CELEX: 32005D0952
Language: nl
Date: 2005-12-20 00:00:00
Title: 2005/952/EG: Besluit van de Raad van  20 december 2005  tot wijziging van Besluit 2001/264/EG betreffende de vaststelling van beveiligingsvoorschriften van de Raad

29.12.2005   
            
            
               NL
            
            
               Publicatieblad van de Europese Unie
            
            
               L 346/18
            
         
      BESLUIT VAN DE RAAD
   
   van 20 december 2005
   tot wijziging van Besluit 2001/264/EG betreffende de vaststelling van beveiligingsvoorschriften van de Raad
   (2005/952/EG)
   DE RAAD VAN DE EUROPESE UNIE,
   Gelet op het Verdrag tot oprichting van de Europese Gemeenschap, en met name op artikel 207, lid 3,
   Gelet op Besluit 2004/338/EG, Euratom van de Raad van 22 maart 2004 houdende vaststelling van zijn reglement van orde (1), en met name op artikel 24,
   Overwegende hetgeen volgt:
   
               (1)
            
            
               Artikel 2, lid 1, van Besluit 2001/264/EG (2) bepaalt dat de secretaris-generaal/hoge vertegenwoordiger passende maatregelen neemt om te zorgen dat wanneer gerubriceerde EU-gegevens worden verwerkt, de beveiligingsvoorschriften van de Raad in het secretariaat-generaal van de Raad (SGR) en door onder andere de externe contractanten van het SGR worden nageleefd.
            
         
               (2)
            
            
               Artikel 2, lid 2, van Besluit 2001/264/EG bepaalt dat de lidstaten, in overeenstemming met hun nationale regelingen, passende maatregelen nemen om te zorgen dat wanneer gerubriceerde EU-gegevens worden verwerkt, de beveiligingsvoorschriften van de Raad worden nageleefd door hun diensten en op hun locaties door onder andere de externe contractanten van de lidstaten.
            
         
               (3)
            
            
               In Besluit 2001/264/EG is niet geregeld hoe de erin opgenomen grondbeginselen en minimumnormen moeten worden toegepast wanneer het secretariaat-generaal van de Raad bij externe entiteiten opdrachten plaatst voor taken die betrekking hebben op gerubriceerde EU-gegevens of voor taken die dergelijke gegevens noodzakelijk maken en/of bevatten.
            
         
               (4)
            
            
               Het is derhalve noodzakelijk specifieke gemeenschappelijke minimumnormen voor dergelijke gevallen op te nemen in Besluit 2001/264/EG.
            
         
               (5)
            
            
               Deze gemeenschappelijke minimumnormen dienen ook door de lidstaten te worden nageleefd voor de maatregelen die in overeenstemming met hun nationale regelingen moeten worden genomen wanneer zij bij externe entiteiten als bedoeld in artikel 2, lid 2, van Besluit 2001/264/EG opdrachten plaatsen voor taken die betrekking hebben op gerubriceerde EU-gegevens of voor taken die dergelijke gegevens noodzakelijk maken en/of bevatten.
            
         
               (6)
            
            
               Deze gemeenschappelijke minimumnormen dienen te gelden onverminderd de toepasselijke handelingen, met name Richtlijn 2004/18/EG (3), Verordening (EG, Euratom) nr. 1605/2000 (4) en de uitvoeringsvoorschriften daarvan en de WTO-overeenkomst inzake overheidsopdrachten (GPA),
            
         BESLUIT:
   Artikel 1
   De navolgende zin wordt toegevoegd aan punt 8 van deel I van de bijlage bij Besluit 2001/264/EG:
   
      „Dergelijke minimumnormen omvatten tevens minimumnormen die moeten worden toegepast wanneer het secretariaat-generaal van de Raad bij industriële of andere entiteiten opdrachten plaatst voor taken die betrekking hebben op gerubriceerde EU-gegevens of voor taken die dergelijke gegevens noodzakelijk maken en/of bevatten: deze gemeenschappelijke minimumnormen zijn opgenomen in afdeling XIII van deel II.”.
   
   Artikel 2
   De tekst in de bijlage bij dit besluit wordt als afdeling XIII toegevoegd aan deel II van de bijlage bij Besluit 2001/264/EG.
   Artikel 3
   Dit besluit wordt van kracht op de dag van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
   
      Gedaan te Brussel, 20 december 2005.
      
         
            Voor de Raad
         
         
            De voorzitster
         
         M. BECKETT
         
      
   
   
      (1)  PB L 106 van 15.4.2004, blz. 22. Besluit gewijzigd bij Besluit 2004/701/EG, Euratom (PB L 319 van 20.10.2004, blz. 15).
   
      (2)  PB L 101 van 11.4.2001, blz. 1. Besluit laatstelijk gewijzigd bij Besluit 2005/571/EG (PB L 193 van 23.7.2005, blz. 31).
   
      (3)  Richtlijn 2004/18/EG van het Europees Parlement en de Raad van 31 maart 2004 betreffende de coördinatie van de procedures voor het plaatsen van overheidsopdrachten voor werken, leveringen en diensten (PB L 134 van 30.4.2004, blz. 114).
   
      (4)  Verordening (EG, Euratom) nr. 1605/2002 van de Raad van 25 juni 2002 houdende het Financieel Reglement van toepassing op de algemene begroting van de Europese Gemeenschappen (PB L 248 van 16.9.2002, blz. 1).
   
      BIJLAGE
      
         „AFDELING XIII
         GEMEENSCHAPPELIJKE MINIMUMNORMEN VOOR INDUSTRIËLE VEILIGHEID
         
                     1.
                  
                  
                     Deze afdeling gaat over de beveiligingsaspecten van industriële activiteiten die specifiek verband houden met de onderhandelingen over en het plaatsen van opdrachten voor taken die betrekking hebben op gerubriceerde EU-gegevens of voor taken die dergelijke gegevens noodzakelijk maken en/of bevatten, alsmede de uitvoering daarvan door industriële of andere entiteiten, met inbegrip van de vrijgave van of de toegang tot gerubriceerde EU-gegevens tijdens de procedure voor het plaatsen van overheidsopdrachten (aanbestedingstermijn en precontractuele onderhandelingen).
                  
               DEFINITIES
         
                     2.
                  
                  
                     Voor de toepassing van deze gemeenschappelijke minimumnormen gelden de volgende definities:
                     
                                 a)
                              
                              
                                 „gerubriceerde opdracht”: een overeenkomst voor de levering van producten, de uitvoering van werken of de verrichting van diensten waarvan de uitvoering toegang tot of opstelling van gerubriceerde EU-gegevens vereist of behelst;
                              
                           
                                 b)
                              
                              
                                 „gerubriceerde onderaanneming”: een overeenkomst tussen een aannemer en een andere aannemer (de onderaannemer) voor de levering van goederen, de uitvoering van werken of de verrichting van diensten waarvan de uitvoering toegang tot of opstelling van gerubriceerde EU-gegevens vereist of behelst;
                              
                           
                                 c)
                              
                              
                                 „aannemer”: een particulier persoon of een juridisch lichaam, in rechte bekwaam om overeenkomsten te sluiten;
                              
                           
                                 d)
                              
                              
                                 „aangewezen veiligheidsinstantie” (AVI): een autoriteit onder het gezag van de nationale veiligheidsinstantie (NVI) van een EU-lidstaat die tot taak heeft industriële of andere entiteiten te informeren over alle aspecten van het nationaal beleid inzake industriële veiligheid, en leiding en bijstand te verlenen bij de uitvoering ervan. De NVI kan de rol van AVI op zich nemen;
                              
                           
                                 e)
                              
                              
                                 „veiligheidsmachtiging voor een vestiging” (VMV): een administratieve beslissing van een NVI/AVI waaruit blijkt dat de vestiging vanuit beveiligingsoogpunt afdoende bescherming biedt voor de beveiliging van gerubriceerde EU-gegevens met een bepaalde rubriceringsgraad, en dat alle personeelsleden die toegang tot gerubriceerde EU-gegevens moeten hebben, een passend veiligheidsonderzoek hebben ondergaan en informatie hebben ontvangen over de toepasselijke beveiligingseisen die nodig zijn om gerubriceerde EU-gegevens te kunnen raadplegen en beschermen;
                              
                           
                                 f)
                              
                              
                                 „industriële of andere entiteit”: een entiteit die betrokken is bij de levering van goederen, de uitvoering van werkzaamheden of de verlening van diensten; het kan hierbij gaan om entiteiten die actief zijn op het gebied van industrie, handel, diensten, wetenschappen, onderzoek, onderwijs of ontwikkeling;
                              
                           
                                 g)
                              
                              
                                 „industriële veiligheid”: de toepassing van beschermingsmaatregelen en -procedures om het verlies of de compromittering te voorkomen, op te sporen en te herstellen van gerubriceerde EU-gegevens die tijdens de precontractuele onderhandelingen en overeenkomsten door een aannemer of een onderaannemer worden verwerkt;
                              
                           
                                 h)
                              
                              
                                 „nationale veiligheidsinstantie (NVI)”: een overheidsinstantie van een EU-lidstaat die de uiteindelijke verantwoordelijkheid draagt voor de bescherming van gerubriceerde EU-gegevens;
                              
                           
                                 i)
                              
                              
                                 „algehele rubriceringsgraad van een opdracht”: de vaststelling van de rubriceringsgraad van de gehele opdracht op basis van de rubricering van informatie die en/of materiaal dat in elk van de fasen van de algehele opdracht zal of kan worden opgesteld, vrijgegeven of geraadpleegd. De algehele rubriceringsgraad van een opdracht kan niet lager zijn dan de hoogste rubricering van een van haar onderdelen, maar kan hoger zijn ten gevolge van de samenvoeging;
                              
                           
                                 j)
                              
                              
                                 „memorandum over de beveiligingsaspecten (MBA)”: een geheel van bijzondere, door de aanbestedende instantie uitgevaardigde contractvoorwaarden die een integrerend deel vormen van een gerubriceerde opdracht die de toegang tot of de opstelling van gerubriceerde EU-gegevens behelst, en waarin de beveiligingseisen of de onderdelen van de opdracht die beveiligd moeten worden, worden genoemd;
                              
                           
                                 k)
                              
                              
                                 „gids voor beveiligingsrubricering (GBR)”: een document waarin wordt bepaald welke elementen van een programma of opdracht gerubriceerd zijn en wat de toepasselijke rubriceringsgraden zijn. De gids voor beveiligingsrubricering kan gedurende de looptijd van het programma of de opdracht worden uitgebreid en gegevens kunnen geherrubriceerd worden of een lagere rubricering krijgen; de GBR moet een onderdeel van het MBA zijn.
                              
                           
               ORGANISATIE
         
                     3.
                  
                  
                     Het secretariaat-generaal van de Raad kan bij industriële of andere in een lidstaat ingeschreven entiteiten opdrachten plaatsen voor taken die betrekking hebben op gerubriceerde EU-gegevens of voor taken die dergelijke gegevens noodzakelijk maken en/of bevatten.
                  
               
                     4.
                  
                  
                     Wanneer het secretariaat-generaal van de Raad gerubriceerde opdrachten plaatst, zorgt het ervoor dat aan alle eisen die uit deze minimumnormen voortvloeien, wordt voldaan.
                  
               
                     5.
                  
                  
                     Iedere lidstaat zorgt ervoor dat zijn nationale veiligheidsinstantie (NVI) een aangepaste structuur heeft met behulp waarvan deze minimumnormen kunnen worden toegepast op industriële veiligheid. Deze structuur kan een of meer aangewezen veiligheidsinstanties (AVI) omvatten.
                  
               
                     6.
                  
                  
                     De uiteindelijke verantwoordelijkheid voor de bescherming van gerubriceerde EU-gegevens in industriële of andere entiteiten berust bij het bestuur van die entiteiten.
                  
               
                     7.
                  
                  
                     Bij iedere opdracht of onderaanneming die binnen het toepassingsgebied van deze minimumvoorschriften valt, stellen het secretariaat-generaal van de Raad en/of de NVI/AVI, naargelang het geval, de NVI/AVI van de lidstaat waar de aannemer of onderaannemer is ingeschreven, onmiddellijk op de hoogte.
                  
               GERUBRICEERDE OPDRACHTEN
         
                     8.
                  
                  
                     Bij de beveiligingsrubricering van gerubriceerde opdrachten worden de volgende beginselen in aanmerking genomen:
                     
                                 a)
                              
                              
                                 het secretariaat-generaal van de Raad bepaalt, naargelang het geval, welke aspecten van de opdracht bescherming behoeven en stelt op grond hiervan de rubriceringsgraad vast. Daarbij moet het rekening houden met de oorspronkelijke rubriceringsgraad die door de opsteller is toegekend aan de gegevens die vóór het plaatsen van de opdracht gegenereerd zijn;
                              
                           
                                 b)
                              
                              
                                 de algehele rubriceringsgraad van de opdracht kan niet lager zijn dan de hoogste rubricering van een van haar onderdelen;
                              
                           
                                 c)
                              
                              
                                 gerubriceerde EU-gegevens die op grond van contractuele activiteiten worden gegenereerd, worden gerubriceerd overeenkomstig de gids voor beveiligingsrubricering (GBR);
                              
                           
                                 d)
                              
                              
                                 in voorkomend geval dient het secretariaat-generaal van de Raad de algehele rubriceringsgraad van de opdracht, dan wel de rubriceringsgraad van een van de onderdelen ervan, in overleg met de opsteller te wijzigen, en alle betrokkenen daarvan op de hoogte te stellen;
                              
                           
                                 e)
                              
                              
                                 gerubriceerde gegevens die aan de aannemer of onderaannemer worden vrijgegeven of die op grond van de contractuele activiteiten worden gegenereerd, mogen niet voor andere doeleinden worden gebruikt dan die welke in de gerubriceerde opdracht zijn omschreven en mogen niet aan derden worden vrijgegeven zonder de voorafgaande schriftelijke toestemming van de opsteller.
                              
                           
               
                     9.
                  
                  
                     De NVI/AVI’s van de lidstaten zorgen ervoor dat aannemers of onderaannemers bij wie een gerubriceerde opdracht wordt geplaatst die verband houdt met als CONFIDENTIEL UE of SECRET UE gerubriceerde gegevens, alle dienstige maatregelen nemen ter bescherming van de gerubriceerde EU-gegevens die aan hen worden vrijgegeven of door hen worden gegenereerd bij de uitvoering van de gerubriceerde opdracht, in overeenstemming met hun nationale wetten en voorschriften. Niet-naleving van de beveiligingsvoorschriften kan tot beëindiging van de opdracht leiden.
                  
               
                     10.
                  
                  
                     Alle industriële of andere entiteiten die deelnemen aan gerubriceerde opdrachten die inhouden dat als CONFIDENTIEL UE of SECRET UE gerubriceerde gegevens worden geraadpleegd, moeten over een nationale veiligheidsmachtiging voor een vestiging beschikken. De VMV wordt verleend door de NVI/AVI van een lidstaat om te bevestigen dat de vestiging een adequate beveiliging van gerubriceerde EU-gegevens in de juiste rubriceringsgraad kan verlenen en waarborgen.
                  
               
                     11.
                  
                  
                     De NVI/AVI is verantwoordelijk voor de toekenning, overeenkomstig de nationale voorschriften, van een persoonlijke veiligheidsmachtiging (PVM) aan iedere persoon die werkzaam is bij de in die lidstaat geregistreerde industriële of andere entiteiten en die op grond van zijn taken toegang tot als CONFIDENTIEL UE of SECRET UE gerubriceerde EU-gegevens moet hebben in het kader van een gerubriceerde opdracht.
                  
               
                     12.
                  
                  
                     Gerubriceerde opdrachten moeten een MBA omvatten dat aan de in punt 2, onder j), genoemde definitie voldoet. Het MBA moet een GBR bevatten.
                  
               
                     13.
                  
                  
                     Vóór het begin van de onderhandelingen over een gerubriceerde opdracht neemt het secretariaat-generaal van de Raad contact op met de NVI/AVI van de lidstaten waar de betrokken industriële of andere entiteit geregistreerd is om bevestiging te verkrijgen dat deze houder is van een geldige VMV die aangepast is aan de rubriceringsgraad van de opdracht.
                  
               
                     14.
                  
                  
                     De aanbestedende instantie mag geen gerubriceerde opdracht aan een geselecteerde inschrijver toekennen zonder een geldig VMV-certificaat te hebben ontvangen.
                  
               
                     15.
                  
                  
                     Behoudens andersluidende bepaling in de nationale wetten en voorschriften van de lidstaten is een VMV niet vereist voor opdrachten die betrekking hebben op als RESTREINT UE gerubriceerde gegevens.
                  
               
                     16.
                  
                  
                     Bij aanbestedingen voor gerubriceerde opdrachten moeten de uitnodigingen een bepaling bevatten die vereist dat de inschrijver die uiteindelijk geen offerte doet, of die niet wordt geselecteerd, alle documenten binnen een bepaalde termijn terugzendt.
                  
               
                     17.
                  
                  
                     Het is mogelijk dat een aannemer op diverse niveaus met onderaannemers moet onderhandelen over gerubriceerde onderaanneming. Het is de verantwoordelijkheid van de aannemer dat alle onderaannemingsactiviteiten verlopen in overeenstemming met de gemeenschappelijke minimumvoorschriften van deze afdeling. De aannemer mag evenwel geen gerubriceerde EU-gegevens of gerubriceerd EU-materiaal doorgeven aan een onderaannemer zonder schriftelijke toestemming van de verstrekker ervan.
                  
               
                     18.
                  
                  
                     De voorwaarden waaronder een aannemer een beroep kan doen op onderaannemers moeten in de aanbesteding en de opdracht worden omschreven. Entiteiten die geregistreerd zijn in landen die geen lidstaat van de Europese Unie zijn, mogen zonder de uitdrukkelijke schriftelijke toestemming van het secretariaat-generaal van de Raad niet als onderaannemer worden ingeschakeld.
                  
               
                     19.
                  
                  
                     Tijdens de gehele looptijd van de opdracht ziet de bevoegde NVI/AVI, in coördinatie met het secretariaat-generaal van de Raad, toe op de naleving van alle beveiligingsbepalingen. Van beveiligingsincidenten wordt overeenkomstig de bepalingen van deel II, afdeling X, van deze beveiligingsvoorschriften onmiddellijk verslag uitgebracht. De wijziging of intrekking van een VMV wordt onmiddellijk gemeld aan het secretariaat-generaal van de Raad en aan alle NVI/AVI’s die van het bestaan van de VMV in kennis waren gesteld.
                  
               
                     20.
                  
                  
                     Het secretariaat-generaal van de Raad en/of de NVI/AVI, naargelang het geval, meldt de beëindiging van een gerubriceerde opdracht of gerubriceerde onderaanneming onmiddellijk aan de NVI/AVI’s van de lidstaten waar de aannemer of onderaannemer is geregistreerd.
                  
               
                     21.
                  
                  
                     De aannemers en onderaannemers moeten de in deze afdeling opgenomen gemeenschappelijke minimumvoorschriften in acht blijven nemen en de vertrouwelijkheid van de gerubriceerde gegevens verzekeren na de beëindiging of voltooiing van de gerubriceerde opdracht of onderaanneming.
                  
               
                     22.
                  
                  
                     Specifieke bepalingen over de verwijdering van gerubriceerde gegevens aan het einde van de opdracht worden opgenomen in het MBA of in andere relevante bepalingen waarin de beveiligingseisen worden vastgesteld.
                  
               BEZOEKEN
         
                     23.
                  
                  
                     Bezoeken van personeelsleden van het secretariaat-generaal van de Raad aan industriële of andere entiteiten in de lidstaten welke gerubriceerde EU-opdrachten uitvoeren, moeten met de bevoegde NVI/AVI worden overeengekomen. Bezoeken van werknemers van industriële of andere entiteiten in het kader van een gerubriceerde EU-opdracht moeten worden overeengekomen tussen de betrokken NVI/AVI’s. De NVI/AVI’s die betrokken zijn bij een gerubriceerde EU-opdracht kunnen evenwel een procedure overeenkomen waarmee bezoeken van werknemers van industriële of andere entiteiten rechtstreeks kunnen worden geregeld.
                  
               OVERDRACHT EN VERVOER VAN GERUBRICEERDE EU-GEGEVENS
         
                     24.
                  
                  
                     Op de overdracht van gerubriceerde EU-gegevens zijn de bepalingen van deel II, afdeling VII, hoofdstuk II en, in voorkomend geval, van afdeling XI van de onderhavige beveiligingsvoorschriften van toepassing. Ter aanvulling van die bepalingen gelden de vigerende procedures tussen de lidstaten.
                  
               
                     25.
                  
                  
                     Het internationaal vervoer van gerubriceerd EU-materiaal dat betrekking heeft op gerubriceerde opdrachten geschiedt in overeenstemming met de nationale procedures van de lidstaten. De volgende beginselen worden toegepast bij de opstelling van de beveiligingsregelingen voor internationaal vervoer:
                     
                                 a)
                              
                              
                                 de beveiliging wordt tijdens alle fasen van het vervoer en onder alle omstandigheden gewaarborgd, van het punt van oorsprong tot de uiteindelijke bestemming;
                              
                           
                                 b)
                              
                              
                                 de mate van bescherming die aan een zending wordt verleend, wordt bepaald door de hoogste rubriceringsgraad van het materiaal dat zij bevat;
                              
                           
                                 c)
                              
                              
                                 in voorkomend geval wordt een VMV verkregen voor de ondernemingen die het vervoer verzorgen. In dat geval moeten de personeelsleden die de zending behandelen in overeenstemming met de gemeenschappelijke minimumvoorschriften van deze afdeling een veiligheidsonderzoek ondergaan;
                              
                           
                                 d)
                              
                              
                                 de reizen geschieden zoveel mogelijk zonder onderbreking, en worden zo snel als de omstandigheden toelaten, uitgevoerd;
                              
                           
                                 e)
                              
                              
                                 waar mogelijk leiden de routes alleen door EU-lidstaten. Routes door niet-lidstaten mogen alleen worden gevolgd met de toestemming van de NVI/AVI van de staat van de verzender en de staat van de geadresseerde;
                              
                           
                                 f)
                              
                              
                                 vóór iedere verplaatsing van gerubriceerd EU-materiaal stelt de verzender een vervoerplan op, dat wordt goedgekeurd door de betrokken NVI/AVI’s.”