoa em causa seja aprovada pela autoridade competente do SEAE;
                              
                           
                                 g)
                              
                              
                                 A ANS/ASD competente que emitiu a CSP da pessoa tenha sido consultada e não se tenha recebido qualquer objeção; e
                              
                           
                                 h)
                              
                              
                                 A exceção, incluindo uma descrição das informações para as quais tenha sido aprovado o acesso, seja averbada no registo competente ou num registo que dele dependa.
                              
                           
               
                  
                     30.
                  
                  
                     O procedimento acima descrito será utilizado para um único acesso a ICUE de nível superior àquele para o qual tenha sido concedida credenciação de segurança à pessoa em causa. Não se recorrerá repetidamente a este procedimento.
                  
               
                  
                     31.
                  
                  
                     Em circunstâncias muito excecionais, como as missões em ambiente hostil ou períodos de tensão internacional crescente, quando as medidas de emergência o exijam, especialmente para salvar vidas humanas, a AR, a Autoridade de Segurança do SEAE, ou o diretor-Geral do Orçamento e da Administração poderão conceder, por escrito, acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET a pessoas que não possuam a necessária CSP, desde que essa autorização seja absolutamente necessária. Será conservado registo desta autorização, com a descrição das informações para as quais tenha sido aprovado acesso.
                  
               
                  
                     32.
                  
                  
                     No caso de informações com classificação TRÈS SECRET UE/EU TOP SECRET, este acesso de emergência será limitado aos nacionais da UE que tenham sido autorizados a aceder ao equivalente nacional do nível TRÈS SECRET UE/EU TOP SECRET ou a informações com classificação SECRET UE/EU SECRET.
                  
               
                  
                     33.
                  
                  
                     O Comité de Segurança do SEAE será informado dos casos em que se recorra ao procedimento descrito nos pontos 31 e 32.
                  
               
                  
                     34.
                  
                  
                     Será anualmente apresentado ao Comité de Segurança do SEAE um relatório sobre o recurso aos procedimentos estabelecidos na presente secção.
                  
               V.   PARTICIPAÇÃO EM REUNIÕES NA SEDE DO SEAE E NAS DELEGAÇÕES DA UNIÃO.
         
                  
                     35.
                  
                  
                     As pessoas que devam participar em reuniões na sede do SEAE e nas delegações da União em que sejam discutidas informações com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior só poderão fazê-lo depois de confirmado o seu estatuto de CSP. No caso de representantes dos Estados-Membros, agentes do SGC e da Comissão, o CCSP, ou outra prova de CSP, será enviado pelas autoridades competentes à Direção do SEAE responsável pela segurança, ao Coordenador de Segurança da delegação da União ou, a título excecional, apresentado pela própria pessoa. Se necessário, poderá ser usada uma lista consolidada de nomes, com a indicação da prova de CSP competente.
                  
               
                  
                     36.
                  
                  
                     Se for retirada a CSP para efeitos de acesso a ICUE a alguém cuja presença seja necessária, em virtude das funções que exerce, em reuniões na sede do SEAE ou numa delegação da União em que se debatem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, a autoridade competente informará do facto o SEAE.
                  
               VI.   ACESSO POTENCIAL A ICUE
         
                  
                     37.
                  
                  
                     Quem for recrutado para trabalhar em circunstâncias em que possa ter acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior ficará sujeito aos procedimentos de credenciação de segurança adequados ou será permanentemente escoltado.
                  
               
                  
                     38.
                  
                  
                     Os estafetas, guardas e escoltas devem possuir a credenciação de segurança para o nível adequado ou então ser sujeitos a um inquérito adequado nos termos das disposições legislativas e regulamentares nacionais, ser informados, periodicamente, dos procedimentos de segurança aplicáveis à proteção das ICUE e do seu dever de proteção das informações que lhes forem confiadas ou a que possam ter acesso inadvertidamente.
                  
               
      
         ANEXO A II
         
            SEGURANÇA FÍSICA DAS INFORMAÇÕES CLASSIFICADAS DA UE
         
         I.   INTRODUÇÃO
         
                  
                     1.
                  
                  
                     O presente anexo estabelece as regras de execução do artigo 6.o do anexo A. Nele se definem os requisitos mínimos para a proteção física de instalações, edifícios, gabinetes, salas e outras zonas em que sejam manuseadas e armazenadas ICUE, e, nomeadamente, zonas que alberguem SCI.
                  
               
                  
                     2.
                  
                  
                     Serão definidas medidas de segurança física para impedir o acesso não autorizado a ICUE:
                     
                                 a)
                              
                              
                                 Assegurando que as ICUE sejam devidamente manuseadas e armazenadas;
                              
                           
                                 b)
                              
                              
                                 Permitindo a diferenciação do pessoal no que se refere ao acesso a ICUE com base na sua necessidade de tomar conhecimento de tais informações e, se for caso disso, na respetiva credenciação de segurança;
                              
                           
                                 c)
                              
                              
                                 Dissuadindo, impedindo e detetando ações não autorizadas; e
                              
                           
                                 d)
                              
                              
                                 Impedindo ou retardando a entrada sub-reptícia ou forçada de intrusos.
                              
                           
               II   REQUISITOS E MEDIDAS DE SEGURANÇA FÍSICA
         
                  
                     3.
                  
                  
                     O SEAE aplica um processo de gestão de risco à proteção das ICUE nas suas instalações, a fim de assegurar que seja concedido um nível de proteção física proporcional ao risco avaliado. No processo de gestão de risco serão tidos em conta todos os fatores pertinentes, nomeadamente:
                     
                                 a)
                              
                              
                                 O nível de classificação das ICUE;
                              
                           
                                 b)
                              
                              
                                 A forma e o volume das ICUE, tendo em conta que as grandes quantidades ou acervos de ICUE podem justificar a aplicação de medidas de proteção mais rigorosas;
                              
                           
                                 c)
                              
                              
                                 A envolvente e a estrutura dos edifícios ou zonas que albergam as ICUE;
                              
                           
                                 d)
                              
                              
                                 A avaliação de ameaças em países terceiros conforme desenvolvida pelo INTCEN com base em relatórios específicos das delegações da União, e
                              
                           
                                 e)
                              
                              
                                 A avaliação da ameaça representada pelos serviços de informações que tenham por alvo a UE ou os Estados-Membros e pelos atos de sabotagem ou de terrorismo, bem como por outras atividades subversivas ou criminosas.
                              
                           
               
                  
                     4.
                  
                  
                     A Autoridade de Segurança do SEAE, aplicando o conceito de defesa em profundidade, determina qual a combinação adequada de medidas de segurança física a implementar. Estas podem incluir uma ou mais das seguintes:
                     
                                 a)
                              
                              
                                 Perímetro: barreira física que resguarda os limites de uma zona que precisa de ser protegida;
                              
                           
                                 b)
                              
                              
                                 Sistemas de deteção de intrusos (IDS): podem ser utilizados IDS para aumentar o nível de segurança proporcionado pelo perímetro ou para substituir ou apoiar o pessoal de segurança em salas e edifícios;
                              
                           
                                 c)
                              
                              
                                 Controlo do acesso: o controlo do acesso poderá ser exercido em relação a um local, a um edifício ou edifícios de determinado local, ou a zonas ou salas de um edifício. O controlo poderá ser exercido por processos eletrónicos ou eletromecânicos, efetuado pelo pessoal de segurança e/ou por um rececionista, ou por quaisquer outros meios físicos;
                              
                           
                                 d)
                              
                              
                                 Pessoal de segurança: poderá nomeadamente recorrer-se a pessoal de segurança devidamente formado e supervisionado e, se necessário, com a devida credenciação de segurança para dissuadir todos aqueles que planeiem uma intrusão dissimulada;
                              
                           
                                 e)
                              
                              
                                 Televisão em circuito fechado (CCTV): o pessoal de segurança poderá utilizar um sistema de CCTV para verificar incidentes e alarmes de IDS em locais de grandes dimensões ou nos perímetros;
                              
                           
                                 f)
                              
                              
                                 Luzes de segurança: poderão ser utilizadas luzes de segurança para dissuadir potenciais intrusos e proporcionar a iluminação necessária para uma vigilância efetiva diretamente pelo pessoal de segurança ou indiretamente através de um sistema de CCTV; e
                              
                           
                                 g)
                              
                              
                                 Quaisquer outras medidas físicas adequadas destinadas a dissuadir ou detetar o acesso não autorizado ou evitar que as ICUE se percam ou sejam danificadas.
                              
                           
               
                  
                     5.
                  
                  
                     A Direção do SEAE responsável pela segurança pode ser autorizada a efetuar buscas nas entradas e saídas, que funcionarão como elemento dissuasor da introdução não autorizada de material ou da saída não autorizada de ICUE das instalações ou edifícios.
                  
               
                  
                     6.
                  
                  
                     Quando houver risco de olhares indiscretos sobre ICUE, mesmo que acidentalmente, serão tomadas as medidas necessárias para neutralizar esse risco.
                  
               
                  
                     7.
                  
                  
                     Na fase de planeamento e conceção de novas instalações, deverão ser definidos os requisitos de segurança física e as respetivas especificações funcionais. Em instalações já existentes, os requisitos de segurança física serão aplicados em toda a medida do possível.
                  
               III.   EQUIPAMENTO PARA A PROTEÇÃO FÍSICA DE ICUE
         
                  
                     8.
                  
                  
                     Aquando da aquisição de equipamento (por exemplo, contentores de segurança, máquinas trituradoras, fechaduras de porta, sistemas eletrónicos de controlo de acesso, sistemas de deteção de intrusos, sistemas de alarme) para proteção física das ICUE, a Autoridade de Segurança do SEAE certificar-se-á de que o equipamento satisfaz as normas técnicas e os requisitos mínimos aprovados.
                  
               
                  
                     9.
                  
                  
                     As especificações técnicas do equipamento a utilizar na proteção física de ICUE serão definidas em diretrizes de segurança a aprovar pelo Comité de Segurança do SEAE.
                  
               
                  
                     10.
                  
                  
                     Os sistemas de segurança serão regularmente sujeitos a inspeção e o equipamento será objeto de manutenção periódica. Nos trabalhos de manutenção serão tidos em conta os resultados das inspeções, a fim de garantir que o equipamento continue a funcionar nas melhores condições.
                  
               
                  
                     11.
                  
                  
                     Em cada inspeção será reavaliada a eficácia de cada medida de segurança e do sistema de segurança em geral.
                  
               IV.   ZONAS FISICAMENTE PROTEGIDAS
         
                  
                     12.
                  
                  
                     Serão estabelecidos dois tipos de zonas fisicamente protegidas, ou os seus equivalentes nacionais:
                     
                                 a)
                              
                              
                                 Zonas Administrativas; e
                              
                           
                                 b)
                              
                              
                                 Zonas de Segurança (incluindo as Zonas Tecnicamente Seguras).
                              
                           
               
                  
                     13.
                  
                  
                     A Autoridade de Segurança do SEAE determinará que uma zona determinada preenche os requisitos para ser designada Zona Administrativa, Zona de Segurança ou Zona Tecnicamente Segura.
                  
               
                  
                     14.
                  
                  
                     No caso das Zonas Administrativas:
                     
                                 a)
                              
                              
                                 Será estabelecido um perímetro definido visivelmente que permita o controlo de pessoas e, se possível, de veículos;
                              
                           
                                 b)
                              
                              
                                 Só poderão ter acesso sem escolta as pessoas devidamente autorizadas pela Direção do SEAE responsável pela segurança; e
                              
                           
                                 c)
                              
                              
                                 As demais pessoas serão escoltadas permanentemente ou sujeitas a controlos equivalentes.
                              
                           
               
                  
                     15.
                  
                  
                     No caso das Zonas de Segurança:
                     
                                 a)
                              
                              
                                 Será estabelecido um perímetro visivelmente definido, em que qualquer entrada ou saída será controlada por meio de um sistema de livre-trânsito ou de reconhecimento de pessoas;
                              
                           
                                 b)
                              
                              
                                 Só poderão ter acesso sem escolta pessoas titulares da devida credenciação de segurança para o nível em questão e especificamente autorizadas a entrar nessa zona por terem necessidade de tomar conhecimento das ICUE em causa;
                              
                           
                                 c)
                              
                              
                                 As demais pessoas serão escoltadas permanentemente ou sujeitas a controlos equivalentes.
                              
                           
               
                  
                     16.
                  
                  
                     Nos casos em que a entrada numa Zona de Segurança represente, para efeitos práticos, um acesso direto às informações classificadas que nela se encontrem, aplicam-se ainda os seguintes requisitos:
                     
                                 a)
                              
                              
                                 Deve haver uma indicação clara do nível de classificação de segurança mais elevado das informações normalmente conservadas nessa zona
                              
                           
                                 b)
                              
                              
                                 Todos os visitantes devem solicitar autorização específica para entrar nessa zona, ser escoltados permanentemente e possuir a devida credenciação de segurança, a menos que sejam tomadas medidas para assegurar que seja impossível aceder às ICUE;
                              
                           
                                 c)
                              
                              
                                 Os equipamentos eletrónicos deverão permanecer fora dessa zona.
                              
                           
               
                  
                     17.
                  
                  
                     As Zonas de Segurança a proteger contra escutas serão designadas Zonas Tecnicamente Seguras. A estas zonas aplicam-se ainda os seguintes requisitos:
                     
                                 a)
                              
                              
                                 Serão equipadas com sistemas de deteção de intrusos (IDS), fechadas à chave quando não estiverem ocupadas e guardadas quando ocupadas. Todas as chaves serão controladas de acordo com a secção VI do presente anexo;
                              
                           
                                 b)
                              
                              
                                 Serão sujeitas a controlo todas as pessoas ou material que nelas penetrem;
                              
                           
                                 c)
                              
                              
                                 Serão sujeitas a inspeção física e/ou técnica periódica, consoante o que a Autoridade de Segurança do SEAE exigir. Essa inspeção será igualmente efetuada na sequência de qualquer entrada não autorizada ou de suspeitas dessa possibilidade; e
                              
                           
                                 d)
                              
                              
                                 Serão desprovidas de dispositivos não autorizados como linhas de comunicação, telefones ou outros aparelhos de comunicação, bem como equipamento elétrico ou eletrónico.
                              
                           
               
                  
                     18.
                  
                  
                     Não obstante o disposto na alínea d) do ponto 17, e em circunstâncias em que a ameaça no que respeita às ICUE for considerada elevada, qualquer tipo de aparelho de comunicações e equipamento elétrico ou eletrónico será inspecionado pela Autoridade de Segurança do SEAE antes de ser utilizado em zonas onde decorram reuniões ou se trabalhe com informações com classificação SECRET UE/EU SECRET e superior, por forma a garantir que nenhuma informação inteligível seja transmitida por esse equipamento, ilícita ou inadvertidamente, para fora do perímetro da Zona de Segurança.
                  
               
                  
                     19.
                  
                  
                     As Zonas de Segurança que não estejam ocupadas por pessoal em serviço 24 horas por dia serão, se necessário, inspecionadas no final das horas normais de serviço e a intervalos aleatórios fora dessas horas, a menos que esteja instalado um sistema de deteção de intrusos.
                  
               
                  
                     20.
                  
                  
                     Poderão ser criadas temporariamente Zonas de Segurança e Zonas Tecnicamente Seguras no interior de uma Zona Administrativa determinada para a realização de uma reunião classificada ou para qualquer outro fim semelhante.
                  
               
                  
                     21.
                  
                  
                     Para cada Zona de Segurança serão estabelecidos procedimentos operacionais de segurança que estipulem:
                     
                                 a)
                              
                              
                                 O nível das ICUE que podem ser manuseadas ou armazenadas nessa zona;
                              
                           
                                 b)
                              
                              
                                 As medidas de vigilância e de proteção a manter;
                              
                           
                                 c)
                              
                              
                                 As pessoas autorizadas a aceder sem escolta à zona por terem necessidade de tomar conhecimento das ICUE em causa e possuírem a devida credenciação de segurança;
                              
                           
                                 d)
                              
                              
                                 Se necessário, os procedimentos respeitantes a escoltas ou à proteção das ICUE quando se autorize o acesso de outras pessoas a essa zona;
                              
                           
                                 e)
                              
                              
                                 Quaisquer outras medidas e procedimentos pertinentes.
                              
                           
               
                  
                     22.
                  
                  
                     Serão construídas casas-fortes dentro das Zonas de Segurança. As paredes, o chão, os tetos, as janelas e as portas com sistema de fecho deverão ser aprovados pela Autoridade de Segurança do SEAE e beneficiarão de uma proteção equivalente à de um contentor de segurança aprovado para armazenamento de ICUE com o mesmo nível de classificação.
                  
               V.   MEDIDAS DE PROTEÇÃO FÍSICA PARA O MANUSEAMENTO E ARMAZENAMENTO DE ICUE
         
                  
                     23.
                  
                  
                     As ICUE com classificação RESTREINT UE/EU RESTRICTED podem ser manuseadas:
                     
                                 a)
                              
                              
                                 Em Zonas de Segurança;
                              
                           
                                 b)
                              
                              
                                 Em Zonas Administrativas, desde que as ICUE se encontrem protegidas de acesso por parte de pessoas não autorizadas; ou
                              
                           
                                 c)
                              
                              
                                 Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas as transporte nas condições estabelecidas nos pontos 30 a 42 do anexo A III e se tenha comprometido a respeitar as medidas de compensação constantes das instruções emitidas pela Autoridade de Segurança do SEAE, a fim de assegurar que as ICUE fiquem protegidas de acesso por parte de pessoas não autorizadas.
                              
                           
               
                  
                     24.
                  
                  
                     As ICUE com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório apropriado e fechado à chave, numa Zona Administrativa ou Zona de Segurança. As referidas ICUE poderão ser armazenadas temporariamente fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas se tenha comprometido a respeitar as medidas de compensação constantes das instruções de segurança emitidas pela Autoridade de Segurança do SEAE.
                  
               
                  
                     25.
                  
                  
                     As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET podem ser manuseadas:
                     
                                 a)
                              
                              
                                 Em Zonas de Segurança;
                              
                           
                                 b)
                              
                              
                                 Em Zonas Administrativas, desde que as ICUE se encontrem protegidas de acesso por parte de pessoas não autorizadas; ou
                              
                           
                                 c)
                              
                              
                                 Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor das informações classificadas:
                                 
                                             i)
                                          
                                          
                                             as transporte nas condições estabelecidas nos pontos 30 a 42 do anexo A III;
                                          
                                       
                                             ii)
                                          
                                          
                                             se tenha comprometido a respeitar as medidas de compensação constantes das instruções de segurança emitidas pela Autoridade de Segurança do SEAE, a fim de assegurar que as ICUE fiquem protegidas de acesso por parte de pessoas não autorizadas;
                                          
                                       
                                             iii)
                                          
                                          
                                             mantenha as ICUE permanentemente sob o seu controlo pessoal; e
                                          
                                       
                                             iv)
                                          
                                          
                                             no caso de documentos em suporte papel, tenha informado desse facto o registo competente.
                                          
                                       
                           
               
                  
                     26.
                  
                  
                     As ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET serão armazenadas em Zonas de Segurança, dentro de um contentor de segurança ou de uma casa-forte.
                  
               
                  
                     27.
                  
                  
                     As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET serão manuseadas em Zonas de Segurança.
                  
               
                  
                     28.
                  
                  
                     As ICUE com classificação TRÈS SECRET UE/EU TOP SECRET serão armazenadas em Zonas de Segurança na sede, no respeito de uma das seguintes condições:
                     
                                 a)
                              
                              
                                 Num contentor de segurança conforme com o disposto no ponto 8, com um ou vários dos seguintes controlos suplementares:
                                 
                                             i)
                                          
                                          
                                             proteção ou verificação permanente por pessoal de segurança ou de serviço com credenciação de segurança,
                                          
                                       
                                             ii)
                                          
                                          
                                             um IDS aprovado, em combinação com pessoal de segurança incumbido das situações de emergência;
                                          
                                       ou
                              
                           
                                 b)
                              
                              
                                 Numa casa-forte com IDS, em combinação com pessoal de segurança incumbido das situações de emergência.
                              
                           
               
                  
                     29.
                  
                  
                     As regras a que deve obedecer o transporte de ICUE fora de zonas fisicamente protegidas são estabelecidas no anexo A III.
                  
               VI.   CONTROLO DAS CHAVES E COMBINAÇÕES DE FECHADURAS DE SEGREDO UTILIZADAS PARA PROTEÇÃO DE ICUE
         
                  
                     30.
                  
                  
                     A Autoridade de Segurança do SEAE definirá procedimentos para a gestão das chaves e das combinações das fechaduras de segredo dos gabinetes, salas, casas-fortes e contentores de segurança. Estes procedimentos deverão assegurar a proteção contra o acesso não autorizado.
                  
               
                  
                     31.
                  
                  
                     As combinações deverão ser memorizadas pelo menor número possível de pessoas que precisem de as conhecer. As combinações dos contentores de segurança e das casas-fortes em que sejam conservadas ICUE deverão ser mudadas:
                     
                                 a)
                              
                              
                                 Aquando da receção de um novo contentor;
                              
                           
                                 b)
                              
                              
                                 Sempre que mude o pessoal que conhece a combinação;
                              
                           
                                 c)
                              
                              
                                 Sempre que haja conhecimento ou suspeita de comprometimento;
                              
                           
                                 d)
                              
                              
                                 Sempre que uma fechadura tenha sido objeto de manutenção ou reparação; e
                              
                           
                                 e)
                              
                              
                                 Pelo menos de 12 em 12 meses.
                              
                           
               
      
         ANEXO A III
         
            GESTÃO DE INFORMAÇÕES CLASSIFICADAS
         
         I.   INTRODUÇÃO
         
                  
                     1.
                  
                  
                     O presente anexo estabelece as regras de execução do artigo 7.o do anexo A. Nele se definem as medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam contribuir para dissuadir e detetar a perda ou comprometimento deliberados ou acidentais de informações e para as recuperar em caso de perda ou comprometimento.
                  
               II.   GESTÃO DAS CLASSIFICAÇÕES
         
            Classificações e marcas
         
         
                  
                     2.
                  
                  
                     As informações serão classificadas se precisarem de proteção em virtude da sua confidencialidade.
                  
               
                  
                     3.
                  
                  
                     A entidade de origem das ICUE será responsável pela determinação do nível de classificação de segurança, nos termos das diretrizes de classificação aplicáveis, e pela divulgação das informações.
                  
               
                  
                     4.
                  
                  
                     O nível de classificação das ICUE será determinado em conformidade com o disposto no artigo 2.o, n.o 2, do anexo A e com as diretrizes em matéria de segurança a aprovar nos termos do artigo 3.o, n.o 3 do anexo A.
                  
               
                  
                     5.
                  
                  
                     As informações classificadas dos Estados-Membros trocadas com o SEAE deverão receber o mesmo nível de proteção que as ICUE de classificação equivalente. Figura no apêndice B da presente decisão um quadro de equivalências.
                  
               
                  
                     6.
                  
                  
                     A classificação de segurança e, se aplicável, a data ou o acontecimento específico após os quais pode ser desgraduada ou desclassificada, deverão ser indicados de forma clara e correta, independentemente do suporte em que as ICUE sejam apresentadas: em papel, oralmente, eletronicamente, etc.
                  
               
                  
                     7.
                  
                  
                     As partes de um determinado documento (ou seja, páginas, parágrafos, secções, anexos, apêndices, adendas e elementos apensos) poderão exigir classificações diferentes, devendo ostentar a marca correspondente, mesmo quando armazenadas em suporte eletrónico.
                  
               
                  
                     8.
                  
                  
                     Na medida do possível, os documentos que contenham partes com níveis de classificação diferentes serão estruturados por forma a que as partes com níveis de classificação diferentes possam ser identificadas facilmente e, se necessário, destacadas.
                  
               
                  
                     9.
                  
                  
                     A classificação geral de um documento ou dossiê deverá ser pelo menos tão elevada quanto a da parte desse documento classificada ao nível mais elevado. Quando forem coligidas informações provenientes de várias fontes, o produto final será analisado para determinar o seu nível geral de classificação de segurança, uma vez que poderá justificar uma classificação mais elevada que a das partes que o compõem.
                  
               
                  
                     10.
                  
                  
                     A classificação de uma carta ou nota de envio deverá ser tão elevada quanto a mais alta classificação dos seus anexos. A entidade de origem deverá indicar claramente a que nível é classificada a carta ou nota quando destacada dos anexos, para o que deverá utilizar uma marca adequada, por exemplo:
                     CONFIDENTIEL UE/EU CONFIDENTIAL
                     Sem anexo(s) RESTREINT UE/EU RESTRICTED
                  
               
            Marcas
         
         
                  
                     11.
                  
                  
                     Para além de uma das marcas de classificação de segurança previstas no artigo 2.o, n.o 2 do anexo A, as ICUE poderão ostentar outras marcas, tais como:
                     
                                 a)
                              
                              
                                 Um identificador para designar a entidade de origem;
                              
                           
                                 b)
                              
                              
                                 Eventuais advertências, códigos ou acrónimos que especifiquem o domínio de atividade a que o documento diz respeito, uma distribuição especial baseada na necessidade de ter conhecimento ou restrições de utilização;
                              
                           
                                 c)
                              
                              
                                 Marcas relativas à comunicabilidade.
                              
                           
               
                  
                     12.
                  
                  
                     Após a decisão de comunicação de ICUE a um Estado terceiro ou a uma organização internacional, a Direção do SEAE responsável pela Segurança procederá ao envio das informações classificadas em causa, que ostentarão uma marca relativa à comunicabilidade, indicando o Estado terceiro ou a organização internacional aos quais as ICUE serão comunicadas.
                  
               
                  
                     13.
                  
                  
                     Uma lista das marcas autorizadas será aprovada pela Autoridade de Segurança do SEAE.
                  
               
            Marcas de classificação abreviadas
         
         
                  
                     14.
                  
                  
                     Para indicar o nível de classificação de certos parágrafos de um determinado texto, podem ser utilizadas marcas de classificação sob forma de abreviaturas normalizadas. As abreviaturas não substituem as marcas de classificação por extenso.
                  
               
                  
                     15.
                  
                  
                     Nos documentos classificados da UE podem ser utilizadas, para indicar o nível de classificação de secções ou blocos do texto com menos de uma página, as seguintes abreviaturas normalizadas:
                     
                                 TRES SECRET UE/EU TOP SECRET
                              
                              
                                 TS-UE/EU-TS
                              
                           
                                 SECRET UE/EU SECRET
                              
                              
                                 S-UE/EU-S
                              
                           
                                 CONFIDENTIEL UE/EU CONFIDENTIAL
                              
                              
                                 C-UE/EU-C
                              
                           
                                 RESTREINT UE/EU RESTRICTED
                              
                              
                                 R-UE/EU-R
                              
                           
               
            Produção de ICUE
         
         
                  
                     16.
                  
                  
                     Ao produzir um documento classificado da UE:
                     
                                 a)
                              
                              
                                 Todas as páginas devem ser marcadas de forma clara com o nível de classificação;
                              
                           
                                 b)
                              
                              
                                 Todas as páginas devem ser numeradas;
                              
                           
                                 c)
                              
                              
                                 O documento ostentará um número de referência e o assunto, que, por si só, não constituem informação classificada, a menos que estejam marcados como tal;
                              
                           
                                 d)
                              
                              
                                 O documento deve ser datado;
                              
                           
                                 e)
                              
                              
                                 Os documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior destinados a ser distribuídos em vários exemplares ostentarão um número de exemplar em todas as páginas.
                              
                           
               
                  
                     17.
                  
                  
                     Quando não for possível aplicar o disposto no ponto 16 às ICUE, deverão ser tomadas outras medidas adequadas nos termos das diretrizes de segurança a estabelecer ao abrigo da presente decisão.
                  
               
            Desgraduação e desclassificação de ICUE
         
         
                  
                     18.
                  
                  
                     Aquando da produção de ICUE, a entidade de origem indicará, sempre que possível, especialmente se se tratar de informações com classificação RESTREINT UE/EU RESTRICTED, se estas podem ser desgraduadas ou desclassificadas em determinada data ou após um acontecimento específico.
                  
               
                  
                     19.
                  
                  
                     O SEAE analisará regularmente as ICUE que se encontrem na sua posse, a fim de apurar se o respetivo nível de classificação continua a ser aplicável. O SEAE estabelecerá um sistema que permita, pelo menos de cinco em cinco anos, reanalisar o nível de classificação das ICUE registadas que tiver produzido. Essa reanálise não será necessária se a entidade de origem tiver indicado à partida o momento específico em que as informações serão automaticamente desgraduadas ou desclassificadas e se nelas tiver sido aposto a marca correspondente.
                  
               III.   REGISTO DE ICUE PARA EFEITOS DE SEGURANÇA
         
                  
                     20.
                  
                  
                     Será estabelecido um registo central na sede. Será estabelecido um registo responsável para cada entidade orgânica do SEAE em que sejam manuseadas ICUE, subordinado ao registo central, para assegurar que as informações classificadas da UE sejam manuseadas em conformidade com o disposto na presente decisão. Os registos serão considerados Zonas de Segurança, tal como definidas no anexo A.
                     Cada delegação da União estabelece o seu próprio registo de ICUE.
                     A Autoridade de Segurança do SEAE designa um chefe do Registo para estes registos.
                  
               
                  
                     21.
                  
                  
                     Para efeitos da presente decisão, entende-se por «registo para efeitos de segurança» (a seguir designado «registo») a aplicação de procedimentos que registem o ciclo de vida das informações, incluindo a sua divulgação e destruição. Os SCI podem executar os procedimentos de registo recorrendo aos seus próprios processos.
                  
               
                  
                     22.
                  
                  
                     Todo o material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e superior será registado à entrada e à saída de uma entidade orgânica incluindo as delegações da União. As informações com classificação TRÈS SECRET UE/EU TOP SECRET devem ser inscritas em registos próprios.
                  
               
                  
                     23.
                  
                  
                     O Registo Central é, na sede do SEAE, o principal ponto de entrada e de saída das informações classificadas que forem trocadas com Estados terceiros e organizações internacionais. Este manterá um registo de todos os intercâmbios.
                  
               
                  
                     24.
                  
                  
                     A Autoridade de Segurança do SEAE aprovará diretrizes em matéria de segurança aplicáveis ao registo de ICUE para efeitos de segurança, em conformidade com o artigo 14.o da presente decisão.
                  
               
            Registos de informações com classificação TRES SECRET UE/EU TOP SECRET
         
         
                  
                     25.
                  
                  
                     Será designado na sede do SEAE o Registo Central, que atuará como autoridade central de receção e de envio de informações com classificação TRÈS SECRET UE/EU TOP SECRET. Se necessário, poderão ser designados registos dependentes do registo central, a fim de manusear essas informações para efeitos de registo.
                  
               
                  
                     26.
                  
                  
                     Os registos dependentes não podem comunicar documentos com classificação TRÈS SECRET UE/EU TOP SECRET diretamente a outros registos dependentes adstritos ao mesmo registo central TRÈS SECRET UE/EU TOP SECRET, nem ao exterior sem a aprovação escrita expressa deste último.
                  
               IV.   CÓPIA E TRADUÇÃO DE DOCUMENTOS CLASSIFICADOS DA UE
         
                  
                     27.
                  
                  
                     Os documentos com classificação TRÈS SECRET UE/EU TOP SECRET não podem ser copiados nem traduzidos sem o consentimento prévio, por escrito, da entidade de origem.
                  
               
                  
                     28.
                  
                  
                     Os documentos com classificação SECRET UE/EU SECRET ou inferior poderão ser copiados ou traduzidos por ordem do detentor se a respetiva entidade de origem não tiver imposto restrições à sua cópia ou tradução.
                  
               
                  
                     29.
                  
                  
                     As medidas de segurança aplicáveis ao documento original serão igualmente aplicáveis às respetivas cópias e traduções. As cópias de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são produzidas apenas por um (sub)registo competente com uma fotocopiadora de segurança. As cópias devem ser registadas.
                  
               V.   TRANSPORTE DE ICUE
         
                  
                     30.
                  
                  
                     O transporte de ICUE está sujeito às medidas de proteção estabelecidas nos pontos 32 a 42. Quando as ICUE forem transportadas por meios eletrónicos, e não obstante o artigo 7.o, n.o 4, do anexo A, as medidas de proteção a seguir estabelecidas poderão ser complementadas por contramedidas técnicas adequadas que a Autoridade de Segurança do SEAE determinar, a fim de minimizar o risco de perda ou comprometimento.
                  
               
                  
                     31.
                  
                  
                     A Autoridade de Segurança do SEAE emitirá instruções para o transporte de ICUE, nos termos da presente decisão.
                  
               
            No interior de um edifício ou bloco de edifícios
         
         
                  
                     32.
                  
                  
                     As ICUE transportadas dentro de um edifício ou bloco de edifícios deverão ser cobertas para evitar que o seu conteúdo possa ser visto.
                  
               
                  
                     33.
                  
                  
                     No interior de um edifício ou bloco de edifícios, as informações com classificação TRÈS SECRET UE/EU TOP SECRET deverão ser transportadas, por pessoal com credenciação de segurança adequada, num envelope de segurança que ostente apenas o nome do destinatário.
                  
               
            Dentro do território da União Europeia
         
         
                  
                     34.
                  
                  
                     As ICUE transportadas entre edifícios ou instalações dentro do território da União Europeia devem ser acondicionadas de forma a ficarem protegidas de divulgação não autorizada.
                  
               
                  
                     35.
                  
                  
                     O transporte de informações com classificação até SECRET UE/EU SECRET dentro do território da União Europeia será efetuado por um dos seguintes meios:
                     
                                 a)
                              
                              
                                 Estafeta militar, correio oficial ou mala diplomática, consoante o caso;
                              
                           
                                 b)
                              
                              
                                 Transporte por mão própria, desde que:
                                 
                                             i)
                                          
                                          
                                             as ICUE não saiam das mãos do portador, a menos que se encontrem armazenadas em conformidade com os requisitos estabelecidos no anexo A II;
                                          
                                       
                                             ii)
                                          
                                          
                                             as ICUE não sejam abertas pelo caminho nem lidas em locais públicos; e
                                          
                                       
                                             iii)
                                          
                                          
                                             as pessoas possuam a devida credenciação de segurança para o nível adequado e estejam informadas das suas responsabilidades em matéria de segurança;
                                          
                                       
                                             iv)
                                          
                                          
                                             as pessoas em causa recebam, se necessário, um certificado de estafeta;
                                          
                                       
                           
                                 c)
                              
                              
                                 Serviços postais ou serviços comerciais de estafeta, desde que:
                                 
                                             i)
                                          
                                          
                                             sejam aprovados pela ANS competente, em conformidade com as disposições legislativas e regulamentares nacionais;
                                          
                                       
                                             ii)
                                          
                                          
                                             apliquem medidas de proteção adequadas em conformidade com os requisitos mínimos a estabelecer nas diretrizes de segurança ao abrigo do artigo 21.o, n.o 1 da presente decisão.
                                          
                                       
                           Em caso de transporte de um Estado-Membro para outro, o disposto na alínea c) limita-se a informações com classificação até CONFIDENTIEL UE/EU CONFIDENTIAL.
                  
               
                  
                     36.
                  
                  
                     O material classificado CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET (por exemplo, equipamento ou maquinaria) que não possa ser transportado pelos meios a que se refere o ponto 34 será transportado como mercadoria por transportadoras comerciais em conformidade com o anexo A V.
                  
               
                  
                     37.
                  
                  
                     O transporte de informações com classificação TRÈS SECRET UE/EU TOP SECRET entre edifícios ou instalações dentro do território da União Europeia será efetuado por estafeta militar, correio oficial ou mala diplomática, consoante o caso.
                  
               
            Do território da UE para o território de um Estado terceiro, ou entre entidades da UE em Estados terceiros
         
         
                  
                     38.
                  
                  
                     As ICUE transportadas do território da União Europeia para o território de um Estado terceiro, ou entre entidades da UE em Estados terceiros, deverão ser acondicionadas de forma a ficarem protegidas de divulgação não autorizada.
                  
               
                  
                     39.
                  
                  
                     O transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET do território da UE para o território de um Estado terceiro, e o transporte de quaisquer informações com classificação até SECRET UE/EU SECRET entre entidades da UE em Estados terceiros será efetuado por um dos seguintes meios:
                     
                                 a)
                              
                              
                                 Estafeta militar ou mala diplomática;
                              
                           
                                 b)
                              
                              
                                 Transporte por mão própria, desde que:
                                 
                                             i)
                                          
                                          
                                             o volume ostente um selo oficial ou esteja acondicionado de modo a indicar que se trata de remessa oficial que não deverá ser sujeita a inspeção aduaneira ou de segurança;
                                          
                                       
                                             ii)
                                          
                                          
                                             as pessoas em causa possuam um certificado de estafeta que identifique o volume e as autorize a transportá-lo;
                                          
                                       
                                             iii)
                                          
                                          
                                             as ICUE não saiam das mãos do portador, a menos que se encontrem armazenadas em conformidade com os requisitos estabelecidos no anexo A II;
                                          
                                       
                                             iv)
                                          
                                          
                                             as ICUE não sejam abertas pelo caminho nem lidas em locais públicos; e
                                          
                                       
                                             v)
                                          
                                          
                                             as pessoas possuam a devida credenciação de segurança para o nível adequado e estejam informadas das suas responsabilidades em matéria de segurança.
                                          
                                       
                           
               
                  
                     40.
                  
                  
                     O transporte de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET comunicadas pela UE a um Estado terceiro ou organização internacional deverá cumprir as disposições aplicáveis ao abrigo de um acordo de segurança das informações ou de um convénio administrativo nos termos do artigo 10.o, n.o 2 do anexo A.
                  
               
                  
                     41.
                  
                  
                     As informações com classificação RESTREINT UE/EU RESTRICTED podem também ser transportadas do território da União Europeia para o território de um Estado terceiro por serviços postais ou serviços comerciais de estafeta.
                  
               
                  
                     42.
                  
                  
                     O transporte de informações com classificação TRÈS SECRET UE/EU TOP SECRET do território da União Europeia para o território de um Estado terceiro, ou entre entidades da UE em Estados terceiros, será efetuado por estafeta militar ou mala diplomática.
                  
               VI.   DESTRUIÇÃO DE ICUE
         
                  
                     43.
                  
                  
                     Os documentos classificados da UE que deixem de ser necessários podem ser destruídos, sem prejuízo das regras e regulamentações pertinentes em matéria de arquivo.
                  
               
                  
                     44.
                  
                  
                     Os documentos que devam ser registados nos termos do artigo 7.o, n.o 2 do anexo A serão destruídos pelo registo responsável por ordem do detentor ou de uma autoridade competente. Os livros de registos e outras informações a registar serão atualizados em conformidade.
                  
               
                  
                     45.
                  
                  
                     A destruição dos documentos com classificação SECRET UE/EU SECRET ou TRÈS SECRET UE/EU TOP SECRET será efetuada na presença de uma testemunha que possua uma credenciação equivalente, pelo menos, ao nível de classificação dos documentos a destruir.
                  
               
                  
                     46.
                  
                  
                     O funcionário do registo e a testemunha, sempre que a presença desta última seja exigida, assinarão um certificado de destruição, que será arquivado no registo. O registo conservará os certificados de destruição de documentos TRÈS SECRET UE/EU TOP SECRET durante um período mínimo de dez anos e os dos documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET durante um período mínimo de cinco anos.
                  
               
                  
                     47.
                  
                  
                     Os documentos classificados, incluindo os documentos com classificação RESTREINT UE/EU RESTRICTED, serão destruídos por métodos que respeitem as normas UE aplicáveis ou normas equivalentes ou que tenham sido aprovados pelos Estados-Membros em conformidade com normas técnicas nacionais, de modo a impedir a sua reconstituição total ou parcial.
                  
               
                  
                     48.
                  
                  
                     A destruição dos suportes informáticos de ICUE será efetuada em conformidade com os procedimentos aprovados pela Autoridade de Segurança do SEAE.
                  
               VII.   INSPEÇÕES DE SEGURANÇA
         
            Inspeções de Segurança do SEAE s
         
         
                  
                     49.
                  
                  
                     De acordo com o artigo 16.o da presente decisão, as inspeções de segurança do SEAE englobam:
                     
                                 a)
                              
                              
                                 Inspeções gerais de segurança, com o objetivo de avaliar o nível geral de segurança da sede do SEAE, das delegações da União e de todas as instalações dependentes ou associadas, nomeadamente a fim de avaliar a eficácia das medidas de segurança implementadas para proteção dos interesses de segurança do SEAE;
                              
                           
                                 b)
                              
                              
                                 Inspeções de segurança às ICUE, com o objetivo de avaliar, em geral com uma acreditação em vista, a eficácia das medidas implementadas para proteção das ICUE na sede do SEAE e nas delegações da União.
                                 Em particular, serão efetuadas inspeções para, nomeadamente:
                                 
                                             i)
                                          
                                          
                                             garantir o respeito das normas mínimas para a proteção de ICUE estabelecidas na presente decisão;
                                          
                                       
                                             ii)
                                          
                                          
                                             realçar a importância da segurança e de uma gestão de risco eficaz nas entidades inspecionadas;
                                          
                                       
                                             iii)
                                          
                                          
                                             recomendar contramedidas destinadas a atenuar as consequências específicas da perda de confidencialidade, integridade ou disponibilidade de informações classificadas; e
                                          
                                       
                                             iv)
                                          
                                          
                                             reforçar os programas em curso de formação e sensibilização para a segurança levados a cabo pelas autoridades de segurança.
                                          
                                       
                           
               
            Realização de inspeções de segurança do SEAE e respetivos relatórios
         
         
                  
                     50.
                  
                  
                     As inspeções de segurança do SEAE são realizadas por uma equipa de inspeção da Direção do SEAE responsável pela segurança e, se necessário, com o apoio de peritos em segurança de outras Instituições de UE ou dos Estados-Membros.
                     A equipa de inspeção terá acesso a todos os locais em que sejam manuseadas ICUE, em especial registos e pontos de presença de SCI.
                  
               
                  
                     51.
                  
                  
                     As inspeções de segurança do SEAE em delegações da União podem ser realizadas, sempre que necessário, com o apoio dos Oficiais de Segurança das embaixadas dos Estados-Membros localizadas nos países terceiros.
                  
               
                  
                     52.
                  
                  
                     Antes do final de cada ano civil, a Autoridade de Segurança do SEAE aprova um programa de inspeção de segurança para o SEAE para o ano seguinte.
                  
               
                  
                     53.
                  
                  
                     Sempre que necessário, a Autoridade de Segurança do SEAE pode organizar inspeções de segurança não previstas no programa supramencionado.
                  
               
                  
                     54.
                  
                  
                     No final da inspeção de segurança, serão apresentadas à entidade inspecionada as principais conclusões e recomendações. Em seguida, será elaborado um relatório de inspeção pela equipa de inspeção. Caso tenham sido propostas medidas corretivas e formuladas recomendações, devem constar do relatório os elementos necessários para corroborar as conclusões tiradas. O relatório será enviado à Autoridade de Segurança do SEAE e ao chefe da entidade inspecionada.
                     Será elaborado, sob a responsabilidade da Direção do SEAE responsável pela segurança, um relatório periódico que deve destacar os ensinamentos recolhidos das inspeções efetuadas durante um período determinado, sendo esse relatório analisado pelo Comité de Segurança do SEAE.
                  
               
            Realização de inspeções de segurança em agências e órgãos da UE e respetivos relatórios ao abrigo do Capítulo 2 do Título 5 do TUE
         
         
                  
                     55.
                  
                  
                     A Direção do SEAE responsável pela segurança pode, se adequado, destacar peritos auxiliares para participar em equipas conjuntas de inspeção da UE que realizem inspeções a agências e órgãos da UE ao abrigo do Capítulo 2 do Título V do TUE.
                  
               
            Lista de controlo para inspeções de segurança do SEAE
         
         
                  
                     56.
                  
                  
                     A Direção do SEAE responsável pela segurança elaborará e atualizará uma lista de controlo dos pontos a verificar durante as inspeções de segurança do SEAE. A referida lista de controlo será remetida ao Comité de Segurança do SEAE.
                  
               
                  
                     57.
                  
                  
                     As informações necessárias para completar a lista de controlo serão obtidas, especialmente durante a inspeção, junto dos serviços de gestão da segurança da entidade inspecionada. Uma vez completada com as respostas pormenorizadas, a lista de controlo será classificada de comum acordo com a entidade inspecionada. Esta lista não fará parte do relatório de inspeção.
                  
               
      
         ANEXO A IV
         
            PROTEÇÃO DAS ICUE MANUSEADAS EM SCI
         
         I.   INTRODUÇÃO
         
                  
                     1.
                  
                  
                     O presente anexo estabelece as regras de execução do artigo 8.o do anexo A.
                  
               
                  
                     2.
                  
                  
                     Para a segurança e o funcionamento correto das operações em Sistemas de Comunicação e Informação (SCI) são essenciais as seguintes propriedades e conceitos de Garantia da Informação (GI):
                     
                                 Autenticidade:
                              
                              
                                 a garantia de que as informações são genuínas e provêm de fonte fidedigna;
                              
                           
                                 Disponibilidade:
                              
                              
                                 a propriedade de estarem acessíveis e de poderem ser utilizadas a pedido de uma entidade autorizada;
                              
                           
                                 Confidencialidade:
                              
                              
                                 a propriedade de as informações não serem divulgadas a pessoas, entidades ou processos não autorizados;
                              
                           
                                 Integridade:
                              
                              
                                 a propriedade de salvaguardar o caráter exato e completo das informações e dos ativos;
                              
                           
                                 Não rejeição:
                              
                              
                                 a capacidade de provar que um ato ou acontecimento teve lugar, de modo a que esse acontecimento ou ato não possa ser subsequentemente negado.
                              
                           
               II.   PRINCÍPIOS DA GARANTIA DAS INFORMAÇÕES
         
                  
                     3.
                  
                  
                     As disposições estabelecidas abaixo constituirão a base da segurança dos SCI em que sejam manuseadas ICUE. Serão definidos, nas diretrizes de segurança em matéria de GI, requisitos pormenorizados para a execução das presentes disposições.
                  
               
            Gestão dos riscos de segurança
         
         
                  
                     4.
                  
                  
                     A gestão dos riscos de segurança constituirá parte integrante da definição, do desenvolvimento, da exploração e da manutenção do SCI. A gestão de risco (avaliação, tratamento, aceitação e comunicação) será conduzida como um processo iterativo em que participam conjuntamente os representantes dos proprietários do sistema, as autoridades de projeto, as autoridades operacionais e as autoridades de aprovação de segurança, utilizando um processo de avaliação dos riscos comprovado, transparente e plenamente compreensível para todos O alcance do SCI e os seus recursos serão claramente definidos logo no início do processo de gestão de risco.
                  
               
                  
                     5.
                  
                  
                     As autoridades competentes do SEAE analisarão as potenciais ameaças ao SCI e farão avaliações rigorosas e atualizadas da ameaça que reflitam o ambiente operacional vigente. Atualizarão constantemente o seu conhecimento de questões relacionadas com as vulnerabilidades e procederão periodicamente à reanálise da avaliação das vulnerabilidades por forma a acompanhar a evolução do ambiente das tecnologias da informação (TI).
                  
               
                  
                     6.
                  
                  
                     O objetivo da gestão dos riscos de segurança consistirá em aplicar um conjunto de medidas de segurança que resulte num compromisso satisfatório entre os requisitos do utilizador e o risco de segurança residual.
                  
               
                  
                     7.
                  
                  
                     Os requisitos, a escala e o grau de pormenor específicos determinados pela Autoridade de Acreditação de Segurança (AAS) competente para proceder à acreditação de um SCI serão proporcionais ao risco avaliado, tendo em conta todos os fatores pertinentes, nomeadamente o nível de classificação das ICUE manuseadas no SCI. A acreditação incluirá uma declaração formal de risco residual e a aceitação do risco residual por uma autoridade responsável.
                  
               
            Segurança ao longo do ciclo de vida do SCI
         
         
                  
                     8.
                  
                  
                     Haverá que garantir a segurança ao longo de todo o ciclo de vida do SCI, desde o início até à retirada de serviço.
                  
               
                  
                     9.
                  
                  
                     Para cada fase do ciclo de vida, será identificado o papel de cada um dos intervenientes no SCI e a interação entre eles em termos de segurança do sistema.
                  
               
                  
                     10.
                  
                  
                     Os SCI, incluindo as medidas de segurança, tanto de caráter técnico como não técnico, serão sujeitos a ensaios de segurança durante o processo de acreditação, a fim de assegurar um nível de garantia adequado das medidas de segurança implementadas e de verificar se os sistemas estão corretamente implementados, integrados e configurados.
                  
               
                  
                     11.
                  
                  
                     Serão efetuadas periodicamente avaliações, inspeções e análises de segurança durante o funcionamento e a manutenção dos SCI, e quando ocorrerem circunstâncias excecionais.
                  
               
                  
                     12.
                  
                  
                     A documentação de segurança do SCI evoluirá ao longo do seu ciclo de vida enquanto parte integrante do processo de gestão da mudança e da configuração.
                  
               
            Melhores práticas
         
         
                  
                     13.
                  
                  
                     O SEAE colabora com o SGC, a Comissão e os Estados-Membros no desenvolvimento das melhores práticas para proteção das ICUE manuseadas nos SCI. As orientações em matéria de melhores práticas apresentarão medidas de segurança de natureza técnica, material, organizativa e processual para os SCI, de comprovada eficácia na luta contra determinadas ameaças e vulnerabilidades.
                  
               
                  
                     14.
                  
                  
                     A proteção de ICUE manuseadas nos SCI basear-se-á na experiência adquirida pelas entidades envolvidas na GI, tanto dentro como fora da UE.
                  
               
                  
                     15.
                  
                  
                     A divulgação e subsequente implementação das melhores práticas ajudarão a atingir um nível de garantia equivalente no que respeita aos vários SCI explorados pelo SEAE e em que são manuseadas ICUE.
                  
               
            Defesa em profundidade
         
         
                  
                     16.
                  
                  
                     Para atenuar os riscos que pesam sobre os SCI, será posta em prática uma série de medidas de segurança, de natureza técnica e não técnica, organizadas em múltiplos estratos de defesa. Estas incluirão:
                     a)   
                           Dissuasão
                        : medidas de segurança dissuasivas da concretização de planos hostis de ataque ao SCI;
                     b)   
                           Prevenção
                        : medidas de segurança destinadas a impedir ou bloquear um ataque ao SCI;
                     c)   
                           Deteção
                        : medidas de segurança destinadas a descobrir a ocorrência de um ataque ao SCI;
                     d)   
                           Resistência
                        : medidas de segurança destinadas a limitar o impacto do ataque a um conjunto mínimo de informações ou recursos do SCI e a prevenir mais danos; e
                     e)   
                           Recuperação
                        : medidas de segurança destinadas a restabelecer uma situação segura para o SCI.
                     O grau de rigor e de aplicação destas medidas de segurança será determinado após uma avaliação dos riscos.
                  
               
                  
                     17.
                  
                  
                     As autoridades competentes do SEAE deverão ter capacidade de resposta a incidentes suscetíveis de ultrapassar as fronteiras de uma organização ou de um país, a fim de coordenar as respostas e de partilhar informações sobre esses incidentes e os riscos deles resultantes (capacidades de resposta a emergências informáticas).
                  
               
            Princípio da minimalidade e do menor privilégio
         
         
                  
                     18.
                  
                  
                     Para evitar riscos desnecessários, só serão ativadas as funcionalidades, os dispositivos e os serviços essenciais para satisfazer os requisitos operacionais.
                  
               
                  
                     19.
                  
                  
                     Para limitar os danos que possam resultar de acidentes, de erros ou da utilização não autorizada dos recursos do SCI, os seus utilizadores e processos automatizados beneficiarão unicamente de acesso, de privilégios ou de autorizações que forem indispensáveis ao desempenho das suas funções.
                  
               
                  
                     20.
                  
                  
                     Os procedimentos de registo cumpridos pelo SCI serão, sempre que necessário, verificados no âmbito do processo de acreditação.
                  
               
            Sensibilização para a Garantia da Informação
         
         
                  
                     21.
                  
                  
                     A sensibilização para os riscos e para as medidas de segurança disponíveis constitui a primeira linha de defesa da segurança dos sistemas de comunicação e informação. Mais concretamente, todos os elementos do pessoal envolvidos no ciclo de vida dos SCI, incluindo os utilizadores, deverão compreender que:
                     
                                 a)
                              
                              
                                 As falhas de segurança podem prejudicar significativamente os SCI e toda a organização;
                              
                           
                                 b)
                              
                              
                                 A interconexão e a interdependência podem causar prejuízos a terceiros; e
                              
                           
                                 c)
                              
                              
                                 Cada um tem a sua parte de responsabilidade e deverá prestar contas pela segurança do SCI, em função do papel que desempenha nos sistemas e nos processos.
                              
                           
               
                  
                     22.
                  
                  
                     A fim de assegurar uma boa perceção das responsabilidades em matéria de segurança, os cursos de formação e sensibilização para a GI serão obrigatórios para todo o pessoal envolvido, incluindo os funcionários que ocupem lugares de direção e os utilizadores dos SCI.
                  
               
            Avaliação e aprovação de produtos de segurança informática
         
         
                  
                     23.
                  
                  
                     O grau de confiança necessário nas medidas de segurança, definido como um nível de garantia, será determinado à luz dos resultados do processo de gestão de risco e de acordo com as políticas e diretrizes de segurança aplicáveis.
                  
               
                  
                     24.
                  
                  
                     O nível de garantia será verificado mediante a utilização de metodologias e processos reconhecidos internacionalmente ou aprovados a nível nacional, entre os quais se destacam a avaliação, os controlos e as auditorias.
                  
               
                  
                     25.
                  
                  
                     Os produtos criptográficos de proteção de ICUE serão avaliados e aprovados por uma Autoridade nacional de Aprovação Criptográfica (AAC) de um Estado-Membro.
                  
               
                  
                     26.
                  
                  
                     Antes de a sua aprovação ser recomendada à AAC do SEAE, nos termos do artigo 8.o, n.o 5, os produtos criptográficos deverão ter sido avaliados positivamente por uma segunda parte, ou seja, a Autoridade de Avaliação Habilitada (AQUA) de um Estado-Membro que não esteja envolvido na conceção nem no fabrico do equipamento. O grau de pormenor exigido numa avaliação por uma segunda parte dependerá do nível de classificação máximo previsto para as ICUE a proteger pelos referidos produtos.
                  
               
                  
                     27.
                  
                  
                     Quando tal se justifique por razões operacionais específicas, a AAC do SEAE pode, por recomendação do Comité de Segurança do Conselho, dispensar o cumprimento dos requisitos previstos nos pontos 25 ou 26 e conceder uma aprovação provisória por um período específico, nos termos do artigo 8.o, n.o 5, da presente decisão.
                  
               
                  
                     28.
                  
                  
                     A AQUA é uma AAC de um Estado-Membro que tenha sido acreditada com base em critérios definidos pelo Conselho para realizar a segunda avaliação dos produtos criptográficos destinados a proteger as ICUE.
                  
               
                  
                     29.
                  
                  
                     A alta-representante aprovará uma política de segurança aplicável às qualificações e à aprovação de produtos não criptográficos de segurança informática.
                  
               
            Transmissão dentro de Zonas de Segurança
         
         
                  
                     30.
                  
                  
                     Não obstante o disposto na presente decisão, quando a transmissão de ICUE se realizar dentro de Zonas de Segurança ou Zonas Administrativas, poderá ser utilizada a distribuição não cifrada ou a cifragem a um nível inferior, com base nos resultados de um processo de gestão de risco e sob reserva de aprovação da AAS.
                  
               
            Interconexão segura dos SCI
         
         
                  
                     31.
                  
                  
                     Para efeitos da presente decisão, entende-se por «interconexão» a conexão direta, unidirecional ou multidirecional, de dois ou mais sistemas informáticos para efeitos de partilha de dados e de outros recursos de informação (por exemplo, comunicação).
                  
               
                  
                     32.
                  
                  
                     O SCI tratará qualquer sistema informático com ele interconectado como não fiável e tomará medidas de proteção para controlar o intercâmbio de informações classificadas.
                  
               
                  
                     33.
                  
                  
                     Todas as interconexões de SCI com outro sistema informático obedecerão aos seguintes requisitos básicos:
                     
                                 a)
                              
                              
                                 Os requisitos operacionais ou de atividade dessas interconexões serão determinados e aprovados pelas autoridades competentes;
                              
                           
                                 b)
                              
                              
                                 A interconexão será submetida a um processo de gestão de risco e de acreditação e deverá ser aprovada pelas AAS competentes; e
                              
                           
                                 c)
                              
                              
                                 Serão instalados serviços de proteção periférica (Boundary Protection Services – BPS) no perímetro de todos os SCI.
                              
                           
               
                  
                     34.
                  
                  
                     Não pode haver interconexão entre um SCI acreditado e uma rede desprotegida ou pública, a não ser que o SCI tenha aprovado um BPS instalado para esse efeito entre o SCI e a rede desprotegida ou pública. As medidas de segurança aplicáveis a estas interconexões serão avaliadas pela Autoridade de Garantia da Informação (AGI) competente e aprovadas pela AAS competente.
                     Quando a rede desprotegida ou pública for exclusivamente utilizada como transmissora e os dados forem cifrados por um produto criptográfico aprovado nos termos do artigo 8.o, n.o 5, da presente decisão, essa conexão não será considerada uma interconexão.
                  
               
                  
                     35.
                  
                  
                     É proibida a interconexão direta ou em cascata entre SCI acreditados para manusear informações com classificação TRÈS SECRET UE/EU TOP SECRET e redes desprotegidas ou públicas.
                  
               
            Suportes informáticos
         
         
                  
                     36.
                  
                  
                     Os suportes informáticos deverão ser destruídos segundo procedimentos aprovados pela Autoridade de Segurança do SEAE.
                  
               
                  
                     37.
                  
                  
                     Os suportes informáticos deverão ser reutilizados, desgraduados ou desclassificados segundo diretrizes em matéria de segurança a estabelecer ao abrigo do artigo 8.o, n.o 2, da presente decisão.
                  
               
            Circunstâncias de emergência
         
         
                  
                     38.
                  
                  
                     Não obstante o disposto na presente decisão, os procedimentos específicos a seguir descritos podem ser aplicados, durante um período limitado, numa emergência, nomeadamente em situações de crise iminente ou real, de conflito ou de guerra, ou em circunstâncias operacionais excecionais.
                  
               
                  
                     39.
                  
                  
                     As ICUE poderão ser transmitidas por meio de produtos criptográficos aprovados para um nível de classificação inferior, ou sem cifragem, mediante consentimento da autoridade competente, se o prejuízo causado por um atraso for claramente mais grave do que o decorrente da eventual divulgação do material classificado, e se:
                     
                                 a)
                              
                              
                                 O remetente e o destinatário não dispuserem do dispositivo de cifragem necessário ou não possuírem nenhum dispositivo de cifragem; e
                              
                           
                                 b)
                              
                              
                                 O material classificado não puder ser enviado a tempo por outros meios..
                              
                           
               
                  
                     40.
                  
                  
                     As informações classificadas transmitidas nas circunstâncias referidas no ponto 39 não ostentarão marcas nem indicações que as distingam de informações não classificadas ou de informações que possam ser protegidas por produtos de cifragem disponíveis. Os destinatários serão imediatamente notificados, por outros meios, do nível de classificação das informações.
                  
               
                  
                     41.
                  
                  
                     Em caso de recurso ao disposto no ponto 39, será subsequentemente apresentado um relatório nessa matéria à Direção da Segurança do SEAE e, por esta, ao Comité de Segurança do SEAE. Este relatório indicará, pelo menos, o remetente, o destinatário e a entidade de origem de cada ICUE.
                  
               III.   FUNÇÕES E AUTORIDADES DE GARANTIA DA INFORMAÇÃO
         
                  
                     42.
                  
                  
                     Serão criadas no SEAE as funções GI a seguir enunciadas. As funções em causa não implicam a existência de entidades orgânicas únicas. Terão mandatos independentes. Contudo, aquelas funções, e as responsabilidades que lhes estão associadas, podem ser combinadas ou integradas na mesma entidade orgânica ou repartidas por diferentes entidades orgânicas, desde que sejam evitados conflitos internos de interesses ou funções.
                  
               
            Autoridade de Garantia da Informação (AGI)
         
         
                  
                     43.
                  
                  
                     Cabe à AGI:
                     
                                 a)
                              
                              
                                 Elaborar diretrizes de segurança em matéria de GI e controlar a sua eficácia e pertinência;
                              
                           
                                 b)
                              
                              
                                 Salvaguardar e administrar as informações técnicas relativas aos produtos criptográficos;
                              
                           
                                 c)
                              
                              
                                 Garantir que as medidas em matéria de GI selecionadas para proteção das ICUE sejam conformes com as diretrizes que regem a sua elegibilidade e a sua seleção;
                              
                           
                                 d)
                              
                              
                                 Garantir que os produtos criptográficos sejam selecionados em conformidade com as diretrizes que regem a sua elegibilidade e a sua seleção;
                              
                           
                                 e)
                              
                              
                                 Coordenar a formação e a sensibilização em matéria de GI;
                              
                           
                                 f)
                              
                              
                                 Consultar o fornecedor do sistema, os intervenientes e os representantes dos utilizadores no domínio da segurança a respeito das diretrizes de segurança em matéria de GI; e
                              
                           
                                 g)
                              
                              
                                 Garantir que a subformação do Comité de Segurança especializada para as questões de GI disponha das competências técnicas adequadas.
                              
                           
               
            Autoridade TEMPEST
         
         
                  
                     44.
                  
                  
                     Incumbirá à Autoridade TEMPEST (AT) garantir a conformidade dos SCI com as políticas e diretrizes TEMPEST. A AT procederá à aprovação de contramedidas TEMPEST aplicáveis a instalações e produtos destinados a proteger as ICUE, no seu ambiente operacional, até um determinado nível de classificação.
                  
               
            Autoridade de Aprovação Criptográfica (AAC)
         
         
                  
                     45.
                  
                  
                     Compete à AAC garantir a conformidade dos produtos criptográficos com as respetivas diretrizes em matéria de cifragem. A AAC aprovará um produto criptográfico destinado a proteger as ICUE, no seu ambiente operacional, até um determinado nível de classificação.
                  
               
            Autoridade de Distribuição Criptográfica (ADC)
         
         
                  
                     46.
                  
                  
                     Incumbirá à ADC:
                     
                                 a)
                              
                              
                                 Gerir e prestar contas pelo material criptográfico da UE;
                              
                           
                                 b)
                              
                              
                                 Garantir a aplicação de procedimentos adequados e a criação de canais para o manuseamento, o armazenamento e a distribuição em condições de segurança de todo o material criptográfico da UE, bem como para a prestação de contas em relação a esse material; e
                              
                           
                                 c)
                              
                              
                                 Assegurar as transferências de material criptográfico da UE para as pessoas singulares ou os serviços que o utilizem, bem como as transferências deles provenientes.
                              
                           
               
            Autoridade de Acreditação de Segurança (AAS)
         
         
                  
                     47.
                  
                  
                     Cabe à Autoridade de Acreditação de Segurança (AAS), relativamente a cada sistema:
                     
                                 a)
                              
                              
                                 Garantir a conformidade dos SCI com as diretrizes de segurança pertinentes, emitir uma declaração de aprovação dos SCI para o manuseamento de ICUE até um determinado nível de classificação, no seu ambiente operacional, enunciando os termos e condições da acreditação e os critérios segundo os quais é exigida nova aprovação;
                              
                           
                                 b)
                              
                              
                                 Definir um processo de acreditação de segurança, em conformidade com as diretrizes pertinentes, em que sejam claramente estabelecidas as condições de aprovação dos SCI sob a sua autoridade;
                              
                           
                                 c)
                              
                              
                                 Definir uma estratégia de acreditação de segurança em que se estabeleça para o processo de acreditação um grau de pormenor proporcional ao nível de garantia exigido;
                              
                           
                                 d)
                              
                              
                                 Analisar e aprovar documentação em matéria de segurança, nomeadamente as declarações de gestão de risco e de risco residual, as declarações relativas aos requisitos de segurança específicos do sistema (adiante designados por «RSES»), a documentação relativa à verificação da implementação da segurança e os procedimentos operacionais de segurança (adiante designados «POS») e garantir a conformidade desta documentação com as regras e diretrizes de segurança do SEAE;
                              
                           
                                 e)
                              
                              
                                 Verificar a implementação das medidas de segurança relativamente aos SCI realizando ou promovendo avaliações, inspeções ou controlos de segurança;
                              
                           
                                 f)
                              
                              
                                 Definir requisitos de segurança (por exemplo níveis de credenciação do pessoal) para posições sensíveis relativamente aos SCI;
                              
                           
                                 g)
                              
                              
                                 Subscrever a seleção dos produtos criptográficos e TEMPEST aprovados que são utilizados para conferir segurança aos SCI;
                              
                           
                                 h)
                              
                              
                                 Aprovar a interconexão de um SCI com outro SCI, ou, se for caso disso, participar na aprovação conjunta dessa interconexão; e
                              
                           
                                 i)
                              
                              
                                 Consultar o fornecedor do sistema, os intervenientes e os representantes dos utilizadores no domínio da segurança a respeito da gestão de risco de segurança, em especial do risco residual, e dos termos e condições da declaração de aprovação.
                              
                           
               
                  
                     48.
                  
                  
                     A AAS do SEAE será responsável pela acreditação de todos os SCI que operem no âmbito do mandato do SEAE.
                  
               
            Conselho de Acreditação de Segurança (CAS)
         
         
                  
                     49.
                  
                  
                     Cabe a um Conselho Conjunto de Acreditação de Segurança proceder à acreditação dos SCI no âmbito dos mandatos respetivos da AAS do SEAE e das AAS dos Estados-Membros. O Conselho Conjunto será composto por um representante da AAS de cada Estado-Membro, nele participando um representante da AAS do SGC e da Comissão. Serão convidadas a participar nas reuniões outras entidades com nódulos num SCI quando for debatido o sistema em causa.
                     O Conselho de Acreditação de Segurança será presidido por um representante da AAS do SEAE. Deliberará por consenso dos representantes das AAS das instituições, dos Estados-Membros e de outras entidades com nódulos no SCI. Apresentará periodicamente um relatório de atividades ao Comité de Segurança do SEAE e notificá-lo-á de todas as declarações de acreditação.
                  
               
            Autoridade Operacional de Garantia da Informação
         
         
                  
                     50.
                  
                  
                     Compete à Autoridade Operacional de GI, relativamente a cada sistema:
                     
                                 a)
                              
                              
                                 Elaborar documentação em matéria de segurança de acordo com as diretrizes na matéria e em especial com os Requisitos de Segurança Específicos do Sistema (RSES), nomeadamente a declaração de risco residual, os Procedimentos Operacionais de Segurança (POS) e o plano criptográfico no processo de acreditação do SCI;
                              
                           
                                 b)
                              
                              
                                 Tomar parte na seleção e no ensaio das medidas técnicas de segurança, dispositivos e programas informáticos específicos do sistema, a fim de supervisionar a sua implementação e garantir a segurança da sua instalação, configuração e manutenção, nos termos da documentação de segurança pertinente;
                              
                           
                                 c)
                              
                              
                                 Participar na seleção de medidas e dispositivos de segurança TEMPEST se os RSES o exigirem e garantir a segurança da sua instalação e manutenção, em colaboração com a AT;
                              
                           
                                 d)
                              
                              
                                 Acompanhar a implementação e aplicação dos POS e, se necessário, delegar no proprietário do sistema quaisquer responsabilidades em matéria de segurança operacional;
                              
                           
                                 e)
                              
                              
                                 Gerir e manusear os produtos criptográficos, assegurar a guarda de elementos cifrados e controlados e, se necessário, assegurar a geração de variáveis criptográficas;
                              
                           
                                 f)
                              
                              
                                 Proceder a revisões das análises de segurança e a ensaios, em especial para a elaboração dos relatórios de risco exigidos pela AAS;
                              
                           
                                 g)
                              
                              
                                 Organizar ações de formação em matéria de GI específica do SCI;
                              
                           
                                 h)
                              
                              
                                 Executar e pôr em prática medidas de segurança específicas do SCI.
                              
                           
               
      
         ANEXO A V
         
            SEGURANÇA INDUSTRIAL
         
         I.   INTRODUÇÃO
         
                  
                     1.
                  
                  
                     O presente anexo estabelece as regras de execução do artigo 9.o do anexo A. Estabelece as disposições gerais de segurança aplicáveis a entidades industriais ou outras no âmbito das negociações pré-contratuais e durante a vigência dos contratos classificados celebrados pelo SEAE.
                  
               
                  
                     2.
                  
                  
                     A Autoridade de Segurança do SEAE aprova diretrizes em matéria de segurança industrial que estabeleçam, nomeadamente, os requisitos pormenorizados aplicáveis às Credenciações de Segurança de Empresa (CSE), às Cláusulas Adicionais de Segurança (CAS), às visitas, à transmissão e ao transporte de ICUE.
                  
               II.   ELEMENTOS DE SEGURANÇA DOS CONTRATOS CLASSIFICADOS
         
            Guia da Classificação de Segurança (GCS)
         
         
                  
                     3.
                  
                  
                     Antes de lançar concursos públicos ou de celebrar contratos classificados, o SEAE, enquanto entidade contratante, determinará qual a classificação de segurança das informações a fornecer aos proponentes e contratantes, bem como de todas as informações a produzir pelos contratantes. Para o efeito, o SEAE prepara um guia de classificação de segurança (GCS) que será utilizado na execução do contrato.
                  
               
                  
                     4.
                  
                  
                     Para determinar qual a classificação de segurança dos diferentes elementos de um contrato classificado, serão aplicáveis os seguintes princípios:
                     
                                 a)
                              
                              
                                 Na elaboração do guia de classificação de segurança, o SEAE terá em consideração todos os aspetos de segurança relevantes, nomeadamente a classificação de segurança atribuída às informações fornecidas e aprovadas pela respetiva entidade de origem para utilização no âmbito do contrato;
                              
                           
                                 b)
                              
                              
                                 O nível global de classificação do contrato não pode ser inferior à classificação mais elevada de qualquer das suas partes; e
                              
                           
                                 c)
                              
                              
                                 Se necessário, o SEAE contacta as ANS/ASD ou quaisquer outras autoridades de segurança competentes dos Estados-Membros quando houver alguma alteração à classificação das informações produzidas pelos contratantes ou a estes fornecidas na execução de um contrato e quando pretender fazer alterações subsequentes ao guia de classificação de segurança.
                              
                           
               
            Cláusula Adicional de Segurança (CAS)
         
         
                  
                     5.
                  
                  
                     Os requisitos de segurança específicos do contrato serão descritos numa CAS. Esta CAS compreenderá, sempre que necessário, o guia de classificação de segurança e fará parte integrante do contrato ou subcontrato classificado.
                  
               
                  
                     6.
                  
                  
                     A CAS deve conter disposições que exijam que o contratante e/ou o subcontratante cumpram as normas mínimas estabelecidas na presente decisão. O incumprimento dessas normas mínimas pode constituir motivo suficiente para rescisão do contrato.
                  
               
            Instruções de Segurança do Programa/Projeto (ISP)
         
         
                  
                     7.
                  
                  
                     Em função do âmbito dos programas ou projetos que envolvam acesso, o manuseamento ou a armazenamento de ICUE, a entidade contratante designada para efeitos da gestão do programa ou projeto pode elaborar Instruções específicas de Segurança do Programa/Projeto (ISP). As ISP deverão ser aprovadas pelas ANS/ASD ou por quaisquer outras autoridades de segurança competentes dos Estados-Membros que participem no programa/projeto e podem prever requisitos de segurança adicionais.
                  
               III.   CREDENCIAÇÃO DE SEGURANÇA DA EMPRESA (CSE)
         
                  
                     8.
                  
                  
                     A Direção do SEAE responsável pela segurança solicitará a concessão de uma CSE à ANS ou ASD ou a qualquer outra autoridade de segurança competente de um Estado-Membro, a fim de atestar, nos termos das disposições legislativas e regulamentares nacionais, que determinada entidade industrial ou outra têm condições para proteger as ICUE ao nível de classificação adequado (CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET) dentro das respetivas instalações. O acesso a ICUE da parte de contratantes, subcontratantes, potenciais contratantes ou subcontratantes só será concedido após confirmação da transmissão da CSE ao SEAE.
                  
               
                  
                     9.
                  
                  
                     Se necessário, o SEAE, enquanto entidade contratante, informará a ANS/ASD competente, ou qualquer outra autoridade de segurança competente, de que é necessária uma CSE para a fase pré-contratual ou para a execução do contrato. Será exigida uma CSE ou uma CSP para a fase pré-contratual quando haja que fornecer ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET durante o processo de apresentação das propostas.
                  
               
                  
                     10.
                  
                  
                     O SEAE, enquanto entidade contratante, não adjudicará nenhum contrato classificado ao proponente preferido antes de ter recebido, da ANS/ASD ou de qualquer outra autoridade de segurança competente do Estado-Membro em que o contratante ou subcontratante estiver registado, a confirmação de que, se exigível, foi emitida a CSE adequada.
                  
               
                  
                     11.
                  
                  
                     O SEAE, enquanto entidade contratante, solicitará à ANS ou ASD ou a qualquer outra autoridade de segurança competente emissora de uma CSE que o notifique de eventuais informações adversas que afetem a CSE. No caso da subcontratação, a ANS/ASD ou qualquer outra autoridade de segurança competente será informada em conformidade.
                  
               
                  
                     12.
                  
                  
                     A retirada de uma CSE por parte da ANS/ASD ou de qualquer outra autoridade de segurança competente constituirá motivo suficiente para que o SEAE, enquanto entidade contratante, ponha termo a um contrato classificado ou exclua do concurso um dos proponentes.
                  
               IV.   CREDENCIAÇÃO DE SEGURANÇA DO PESSOAL (CSP) PARA O PESSOAL DOS CONTRATANTES
         
                  
                     13.
                  
                  
                     O pessoal que trabalhe para contratantes que exijam acesso a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deverá possuir a devida credenciação de segurança e deverá ter necessidade de tomar conhecimento das informações. Embora não seja necessária uma CSP para ter acesso a ICUE ao nível da classificação RESTREINT UE/EU RESTRICTED, deverá existir necessidade de tomar conhecimento dessas informações.
                  
               
                  
                     14.
                  
                  
                     As candidaturas para CSP para o pessoal de contratantes devem ser submetidas à ANS/ASD responsável pela entidade.
                  
               
                  
                     15.
                  
                  
                     O SEAE chamará a atenção dos contratantes que tencionem contratar cidadãos de um Estado terceiro para um cargo que exija o acesso a ICUE para o facto de que cabe à ANS/ASD do Estado-Membro em que foi constituída e está sediada a entidade contratante determinar se à pessoa em questão pode ser concedido acesso a essas informações, de acordo com a presente decisão, e confirmar que foi dado consentimento por parte da entidade de origem antes de o referido acesso ser concedido.
                  
               V.   CONTRATOS E SUBCONTRATOS CLASSIFICADOS
         
                  
                     16.
                  
                  
                     Quando forem fornecidas ICUE aos proponentes na fase pré-contratual, o aviso de concurso deverá conter uma disposição que obrigue aqueles que não cheguem a apresentar uma proposta ou cuja proposta não seja selecionada a devolver todos os documentos classificados num prazo determinado.
                  
               
                  
                     17.
                  
                  
                     Após a adjudicação de um contrato ou subcontrato classificado, o SEAE, enquanto entidade contratante, informará a ANS/ASD ou qualquer outra autoridade de segurança competente do contratante ou do subcontratante acerca das disposições de segurança do contrato classificado.
                  
               
                  
                     18.
                  
                  
                     Em caso de rescisão ou do termo desses contratos, o SEAE, enquanto entidade contratante (e/ou a ANS/ASD ou qualquer outra autoridade de segurança competente, consoante o caso, no caso de subcontratos), informará imediatamente desse facto a ANS/ASD ou qualquer outra autoridade de segurança competente do Estado-Membro em que o contratante ou subcontratante estiver registado.
                  
               
                  
                     19.
                  
                  
                     Aquando da rescisão ou do termo do contrato classificado, o contratante ou subcontratante deverá, regra geral, restituir à entidade contratante quaisquer ICUE que se encontrem na sua posse.
                  
               
                  
                     20.
                  
                  
                     Serão estabelecidas na CAS disposições específicas referentes à eliminação de ICUE durante a fase de execução do contrato, ou após o seu termo ou rescisão.
                  
               
                  
                     21.
                  
                  
                     Quando o contratante ou subcontratante for autorizado a conservar ICUE após o termo ou rescisão do contrato, as normas mínimas estabelecidas na presente decisão deverão continuar a ser cumpridas e a confidencialidade das ICUE deverá ser protegida pelo contratante ou subcontratante.
                  
               
                  
                     22.
                  
                  
                     As condições em que o contratante pode subcontratar serão definidas no convite à apresentação de propostas e no contrato.
                  
               
                  
                     23.
                  
                  
                     Antes de procederem à subcontratação de partes de contratos classificados, os contratantes deverão obter autorização do SEAE, enquanto entidade contratante. Nenhum subcontrato pode ser celebrado com entidades industriais ou outras registadas num Estado que não seja membro da União Europeia e com o qual a União não tenha celebrado nenhum acordo de segurança das informações.
                  
               
                  
                     24.
                  
                  
                     É da responsabilidade do contratante garantir que todas as atividades de subcontratação respeitem as normas mínimas estabelecidas na presente decisão, não devendo fornecer ICUE a nenhum subcontratante sem o prévio consentimento escrito da entidade contratante.
                  
               
                  
                     25.
                  
                  
                     Os direitos de entidade de origem das ICUE que o contratante ou subcontratante tiver produzido ou manuseado serão exercidos pela entidade contratante.
                  
               VI.   VISITAS ASSOCIADAS A CONTRATOS CLASSIFICADOS
         
                  
                     26.
                  
                  
                     Quando o SEAE ou quaisquer contratantes ou subcontratantes precisem de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações uns dos outros para a execução de um contrato classificado, serão organizadas visitas em ligação com as ANS/ASD ou quaisquer outras autoridades de segurança competentes a que o assunto diga respeito. Esta disposição aplica-se sem prejuízo da prerrogativa das ANS/ASD, no contexto de projetos específicos, para chegar a acordo sobre os procedimentos relativos à organização direta dessas visitas.
                  
               
                  
                     27.
                  
                  
                     Para aceder às ICUE relacionadas com o contrato do SEAE, todos os visitantes devem possuir a devida CSP e ter «necessidade de tomar conhecimento» dessas informações.
                  
               
                  
                     28.
                  
                  
                     Aos visitantes só será concedido acesso às ICUE relacionadas com a finalidade da visita.
                  
               VII.   TRANSMISSÃO E TRANSPORTE DE ICUE
         
                  
                     29.
                  
                  
                     Para efeitos de transmissão de ICUE por meios eletrónicos são aplicáveis as disposições pertinentes do artigo 8.o do anexo A e do anexo A IV.
                  
               
                  
                     30.
                  
                  
                     Para efeitos de transporte de ICUE, são aplicáveis as disposições pertinentes do anexo III, nos termos das disposições legislativas e regulamentares nacionais.
                  
               
                  
                     31.
                  
                  
                     Para o transporte como mercadoria de material classificado, serão aplicados os seguintes princípios aquando da determinação dos mecanismos de segurança:
                     
                                 a)
                              
                              
                                 É garantida a segurança em todas as fases do transporte desde o ponto de origem até ao destino final;
                              
                           
                                 b)
                              
                              
                                 O grau de proteção atribuído a uma remessa é determinado pelo nível de classificação mais elevado do material nela contido;
                              
                           
                                 c)
                              
                              
                                 É obtida uma CSE de nível adequado para as empresas que efetuam o transporte, se tal implicar igualmente que as informações classificadas sejam armazenadas nas instalações dos contratantes. Em todo o caso, o pessoal que manipula a remessa será sujeito a credenciação de segurança adequada, nos termos do anexo A I;
                              
                           
                                 d)
                              
                              
                                 Antes de qualquer transporte transfronteiras de material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, o expedidor elabora um plano de transporte, que deverá ser aprovado pela SEAE, sempre que adequado em ligação com as ANS/ASD em causa do expedidor e do destinatário ou qualquer outra autoridade de segurança competente;
                              
                           
                                 e)
                              
                              
                                 Na medida do possível, os transportes serão diretos, efetuando-se tão rapidamente quanto as circunstâncias o permitirem;
                              
                           
                                 f)
                              
                              
                                 Sempre que possível, os itinerários devem atravessar unicamente território de Estados-Membros. Só deverão atravessar Estados que não sejam membros da União Europeia quando tal for autorizado pelo SEAE ou por quaisquer outras autoridades de segurança competentes dos Estados tanto do expedidor como do destinatário.
                              
                           
               VIII.   TRANSFERÊNCIA DE ICUE PARA CONTRATANTES ESTABELECIDOS EM ESTADOS TERCEIROS
         
                  
                     32.
                  
                  
                     A transferência de ICUE para contratantes e subcontratantes estabelecidos em Estados terceiros que possuem um acordo de segurança válido com a UE far-se-á de acordo com as medidas de segurança acordadas entre o SEAE, enquanto entidade contratante, e a ANS/ASD do Estado terceiro em que o contratante se encontre registado.
                  
               IX.   MANUSEAMENTO E ARMAZENAMENTO DE INFORMAÇÕES COM CLASSIFICAÇÃO RESTREINT UE/EU RESTRICTED
         
                  
                     33.
                  
                  
                     Enquanto entidade contratante e com base nas disposições contratuais, assiste ao SEAE, em ligação com a ANS/ASD do Estado-Membro, consoante o caso, o direito de efetuar visitas às instalações dos contratantes ou subcontratantes, para verificar se foram tomadas as medidas de segurança necessárias à proteção das ICUE de nível RESTREINT UE/EU RESTRICTED nos termos do contrato.
                  
               
                  
                     34.
                  
                  
                     Na medida do necessário ao abrigo das disposições legislativas e regulamentares nacionais, as ANS/ASD ou quaisquer outras autoridades de segurança competentes serão informadas pelo SEAE, na qualidade de entidade contratante, de contratos ou subcontratos que envolvam informações com classificação RESTREINT UE/EU RESTRICTED.
                  
               
                  
                     35.
                  
                  
                     Não será necessário que os contratantes ou subcontratantes e respetivo pessoal possuam CSE nem CSP para a execução de contratos celebrados pelo SEAE que envolvam informações com classificação RESTREINT UE/EU RESTRICTED.
                  
               
                  
                     36.
                  
                  
                     Não obstante as exigências de CSE ou CSP eventualmente previstas nas disposições legislativas e regulamentares nacionais, o SEAE, enquanto entidade contratante, analisará as candidaturas apresentadas em concursos para adjudicação de contratos que exijam acesso a informações com classificação RESTREINT UE/EU RESTRICTED.
                  
               
                  
                     37.
                  
                  
                     As condições em que o contratante pode recorrer à subcontratação deverão respeitar o disposto nos pontos 22 a 24.
                  
               
                  
                     38.
                  
                  
                     Quando um contrato implicar o manuseamento de informações com classificação RESTREINT UE/EU RESTRICTED num SCI explorado por um contratante, o SEAE, enquanto entidade contratante, assegurará que o contrato ou eventual subcontrato especifique os requisitos técnicos e administrativos necessários à acreditação do SCI que sejam proporcionais ao risco avaliado, tendo em conta todos os fatores pertinentes. O âmbito da acreditação do SCI será acordado entre a entidade contratante e a ANS/ASD competente.
                  
               
      
         ANEXO A VI
         
            INTERCÂMBIO DE INFORMAÇÕES CLASSIFICADAS COM ESTADOS TERCEIROS E ORGANIZAÇÕES INTERNACIONAIS
         
         I.   INTRODUÇÃO
         
                  
                     1.
                  
                  
                     O presente anexo estabelece as regras de execução do artigo 10.o do anexo A.
                  
               II.   QUADROS REGULAMENTARES QUE REGEM O INTERCÂMBIO DE INFORMAÇÕES CLASSIFICADAS
         
                  
                     2.
                  
                  
                     O SEAE pode trocar ICUE com Estados terceiros ou organizações internacionais de acordo com o artigo 10.o, n.o 1 do anexo A.
                     A fim de apoiar a AR na execução das responsabilidades previstas no artigo 218.o do TFUE:
                     
                                 a)
                              
                              
                                 O departamento geográfico ou temático competente do SEAE, em consulta com a Direção do SEAE responsável pela segurança, identificará, sempre que adequado, a necessidade de um intercâmbio de ICUE a longo prazo com o Estado terceiro ou a organização internacional em questão;
                              
                           
                                 b)
                              
                              
                                 A Direção do SEAE responsável pela segurança, em consulta com o departamento geográfico competente do SEAE, apresentará à AR, se adequado, os projetos de texto a propor ao Conselho nos termos do artigo 218.o, n.os 3, 5 e 6, do TFUE;
                              
                           
                                 c)
                              
                              
                                 A Direção do SEAE responsável pela segurança apoiará a AR na condução de negociações, em coordenação com os serviços pertinentes da Comissão e do Secretariado-Geral do Conselho;
                              
                           
                                 d)
                              
                              
                                 Relativamente a acordos ou convénios com Estados terceiros para a participação dos mesmos em operações PCSD de gestão de crises a que se refere o artigo 10.o, n.o 1, alínea c) do anexo A, a Direção-Geral de Gestão de Crises e Planeamento, em consulta com os serviços competentes do SEAE, apresentará à AR, se adequado, os projetos de texto a propor ao Conselho nos termos do artigo 218.o, n.os 3, 5 e 6, do TFUE e apoiará a AR na condução de negociações em coordenação com os serviços pertinentes do SEAE e do Secretariado-Geral do Conselho.
                              
                           
               
                  
                     3.
                  
                  
                     Sempre que os acordos de segurança das informações prevejam modalidades técnicas de execução a acordar entre a Direção do SEAE responsável pela segurança, em coordenação com a Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança da Comissão e o Gabinete de Segurança do Secretariado-Geral do Conselho e a autoridade de segurança competente do Estado terceiro ou organização internacional em questão, essas modalidades terão em conta o nível de proteção previsto nas regras, nas estruturas e nos procedimentos de segurança existentes no Estado terceiro ou organização internacional em causa.
                  
               
                  
                     4.
                  
                  
                     Quando o SEAE tenha a necessidade, a longo prazo, de proceder ao intercâmbio de informações com classificação não superior a RESTREINT UE/EU RESTRICTED com um Estado terceiro ou organização internacional, e se tenha determinado que a parte em questão não dispõe de um sistema de segurança suficientemente desenvolvido para que seja possível celebrar um acordo de segurança das informações, a AR pode, após obtenção do parecer favorável por unanimidade do Comité de Segurança do SEAE de acordo com o artigo 15.o, n.o 5 da presente decisão, celebrar um convénio administrativo com as autoridades competentes do Estado terceiro ou organização internacional em questão.
                  
               
                  
                     5.
                  
                  
                     Não serão trocadas ICUE por meios eletrónicos com um Estado terceiro ou uma organização internacional, a não ser que tal se encontre expressamente previsto no acordo de segurança das informações ou no convénio administrativo.
                  
               
                  
                     6.
                  
                  
                     Ao abrigo de um convénio administrativo relativo ao intercâmbio de informações classificadas, o SEAE e o Estado terceiro ou a organização internacional designam um registo como principal ponto de entrada e de saída das informações classificadas trocadas. Para o SEAE, este é o registo central do SEAE.
                  
               
                  
                     7.
                  
                  
                     Regra geral, os convénios administrativos assumirão a forma de troca de cartas.
                  
               III   VISITAS DE AVALIAÇÃO
         
                  
                     8.
                  
                  
                     As visitas de avaliação a que se refere o artigo 17.o da presente decisão são realizadas de comum acordo com o Estado terceiro ou a organização internacional pertinente, e avaliam:
                     
                                 a)
                              
                              
                                 O quadro regulamentar aplicável à proteção das informações classificadas;
                              
                           
                                 b)
                              
                              
                                 Características específicas de leis, regulamentos, políticas ou procedimentos em matéria de segurança do Estado terceiro ou organização internacional que possam afetar o nível máximo de classificação de informações suscetíveis de intercâmbio;
                              
                           
                                 c)
                              
                              
                                 Os procedimentos e as medidas de segurança em vigor para proteção de informações classificadas; e
                              
                           
                                 d)
                              
                              
                                 Os procedimentos de credenciação de segurança para o nível de ICUE a comunicar.
                              
                           
               
                  
                     9.
                  
                  
                     Só haverá intercâmbio de ICUE após uma visita de avaliação e depois de ser determinado o nível a que as informações classificadas podem ser trocadas entre as partes, com base na equivalência do nível de proteção que lhes será atribuído.
                     Se, enquanto se aguarda a visita de avaliação, a AR tomar conhecimento da existência de razões excecionais ou urgentes para o intercâmbio de informações classificadas, o SEAE deverá:
                     
                                 a)
                              
                              
                                 Solicitar à entidade de origem que dê, por escrito, o seu consentimento prévio a fim de estabelecer que não existem objeções à comunicação das informações;
                              
                           
                                 b)
                              
                              
                                 Consultar a Autoridade de Segurança do SEAE, que pode decidir comunicar, desde que haja um parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE.
                              
                           Se o SEAE não conseguir identificar a entidade de origem, a Autoridade de Segurança do SEAE assume esta responsabilidade em seu lugar, após obtenção do parecer favorável por unanimidade do Comité de Segurança do SEAE.
                  
               IV.   AUTORIDADE PARA A COMUNICAÇÃO DE ICUE A ESTADOS TERCEIROS OU ORGANIZAÇÕES INTERNACIONAIS
         
                  
                     10.
                  
                  
                     Se existir um dos quadros referidos no artigo 10.o, n.o 1, do anexo A para o intercâmbio de informações classificadas com um Estado terceiro ou uma organização internacional, a decisão de o SEAE comunicar ICUE a um Estado terceiro ou organização internacional será tomada pela Autoridade de Segurança do SEAE, que pode delegar esta autorização a altos funcionários do SEAE ou a outras pessoas sob a sua autoridade.
                  
               
                  
                     11.
                  
                  
                     Se a entidade de origem das informações classificadas a comunicar, incluindo as entidades de origem do material de referência que possa conter, não for o SEAE, este solicitará à entidade de origem que dê, por escrito, o consentimento prévio a fim de estabelecer que não existem objeções à comunicação das informações. Se o SEAE não conseguir identificar a entidade de origem, a Autoridade de Segurança do SEAE assume esta responsabilidade em seu lugar, após obtenção do parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE.
                  
               V.   COMUNICAÇÃO AD HOC DE ICUE A TÍTULO EXCECIONAL
         
                  
                     12.
                  
                  
                     Na ausência de um dos quadros a que se refere o artigo 10.o, n.o 1, do anexo A, e sempre que os interesses da UE ou de um ou mais dos seus Estados-Membros exijam a comunicação de ICUE por razões políticas, operacionais ou urgentes, as ICUE podem excecionalmente ser comunicadas a um Estado terceiro ou a uma organização internacional após a aplicação das medidas seguintes.
                     Após assegurar que as condições referidas no n.o 11 estão cumpridas, a Direção do SEAE responsável pela segurança deverá:
                     
                                 a)
                              
                              
                                 Na medida do possível, verificar junto das autoridades de segurança do Estado terceiro ou organização internacional em questão se as respetivas regras, estruturas e procedimentos de segurança são de molde a garantir que as ICUE que lhe forem comunicadas serão protegidas segundo normas não menos rigorosas do que as estabelecidas na presente decisão;
                              
                           
                                 b)
                              
                              
                                 Solicitar ao Comité de Segurança do SEAE que, com base nas informações disponíveis, formule uma recomendação sobre a confiança que pode ser depositada nas regras, estruturas e procedimentos de segurança do Estado terceiro ou organização internacional a que as ICUE deverão ser comunicadas;
                              
                           
                                 c)
                              
                              
                                 Consultar a Autoridade de Segurança do SEAE, que pode decidir comunicar, desde que haja um parecer favorável por unanimidade dos Estados-Membros representados no Comité de Segurança do SEAE.
                              
                           
               
                  
                     13.
                  
                  
                     Na ausência de um dos quadros a que se refere o artigo 10.o, n.o 1, do anexo A, a terceira parte em questão deverá assumir o compromisso, por escrito, de proteger devidamente as ICUE.
                  
               
            Apêndice A
            
               DEFINIÇÕES
            
            Para efeitos da presente decisão, entende-se por:
            
               «Acreditação»: processo que conduz a uma declaração formal, emitida pela Autoridade de Acreditação de Segurança (AAS), segundo a qual um dado sistema está aprovado para funcionar com um determinado nível de classificação, num determinado modo de segurança no seu ambiente operacional e a um nível de risco aceitável, com base na premissa de que foi implementado um conjunto aprovado de medidas de segurança de caráter técnico, material, organizativo e processual;
            
               «Ativo»: tudo o que é útil para uma organização, para as suas atividades e para a continuidade destas, nomeadamente os recursos de informação que a apoiam no desempenho das suas funções;
            
               «Autorização para acesso a ICUE»: uma autorização da Autoridade de Segurança do SEAE emitida em conformidade com a presente decisão após emissão de uma CSP pelas autoridades competentes de um Estado-Membro e que atesta que uma pessoa pode, se comprovada a sua necessidade de tomar conhecimento de tais informações, ser autorizada a aceder a ICUE até um determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior) até determinada data — ver artigo 2.o do anexo A I;
            
               «Quebra»: resulta de atos ou omissões de uma pessoa que são contrários às regras de segurança estabelecidas na presente decisão e/ou às políticas de segurança ou diretrizes que estabeleçam medidas necessárias para a sua implementação;
            
               «Ciclo de vida do SCI»: todo o período de existência do SCI, que compreende as fases da iniciativa, conceção, planeamento, análise dos requisitos, projeto, desenvolvimento, ensaio, implementação, exploração, manutenção e desativação;
            
               «Contrato classificado»: contrato celebrado pelo SEAE com um contratante para o fornecimento de bens, a execução de obras ou a prestação de serviços cuja execução exija ou implique o acesso a ou a produção de ICUE;
            
               «Subcontrato classificado»: contrato celebrado entre um contratante do SEAE e outro contratante (ou seja, o subcontratante) para o fornecimento de bens, a realização de obras ou a prestação de serviços cuja execução exija ou implique o acesso ou a produção de ICUE;
            
               «Sistema de comunicação e informação (SCI)»: um sistema que permita o manuseamento automatizado de informações. Um sistema de comunicação e informação compreende todos os meios necessários ao seu funcionamento, designadamente a infraestrutura, a organização, o pessoal e os recursos em matéria de informação; — ver artigo 8.o, n.o 2, do anexo A;
            
               «Comprometimento de ICUE»: divulgação total ou parcial de ICUE a pessoas ou identidades não autorizadas — ver artigo 9.o, n.o 2;
            
               «Contratante»: pessoa singular ou coletiva com capacidade jurídica para celebrar contratos;
            
               «Produtos criptográficos (produtos cripto)»: algoritmos criptográficos, módulos criptográficos de hardware e software e produtos que incluam detalhes de implementação e documentação conexa e material de cifragem;
            
               «Operação PCSD»: operação de gestão militar ou civil de crises conduzida ao abrigo do Capítulo 2 do Título V do TUE;
            
               «Desclassificação»: eliminação de qualquer classificação de segurança;
            
               «Defesa em profundidade»: aplicação de uma série de medidas de segurança organizadas em múltiplos estratos de defesa;
            
               «Autoridade de Segurança Designada» (ASD): autoridade responsável perante a Autoridade Nacional de Segurança (ANS) de um Estado-Membro que está encarregada de comunicar às entidades industriais ou outras a política nacional em todas as matérias de segurança industrial e de facultar orientação e prestar assistência na sua implementação. As funções de ASD podem ser desempenhadas pela ANS ou por qualquer outra autoridade competente;
            
               «Documento»: quaisquer informações registadas, independentemente da sua forma ou características materiais;
            
               «Desgraduação»: redução do nível de classificação de segurança;
            
               «Informações classificadas da UE» (ICUE): quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros — ver artigo 2.o, alínea f);
            
               «Credenciação de Segurança da Empresa» (CSE): certificação administrativa, emitida por uma ANS ou ASD, de que, do ponto de vista da segurança, determinada empresa está apta a garantir um nível adequado de proteção das ICUE com determinado nível de classificação de segurança e de que o seu pessoal que precise de aceder a ICUE foi sujeito ao processo de credenciação de segurança correspondente e informado dos requisitos de segurança necessários para aceder às ICUE e garantir a sua proteção;
            
               «Manuseamento» de ICUE: todas as atividades a que as ICUE possam eventualmente ser sujeitas ao longo do seu ciclo de vida, que compreende produção, tratamento, transporte, desgraduação, desclassificação e destruição. Relativamente ao SCI, compreende ainda recolha, visualização, transmissão e armazenamento;
            
               «Detentor»: pessoa devidamente autorizada com necessidade comprovada de tomar conhecimento, que está na posse de ICUE e é consequentemente responsável pela sua proteção;
            
               «Entidade industrial ou outra»: entidade envolvida no fornecimento de bens, execução de obras ou prestação de serviços. Pode tratar-se de uma entidade industrial, comercial, de serviços, científica, educativa, de investigação ou desenvolvimento, bem como de trabalhador por conta própria;
            
               «Segurança industrial»: aplicação de medidas destinadas a garantir a proteção das ICUE pelos contratantes ou subcontratantes no âmbito das negociações pré-contratuais e durante a vigência dos contratos classificados — ver artigo 9.o, n.o 1, do anexo A;
            
               «Garantia da informação» no domínio dos sistemas de comunicação e informação: consiste na confiança com que esses sistemas protegem as informações neles manuseadas e funcionam como for necessário, quando for necessário, sob o controlo de utilizadores legítimos. Uma GI eficaz deve assegurar níveis adequados de confidencialidade, integridade, disponibilidade, não rejeição e autenticidade. A GI baseia-se num processo de gestão de risco — ver artigo 8.o, n.o 1, do anexo A;
            
               «Interconexão»: significa, para efeitos da presente decisão, a conexão direta, unidirecional ou multidirecional, de dois ou mais sistemas informáticos para efeitos de partilha de dados e de outros recursos de informação (e.g. comunicação) — ver anexo A IV, ponto 31;
            
               «Gestão das informações classificadas»: aplicação de medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam complementar as medidas previstas nos artigos 5.o, 6.o e 8.o e contribuir, deste modo, para dissuadir e detetar a perda ou o comprometimento deliberados ou acidentais de informações e para recuperar essas informações em caso de perda ou comprometimento. Estas medidas dizem respeito, em especial, à produção, registo, cópia, tradução, transporte, manuseamento, armazenamento e destruição de ICUE — ver artigo 7.o, n.o 1 do anexo A;
            
               «Material»: qualquer documento ou peça de maquinaria ou equipamento, já fabricado ou em fase de fabrico;
            
               «Entidade de origem»: instituição, agência ou organismo da UE, Estado-Membro, Estado terceiro ou organização internacional sob cuja autoridade tenham sido produzidas e/ou introduzidas nas estruturas da UE informações classificadas;
            
               «Segurança do pessoal»: aplicação de medidas que se destinam a garantir que o acesso às ICUE só seja concedido a quem:
            
                        —
                     
                     
                        tenha necessidade de tomar conhecimento das informações,
                     
                  
                        —
                     
                     
                        para efeitos de acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, possua a credenciação de segurança para o nível adequado ou outra autorização devidamente emitida, em virtude das funções que exercem, nos termos das disposições legislativas e regulamentares nacionais, e
                     
                  
                        —
                     
                     
                        tenha sido informado das responsabilidades que lhe cabem
                     
                  ver artigo 5.o, n.o 1, do anexo A;
            
               «Certificação de Segurança do Pessoal» (CSP) para acesso a ICUE: declaração de uma autoridade competente de um Estado-Membro feita depois de concluído um inquérito de segurança conduzido pelas autoridades competentes de um Estado-Membro e pela qual se atesta que uma dada pessoa pode aceder a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e até determinada data, desde que tenha sido comprovada a sua «necessidade de tomar conhecimento»; diz-se que uma pessoa nestas condições «possui credenciação de segurança»;
            
               «Certificado de Credenciação de Segurança do Pessoal» (CCSP): certificado, emitido por uma autoridade competente, pelo qual se atesta que uma dada pessoa possui uma credenciação de segurança válida ou uma autorização válida do chefe da Direção responsável pela segurança para acesso a ICUE, e se indica o nível de ICUE a que a pessoa pode aceder (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de validade da CSP correspondente e a data de caducidade do próprio certificado;
            
               «Segurança física»: aplicação de medidas físicas e técnicas de proteção destinadas a dissuadir o acesso não autorizado a ICUE — ver artigo 6.o do anexo A;
            
               «Instruções de Segurança do Programa/Projeto» (ISP): lista de procedimentos de segurança aplicados a um programa ou projeto específico a fim de normalizar os procedimentos de segurança. As Instruções podem ser revistas em qualquer fase do programa ou projeto;
            
               «Registo»: aplicação de procedimentos que registem o ciclo de vida das informações, incluindo a sua divulgação e destruição — ver anexo A III, ponto 21;
            
               «Risco residual»: risco que permanece após serem aplicadas medidas de segurança, dado que não é possível neutralizar todas as ameaças nem eliminar todas as vulnerabilidades;
            
               «Risco»: possibilidade de uma ameaça específica explorar as vulnerabilidades internas e externas de uma organização ou de um dos sistemas por ela utilizados, causando assim danos à organização e respetivos ativos corpóreos ou incorpóreos. Mede-se pela combinação da probabilidade de as ameaças ocorrerem e do respetivo impacto;
            
               «Aceitação do risco»: decisão de aceitar a persistência de um risco residual após o tratamento do risco;
            
               «Avaliação do risco»: identificação das ameaças e vulnerabilidades e realização da análise de risco conexa, ou seja, a análise da probabilidade e do impacto;
            
               «Comunicação do risco»: consciencializar os grupos de utilizadores de SCI para os riscos, informar as autoridades de aprovação desses riscos e reportá-los às autoridades operacionais;
            
               «Processo de gestão do risco»: todo o processo de identificação, controlo e minimização de acontecimentos indeterminados que possam afetar a segurança de determinada organização ou qualquer dos sistemas por ela utilizados. Este processo abarca todas as atividades relacionadas com o risco, designadamente avaliação, tratamento, aceitação e comunicação;
            
               «Tratamento do risco»: atenuação, eliminação, redução (mediante uma combinação adequada de medidas técnicas, materiais, organizativas e processuais), transferência ou monitorização do risco;
            
               «Cláusula Adicional de Segurança» (CAS): condições contratuais especiais emitidas pela entidade contratante que fazem parte integrante de um contrato classificado que implica o acesso a ICUE ou a sua produção, e nas quais são identificados os requisitos de segurança ou as partes do contrato que exigem proteção de segurança — ver anexo A V, secção II;
            
               «Guia da Classificação de Segurança» (GCS): documento que descreve as partes do programa ou contrato que são classificadas, com especificação dos níveis de classificação de segurança aplicáveis. O GCS pode ser alargado durante a vigência do programa ou contrato e as informações podem ser reclassificadas ou desgraduadas. Se existir um GCS, este fará parte integrante da CAS — ver anexo A V, secção II;
            
               «Inquérito de Segurança»: procedimentos de inquérito conduzidos pela autoridade competente de um Estado-Membro, nos termos das respetivas disposições legislativas e regulamentares nacionais, a fim de se certificar que não há conhecimento de circunstâncias desfavoráveis que impeçam uma dada pessoa de obter uma CSP nacional ou CSP UE para acesso a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior);
            
               «Procedimentos Operacionais de Segurança» (POS): uma descrição da implementação da política de segurança a adotar, dos procedimentos operacionais a seguir e das responsabilidades do pessoal;
            
               «Informações sensíveis não classificadas»: informações ou elementos que o SEAE tem de proteger devido a obrigações jurídicas estabelecidas nos Tratados ou em atos adotados para a sua execução, e/ou devido à sensibilidade dessas informações ou elementos. As informações sensíveis não classificadas incluem, entre outras, informações ou elementos abrangidos pelo segredo profissional a que se refere o artigo 339.o do TFUE, informações abrangidas pelos interesses protegidos pelo artigo 4.o do Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho (1), lido em conjugação com a jurisprudência pertinente do Tribunal de Justiça da União Europeia, ou dados pessoais abrangidos pelo âmbito de aplicação do Regulamento (CE) n.o 45/2001.
            
               «Requisitos de Segurança Específicos do Sistema» (RSES): conjunto de princípios de segurança vinculativos a observar e de requisitos de segurança vinculativos detalhados a implementar, subjacentes ao processo de certificação e acreditação dos SCI;
            
               «TEMPEST»: investigação, estudo e controlo das emanações eletromagnéticas comprometedoras e medidas destinadas à sua eliminação;
            
               «Ameaça»: causa potencial de incidente indesejável que pode provocar danos a uma organização ou a qualquer dos sistemas por ela utilizados. Estas ameaças podem ser acidentais ou deliberadas (com dolo) e caracterizam-se por elementos ameaçadores, alvos potenciais e métodos de ataque;
            
               «Vulnerabilidade»: insuficiência, seja de que natureza for, que possa ser explorada por uma ou mais ameaças. A vulnerabilidade pode consistir numa omissão ou estar relacionada com uma insuficiência dos controlos em termos de rigor, coerência ou exaustividade, podendo ser de natureza técnica, processual, material, organizativa ou operacional.
            
               (1)  Regulamento (CE) n.o 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43).
         
         
            Apêndice B
            
               Equivalência das classificações de segurança
            
            
                        Dentro da UE
                     
                     
                        TRES SECRET UE/EU TOP SECRET
                     
                     
                        SECRET UE/EU SECRET
                     
                     
                        CONFIDENTIEL UE/EU CONFIDENTIAL
                     
                     
                        RESTREINT UE/EU RESTRICTED
                     
                  
                        EURATOM
                     
                     
                        EURA TOP SECRET
                     
                     
                        EURA SECRET
                     
                     
                        EURA CONFIDENTIAL
                     
                     
                        EURA RESTRICTED
                     
                  
                        Bélgica
                     
                     
                        Très Secret (Loi 11.12.1998)
                        Zeer Geheim (Wet 11.12.1998)
                     
                     
                        Secret (Loi 11.12.1998)
                        Geheim (Wet 11.12.1998)
                     
                     
                        Confidentiel (Loi 11.12.1998)
                        Vertrouwelijk (Wet 11.12.1998)
                     
                     
                        Ver nota (1) abaixo
                     
                  
                        Bulgária
                     
                     
                        Cтpoгo ceкретно
                     
                     
                        Ceкретно
                     
                     
                        Поверително
                     
                     
                        За служебно ползване
                     
                  
                        República Checa
                     
                     
                        Přísně tajné
                     
                     
                        Tajné
                     
                     
                        Důvěrné
                     
                     
                        Vyhrazené
                     
                  
                        Dinamarca
                     
                     
                        Yderst hemmeligt
                     
                     
                        Hemmeligt
                     
                     
                        Fortroligt
                     
                     
                        Til tjenestebrug
                     
                  
                        Alemanha
                     
                     
                        STRENG GEHEIM
                     
                     
                        GEHEIM
                     
                     
                        VS (2) — VERTRAULICH
                     
                     
                        VS — NUR FÜR DEN DIENSTGEBRAUCH
                     
                  
                        Estónia
                     
                     
                        Täiesti salajane
                     
                     
                        Salajane
                     
                     
                        Konfidentsiaalne
                     
                     
                        Piiratud
                     
                  
                        Irlanda
                     
                     
                        Top Secret
                     
                     
                        Secret
                     
                     
                        Confidential
                     
                     
                        Restricted
                     
                  
                        Grécia
                     
                     
                        Άκρως Απόρρητο
                        Abr: ΑΑΠ
                     
                     
                        Απόρρητο
                        Abr: (ΑΠ)
                     
                     
                        Εμπιστευτικό
                        Αbr: (ΕΜ)
                     
                     
                        Περιορισμένης Χρήσης
                        Abr: (ΠΧ)
                     
                  
                        Espanha
                     
                     
                        SECRETO
                     
                     
                        RESERVADO
                     
                     
                        CONFIDENCIAL
                     
                     
                        DIFUSIÓN LIMITADA
                     
                  
                        França
                     
                     
                        Très Secret Défense
                     
                     
                        Secret Défense
                     
                     
                        Confidentiel Défense
                     
                     
                        Ver nota (3) abaixo
                     
                  
                        Croácia
                     
                     
                        VRLO TAJNO
                     
                     
                        TAJNO
                     
                     
                        POVJERLJIVO
                     
                     
                        OGRANIČENO
                     
                  
                        Itália
                     
                     
                        Segretissimo
                     
                     
                        Segreto
                     
                     
                        Riservatissimo
                     
                     
                        Riservato
                     
                  
                        Chipre
                     
                     
                        Άκρως Απόρρητο
                        Αbr: (AΑΠ)
                     
                     
                        Απόρρητο
                        Αbr: (ΑΠ)
                     
                     
                        Εμπιστευτικό
                        Αbr: (ΕΜ)
                     
                     
                        Περιορισμένης Χρήσης
                        Αbr: (ΠΧ)
                     
                  
                        Letónia
                     
                     
                        Sevišķi slepeni
                     
                     
                        Slepeni
                     
                     
                        Konfidenciāli
                     
                     
                        Dienesta vajadzībām
                     
                  
                        Lituânia
                     
                     
                        Visiškai slaptai
                     
                     
                        Slaptai
                     
                     
                        Konfidencialiai
                     
                     
                        Riboto naudojimo
                     
                  
                        Luxemburgo
                     
                     
                        Très Secret Lux
                     
                     
                        Secret Lux
                     
                     
                        Confidentiel Lux
                     
                     
                        Restreint Lux
                     
                  
                        Hungria
                     
                     
                        «Szigorúan titkos!»
                     
                     
                        «Titkos!»
                     
                     
                        «Bizalmas!»
                     
                     
                        «Korlátozott terjesztésű!»
                     
                  
                        Malta
                     
                     
                        L-Ogħla Segretezza
                     
                     
                        Sigriet
                     
                     
                        Kunfidenzjali
                     
                     
                        Ristrett
                     
                  
                        Países Baixos
                     
                     
                        Stg. ZEER GEHEIM
                     
                     
                        Stg. GEHEIM
                     
                     
                        Stg. CONFIDENTIEEL
                     
                     
                        Dep. VERTROUWELIJK
                     
                  
                        Áustria
                     
                     
                        Streng Geheim
                     
                     
                        Geheim
                     
                     
                        Vertraulich
                     
                     
                        Eingeschränkt
                     
                  
                        Polónia
                     
                     
                        Ściśle Tajne
                     
                     
                        Tajne
                     
                     
                        Poufne
                     
                     
                        Zastrzeżone
                     
                  
                        Portugal
                     
                     
                        Muito Secreto
                     
                     
                        Secreto
                     
                     
                        Confidencial
                     
                     
                        Reservado
                     
                  
                        Roménia
                     
                     
                        Strict secret de importanță deosebită
                     
                     
                        Strict secret
                     
                     
                        Secret
                     
                     
                        Secret de serviciu
                     
                  
                        Eslovénia
                     
                     
                        Strogo tajno
                     
                     
                        Tajno
                     
                     
                        Zaupno
                     
                     
                        Interno
                     
                  
                        Eslováquia
                     
                     
                        Prísne tajné
                     
                     
                        Tajné
                     
                     
                        Dôverné
                     
                     
                        Vyhradené
                     
                  
                        Finlândia
                     
                     
                        ERITTÄIN SALAINEN
                        YTTERST HEMLIG
                     
                     
                        SALAINEN
                        HEMLIG
                     
                     
                        LUOTTAMUKSELLINEN
                        KONFIDENTIELL
                     
                     
                        KÄYTTÖ RAJOITETTU
                        BEGRÄNSAD TILLGÅNG
                     
                  
                        Suécia (4)
                        
                     
                     
                        HEMLIG/TOP SECRET
                     
                     
                        HEMLIG/SECRET
                     
                     
                        HEMLIG/CONFIDENTIAL
                     
                     
                        HEMLIG/RESTRICTED
                     
                  
                        HEMLIG AV SYNNERLIG BETYDELSE FÖR RIKETS SÄKERHET
                     
                     
                        HEMLIG
                     
                     
                        HEMLIG
                     
                     
                        HEMLIG
                     
                  
                        Reino Unido
                     
                     
                        UK TOP SECRET
                     
                     
                        UK SECRET
                     
                     
                        Sem equivalente (5)
                        
                     
                     
                        UK OFFICIAL — SENSITIVE
                     
                  
               (1)  «Diffusion Restreinte/Beperkte Verspreiding» não é uma classificação de segurança na Bélgica. A Bélgica manuseia e protege as informações «RESTREINT UE/EU RESTRICTED» de modo não menos rigoroso do que as normas e procedimentos descritos nas regras de segurança do Conselho da União Europeia.
            
               (2)  Alemanha: VS = Verschlusssache.
            
               (3)  A França não utiliza a classificação «RESTREINT» no seu sistema nacional. A França manuseia e protege as informações «RESTREINT UE/EU RESTRICTED» de modo não menos rigoroso do que as normas e procedimentos descritos nas regras de segurança do Conselho da União Europeia.
            
               (4)  Suécia: as marcações de classificação de segurança constantes da linha de cima são utilizadas pelas autoridades de defesa, e as marcações da linha de baixo são utilizadas por outras autoridades.
            
               (5)  O Reino Unido manuseia e protege as ICUE com classificação «CONFIDENTIEL UE/EU CONFIDENTIAL» de acordo com os requisitos de proteção de segurança correspondentes a «UK SECRET».