CELEX: 52022PC0119
Language: sv
Date: 2022-03-22
Title: Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om informationssäkerhet i unionens institutioner, organ och byråer

EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            2022/0084(COD)
            
            Förslag till
            EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               MOTIVERING
            
            
               1.BAKGRUND TILL FÖRSLAGET
            
            
               •Motiv och syfte med förslaget
            
            
               Detta förslag är en del av strategin för EU:s säkerhetsunion
                  1
                som antogs av kommissionen den 24 juli 2020 och som fastställer dess åtagande att tillföra Europeiska unionens mervärde till de nationella insatserna på säkerhetsområdet. En del av detta engagemang är initiativet att rationalisera de interna rättsliga ramarna för informationssäkerhet i alla unionens institutioner och organ.
            
            
               Ett centralt inslag i den strategiska agendan för 2019–2024 som antogs av Europeiska rådet i juni 2019 är att skydda våra samhällen från de ständigt föränderliga hoten mot de uppgifter som hanteras av institutioner och organ. I sina slutsatser
                  2
                uppmanade Europeiska rådet särskilt ”EU:s institutioner att, tillsammans med medlemsstaterna, arbeta med åtgärder för att stärka EU:s resiliens och säkerhetskultur med avseende på cyberhot och hybridhot från länder utanför EU och bättre skydda EU:s informations- och kommunikationsnätverk och dess beslutsprocesser mot alla former av skadlig verksamhet”.
            
            
               På samma sätt konstaterade rådet (allmänna frågor) i december 2019
                  3
                att EU:s institutioner och organ, med stöd av medlemsstaterna, bör utarbeta och genomföra en omfattande uppsättning åtgärder för att garantera sin säkerhet. Detta återspeglar en mångårig begäran från rådets säkerhetskommitté om att undersöka en gemensam kärna av säkerhetsbestämmelser för rådet, kommissionen och Europeiska utrikestjänsten
                  4
               .
            
            
               För närvarande har unionens institutioner och organ antingen sina egna informationssäkerhetsregler, på grundval av sin arbetsordning eller sin inrättandeakt, eller så har de inga informationssäkerhetsregler alls. Detta gäller främst vissa små enheter som saknar formell policy för informationssäkerhet. 
            
            
               Till följd av den ständigt ökande mängden känsliga icke-säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade EU-uppgifter som unionens institutioner och organ måste utbyta sinsemellan och med tanke på den dramatiska utvecklingen av hotbilden utsätts den europeiska förvaltningen för angrepp inom alla sina verksamhetsområden. De uppgifter som våra institutioner och organ hanterar är mycket attraktiva för hotfulla aktörer och måste skyddas på lämpligt sätt. Detta kräver skyndsamma åtgärder för att stärka skyddet.
            
            
               Därför, och för att öka skyddet av de uppgifter som hanteras av den europeiska förvaltningen, syftar detta initiativ till att rationalisera de olika rättsliga ramarna för unionens institutioner och organ på området genom att
            
            
               •fastställa harmoniserade och heltäckande uppgiftskategorier samt gemensamma hanteringsregler för alla unionens institutioner och organ, 
            
            
               •inrätta ett effektivt samarbetssystem för informationssäkerhet mellan unionens institutioner och organ som kan främja en enhetlig informationssäkerhetskultur inom hela den europeiska förvaltningen,
            
            
               •modernisera informationssäkerhetspolitiken på alla nivåer av klassificering/kategorisering, för alla unionens institutioner och organ, med beaktande av den digitala omvandlingen och utvecklingen av distansarbete som en strukturell metod.
            
            
               •Förenlighet med befintliga bestämmelser inom detta politikområde
            
            
               Detta initiativ är förenligt med en lång rad EU-strategier på säkerhets- och informationssäkerhetsområdet.
            
            
               År 2016 antog Europaparlamentet och rådet ett direktiv
                  5
                om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. Detta direktiv var den första EU-omfattande lagstiftningsåtgärd som syftade till att öka samarbetet mellan medlemsstaterna kring cybersäkerhet. Även om kommissionen i december 2020 antog ett förslag till översyn av detta instrument, varigenom tillsynsåtgärder infördes för de nationella myndigheterna, ligger unionsförvaltningen utanför dess tillämpningsområde. 
            
            
               På samma sätt och för att komplettera medlemsstaternas insatser på säkerhetsområdet är det av yttersta vikt att unionens institutioner och organ uppnår en hög skyddsnivå för sina uppgifter och tillhörande informations- och kommunikationssystem i syfte att skydda informationssäkerheten.
            
            
               I juli 2020 antog kommissionen strategin för säkerhetsunionen
                  6
               , med ett omfattande åtagande från EU:s sida att komplettera medlemsstaternas insatser på alla säkerhetsområden. Strategin löper från 2020 till 2025 och innehåller fyra huvudpelare: en framtidssäkrad säkerhetsmiljö, hantering av föränderliga hot, skydd av människor i EU från terrorism och organiserad brottslighet samt ett starkt europeiskt säkerhetsekosystem. Flera av de frågor som tas upp inom dessa pelare är inriktade på informationssäkerhet, cybersäkerhet, samarbete och informationsutbyte samt kritisk infrastruktur.
            
            
               I linje med strategin för säkerhetsunionen föreslår Europeiska kommissionen att det inrättas en minimiuppsättning regler för informationssäkerhet för alla unionens institutioner och organ, vilket kommer att medföra obligatoriska och höga gemensamma standarder för ett säkert informationsutbyte. Detta initiativ innebär att institutionerna och organen engagerar sig för att inom den europeiska förvaltningen fastställa samma ambitionsnivå på säkerhetsområdet som krävs av medlemsstaterna.
            
            
               Den 16 december 2020 lade kommissionen och den höga representanten för utrikes frågor och säkerhetspolitik fram en ny EU-strategi för cybersäkerhet
                  7
               . Den fastställer prioriteringar och nyckelåtgärder för att bygga upp Europas motståndskraft, autonomi, ledarskap och operativa kapacitet inför växande och komplexa hot mot dess nätverks- och informationssystem och för att främja en global och öppen cyberrymd och dess internationella partnerskap. Det är viktigt att unionens institutioner och organ bidrar till att dessa prioriteringar uppnås genom att fastställa likvärdiga krav inom både informationssäkerhet och cybersäkerhet. 
            
         
         
            
               Detta förslag, tillsammans med förslaget till förordning om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer, syftar till att komplettera regleringsbilden av strategin för säkerhetsunionen med särskilda krav för den europeiska förvaltningen. Med tanke på kopplingarna mellan informationssäkerhet och cybersäkerhet bör en enhetlig strategi för skydd av icke-säkerhetsskyddsklassificerade uppgifter säkerställas mellan dessa två förslag.
            
            
               •Förenlighet med unionens politik inom andra områden
            
            
               Detta initiativ tar också hänsyn till annan unionspolitik som är relevant för informationssäkerheten. 
            
            
               När det gäller dataskydd och tillämplighet på förvaltningen av Europeiska unionen och Europeiska atomenergigemenskapen (Euratom) finns förordning (EU) 2018/1725
                  8
                om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter. På samma sätt måste vi nämna att EU:s lagstiftare har antagit särskilda relevanta regler för skydd av personuppgifter för vissa av unionens institutioner och organ.
            
            
               När det gäller öppenhet bygger detta förslag på principerna i förordning (EG) nr 1049/2001
                  9
                om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar, med avseende på andra relevanta bestämmelser.
            
            
               2.RÄTTSLIG GRUND, SUBSIDIARITETSPRINCIPEN OCH PROPORTIONALITETSPRINCIPEN
            
            
               •Rättslig grund
            
            
               Med tanke på syftet med och innehållet i detta förslag är den lämpligaste rättsliga grunden artikel 298 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) och artikel 106a i fördraget om upprättandet av Europeiska atomenergigemenskapen. 
            
            
               Artikel 298 i EUF-fördraget infördes genom Lissabonfördraget och gör det möjligt för lagstiftarna att fastställa bestämmelser i syfte att skapa en effektiv och oberoende administration som stöder institutionerna, organen och byråerna när de fullgör sina uppgifter.  
            
            
               En effektiv och oberoende administration förutsätter informationssäkerhet. För att unionens institutioner och organ ska kunna fullgöra sitt uppdrag ska de ha tillgång till en säker miljö för de uppgifter de dagligen hanterar och lagrar. Att tillhandahålla en gemensam baslinje av standarder som är obligatoriska för alla skulle dessutom garantera en hög säkerhetsnivå, minska risken för svaga kopplingar när det gäller att stödja interoperabilitet mellan institutioner och organ samt utnyttja synergier och på så sätt stärka förvaltningens motståndskraft mot framväxande hot.  
            
            
               I ett övergripande syfte att uppnå en hög gemensam säkerhetsnivå för säkerhetsskyddsklassificerade EU-uppgifter och icke-säkerhetsskyddsklassificerade uppgifter som hanteras och lagras av unionens institutioner och organ, gör detta förslag det möjligt för den europeiska förvaltningen att bättre skydda sig mot yttre inblandning och spionverksamhet. 
            
            
               Artikel 298 i EUF-fördraget gör det möjligt för unionen att fastställa gemensamma regler för hela den europeiska administrationen för att säkerställa att alla unionens institutioner och organ har liknande sätt att behandla säkerhetsskyddsklassificerade EU-uppgifter och uppgifter som inte är säkerhetsskyddsklassificerade. I denna förordning fastställs bestämmelser som är tillämpliga på administrationen och som indirekt kan medföra skyldigheter endast för de personer som utför arbetsuppgifter för administrationens räkning eller på kontraktsbasis (exklusive kommissionsledamöter, medlemsstaternas företrädare inom rådet, ledamöter av Europaparlamentet, domare vid unionens domstolar och ledamöter av Europeiska revisionsrätten).
            
            
               Enligt artikel 298 i EUF-fördraget ska Europaparlamentet och rådet besluta genom en förordning och i enlighet med det ordinarie lagstiftningsförfarandet. 
            
            
               Detta förslag behöver en ytterligare rättslig grund eftersom det även omfattar uppgifter som rör vissa av Europeiska atomenergigemenskapens verksamheter. Dessa uppgifter är inte säkerhetsskyddsklassificerade Euratomuppgifter, men de behandlas av unionens institutioner och organ inom ramen för den allmänna ordningen för säkerhetsskyddsklassificerade EU-uppgifter.  
            
            
               Denna ytterligare rättsliga grund är artikel 106a i fördraget om upprättandet av Europeiska atomenergigemenskapen, som gör artikel 298 i EUF-fördraget tillämplig även på ovannämnda verksamhet inom Euratom.  
            
            
               •Subsidiaritetsprincipen (för icke-exklusiv befogenhet)
            
            
               Enligt subsidiaritetsprincipen i artikel 5.3 i fördraget om Europeiska unionen ska åtgärder vidtas på EU-nivå endast när de avsedda syftena inte i tillräcklig utsträckning kan uppnås av medlemsstaterna och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på EU-nivå. 
            
            
               Eftersom endast unionen kan anta bestämmelser om säkerhetsskyddsklassificerade EU-uppgifter och känsliga icke-säkerhetsskyddsklassificerade uppgifter som hanteras och lagras av unionens institutioner och organ, är subsidiaritetsprincipen inte tillämplig.
            
            
               •Proportionalitet
            
            
               Det är nödvändigt att inrätta en gemensam baslinje för informationssäkerhet för alla unionens institutioner och organ för att bidra till en oberoende och effektiv administration.
            
         
         
            
               I enlighet med proportionalitetsprincipen i artikel 5.4 i EU-fördraget är bestämmelserna i förordningen inte alltför föreskrivande och lämnar utrymme för olika nivåer av specifika åtgärder, i linje med säkerhetsmognadsgraden inom varje EU-institution och EU-organ.
            
            
               Dessutom har lösningen begränsad inverkan på enskildas grundläggande rättigheter. Förslaget går därför inte utöver vad som är nödvändigt för att hantera problemet att inte ha en gemensam uppsättning informationssäkerhetsregler för alla unionens institutioner och organ.
            
            
               •Val av instrument
            
            
               En förordning som grundar sig på artikel 298 i EUF-fördraget anses vara det lämpliga rättsliga instrumentet.
            
            
               Det motiveras av att det framför allt krävs en enhetlig tillämpning som inte lämnar utrymme för genomförandet till unionens institutioner och organ och som skapar en horisontell minimiram.
            
            
               3.RESULTAT AV EFTERHANDSUTVÄRDERINGAR, SAMRÅD MED BERÖRDA PARTER OCH KONSEKVENSBEDÖMNINGAR
            
            
               •Efterhandsutvärderingar/kontroller av ändamålsenligheten med befintlig lagstiftning
            
            
               Ej tillämpligt
            
            
               •Samråd med berörda parter
            
            
               Kommissionen har genomfört ett brett samråd med de viktigaste berörda parterna om olika aspekter som rör EU-institutioners och EU-organs informationssäkerhetsregler. Det övergripande syftet med samrådet var att samla in relevanta synpunkter inför utarbetandet av ett lagstiftningsinitiativ om informationssäkerhetsregler som är gemensamma för alla unionens institutioner och organ. Syftet med samråden var att samla in synpunkter kring
            
            
               •problem med den befintliga ramen för informationssäkerhet inom unionens institutioner och organ som enligt de berörda parterna bör tas upp i initiativet,
            
            
               •initiativets relevans, ändamålsenlighet, effektivitet och mervärde,
            
            
               •de förväntade effekterna av initiativet och eventuella andra konsekvenser för de berörda parterna.
            
            
               Under utarbetandet av detta lagstiftningsförslag har kommissionen samrått med följande kategorier av berörda parter:
            
            
               1.Unionens institutioner, organ och byråer. 
            
            
               2.Nationella säkerhetsmyndigheter i medlemsstaterna.
            
            
               3.Forskningsexperter från JRC.
            
            
               Med tanke på den särskilda karaktären hos detta initiativ, som endast är tillämpligt på unionens institutioner och organ, med liten inverkan på de europeiska medborgarna och företagen, valde kommissionen att prioritera insamlingen av synpunkter från berörda intressentgrupper. Därför genomfördes inget offentligt samråd specifikt för detta lagstiftningsinitiativ.
            
            
               Under samrådsprocessen använde kommissionen följande metoder och former för samråd:
            
            
               1.En möjlighet för alla berörda parter att lämna synpunkter på den inledande konsekvensbedömningen via kommissionens plattform ”Kom med synpunkter”.
            
         
         
            
               2.Ett riktat frågeformulär till experter på informationssäkerhet inom unionens institutioner och organ via en EU-enkät på nätet.
            
            
               3.Ett riktat frågeformulär till medlemsstaternas nationella säkerhetsmyndigheter via en EU-enkät på nätet.
            
            
               4.En begäran om en skräddarsydd riskbedömning av de centrala informationssäkerhetstillgångarna.
            
            
               5.Ett flertal möten och diskussioner med motparter från institutioner, organ och byråer samt från medlemsstaternas nationella säkerhetsmyndigheter.
            
            
               Som de viktigaste slutsatserna från samrådet lyfter kommissionen fram följande:
            
            
               •Fragmenteringen av de berörda rättsliga ramarna mellan våra institutioner och organ skapar betydande dubbelarbete när det gäller att skapa och upprätthålla interna regler samt ger upphov till inkompatibla rutiner för hantering av uppgifter. För medlemsstaterna ökar förekomsten av olika regler risken för missförstånd, feltolkning och bristande efterlevnad.
            
            
               •Samtidigt som en baslinje för informationssäkerhet för alla unionens institutioner och organ skulle skapa ett ekosystem med standardiserade säkerhetsregler och etablerad bästa praxis, bör skillnaderna och de olika verksamhetsklimaten inom varje EU-institution och EU-organ beaktas, och lokala lösningar bör tillåtas.
            
            
               •Detta initiativ måste respektera autonomin och de olika nivåerna av säkerhetsmognad inom varje EU-institution och EU-organ, som förblir fullt ansvariga för sin organisation av informationssäkerhet.
            
            
               •Insamling och användning av sakkunnigutlåtanden
            
            
               Kommissionen använde sina egna resurser för att genomföra samrådet med berörda parter. Direktoratet för säkerhet inom generaldirektoratet för personal och säkerhet har utfört det relaterade arbetet med undersökningar, videokonferenser och andra seminarier. Denna arbetsuppgift omfattade både urvalet av deltagare och anordnandet av evenemang samt behandlingen av mottagna synpunkter.
            
            
               Det gemensamma forskningscentrumet (JRC) gjorde en riskbedömning av de viktigaste informationssäkerhetstillgångarna, vilken låg till grund för konsekvensanalysen.
            
            
               •Konsekvensbedömning
            
            
               Detta initiativ riktar sig uteslutande till unionens institutioner och organ och har begränsad inverkan på medlemsstaterna och enskilda personer. Därför var det inte nödvändigt att genomföra en genomgående konsekvensbedömning, eftersom det inte fanns några klart identifierbara eller betydande konsekvenser för medborgare och företag. En övergripande färdplan offentliggjordes på webbplatsen Europa och synpunkter samlades in från berörda parter.
            
            
               •Lagstiftningens ändamålsenlighet och förenkling
            
            
               Ej tillämpligt.
            
            
               •Grundläggande rättigheter
            
            
               EU har åtagit sig att säkerställa en hög skyddsnivå för de grundläggande rättigheterna. Detta initiativ säkerställer full överensstämmelse med de grundläggande rättigheter som fastställs i Europeiska unionens stadga om de grundläggande rättigheterna
                  10
               , enligt följande:
            
            
               •Rätt till god förvaltning
                  11
               
            
            
               Genom att förbättra säkerheten i de uppgifter som de hanterar när de behandlar EU-medborgarnas angelägenheter bidrar unionens institutioner och organ till att principen om god förvaltning uppnås.
            
            
               •Skydd av personuppgifter
                  12
                
            
         
         
            
               All behandling av personuppgifter inom ramen för detta förslag skulle ske i betrodda miljöer och med full respekt för Europaparlamentets och rådets förordning (EU) 2018/1725.
            
            
               •Rätt till tillgång till handlingar
                  13
               
            
            
               Allmänhetens tillgång till säkerhetsskyddsklassificerade EU-uppgifter och känsliga icke-säkerhetsskyddsklassificerade handlingar regleras fortfarande fullt ut av Europaparlamentets och rådets förordning (EG) nr 1049/2001.
            
            
               •Rätt till immateriell egendom
                  14
               
            
            
               Vid hantering och lagring av icke-säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade EU-uppgifter skyddar unionens institutioner och organ de immateriella rättigheterna i enlighet med Europaparlamentets och rådets direktiv 2001/29/EG
                  15
               .
            
            
               •Yttrandefrihet och informationsfrihet
                  16
               
            
            
               Även om alla har frihet att ta emot och utbyta uppgifter och idéer utan offentlig myndighets inblandning, ska detta inte hindra unionen från att fastställa villkoren för tillgång till, hantering och lagring av vissa typer av uppgifter, på grundval av deras sekretessnivå.
            
            
               Utövandet av dessa friheter kan omfattas av villkor och begränsningar som föreskrivs i lag och som är nödvändiga i ett demokratiskt samhälle, för att förhindra att uppgifter som mottagits i förtroende röjs och med hänsyn till EU:s säkerhet.
            
            
               4.BUDGETKONSEKVENSER
            
            
               Detta förslag förutsätter att en AD-tjänsteman och en AST-assistent till samordningsgruppens ständiga sekretariat, som tillhandahålls av kommissionen, placeras vid direktoratet för säkerhet vid generaldirektoratet för personal och säkerhet.
            
            
               För institutionerna och organen förväntas kostnadsbesparingar i form av delade arbetsuppgifter och samarbete samt förhindrade potentiella ekonomiska skador till följd av säkerhetsincidenter, tack vare förbättrad informationssäkerhet. Samtidigt kan de ekonomiska insatser som krävs för att genomföra den nya lagstiftningen täckas som en del av de befintliga programmen för förbättrad informationssäkerhet inom varje EU-institution och EU-organ.
            
            
               5.ÖVRIGA INSLAG
            
            
               •Genomförandeplaner samt åtgärder för övervakning, utvärdering och rapportering
            
            
               I förslaget föreskrivs en skyldighet för kommissionen att vart tredje år rapportera till Europaparlamentet och rådet om genomförandet av denna förordning, inbegripet hur den styrning som inrättas genom denna förordning fungerar.
            
            
               Dessutom får kommissionen i uppgift att vart femte år utvärdera denna förordning i syfte att bedöma dess faktiska resultat och på grundval av detta utvärdera om det är nödvändigt att ändra lagstiftningen.
            
            
               •Ingående redogörelse för de specifika bestämmelserna i förslaget
            
            
               Detta förslag är uppbyggt kring kraven på hantering och lagring av icke-säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade EU-uppgifter, som är huvudämnena för initiativet och vars förstärkta skydd utgör dess underliggande syfte.
            
            
               Innehåll och tillämpningsområde (artikel 1 och artikel 2)
            
            
               Syftet med denna förordning är att skapa en minimiuppsättning informationssäkerhetsregler som är tillämpliga på alla unionens institutioner och organ. 
            
            
               Den är tillämplig på alla uppgifter som hanteras och lagras av unionens institutioner och organ, inbegripet uppgifter som rör Europeiska atomenergigemenskapens verksamhet, med undantag för säkerhetsskyddsklassificerade Euratomuppgifter. Både icke-säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade EU-uppgifter omfattas av denna förordning.
            
         
         
            
               Definitioner och allmänna principer (artiklarna 3–5)
            
            
               Definitionerna i artikel 3 bygger på de nuvarande reglerna om informationssäkerhet som antagits separat av unionens institutioner och organ.  
            
            
               Utöver de allmänna principerna i unionslagstiftningen – transparens, proportionalitet, effektivitet och ansvarsskyldighet – fastställs i denna förordning de viktigaste bindande riktlinjerna, såsom en separat riskhanteringsprocess för informationssäkerhet som utförs av varje EU-institution och EU-organ samt en bedömning av deras uppgifter för att kunna kategoriseras korrekt.
            
            
               Styrning och organisation av säkerheten (artiklarna 6–8)
            
            
               Alla unionens institutioner och organ ska samarbeta i en interinstitutionell samordningsgrupp för informationssäkerhet, som ska agera i samförstånd och i institutionernas och organens gemensamma intresse. 
            
            
               Samordningsgruppen samlar säkerhetsmyndigheterna för alla institutioner och organ och upprättar vägledningsdokument för genomförandet av denna förordning. Gruppen samarbetar regelbundet med medlemsstaternas nationella säkerhetsmyndigheter, som samlas i en kommitté för informationssäkerhet.
            
            
               Fem undergrupper bestående av experter som företräder olika institutioner och organ inrättas i syfte att rationalisera förfarandena och andra praktiska aspekter som rör informationssäkerhet. 
            
            
               Varje EU-institution och EU-organ ska utse en säkerhetsmyndighet med ansvar för att fastställa interna riktlinjer för informationssäkerhet och för att genomföra dem. Säkerhetsmyndigheten fastställer särskilda funktioner såsom myndigheten för informationssäkring, den driftsansvariga myndigheten för informationssäkring, ackrediteringsmyndigheten för säkerhet, tempestmyndigheten, den kryptogodkännande myndigheten och kryptodistributionsmyndigheten, vilka kan delegeras till en annan institution eller ett annat organ av effektivitets- eller resursskäl.
            
            
               Informationssäkring och kommunikations- och informationssystem (artiklarna 9–11)
            
            
               Genom förordningen inrättas en undergrupp för informationssäkring i syfte att öka samstämmigheten inom unionens institutioner och organ mellan informationssäkerhetsreglerna och baslinjen för cybersäkerhet enligt definitionen i förordningen om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer.
            
            
               Unionens institutioner och organ är skyldiga att följa de principer som anges i dessa artiklar och anta separata interna regler för särskilda säkerhetsåtgärder, anpassade till sin egen säkerhetsmiljö.
            
            
               Icke-säkerhetsskyddsklassificerade uppgifter (artiklarna 12–17 och bilaga I)
            
            
               I förordningen föreskrivs 3 kategorier av icke-säkerhetsskyddsklassificerade uppgifter: uppgifter för allmänt bruk, normala uppgifter och känsliga icke-säkerhetsskyddsklassificerade uppgifter. Alla kategorier definieras, medan märkningar och hanteringsvillkor fastställs för att skydda sådana uppgifter. 
            
            
               I syfte att samordna arbetet med likvärdighet mellan särskilda kategorier som fastställts av vissa av unionens institutioner och organ och de gemensamma kategorier som föreskrivs i förordningen inrättas genom förslaget en undergrupp för icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               Säkerhetsskyddsklassificerade EU-uppgifter (artiklarna 18–58 och bilagorna II–VI)
            
            
               Eftersom detta kapitel är det mest omfattande i förslaget är det indelat i sju avsnitt enligt följande: allmänna bestämmelser, personalsäkerhet, fysisk säkerhet, hantering av säkerhetsskyddsklassificerade EU-uppgifter, skydd i kommunikations- och informationssystem, industrisäkerhet och utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter. 
            
            
               Avsnittet om allmänna bestämmelser innehåller fyra nivåer för säkerhetsskyddsklassificerade EU-uppgifter – TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED – och föreskriver en skyldighet för unionens institutioner och organ att vidta nödvändiga säkerhetsåtgärder i enlighet med resultaten av en riskhanteringsprocess för informationssäkerhet.
            
            
               Vart och ett av de återstående avsnitten fokuserar på de normer för skydd av säkerhetsskyddsklassificerade EU-uppgifter som rör deras specifika område. Närmare information om detta skydd av säkerhetsskyddsklassificerade EU-uppgifter anges i bilagorna II–V. Bilaga VI innehåller en jämförelsetabell för säkerhetsskyddsklassificerade EU-uppgifter med medlemsstaternas och Europeiska atomenergigemenskapens säkerhetsskyddsklassificeringsnivåer.
            
            
               I syfte att effektivisera de relevanta processerna på fältet och undvika dubbelarbete inrättas genom förordningen undergrupper för informationssäkring, för icke-säkerhetsskyddsklassificerade uppgifter, för fysisk säkerhet, för ackreditering av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter samt för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter.
            
            
               Slutbestämmelser (artiklarna 59–62)
            
         
         
            
               Slutbestämmelserna säkerställer övergången från nuvarande regler och förfaranden till den nya rättsliga ram som fastställs i denna förordning. De rör de interna regler om informationssäkerhet som för närvarande är tillämpliga vid unionens institutioner och organ, erkännandet av utvärderingsbesök som genomförts innan förordningen börjar tillämpas, behandlingen av tidigare ingångna administrativa arrangemang och fortsättningen av särskilda säkerhetsramar som är tillämpliga på bidragsöverenskommelser.
            
            
               Avsikten är att denna förordning börjar tillämpas två år efter det att den har trätt i kraft.
            
            
               2022/0084 (COD)
            
            
               Förslag till
            
            
               EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            
            
               om informationssäkerhet i unionens institutioner, organ och byråer
            
            
               EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING
            
            
               med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 298,
            
            
               med beaktande av fördraget om upprättandet av Europeiska atomenergigemenskapen, särskilt artikel 106a,
            
            
               med beaktande av Europeiska kommissionens förslag,
            
            
               efter överlämnande av utkastet till lagstiftningsakt till de nationella parlamenten, 
            
            
               i enlighet med det ordinarie lagstiftningsförfarandet, och
            
            
               av följande skäl:
            
            
               (1)Unionens institutioner och organ har för närvarande sina egna informationssäkerhetsregler, på grundval av sin arbetsordning eller sin inrättandeakt, eller har inga sådana regler alls. I detta sammanhang gör varje EU-institution och EU-organ betydande ansträngningar för att anta sina olika strategier, vilket leder till en situation där informationsutbytet inte alltid är tillförlitligt. Avsaknaden av en gemensam strategi hindrar användningen av gemensamma verktyg som bygger på en överenskommen uppsättning regler beroende på säkerhetsbehoven för de uppgifter som ska skyddas.
            
            
               (2)Framsteg har gjorts mot mer enhetliga regler för skydd av säkerhetsskyddsklassificerade EU-uppgifter och icke-säkerhetsskyddsklassificerade uppgifter, men interoperabiliteten mellan de relevanta systemen är fortfarande begränsad, vilket förhindrar en smidig överföring av uppgifter mellan unionens olika institutioner och organ. Ytterligare ansträngningar bör därför göras för att möjliggöra en interinstitutionell strategi för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och känsliga icke-säkerhetsskyddsklassificerade uppgifter, med gemensamma uppgiftskategorier och gemensamma centrala hanteringsprinciper. En baslinje bör också införas för att förenkla förfarandena för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och känsliga icke-säkerhetsskyddsklassificerade uppgifter mellan unionens institutioner och organ och med medlemsstaterna.
            
            
               (3)Därför bör relevanta bestämmelser som säkerställer en gemensam nivå av informationssäkerhet i alla unionens institutioner och organ fastställas. De bör utgöra en heltäckande och sammanhängande allmän ram för skydd av säkerhetsskyddsklassificerade EU-uppgifter och icke-säkerhetsskyddsklassificerade uppgifter och bör säkerställa likvärdighet mellan grundläggande principer och miniminormer. 
            
            
               (4)Den senaste tidens pandemi har lett till en betydande förändring av arbetsmetoderna, då verktyg för distanskommunikation har blivit regel. Därför anpassades många förfaranden som fortfarande åtminstone delvis var pappersbaserade skyndsamt för att möjliggöra elektronisk behandling och delning av uppgifter. Denna utveckling kräver förändringar i hanteringen och skyddet av uppgifter. Denna förordning tar hänsyn till de nya arbetsmetoderna. 
            
            
               (5)Genom att skapa en gemensam lägsta skyddsnivå för säkerhetsskyddsklassificerade EU-uppgifter och icke-säkerhetsskyddsklassificerade uppgifter bidrar denna förordning till att säkerställa att unionens institutioner och organ stöds av en effektiv och oberoende administration när de fullgör sina uppgifter. Samtidigt behåller varje institution och organ sin självständighet när det gäller att fastställa hur bestämmelserna i denna förordning ska genomföras, i enlighet med sina egna säkerhetsbehov. Denna förordning ska under inga omständigheter hindra unionens institutioner och organ från att fullgöra sitt uppdrag enligt EU-lagstiftningen eller inkräkta på deras institutionella oberoende.
            
            
               (6)Denna förordning påverkar inte tillämpningen av förordning (Euratom) nr 3/1958
                  17
               , förordning nr 31 (EEG), nr 11 (EKSG) om tjänsteföreskrifter för tjänstemän och anställningsvillkor för övriga anställda i Europeiska ekonomiska gemenskapen och Europeiska atomenergigemenskapen
                  18
               , Europaparlamentets och rådets förordning (EG) nr 1049/2001
                  19
               , Europaparlamentets och rådets förordning (EU) 2018/1725
                  20
               , rådets förordning (EEG, Euratom) nr 354/83
                  21
               , Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046
                  22
               , Europaparlamentets och rådets förordning (EU) 2021/697
                  23
               , Europaparlamentets och rådets förordning (EU)
                  24
                [...] om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer.
            
            
                (7)För att bevara den särskilda karaktären hos Europeiska atomenergigemenskapens verksamhet som regleras av förordning nr 3/1958 av Europeiska atomenergigemenskapens råd
                  25
                bör denna förordning inte tillämpas på säkerhetsskyddsklassificerade Euratomuppgifter. Alla uppgifter som rör annan Euratom-verksamhet som inte omfattas av förordning 3/1958 bör dock omfattas av denna förordning.
            
         
         
            
               (8)I syfte att inrätta en formell struktur för samarbete mellan unionens institutioner och organ på informationssäkerhetsområdet är det nödvändigt att inrätta en interinstitutionell samordningsgrupp (samordningsgruppen) där säkerhetsmyndigheterna vid alla unionens institutioner och organ är representerade. Utan befogenhet att fatta beslut bör samordningsgruppen öka samstämmigheten i politiken på informationssäkerhetsområdet och bidra till harmoniseringen av förfarandena och verktygen för informationssäkerhet inom unionens institutioner och organ.
            
            
               (9)Samordningsgruppens arbete behöver stöd från experter på olika informationssäkerhetsområden: kategorisering och märkning, kommunikations- och informationssystem, ackreditering, fysisk säkerhet och utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter. För att undvika dubbelarbete inom unionens institutioner och organ bör därför tematiska undergrupper inrättas. Vid behov bör samordningsgruppen dessutom kunna inrätta andra undergrupper med särskilda arbetsuppgifter.
            
            
               (10)Samordningsgruppen bör ha ett nära samarbete med medlemsstaternas nationella säkerhetsmyndigheter i syfte att förbättra informationssäkerheten i unionen. En kommitté för informationssäkerhet i medlemsstaterna bör därför inrättas för att ge råd till samordningsgruppen.
            
            
               (11)De gemensamma organ som företräder alla unionens institutioner och organ inrättas på grundval av samarbetsprincipen, men alla institutioner och organ bör förbli fullt ansvariga för informationssäkerheten inom sin organisation. Varje institution och organ bör ha en säkerhetsmyndighet och vid behov andra myndigheter med särskilt ansvar i samband med informationssäkerheten.
            
            
               (12)Principen om riskhantering för informationssäkerhet bör stå i centrum för den politik som ska utarbetas på fältet av varje EU-institution och EU-organ. De minimikrav som fastställs i denna förordning måste uppfyllas, men varje EU-institution och EU-organ bör anta särskilda säkerhetsåtgärder för att skydda uppgifter i enlighet med resultaten av en intern riskbedömning. På samma sätt bör de tekniska medlen för att skydda uppgifterna anpassas till den specifika situationen vid varje institution och organ.
            
            
               (13)Med tanke på den mångfald av kategorier av icke-säkerhetsskyddsklassificerade uppgifter som unionens institutioner och organ har utvecklat på grundval av sina egna bestämmelser om säkerhetsinformation, och för att undvika förseningar i genomförandet av denna förordning, bör unionens institutioner och organ kunna behålla sina egna märkningssystem för interna ändamål eller för utbyte av uppgifter med sina särskilda motsvarigheter från andra institutioner och organ, eller från medlemsstaterna.  
            
            
               (14)För anpassning till de nya distansarbetsmetoderna bör de nätverk som används för anslutning till EU-institutionens eller EU-organets fjärråtkomsttjänster skyddas genom lämpliga säkerhetsåtgärder.
            
            
               (15)Eftersom unionens institutioner och organ ofta använder sig av entreprenörer och utkontraktering är det viktigt att fastställa gemensamma bestämmelser för entreprenörers personal som utför arbetsuppgifter som rör informationssäkerhet.
            
            
               (16)De materiella reglerna om tillgång till säkerhetsskyddsklassificerade EU-uppgifter i de interna bestämmelserna för olika EU-institutioner och EU-organ är för närvarande samordnade, men det finns betydande skillnader när det gäller benämningar och nödvändiga förfaranden. Detta skapar en börda för medlemsstaternas nationella säkerhetsmyndigheter, som måste anpassa sig till olika krav. Det är därför nödvändigt att föreskriva en gemensam ordlista och gemensamma förfaranden på personalsäkerhetsområdet, för att på så sätt förenkla samarbetet med medlemsstaternas nationella säkerhetsmyndigheter och begränsa risken för att säkerhetsskyddsklassificerade EU-uppgifter röjs.
            
            
               (17)Med tanke på skillnaderna i resurser mellan unionens institutioner och organ samt för att effektivisera deras förfaranden och praxis, kan arbetsuppgifterna i samband med säkerhetsgodkännande anförtros kommissionen för att säkerställa fortsättningen av en långvarig praxis på området för säkerhetsgodkännande och bidra till centraliseringen av de arbetsuppgifter som tilldelats varje säkerhetsmyndighet.
            
            
               (18)Skyddet av säkerhetsskyddsklassificerade EU-uppgifter säkerställs också genom tekniska och organisatoriska åtgärder som är tillämpliga på EU-institutionernas och EU-organens lokaler, byggnader, rum, kontor eller verksamhetsställen där säkerhetsskyddsklassificerade EU-uppgifter diskuteras, hanteras eller lagras. I denna förordning föreskrivs genomförandet av en process för hantering av informationssäkerhet på området fysisk säkerhet som skulle göra det möjligt för unionens institutioner och organ att välja lämpliga säkerhetsåtgärder för sina anläggningar.
            
            
               (19)Alla EU-institutioner och EU-organ som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter bör inrätta fysiskt skyddade utrymmen på sina anläggningar för att säkerställa samma nivå av skydd för de relevanta nivåer av säkerhetsskyddsklassificerade EU-uppgifter som hanteras och lagras inom dessa. Dessa utrymmen bör utses till administrativa utrymmen och säkrade utrymmen och följa gemensamma miniminormer för skydd av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               (20)Upphovsmannens kontroll är en viktig princip i hanteringen av säkerhetsskyddsklassificerade EU-uppgifter, och måste därför tydligt fastställas och utvecklas. I detta avseende ger skapandet av säkerhetsskyddsklassificerade EU-uppgifter upphovsmannen ett ansvar som bör omfatta hela livscykeln för den berörda handlingen.
            
            
               (21)Unionens institutioner och organ har traditionellt sett utvecklat sina kommunikations- och informationssystem självständigt, och inte fokuserat tillräckligt på deras interoperabilitet inom alla unionens institutioner och organ. Det är därför nödvändigt att fastställa minimikrav gällande säkerheten för de kommunikations- och informationssystem som hanterar och lagrar både säkerhetsskyddsklassificerade EU-uppgifter och icke-säkerhetsskyddsklassificerade uppgifter i syfte att garantera ett smidigt informationsutbyte med berörda intressenter. 
            
            
               (22)I syfte att uppnå en enda standard för ackreditering av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter bör unionens institutioner och organ samarbeta i en grupp som inrättats för detta ändamål. Det rekommenderas att samtliga institutioner och organ använder denna standard för att bidra till en allmän nivå av skydd för säkerhetsskyddsklassificerade EU-uppgifter. När det gäller organisatorisk självständighet är det dock den behöriga myndigheten för varje institution eller organ som fattar beslutet.
            
            
               (23)Alla unionens institutioner och organ bör följa samma förfaranden och tillämpa samma åtgärder när de tilldelar och genomför säkerhetsskyddsklassificerade kontrakt eller bidragsöverenskommelser. Det är därför nödvändigt att tydligt ange både de obligatoriska och de frivilliga delarna i säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser. Åtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter i samband med säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser bör dock ta hänsyn till de regler som unionens institutioner och organ tillsammans med medlemsstaterna redan utarbetat separat på området.
            
            
               (24)Det nära samarbetet mellan unionens institutioner och organ samt de många synergier som utvecklats mellan dem inbegriper utbytet av en stor mängd uppgifter. Med hänsyn till säkerheten för säkerhetsskyddsklassificerade uppgifter bör tillförlitligheten hos EU-institutionen eller EU-organet bedömas innan de hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter på en viss klassificeringsnivå. 
            
            
               (25)Dessutom bör utbytet av säkerhetsskyddsklassificerade EU-uppgifter mellan unionens institutioner och organ och utbytet av säkerhetsskyddsklassificerade uppgifter med internationella organisationer och tredjeländer också regleras genom lämpliga säkerhetsåtgärder för skydd av dessa uppgifter. När avtal om informationssäkerhet planeras bör bestämmelserna i artikel 218 i fördraget tillämpas. 
            
            
               (26)Avtalen om informationssäkerhet är avsedda att säkerställa den övergripande rättsliga ramen för utbyte av unionens säkerhetsskyddsklassificerade uppgifter med tredjeländer och internationella organisationer, och det är också nödvändigt att ge unionens institutioner och organ möjlighet att ingå administrativa överenskommelser med en särskild motpart från ett tredjeland eller en internationell organisation i syfte att utbyta säkerhetsskyddsklassificerade EU-uppgifter. 
            
            
               (27)I denna förordning fastställs en gemensam ram för alla unionens institutioner och organ. För att undvika en alltför stor administrativ börda för unionens institutioner och organ när de anpassar sina interna säkerhetsregler till reglerna i denna förordning, bör denna förordning tillämpas från och med två år efter det att den har trätt i kraft.
            
         
         
            
               (28)I enlighet med punkterna 22 och 23 i det interinstitutionella avtalet av den 13 april 2016 om bättre lagstiftning
                  26
                bör kommissionen utvärdera denna förordning för att bedöma dess faktiska effekter och behovet av ytterligare åtgärder. Kommissionen bör lägga fram en rapport för Europaparlamentet och rådet om genomförandet av denna förordning senast tre år efter tillämpningsdagen.
            
            
               (29)Europeiska datatillsynsmannen har hörts i enlighet med artikel 42 i Europaparlamentets och rådets förordning (EU) 2018/1725
                  27
                och avgav ett yttrande den ...
            
            
               HÄRIGENOM FÖRESKRIVS FÖLJANDE.
            
            
               Kapitel 1 
                  Allmänna bestämmelser
            
            
               Artikel 1
            
            
               Innehåll 
            
            
               1.I denna förordning fastställs informationssäkerhetsregler för alla unionens institutioner och organ.
            
            
               Artikel 2
            
            
               Tillämpningsområde
            
            
               1.Denna förordning ska tillämpas på alla uppgifter som hanteras och lagras av unionens institutioner och organ, inbegripet uppgifter som rör Europeiska atomenergigemenskapens verksamhet, med undantag för säkerhetsskyddsklassificerade Euratomuppgifter.
            
            
               2.Den ska tillämpas på uppgifter på följande sekretessnivåer:
            
            
               a)Tre nivåer av icke-säkerhetsskyddsklassificerade uppgifter: uppgifter för allmänt bruk, normala uppgifter och känsliga icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               b)Fyra nivåer av säkerhetsskyddsklassificerade EU-uppgifter: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.
            
            
               3.Dessa nivåer grundar sig på den skada som obehörigt röjande kan orsaka berättigade privata och allmänna intressen, inbegripet unionens, EU-institutioners och EU-organs samt medlemsstaternas eller andra intressenters intressen, så att lämpliga skyddsåtgärder kan vidtas.
            
            
               Artikel 3
            
            
               Definitioner
            
            
               I denna förordning gäller följande definitioner:
            
            
               a)uppgifter eller information: all information i muntlig, visuell, elektronisk, magnetisk eller fysisk form, eller i form av material, utrustning eller teknik, inbegripet reproduktioner, översättningar och material som håller på att utarbetas.
            
            
               b)informationssäkerhet: säkerställande av uppgifternas äkthet, tillgänglighet, sekretess, integritet och oavvislighet.
            
            
               c)hantering av uppgifter: alla åtgärder som uppgifterna kan omfattas av under hela sin livscykel; inbegripet upprättande, insamling, registrering, tilldelning av sekretessnivå, behandling, visning, läsning, transport, överföring, inplacering på lägre säkerhetsskyddsklassificeringsnivå, beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade, arkivering och förstöring.
            
         
         
            
               d)lagring: förvaring av uppgifter på vilket medium som helst för att säkerställa att de finns tillgängliga för framtida användning.
            
            
               e)unionens institutioner och organ eller EU-institutioner och EU-organ: unionens institutioner, organ och byråer som inrättats genom, eller på grundval av, fördraget om Europeiska unionen, fördraget om Europeiska unionens funktionssätt, fördraget om upprättandet av Europeiska atomenergigemenskapen eller en lagstiftningsakt.
            
            
               f)säkerhetsskyddsklassificerade Euratomuppgifter: uppgifter i den mening som avses i Europeiska atomenergigemenskapens råds förordning nr 3/1958.
            
            
               g)säkerhetsmyndighet: säkerhetsfunktionen vid varje EU-institution och EU-organ vilken utsetts i enlighet med dess arbetsordning eller inrättandeakt.
            
            
               h)riskhanteringsprocess för informationssäkerhet: hela processen att fastställa, kontrollera och minimera ovissa händelser som kan påverka säkerheten hos en organisation eller något av de system den använder; vilken omfattar all riskrelaterad verksamhet, inklusive bedömning, hantering, godkännande och kommunikation.
            
            
               i)tillgång: allt av värde för en EU-institution eller ett EU-organ, dess verksamheter och fortbestånd, inklusive informationsresurser som stöder dess uppdrag.
            
            
               j)säkra driftsmetoder: en uppsättning dokumenterade förfaranden enligt bilaga III för drift av ett säkrat utrymme, ett kommunikations- och informationssystem eller andra säkerhetsrelaterade tillgångar eller tjänster för att säkerställa dess effektivitet.
            
            
               k)kommunikations- och informationssystem: varje system som möjliggör hantering och lagring av uppgifter i elektronisk form, inbegripet alla tillgångar som krävs för dess drift.
            
            
               l)informationssäkring: vissheten om att kommunikations- och informationssystemen kommer att skydda de uppgifter de hanterar och lagrar samt att de kommer att fungera på det sätt som krävs, när det krävs, under kontroll av legitima användare, samtidigt som lämpliga nivåer av äkthet, tillgänglighet, sekretess, integritet och oavvislighet säkerställs.
            
            
               m)ackreditering: ett formellt tillstånd från ackrediteringsmyndigheten för säkerhet för ett kommunikations- och informationssystem att behandla, eller ett säkrat utrymme att lagra, en på förhand fastställd nivå av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               n)ackrediteringsprocess: de steg och arbetsuppgifter som krävs före ackrediteringen.
            
            
               o)tempestsäkerhetsåtgärder: åtgärder för att skydda alla kommunikations- och informationssystem som hanterar och lagrar uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre mot röjande av sådana uppgifter genom oavsiktlig elektromagnetisk strålning.
            
            
               p)CERT-EU: Cybersäkerhetscentrumet för unionens institutioner, organ och byråer i den mening som avses i Europaparlamentets och rådets förordning (EU) [...] om åtgärder för en hög gemensam nivå av cybersäkerhet inom unionens institutioner, organ och byråer.
            
            
               q)informationssäkerhetsincident: varje händelse som kan äventyra de lagrade, överförda eller behandlade uppgifternas äkthet, tillgänglighet, sekretess, integritet eller oavvislighet.
            
            
               r)behovsenlig behörighet: en persons behov av att få tillgång till specificerade uppgifter som hanteras eller lagras av en EU-institution eller ett EU-organ för att fullgöra den berörda EU-institutionens eller det berörda EU-organets arbetsuppgifter.
            
            
               s)nolltillit: en säkerhetsmodell, en uppsättning principer för systemutformning och en samordnad strategi för cybersäkerhet och systemförvaltning som bygger på ett erkännande av förekomsten av hot inom och utanför traditionella nätgränser.
            
            
               t)märkning: en etikett som anbringas på uppgifter för att säkerställa att lämpliga säkerhetsåtgärder tillämpas.
            
            
               u)säkerhetsmärkning: en märkning som anger uppgifternas sekretessnivå.
            
            
               v)distributionsmärkning: en märkning som anger de avsedda mottagarna av uppgifter inom den EU-institution eller det EU-organ som upprättat handlingen.
            
            
               w)utlämningsmärkning: en märkning som anger de tillåtna mottagarna utanför den EU-institution eller det EU-organ som upprättat handlingen.
            
         
         
            
               x)systemägare: den person som ansvarar för övergripande upphandling, utveckling, integrering, modifiering, drift, underhåll och avveckling av ett kommunikations- och informationssystem.
            
            
               y)hot mot informationssäkerheten: en händelse eller aktör som rimligen kan förväntas ha en negativ inverkan på informationssäkerheten om den inte bemöts och kontrolleras.  
            
            
               z)sårbarhet: en svaghet, mottaglighet eller brist hos en tillgång, ett system, en process eller en kontrollåtgärd vilken kan utnyttjas av ett eller flera hot.
            
            
               aa)risk: den potentiella negativa effekten av ett givet hot som kan komma att utnyttja interna och externa sårbarheter hos en EU-institution eller ett EU-organ, eller något av de system den/det använder, och därigenom skada berättigade allmänna och privata intressen, mätt som en kombination av sannolikheten för att hot förverkligas och deras konsekvenser.
            
            
               ab)kvarstående risk: den risk som återstår efter det att säkerhetsåtgärder har genomförts.
            
            
               ac)riskbedömning: identifiering av hot och sårbarheter samt genomförande av därmed sammanhängande riskanalys, dvs. en analys av sannolikhet och konsekvenser.
            
            
               ad)riskhantering: att mildra, undanröja, reducera (genom en lämplig kombination av tekniska, fysiska, organisatoriska eller procedurmässiga åtgärder), överföra eller övervaka risken.
            
            
               ae)europeiskt cybersäkerhetscertifikat: ett certifikat i den mening som anges i artikel 2.11 i förordning (EU) 2019/881
                  28
               .
            
            
               af)innehavare: en vederbörligen bemyndigad person som konstaterats ha behovsenlig behörighet och som förfogar över uppgifter som kräver skydd och därmed ansvarar för att skydda dem.
            
            
               ag)material: en handling, databärare, maskin eller utrustning som tillverkats eller håller på att tillverkas.
            
            
               ah)säkerhetsskyddsklassificerade EU-uppgifter: uppgifter eller material som försetts med en EU-säkerhetsskyddsklassificering och vars obehöriga röjande skulle kunna åsamka unionens eller en eller flera av dess medlemsstaters intressen olika grader av skada.
            
            
               ai)godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter: ett beslut av en säkerhetsmyndighet om att en tjänsteman, annan anställd eller utsänd nationell expert vid en EU-institution eller ett EU-organ får beviljas tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till en angiven nivå under en fastställd tidsperiod.
            
            
               aj)nationell säkerhetsmyndighet: den statliga myndighet i en medlemsstat som har det yttersta ansvaret för säkerheten hos säkerhetsskyddsklassificerade uppgifter i den medlemsstaten.
            
            
               ak)utsedd säkerhetsmyndighet: en myndighet i en medlemsstat (nationell säkerhetsmyndighet eller annan behörig myndighet) som ansvarar för att tillhandahålla ledning och stöd vid genomförandet av industrisäkerhet eller i förfaranden för godkännande, eller båda.
            
            
               al)säkerhetsprövning: det utredningsförfarande som en medlemsstats behöriga myndighet genomför i enlighet med sina nationella lagar och andra författningar för att kunna lämna en försäkran om att inget negativt är känt som hindrar att en person ges ett säkerhetsgodkännande upp till en angiven nivå (CONFIDENTIEL UE/EU CONFIDENTIAL eller högre).
            
            
               am)fysisk säkerhet: tillämpningen av fysiska, tekniska och organisatoriska åtgärder i lokaler, byggnader, rum, kontor eller verksamhetsställen vid en EU-institution eller ett EU-organ som kräver skydd mot obehörig tillgång till uppgifter som hanteras, lagras eller diskuteras där.
            
            
               an)anläggningar: lokaler, byggnader, rum, kontor eller verksamhetsställen som tillhör en EU-institution eller ett EU-organ.
            
            
               ao)flernivåförsvar: en typ av säkerhet som använder flera oberoende lager av säkerhetskontroller för att säkerställa att om fel uppstår i en kontroll kommer en annan att fungera.
            
            
               ap)kryptomaterial: kryptografiska algoritmer, program, programvarumoduler och produkter, inklusive tillämpningsinformation samt tillhörande dokumentation och dekrypteringsmaterial.
            
            
               aq)kryptoprodukt: en produkt vars främsta och huvudsakliga funktion är att tillhandahålla säkerhetstjänster (äkthet, tillgänglighet, sekretess, integritet och oavvislighet) genom en eller flera kryptografiska mekanismer.
            
         
         
            
               ar)upphovsman: EU-institution, EU-organ, medlemsstat, tredjeland eller internationell organisation under vars behörighet säkerhetsskyddsklassificerade uppgifter har upprättats eller införts i unionens strukturer.
            
            
               as)handling: allt innehåll, oberoende av medium (papper, elektroniskt, magnetiskt eller annat), i skriftlig form eller i en visuell eller audiovisuell inspelning.
            
            
               at)registrering för säkerhetsändamål: tillämpning av förfaranden som registrerar materialets livscykel, inbegripet dess spridning och förstöring.
            
            
               au)beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade: borttagande av varje säkerhetsskyddsklassificering.
            
            
               av)inplacering på lägre säkerhetsskyddsklassificeringsnivå: sänkning av säkerhetsskyddsklassificeringens nivå.
            
            
               aw)säkerhetsskyddsklassificerat kontrakt: ett sådant ramavtal eller avtal som avses i Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046, och som en EU-institution eller ett EU-organ ingår med en entreprenör för leverans av lös eller fast egendom, utförande av arbete eller tillhandahållande av tjänster, där genomförandet kräver eller inbegriper hantering, inklusive upprättande, eller lagring av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               ax)säkerhetsskyddsklassificerad bidragsöverenskommelse: en överenskommelse varigenom en EU-institution eller ett EU-organ beviljar ett bidrag, i den mening som avses i avdelning VIII i förordning (EU, Euratom) 2018/1046, och vars genomförande kräver eller inbegriper hantering, inklusive upprättande, eller lagring av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               ay)säkerhetsskyddsklassificerat underentreprenörskontrakt: ett kontrakt som en EU-institutions eller ett EU-organs entreprenör eller bidragsmottagare ingår med en underentreprenör om leverans av lösa eller fasta tillgångar, utförande av arbete eller tillhandahållande av tjänster, där genomförandet kräver eller inbegriper hantering, inklusive upprättande, eller lagring av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               az)säkerhetsanvisningar för program eller projekt: en förteckning över säkerhetsförfaranden som tillämpas på ett särskilt program eller projekt för att standardisera säkerhetsförfarandena.
            
            
               ba)säkerhetsskyddsöverenskommelse: en uppsättning särskilda kontraktsvillkor som utfärdas av den upphandlande eller beviljande myndigheten, vilka utgör en avgörande del av alla säkerhetsskyddsklassificerade kontrakt eller bidragsöverenskommelser som omfattar tillgång till eller upprättande av säkerhetsskyddsklassificerade EU-uppgifter, och fastställer säkerhetskraven samt vilka delar av kontraktet eller bidraget som kräver säkerhetsskydd.
            
            
               bb)handbok om säkerhetsklassificering: en handling som beskriver de delar av ett program, projekt, kontrakt eller en bidragsöverenskommelse som är säkerhetsskyddsklassificerade och anger tillämpliga säkerhetsskyddsklassificeringsnivåer.
            
            
               Artikel 4
            
            
               Allmänna principer 
            
            
               1.Varje EU-institution och EU-organ ska ansvara för genomförandet av bestämmelserna i denna förordning inom sin organisation med beaktande av sin egen riskhanteringsprocess för informationssäkerhet.
            
            
               2.
                      Bristande efterlevnad av denna förordning, i synnerhet obehörigt röjande av uppgifter med de säkerhetsskyddsklassificeringsnivåer som avses i artikel 2.2, med undantag av uppgifter för allmänt bruk, ska bli föremål för utredning och kan utlösa personalansvar i enlighet med fördragen eller deras relevanta tjänsteföreskrifter.
            
            
               3.Unionens institutioner och organ ska bedöma alla uppgifter de hanterar och lagrar för att kategorisera den i enlighet med de sekretessnivåer som anges i artikel 2.2.
            
            
               4.Unionens institutioner och organ ska fastställa säkerhetsbehoven för alla uppgifter de hanterar och lagrar med beaktande av följande aspekter: 
            
            
               a)Äkthet: Garanti för att uppgifterna är riktiga och härrör från pålitliga källor.
            
            
               b)Tillgänglighet: Tillgänglighet och användbarhet på begäran av en behörig enhet.
            
            
               c)Sekretess: Att uppgifter inte röjs till obehöriga personer, enheter eller processer.
            
         
         
            
               d)Integritet: Att uppgifterna är fullständiga och i oförändrat skick.
            
            
               e)Oavvislighet: Möjlighet att bevisa att en åtgärd eller händelse har ägt rum så att denna händelse eller åtgärd inte senare kan förnekas.
            
            
               5.För varje kommunikations- och informationssystem som de ansvarar för ska unionens institutioner och organ fastställa den högsta sekretessnivå som ett sådant kommunikations- och informationssystem kan hantera och lagra, genomföra en riskbedömning av informationssäkerheten och regelbundet övervaka säkerhetsbehoven och det korrekta genomförandet av de identifierade skyddsåtgärderna. 
            
            
               6.Alla unionens institutioner och organ ska tillhandahålla utbildning och information om hur man hanterar och lagrar icke-säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade EU-uppgifter. 
            
            
               EU-institutioner och EU-organ som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska anordna obligatorisk utbildning minst en gång vart femte år för alla personer som har tillgång till säkerhetsskyddsklassificerade EU-uppgifter. De berörda institutionerna och organen ska anordna särskild utbildning för de specifika funktioner som har anförtrotts arbetsuppgifter i samband med informationssäkerhet.
            
            
               En EU-institution eller ett EU-organ kan samordna sådana utbildnings- och informationssatsningar tillsammans med andra EU-institutioner och EU-organ.
            
            
               Artikel 5
            
            
               Riskhanteringsprocess för informationssäkerhet
            
            
               1.Varje EU-institution och EU-organ ska inrätta en riskhanteringsprocess för informationssäkerhet för att skydda de uppgifter som institutionen eller organet hanterar och lagrar.
            
            
               2.Riskhanteringsprocessen för informationssäkerhet ska omfatta följande steg:
            
            
               a)Identifiering av hot och sårbarhet.
            
            
               b)Riskbedömning.
            
            
               c)Riskhantering.
            
            
               d)Riskacceptans.
            
            
               e)Riskkommunikation.
            
            
               3.Riskhanteringsprocessen för informationssäkerhet ska ta hänsyn till alla faktorer som är relevanta för den berörda institutionen eller det berörda organet, i synnerhet följande:
            
            
               a)Uppgifternas sekretessnivå och tillhörande rättsliga skyldigheter.
            
            
               b)Uppgifternas form och mängd samt de verksamhetsställen eller kommunikations- och informationssystem där uppgifterna hanteras och lagras.
            
            
               c)De personer som har tillgång till uppgifterna på anläggningar eller på distans.
            
            
               d)Omgivningarna kring och strukturen på de byggnader eller utrymmen där uppgifterna lagras.
            
         
         
            
               e)Hot mot unionen, unionens institutioner och organ eller medlemsstaterna i form av cyberattacker, angrepp i leveranskedjan, spionage, sabotage, terrorism, omstörtande eller annan brottslig verksamhet.
            
            
               f)Driftskontinuitet och haveriberedskap.
            
            
               g)Resultaten av inspektioner, revisioner eller utvärderingsbesök, i tillämpliga fall.
            
            
               Kapitel 2 
                  Styrning och organisation av säkerheten
            
            
               Artikel 6
            
            
               Den interinstitutionella samordningsgruppen för informationssäkerhet
            
            
               1.Härmed inrättas en interinstitutionell samordningsgrupp för informationssäkerhet (samordningsgruppen).
            
            
               Den ska bestå av alla säkerhetsmyndigheter vid unionens institutioner och organ och ska ha mandat att fastställa deras gemensamma politik på informationssäkerhetsområdet.
            
            
               2.Samordningsgruppen ska i samförstånd och i alla EU-institutioners och EU-organs gemensamma intresse
            
            
               a)anta sin arbetsordning och sina årliga gemensamma mål och prioriteringar,
            
            
               b)anta beslut om inrättandet av tematiska undergrupper och deras mandat,
            
            
               c)fastställa vägledningsdokument för genomförandet av denna förordning, i samarbete med den interinstitutionella cybersäkerhetsstyrelse som avses i artikel 9 i förordning (EU) [...] om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer, när så är lämpligt, 
            
            
               d)inrätta särskilda plattformar för utbyte av bästa praxis och kunskap i gemensamma frågor som är relevanta för informationssäkerheten samt för att tillhandahålla stöd vid informationssäkerhetsincidenter,
            
            
               e)säkerställa att säkerhetsåtgärderna vid behov samordnas med de behöriga nationella säkerhetsmyndigheterna i syfte att skydda säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               3.Samordningsgruppen ska bland sina medlemmar utse en ordförande och två vice ordförande för en period på tre år.
            
            
               4.Samordningsgruppen ska sammanträda minst en gång om året på sin ordförandes initiativ eller på begäran av en EU-institution eller ett EU-organ.
            
            
               5.Samordningsgruppen ska ha administrativt stöd från ett permanent sekretariat som tillhandahålls av kommissionen.
            
            
               6.Varje EU-institution eller EU-organ ska ha lämplig representation i samordningsgruppen och, i tillämpliga fall, i de tematiska undergrupperna.
            
            
               7.Unionens institutioner och organ ska uppmärksamma samordningsgruppen på all betydande informationssäkerhetspolitisk utveckling inom sin organisation.
            
            
               8.Vid utförandet av de arbetsuppgifter som anges i punkt 2 e ska samordningsgruppen biträdas av en kommitté för informationssäkerhet.  Denna kommitté ska bestå av en företrädare för varje nationell säkerhetsmyndighet och ska ledas av samordningsgruppens sekretariat, som avses i punkt 5. Kommittén för informationssäkerhet ska ha en rådgivande roll.
            
         
         
            
               Artikel 7
            
            
               Tematiska undergrupper
            
            
               1.Samordningsgruppen ska inrätta följande permanenta tematiska undergrupper för att underlätta genomförandet av denna förordning:
            
            
               a)En undergrupp för informationssäkring.
            
            
               b)En undergrupp för icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               c)En undergrupp för fysisk säkerhet.
            
            
               d)En undergrupp för ackreditering av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               e)En undergrupp för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter.
            
            
               2.Vid behov får samordningsgruppen inrätta tillfälliga undergrupper för en specifik arbetsuppgift och för en begränsad tid.
            
            
               3.Om inte annat föreskrivs i undergruppernas mandat ska undergrupperna grunda sig på öppet medlemskap som är representativt för den berörda EU-institutionen eller det berörda EU-organet. Undergruppernas medlemmar ska vara experter inom respektive kompetensområde.
            
            
               4.Samordningsgruppens sekretariat, som avses i artikel 5.5, ska stödja arbetet i alla undergrupper och säkerställa kommunikationen mellan dess medlemmar.                                 
            
            
               Artikel 8
            
            
               Hur säkerheten ska organiseras
            
            
               1.Varje EU-institution och EU-organ ska utse en säkerhetsmyndighet som ska åta sig det ansvar som tilldelas genom denna förordning och, i tillämpliga fall, genom dess interna säkerhetsbestämmelser. Vid utförandet av sina arbetsuppgifter ska varje säkerhetsmyndighet få stöd av den avdelning eller tjänsteman som anförtrotts arbetsuppgifter i samband med informationssäkerhet.
            
            
               2.Vid behov ska säkerhetsmyndigheten vid varje EU-institution och EU-organ anta interna genomförandebestämmelser för skydd av uppgifter, i enlighet med dess särskilda uppdrag enligt EU-rätten och på grundval av dess institutionella oberoende.
            
            
               3.I relevanta fall ska varje säkerhetsmyndighet även fylla följande funktioner:
            
            
               a)Myndighet för informationssäkring med ansvar för att utveckla strategier och säkerhetsriktlinjer för informationssäkring samt att övervaka hur ändamålsenliga och relevanta dessa är.
            
            
               b)Driftsansvarig myndighet för informationssäkring med ansvar för att utveckla säkerhetsdokumentation, i synnerhet säkra driftsmetoder samt kryptoplanen inom ackrediteringsprocessen för kommunikations- och informationssystem.
            
            
               c)Ackrediteringsmyndighet för säkerhet med ansvar för ackreditering av säkrade utrymmen samt kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               d)Tempestmyndighet med ansvar för att godkänna de åtgärder som vidtagits för skydd mot röjande av säkerhetsskyddsklassificerade EU-uppgifter genom oavsiktlig elektronisk strålning.
            
         
         
            
               e)Kryptogodkännande myndighet med ansvar för att godkänna användning av krypteringsteknik på begäran från systemägaren.
            
            
               f)Kryptodistributionsmyndighet med ansvar för att distribuera kryptografiskt material som används för att skydda säkerhetsskyddsklassificerade EU-uppgifter (krypteringsutrustning, krypteringsnycklar, certifikat och tillhörande autentiseringsfunktioner) till de berörda användarna.
            
            
               4.Ansvaret för en eller flera av de funktioner som anges i punkt 3 får delegeras till en annan EU-institution eller ett annat EU-organ om decentraliserat tillhandahållande av säkerheten innebär betydande effektivitets-, resurs- eller tidsbesparingar.
            
            
               Kapitel 3 
                  Informationssäkring och kommunikations- och informationssystem
            
            
               Artikel 9
            
            
               Principer för informationssäkerhet
            
            
               1.Bedömningen av informationssäkerhetsbehoven ska beaktas vid upprättandets början eller i upphandlingsskedet när det gäller samtliga kommunikations- och informationssystem, inklusive interna, utkontrakterade och hybridbaserade system.
            
            
               2.Samtliga kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska ackrediteras i enlighet med kapitel 5 avsnitt 5. Alla kommunikations- och informationssystem som hanterar och lagrar känsliga icke-säkerhetsskyddsklassificerade uppgifter ska uppfylla de minimikrav för känsliga icke-säkerhetsskyddsklassificerade uppgifter i kommunikations- och informationssystem vilka anges i kapitel 4.
            
            
               Artikel 10
            
            
               Undergrupp för informationssäkring
            
            
               1.Undergruppen för informationssäkring, som avses i artikel 7.1 a, ska ha följande roller och ansvarsområden:
            
            
               a)Tillhandahålla vägledning och bästa praxis för märkning, hantering och lagring av uppgifter i kommunikations- och informationssystem, i nära samarbete med den interinstitutionella cybersäkerhetsstyrelse som avses i artikel 9 i förordning (EU) [XXX] om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer.
            
            
               b)Inrätta ett metadatasystem för märkning och all nödvändig teknisk information för att bidra till ett kompatibelt och sömlöst informationsutbyte mellan unionens institutioner och organ, när de kopplar samman sina respektive kommunikations- och informationssystem.
            
            
               c)Bidra till samstämmigheten mellan informationssäkerhetsreglerna och baslinjen för cybersäkerhet inom alla unionens institutioner och organ, i den mening som avses i artikel 5 i förordning (EU) [XXX] om åtgärder för en hög gemensam cybersäkerhetsnivå inom unionens institutioner, organ och byråer.
            
            
               Artikel 11
            
            
               Krav på kommunikations- och informationssystem
            
            
               1.Unionens institutioner och organ ska informera användarna om sekretessnivåerna för uppgifter som kan hanteras och lagras i ett kommunikations- och informationssystem. Om ett kommunikations- och informationssystem hanterar och lagrar flera sekretessnivåer ska metadata och visuella märkningar användas för att säkerställa att de olika nivåerna kan särskiljas.
            
            
               2.Unionens institutioner och organ ska identifiera användare av kommunikations- och informationssystem innan de beviljas tillgång till andra sekretessnivåer än allmänt bruk. Användarna ska autentiseras på en säkringsnivå som är lämplig för sekretessnivån. När så är lämpligt ska ett säkert gemensamt identifieringssystem användas.
            
            
               3.Lämpliga säkerhetsloggar ska föras för alla kommunikations- och informationssystem för att säkerställa snabba utredningar i händelse av överträdelser eller informationsläckor. Sådana loggar ska bevaras under en period som fastställs i konsekvensbedömningen för verksamheten eller i de relevanta säkerhetsstrategierna, på ett oavvisligt sätt. 
            
            
               Om ett kommunikations- och informationssystem hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska loggar om behovsenlig behörighet och tillgång till uppgifter bevaras till dess att uppgifterna inte längre är säkerhetsskyddsklassificerade. Säkerhetsloggar ska vara sökbara och åtkomliga för säkerhetsmyndigheten.
            
         
         
            
               4.Unionens institutioner och organ ska anta interna regler gällande säkerheten för kommunikations- och informationssystem för att specificera lämpliga säkerhetsåtgärder i enlighet med säkerhetsbehoven för de uppgifter som ska hanteras och lagras och med beaktande av de jurisdiktioner som uppgifterna lagras i, överförs till och hanteras inom.  I tillämpliga fall ska dessa åtgärder omfatta följande:
            
            
               a)Begränsningar av den geografiska platsen.
            
            
               b)Beaktande av potentiella intressekonflikter, bojkotter eller sanktioner för entreprenörer.
            
            
               c)Avtalsbestämmelser för att säkerställa informationssäkerheten.
            
            
               d)Kryptering av uppgifter i vila och vid överföring.
            
            
               e)Begränsningar av entreprenörspersonalens tillgång till EU-institutioners och EU-organs uppgifter.
            
            
               f)Skydd av personuppgifter i enlighet med tillämplig dataskyddslagstiftning. 
            
            
               5.Unionens institutioner och organ ska förvalta sina kommunikations- och informationssystem i enlighet med följande principer:  
            
            
               a)Varje kommunikations- och informationssystem ska ha en systemägare eller en driftsansvarig myndighet för informationssäkring som ansvarar för dess säkerhet.
            
            
               b)En riskhanteringsprocess för informationssäkerhet som omfattar informationssäkerhetsaspekter ska genomföras.
            
            
               c)Säkerhetskraven och de säkra driftsmetoderna ska formellt fastställas, genomföras, kontrolleras och granskas.
            
            
               d)Informationssäkerhetsincidenter ska formellt registreras och följas upp i enlighet med förordning (EU) [XXX] om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer.
            
            
               Kapitel 4 
                  Icke-säkerhetsskyddsklassificerade uppgifter
            
            
               Artikel 12
            
            
               Uppgifter för allmänt bruk
            
            
               1.Uppgifter som är avsedda för allmänt bruk eller offentliggörande, eller som redan har offentliggjorts, och som kan delas utan begränsningar inom eller utanför unionens institutioner och organ, ska kategoriseras, hanteras och lagras som uppgifter för allmänt bruk.
            
            
               2.Unionens institutioner och organ får märka de uppgifter som avses i punkt 1 med ”PUBLIC USE”.
            
            
               3.Alla unionens institutioner och organ ska säkerställa uppgifternas integritet och tillgänglighet för allmänt bruk genom lämpliga åtgärder som grundar sig på säkerhetsbehoven.
            
            
               Artikel 13
            
            
               Normala uppgifter
            
         
         
            
               1.Uppgifter som är avsedda att användas av en EU-institution eller ett EU-organ vid utförandet av dess arbetsuppgifter och som varken är känsliga icke-säkerhetsskyddsklassificerade uppgifter eller uppgifter för allmänt bruk ska kategoriseras, hanteras och lagras som normala uppgifter. Denna kategori omfattar samtliga normala uppgifter på arbetsnivå som behandlas vid den berörda EU-institutionen eller det berörda EU-organet.
            
            
               2.Normala uppgifter får märkas visuellt eller i metadata om det är nödvändigt för att skydda dem, särskilt när de delas utanför unionens institutioner och organ. Märkningen ”EU NORMAL” eller ”namn eller akronym för EU-institutionen eller EU-organet NORMAL” (justeras från fall till fall) ska användas i det här fallet.
            
            
               3.Unionens institutioner och organ ska fastställa standardskyddsåtgärder för normala uppgifter med beaktande av undergruppens råd om icke-säkerhetsskyddsklassificerade uppgifter och eventuella särskilda risker i samband med deras arbetsuppgifter och verksamhet.
            
            
               4.Normala uppgifter får utanför unionens institutioner och organ endast utbytas med fysiska eller juridiska personer med behovsenlig behörighet.                                                                                                                                                            
            
            
               Artikel 14
            
            
               Känsliga icke-säkerhetsskyddsklassificerade uppgifter
            
            
               1.Unionens institutioner och organ ska kategorisera, hantera och lagra alla uppgifter som inte är säkerhetsskyddsklassificerade, men som de måste skydda på grund av rättsliga skyldigheter, eller på grund av den skada som obehörigt röjande kan orsaka på berättigade privata och allmänna intressen, inbegripet EU-institutionernas och EU-organens, medlemsstaternas eller enskilda personers intressen, som känsliga icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               2.Varje EU-institution och EU-organ ska identifiera känsliga icke-säkerhetsskyddsklassificerade uppgifter genom en visuell säkerhetsmärkning och ska fastställa motsvarande hanteringsanvisningar i enlighet med bilaga I.
            
            
               3.Unionens institutioner och organ ska skydda känsliga icke-säkerhetsskyddsklassificerade uppgifter genom att tillämpa lämpliga åtgärder för hantering och lagring.  Sådana uppgifter får endast göras tillgängliga inom unionens institutioner och organ för personer med behovsenlig behörighet för att de ska kunna fullgöra sina tilldelade arbetsuppgifter.
            
            
               4.Känsliga icke-säkerhetsskyddsklassificerade uppgifter får utanför unionens institutioner och organ endast utbytas med fysiska och juridiska personer som har behovsenlig behörighet och med iakttagande av de hanteringsanvisningar som åtföljer uppgifterna. Alla berörda parter ska göras medvetna om lämpliga hanteringsanvisningar.
            
            
               Artikel 15
            
            
               Skydd av icke-säkerhetsskyddsklassificerade uppgifter och kompatibilitet
            
            
               1.Unionens institutioner och organ ska fastställa förfaranden för rapportering och hantering av incidenter eller misstänkta incidenter som skulle kunna leda till att icke-säkerhetsskyddsklassificerade uppgifters säkerhet äventyras.
            
            
               2.Vid behov ska unionens institutioner och organ använda de märkningar som föreskrivs i artiklarna 12, 13 och 14. I undantagsfall får andra likvärdiga märkningar användas internt och med koppling till deras särskilda motsvarigheter från andra EU-institutioner och EU-organ eller från medlemsstaterna, om alla parter är överens om detta. Sådana undantag ska meddelas den undergrupp för icke-säkerhetsskyddsklassificerade uppgifter som avses i artikel 7.1 b.
            
            
               3.Avtalsenliga skyddsåtgärder ska fastställas för att säkerställa skyddet av normala och känsliga icke-säkerhetsskyddsklassificerade uppgifter som behandlas via utkontrakterade tjänster.  Dessa skyddsåtgärder ska utformas så att de garanterar en skyddsnivå som är minst likvärdig med den som föreskrivs i denna förordning, och ska inbegripa åtaganden om konfidentialitet och sekretess som ska undertecknas av alla relevanta tjänsteleverantörer som deltar i tillhandahållandet av de utkontrakterade systemen.
            
            
               Artikel 16
            
            
               Undergrupp för icke-säkerhetsskyddsklassificerade uppgifter 
            
            
               1.Den undergrupp för icke-säkerhetsskyddsklassificerade uppgifter som avses i artikel 7.1 b ska ha följande roller och ansvarsområden:
            
            
               a)Rationalisera förfarandena för hantering och lagring av icke-säkerhetsskyddsklassificerade uppgifter och utarbeta relevanta riktlinjer.
            
            
               b)Samordna med den undergrupp för informationssäkring som avses i artikel 7.1 a i frågor som rör systemhantering och lagring av icke-säkerhetsskyddsklassificerade uppgifter.
            
         
         
            
               c)Utarbeta hanteringsanvisningar för de olika sekretessnivåerna för icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               d)Bistå unionens institutioner och organ med att fastställa likvärdigheten mellan deras särskilda kategorier av icke-säkerhetsskyddsklassificerade uppgifter och de kategorier som föreskrivs i artiklarna 12, 13 och 14.
            
            
               e)Underlätta utbytet av icke-säkerhetsskyddsklassificerade uppgifter mellan unionens institutioner och organ genom att tillhandahålla stöd och vägledning.
            
            
               Artikel 17
            
            
               Hantering och lagring av känsliga icke-säkerhetsskyddsklassificerade uppgifter i kommunikations- och informationssystem
            
            
               1.Unionens institutioner och organ ska säkerställa att kommunikations- och informationssystemen uppfyller följande minimikrav vid hantering och lagring av känsliga icke-säkerhetsskyddsklassificerade uppgifter:
            
            
               a)Stark autentisering ska införas för tillgång till känsliga icke-säkerhetsskyddsklassificerade uppgifter och dessa uppgifter ska krypteras vid överföring och lagring.
            
            
               b)Den EU-institution eller det EU-organ som ansvarar för driften av kommunikations- och informationssystemet ska ansvara för de krypteringsnycklar som används vid lagringen.
            
            
               c)Känsliga icke-säkerhetsskyddsklassificerade uppgifter ska lagras och behandlas i unionen.
            
            
               d)Avtalsbestämmelser gällande säkerhet för personal, tillgångar och uppgifter ska ingå i alla entreprenadavtal.
            
            
               e)Kompatibla metadata ska användas för att registrera sekretessnivån för elektroniska handlingar och för att underlätta automatiseringen av säkerhetsåtgärder.
            
            
               f)Åtgärder för att förebygga och upptäcka dataläckor ska genomföras av unionens institutioner och organ för att skydda känsliga icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               g)Säkerhetsutrustning som är försedd med ett europeiskt cybersäkerhetscertifikat ska användas, när sådan finns.
            
            
               h)Säkerhetsåtgärder ska införas som bygger på principerna om behovsenlig behörighet och nolltillit för att minimera tjänsteleverantörers och entreprenörers tillgång till känsliga icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               2.Varje undantag från minimikraven i punkt 1 ska godkännas av den berörda EU-institutionen eller det berörda EU-organet på lämplig ledningsnivå och på grundval av en riskbedömning som omfattar de rättsliga och tekniska säkerhetsriskerna för de känsliga icke-säkerhetsskyddsklassificerade uppgifterna.
            
            
               3.Myndigheten för informationssäkring vid den berörda EU-institutionen eller det berörda EU-organet får kontrollera efterlevnaden av de principer som anges i punkt 1 när som helst under ett kommunikations- och informationssystems livscykel.
            
            
               Kapitel 5 
                  Säkerhetsskyddsklassificerade EU-uppgifter
            
            
               Avsnitt 1 
                  Allmänna bestämmelser
            
            
               Artikel 18
            
            
               Säkerhetsskyddsklassificeringar och säkerhetsmärkningar
            
         
         
            
               1.Säkerhetsskyddsklassificerade EU-uppgifter ska placeras på en av följande nivåer och markeras på följande sätt:
            
            
               a)SECRET UE/EU TOP SECRET Uppgifter och material vars obehöriga röjande skulle kunna medföra synnerligen allvarlig skada för unionens eller en eller flera medlemsstaters väsentliga intressen.
            
            
               b)SECRET UE/EU SECRET: Uppgifter och material vars obehöriga röjande skulle kunna medföra allvarlig skada för unionens eller för en eller flera medlemsstaters väsentliga intressen.
            
            
               c)CONFIDENTIEL UE/EU CONFIDENTIAL: Uppgifter och material vars obehöriga röjande skulle kunna medföra skada för unionens eller en eller flera medlemsstaters väsentliga intressen.
            
            
               d)RESTREINT UE/EU RESTRICTED: Uppgifter och material vars obehöriga röjande skulle kunna medföra ringa skada för unionens eller en eller flera medlemsstaters intressen.
            
            
               2.Samordningsgruppen ska anta vägledningsdokument för upprättande och klassificering av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               Artikel 19
            
            
               Lämplighet att hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Varje EU-institution och EU-organ får hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter om institutionen eller organet
            
            
               a)fastställer regler och förfaranden i enlighet med denna förordning vilka säkerställer skyddet av uppgifter för en viss säkerhetsskyddsklassificeringsnivå, samt
            
            
               b)har genomgått ett utvärderingsbesök i enlighet med artikel 53, varefter det har intygats att institutionen eller organet kan skydda säkerhetsskyddsklassificerade EU-uppgifter i enlighet med denna förordning och, i tillämpliga fall, andra relevanta regler och förfaranden.
            
            
               2.De villkor som anges i punkt 1 ska automatiskt anses vara uppfyllda av medlemmarna i den undergrupp för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter som avses i artikel 7.1 e.
            
            
               Artikel 20
            
            
               Skydd av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.En innehavare av säkerhetsskyddsklassificerade EU-uppgifter ska ansvara för att skydda dessa.
            
            
               2.Om en medlemsstat inför säkerhetsskyddsklassificerade uppgifter märkta med en nationell säkerhetsskyddsklassificering i en EU-institutions eller ett EU-organs strukturer eller nätverk ska respektive institution eller organ skydda dessa uppgifter på ett sätt som motsvarar den säkerhetsmärkning som fastställts i avtalet mellan Europeiska unionens medlemsstater, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i Europeiska unionens intresse
                  29
               . Motsvarande jämförelsetabell återfinns i bilaga VI till denna förordning.
            
            
               3.En sammanställning av säkerhetsskyddsklassificerade EU-uppgifter kan motivera skydd på en nivå motsvarande en högre säkerhetsskyddsklassificeringsnivå än de enskilda ingående delarna.
            
            
               Artikel 21
            
            
               Riskhanteringsprocess för säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Säkerhetsmyndigheten vid varje EU-institution och EU-organ ska godkänna säkerhetsåtgärderna för skydd av säkerhetsskyddsklassificerade EU-uppgifter under hela deras livscykel i enlighet med resultatet av en riskbedömning som utförts av respektive institution eller organ.
            
         
         
            
               2.De säkerhetsåtgärder som vidtas av varje EU-institution och EU-organ ska stå i proportion till klassificeringsnivån för de uppgifter som hanteras och lagras, deras form och volym samt placeringen och skyddsdetaljerna för de verksamhetsställen där säkerhetsskyddsklassificerade EU-uppgifter hanteras och lagras samt det lokalt bedömda hotet om skadlig eller brottslig verksamhet.
            
            
               3.Alla unionens institutioner och organ ska fastställa följande:
            
            
               a)Beredskapsplaner för att säkerställa säkerheten för säkerhetsskyddsklassificerade EU-uppgifter i nödsituationer.
            
            
               b)Kontinuitetsplaner inklusive förebyggande och återställande åtgärder för att minimera haveriers eller säkerhetsincidenters effekter på hanteringen och lagringen av säkerhetsskyddsklassificerade EU-uppgifter.                           
            
            
               Artikel 22
            
            
               Säkerhetsöverträdelser och röjande av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.En EU-institutions, ett EU-organs eller en enskild persons agerande eller underlåtenhet som strider mot denna förordning ska betraktas som en säkerhetsöverträdelse. 
            
            
               2.Säkerhetsskyddsklassificerade EU-uppgifter ska anses ha röjts om de till följd av en överträdelse helt eller delvis har avslöjats för en eller flera personer som inte är behöriga att få tillgång till dessa uppgifter.
            
            
               3.Varje röjande eller misstänkt röjande av säkerhetsskyddsklassificerade EU-uppgifter ska omedelbart rapporteras till säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet, som ska genomföra en säkerhetsutredning och vidta åtminstone följande åtgärder:
            
            
               a)Underrätta upphovsmannen.
            
            
               b)Säkerställa att personal som inte direkt berörs av överträdelsen utreder ärendet för att fastställa fakta.
            
            
               c)Bedöma den potentiella skada som åsamkats unionens eller medlemsstaternas intressen.
            
            
               d)Vidta lämpliga åtgärder för att förhindra ett upprepande.
            
            
               e)Informera de behöriga myndigheterna om det faktiska eller potentiella röjandet och vilka åtgärder som har vidtagits. 
            
            
               Avsnitt 2 
                  Säkerhetsprövning av personalen 
            
            
               Artikel 23
            
            
               Grundprinciper
            
            
               1.Säkerhetsmyndigheten vid en EU-institution eller ett EU-organ får bevilja personer tillgång till säkerhetsskyddsklassificerade EU-uppgifter om samtliga följande villkor är uppfyllda:
            
            
               a)Personerna har behovsenlig behörighet.
            
            
               b)Personerna har informerats om säkerhetsbestämmelserna och säkerhetsförfarandena för skydd av säkerhetsskyddsklassificerade EU-uppgifter och relevanta säkerhetsnormer och riktlinjer samt skriftligen bekräftat sitt ansvar gällande skydd av dessa uppgifter.
            
         
         
            
               c)För uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre har personerna beviljats säkerhetsgodkännande och har godkänts för den relevanta nivån.
            
            
               2.Unionens institutioner och organ ska ta hänsyn till en persons lojalitet, tillförlitlighet och pålitlighet enligt vad som fastställts genom en säkerhetsprövning som genomförts av de behöriga myndigheterna i den medlemsstat där sökanden är medborgare. 
            
            
               3.Unionens institutioner och organ får godta säkerhetsgodkännanden från tredjeländer och internationella organisationer med vilka unionen har ett informationssäkerhetsavtal.
            
            
               4.Unionens institutioner och organ får hantera godkännandeprocesserna självständigt eller ansöka om ett servicenivåavtal med kommissionen för säkerhetsgodkännande.
            
            
               Om ett servicenivåavtal ingås ska kommissionens säkerhetsmyndighet fungera som kontaktpunkt mellan säkerhetskontoren vid den berörda EU-institutionen eller det berörda EU-organet och medlemsstaternas nationella behöriga myndigheter i samband med frågor om säkerhetsgodkännande. 
            
            
               5.Säkerhetsmyndigheten vid varje EU-institution och EU-organ ska föra register över sina säkerhetsgodkännanden, genomgångar, skriftliga erkännanden och godkännanden av tillgång till säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               6.EU-institutioner och EU-organ som ingår ett servicenivåavtal med kommissionen ska göra relevanta register tillgängliga för kommissionens säkerhetsmyndighet gällande som minimum den nivå av säkerhetsskyddsklassificerade EU-uppgifter som personen kan beviljas tillgång till, datum för utfärdande av godkännandet av tillgång till säkerhetsskyddsklassificerade EU-uppgifter samt dess giltighetstid. Dessa register ska i berättigade fall vara tillgängliga för andra EU-institutioner och EU-organ med ett servicenivåavtal.
            
            
               Artikel 24
            
            
               Godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Varje EU-institution och EU-organ ska identifiera de befattningar inom sin organisation som kräver tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre för att innehavaren ska kunna utföra sina arbetsuppgifter.
            
            
               2.När en person behöver få godkännande av tillgång till uppgifter på säkerhetsskyddsklassificeringsnivån CONFIDENTIEL UE/EU CONFIDENTIAL eller högre ska den berörda institutionen eller det berörda organet informera den behöriga säkerhetsmyndigheten, som ska gå vidare med de formaliteter som krävs enligt punkt 1 i bilaga II.
            
            
               3.Säkerhetsmyndigheten vid varje EU-institution och EU-organ ska ansvara för att bevilja, tillfälligt upphäva, återkalla och förnya godkännanden av tillgång till säkerhetsskyddsklassificerade EU-uppgifter för sin personal.
            
            
               4.Under exceptionella omständigheter, när det är vederbörligen motiverat i tjänstens intresse och i avvaktan på att en fullständig säkerhetsprövning slutförs, får säkerhetsmyndigheten vid en EU-institution eller ett EU-organ bevilja personer tillfälligt godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter för en viss befattning, utan att det påverkar bestämmelserna om förnyat godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter och efter kontroll av den berörda nationella säkerhetsmyndigheten.
            
            
               5.Unionens institutioner och organ ska följa de hanteringsförfaranden för godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter som anges i bilaga II. 
            
            
               Artikel 25
            
            
               Erkännande av godkännanden av tillgång till säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Ett godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till den angivna nivån ska gälla inom alla EU-institutioner eller EU-organ som personens uppdrag omfattar.
            
            
               2.Unionens institutioner och organ ska godta godkännanden av tillgång till säkerhetsskyddsklassificerade EU-uppgifter som beviljats av andra EU-institutioner eller EU-organ. 
            
            
               3.Om innehavaren av ett godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter tar anställning vid en annan EU-institution eller ett annat EU-organ ska institutionen eller organet underrätta den berörda nationella säkerhetsmyndigheten om arbetsgivarbytet, via den behöriga säkerhetsmyndigheten.
            
            
               Artikel 26
            
         
         
            
               Genomgångar gällande säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Säkerhetsmyndigheten vid en EU-institution eller ett EU-organ ska hålla en genomgång med alla personer som behöver tillgång till säkerhetsskyddsklassificerade EU-uppgifter, gällande eventuella hot mot säkerheten samt deras skyldighet att rapportera misstänkt verksamhet.  Denna genomgång ska äga rum innan tillgång till säkerhetsskyddsklassificerade EU-uppgifter beviljas och därefter minst vart femte år. 
            
            
               2.Efter att ha fått den genomgång som beskrivs i punkt 1 ska alla berörda personer skriftligen bekräfta att de har förstått sina förpliktelser gällande skyddet av säkerhetsskyddsklassificerade EU-uppgifter och följderna av ett röjande av sådana uppgifter.
            
            
               3.Den genomgång som avses i punkt 1 ska omfatta följande uppgifter:
            
            
               a)Den som är ansvarig för en överträdelse av de säkerhetsbestämmelser som fastställs i denna förordning kan komma att underkastas disciplinära åtgärder enligt tillämpliga bestämmelser och författningar. 
            
            
               b)Den som är ansvarig för röjande eller förlust av säkerhetsskyddsklassificerade EU-uppgifter kan komma att underkastas disciplinära eller rättsliga åtgärder enligt tillämpliga lagar, bestämmelser och författningar.
            
            
               4.Om personer som har beviljats godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter inte längre behöver sådan tillgång ska unionens institutioner och organ säkerställa att dessa personer är medvetna om, och i förekommande fall skriftligen bekräftar, sina skyldigheter gällande fortsatt skydd av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               5.Uppdraget att skapa och hantera genomgångar av säkerhetsskyddsklassificerade EU-uppgifter får delas mellan unionens institutioner och organ, förutsatt att deras särskilda krav beaktas. 
            
            
               Avsnitt 3 
                  Fysisk säkerhet
            
            
               Artikel 27
            
            
               Grundprinciper
            
            
               1.Varje EU-institution och EU-organ ska fastställa de fysiska säkerhetsåtgärder som är lämpliga för dess anläggningar, i enlighet med bilaga III och principen om flernivåförsvar, på grundval av en riskbedömning som utförs av dess säkerhetsmyndighet. Åtgärderna ska säkerställa följande mål:
            
            
               a)Neka tillgång till säkerhetsskyddsklassificerade EU-uppgifter eller intrång genom tvång.
            
            
               b)Avskräcka, förhindra och upptäcka otillåten verksamhet och reagera på säkerhetsincidenter så snart som möjligt.
            
            
               c)Möjliggöra olika behandling av personalen med avseende på tillgången till säkerhetsskyddsklassificerade EU-uppgifter på grundval av principen om behovsenlig behörighet och, där så är lämpligt, säkerhetsgodkännande. 
            
            
               2.Unionens institutioner och organ ska införa fysiska säkerhetsåtgärder för alla anläggningar där säkerhetsskyddsklassificerade EU-uppgifter diskuteras, lagras eller hanteras, inbegripet utrymmen där kommunikations- och informationssystem enligt avsnitt 5 i detta kapitel inhyses.
            
            
               3.Endast säkerhetsutrustning som godkänts av säkerhetsmyndigheten vid en EU-institution eller ett EU-organ får användas för fysiskt skydd av uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre.
            
            
               4.Unionens institutioner och organ får dela säkrade utrymmen, i den mening som avses i bilaga III, för hantering och lagring av säkerhetsskyddsklassificerade EU-uppgifter, efter ingående av ett avtal.
            
            
               Artikel 28
            
            
               Undergrupp för fysisk säkerhet
            
         
         
            
               1.Den undergrupp för fysisk säkerhet som avses i artikel 7.1 c ska ha följande roller och ansvarsområden:
            
            
               a)Utarbeta vägledningsdokument gällande fysiska säkerhetsfrågor.
            
            
               b)Fastställa allmänna säkerhetskriterier för förvärv av utrustning såsom säkerhetsskåp, dokumentförstörare, dörrlås, elektroniska system för tillträdeskontroll, intrångsdetekteringssystem och larmsystem för fysiskt skydd av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               c)Bistå unionens institutioner och organ med att fastställa lämpliga säkerhetsåtgärder för deras anläggningar.
            
            
               d)Föreslå kompensationsåtgärder för skydd av säkerhetsskyddsklassificerade EU-uppgifter när dessa uppgifter hanteras utanför de fysiskt skyddade utrymmena inom en EU-institution och ett EU-organ. 
            
            
               Artikel 29
            
            
               Fysiskt skydd av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.För att säkerställa det fysiska skyddet av säkerhetsskyddsklassificerade EU-uppgifter ska unionens institutioner och organ inrätta följande fysiskt skyddade utrymmen:
            
            
               a)Administrativa utrymmen enligt bilaga III.
            
            
               b)I lämpliga fall, säkrade utrymmen inklusive klass I, klass II samt tekniskt säkrade utrymmen, enligt bilaga III.
            
            
               2.Säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet ska genomföra en intern inspektion för att kontrollera om villkoren för att ett utrymme ska fastställas som ett administrativt utrymme eller säkrat utrymme, enligt bilaga III, är uppfyllda. Om inspektionsrapporten visar att villkoren är uppfyllda får säkerhetsmyndigheten utfärda en ackreditering för det säkrade utrymmet att skydda säkerhetsskyddsklassificerade EU-uppgifter upp till den angivna nivån i en period som inte överskrider fem år.
            
            
               Säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet ska ansvara för att genomföra processen för ny ackreditering av sina säkrade utrymmen innan ackrediteringen löper ut eller när ändringar har genomförts inom det ackrediterade utrymmet. 
            
            
               3.Varje EU-institution och EU-organ ska anta förfaranden för hantering av nycklar och kombinationer för kontor, utrymmen, skyddsvalv och säkerhetsskåp för nivån CONFIDENTIEL UE/EU-CONFIDENTIAL samt högre nivåer.
            
            
               4.Säkerhetsmyndigheten får genomföra kontroller vid in- och utpassering för att upptäcka och förhindra otillåtet införande av material eller otillåtet bortförande av säkerhetsskyddsklassificerade EU-uppgifter från anläggningar.
            
            
               5.Unionens institutioner och organ ska fastställa åtgärder för fysiskt skydd av säkerhetsskyddsklassificerade EU-uppgifter i enlighet med bilaga III.                                       
            
            
               Avsnitt 4 
                  Hantering av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               Artikel 30
            
            
               Grundprinciper
            
            
               1.Unionens institutioner och organ ska registrera, arkivera, bevara och så småningom eliminera, ta stickprov på eller överföra sina handlingar med säkerhetsskyddsklassificerade EU-uppgifter till relevanta arkiv i enlighet med de regler och riktlinjer för datalagring som är specifika för varje EU-institutions och EU-organs akter. 
            
            
               2.Varje EU-institution och EU-organ som är upphovsman till säkerhetsskyddsklassificerade EU-uppgifter ska fastställa säkerhetsskyddsklassificeringen av dessa uppgifter när de skapas och i enlighet med artikel 18.1.
            
         
         
            
               3.Unionens institutioner och organ ska tydligt informera mottagarna om säkerhetsskyddsklassificeringsnivån, antingen genom en säkerhetsmärkning eller genom ett meddelande, om uppgifterna lämnas i muntlig form.
            
            
               4.De säkerhetsåtgärder som ska tillämpas på originalhandlingen ska även tillämpas på utkast, kopior och översättningar av denna.
            
            
               5.Unionens institutioner och organ ska fastställa åtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter i enlighet med bilaga IV. 
            
            
               Artikel 31
            
            
               Upprättande av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               2. EU-institutioner och EU-organ under vars överinseende säkerhetsskyddsklassificerade EU-uppgifter upprättas ska säkerställa att följande krav uppfylls:
            
            
               a)Varje sida ska vara tydligt märkt med säkerhetsskyddsklassificeringsnivån.
            
            
               b)Varje sida ska vara numrerad.
            
            
               c)Handlingen ska förses med ett referensnummer, i tillämpliga fall ett registreringsnummer och ett ämne, som i sig inte utgör säkerhetsskyddsklassificerade uppgifter, om de inte tilldelas en sådan märkning.
            
            
               d)Handlingen ska ange datumet för dess upprättande.
            
            
               e)Samtliga bilagor ska förtecknas, om möjligt på första sidan.
            
            
               f)Handlingar med klassificeringen SECRET UE/EU SECRET eller högre ska ha ett exemplarnummer på varje sida, om de sänds ut i flera exemplar. Elektroniska kopior som distribueras utanför lagringssystemet ska vara försedda med en unik identifierare baserad på en elektronisk signatur.
            
            
               Artikel 32
            
            
               Upphovsmannens kontroll
            
            
               1.Den EU-institution eller det EU-organ under vars överinseende en handling som innehåller säkerhetsskyddsklassificerade EU-uppgifter upprättas ska ha upphovsmannens kontroll över handlingen. Upphovsmannen ska fastställa säkerhetsskyddsklassificeringsnivån för handlingen och ansvara för dess ursprungliga spridning. Utan att det påverkar tillämpningen av förordning nr 1049/2001 ska upphovsmannens skriftliga förhandsgodkännande inhämtas innan uppgifterna
            
            
               a)märks som inte längre säkerhetsskyddsklassificerade eller inplaceras på lägre säkerhetsskyddsklassificeringsnivå,
            
            
               b)används för andra ändamål än de som fastställts av upphovsmannen,
            
            
               c)vidarebefordras till en enhet utanför den EU-institution eller det EU-organ som innehar uppgifterna, inbegripet ett tredjeland eller en internationell organisation, en annan EU-institution eller ett annat EU-organ, medlemsstater, en entreprenör eller potentiell entreprenör, en bidragsmottagare eller en potentiell bidragsmottagare,
            
            
               d)kopieras och översätts när det gäller nivån TRES SECRET-UE/EU-TOP SECRET.
            
            
               2.Om upphovsmannen till en handling som innehåller säkerhetsskyddsklassificerade EU-uppgifter inte kan identifieras ska den EU-institution eller det EU-organ som innehar dessa säkerhetsskyddsklassificerade uppgifter utöva upphovsmannens kontroll.
            
         
         
            
               3.Upphovsmän till handlingar som innehåller säkerhetsskyddsklassificerade EU-uppgifter ska dokumentera alla säkerhetsskyddsklassificerade källor som använts för att framställa säkerhetsskyddsklassificerade handlingar, inbegripet information om källor som härstammar från medlemsstater, internationella organisationer eller tredjeländer. När så är lämpligt ska aggregerade säkerhetsskyddsklassificerade uppgifter märkas på ett sådant sätt att det bevarar identifieringen av upphovsmännen till de säkerhetsskyddsklassificerade källmaterial som använts.
            
            
               Artikel 33
            
            
               Säkerhetsmärkningar
            
            
               1.När så är lämpligt får handlingar som innehåller säkerhetsskyddsklassificerade EU-uppgifter, utöver en av säkerhetsmärkningarna, förses med ytterligare märkningar, såsom distributionsmärkningar eller utlämningsmärkningar, eller märkningar som anger upphovsman.
            
            
               2.Olika delar av en handling med säkerhetsskyddsklassificerade EU-uppgifter kan kräva olika klassificeringar och ska märkas i enlighet med detta. Den övergripande säkerhetsskyddsklassificeringsnivån för en handling eller en datafil ska vara minst lika hög som den del som har den högsta säkerhetsskyddsklassificeringsnivån.
            
            
               3.Handlingar som innehåller delar på olika säkerhetsskyddsklassificeringsnivåer ska struktureras så att delar på olika säkerhetsskyddsklassificeringsnivå vid behov lätt kan identifieras och avskiljas.
            
            
               Artikel 34
            
            
               Registreringssystemet för säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Alla EU-institutioner och EU-organ som hanterar och lagrar uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIEL eller högre ska upprätta ett eller flera register över säkerhetsskyddsklassificerade EU-uppgifter för att säkerställa att de registreras för säkerhetsändamål när de anländer till eller lämnar en EU-institution eller ett EU-organ.
            
            
               2.Samtliga register för säkerhetsskyddsklassificerade EU-uppgifter ska inrättas i de säkrade utrymmen som avses i bilaga III.
            
            
               3.Unionens institutioner och organ ska utse en kontrolltjänsteman för register som ska förvalta varje register över säkerhetsskyddsklassificerade EU-uppgifter.  Denna kontrolltjänsteman ska inneha lämpligt säkerhetsgodkännande och ska ha godkännande i enlighet med artikel 24. Unionens institutioner och organ ska säkerställa att deras kontrolltjänsteman för register får lämplig utbildning.
            
            
               Artikel 35
            
            
               Inplacering på lägre säkerhetsskyddsklassificeringsnivå och beslut om att uppgifter inte längre ska vara säkerhetsskyddsklassificerade
            
            
               1.Uppgifter ska vara säkerhetsskyddsklassificerade endast så länge som de behöver skyddas.  Säkerhetsskyddsklassificerade EU-uppgifter som inte längre behöver den ursprungliga klassificeringen ska inplaceras på lägre nivå. Säkerhetsskyddsklassificerade EU-uppgifter som inte längre behöver betraktas som säkerhetsskyddsklassificerade alls ska inte längre vara säkerhetsskyddsklassificerade.
            
            
               2.När de säkerhetsskyddsklassificerade EU-uppgifterna skapas ska upphovsmannen om möjligt, särskilt när det gäller uppgifter på säkerhetsskyddsklassificeringsnivån RESTREINT UE/EU RESTRICTED, ange huruvida de säkerhetsskyddsklassificerade EU-uppgifterna kan inplaceras på lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade vid ett visst datum eller efter en viss händelse.
            
            
               3.Den EU-institution eller det EU-organ som är upphovsman ska ansvara för att besluta om huruvida en handling som innehåller säkerhetsskyddsklassificerade EU-uppgifter kan inplaceras på lägre säkerhetsskyddsklassificeringsnivå eller inte längre vara säkerhetsskyddsklassificerade.  Institutionen eller organet ska se över uppgifterna och bedöma riskerna regelbundet och minst vart femte år för att avgöra om den ursprungliga säkerhetsskyddsklassificeringsnivån fortfarande är lämplig.
            
            
               4.EU-institutioner och EU-organ som innehar säkerhetsskyddsklassificerade EU-uppgifter som de inte är upphovsmän till får inte inplacera uppgifterna på lägre säkerhetsskyddsklassificeringsnivå eller besluta att de inte längre ska vara säkerhetsskyddsklassificerade, och de får inte ändra eller avlägsna någon av de märkningar som avses i artikel 18.1 utan föregående skriftligt medgivande från upphovsmannen.
            
            
               5.Unionens institutioner och organ får delvis inplacera säkerhetsskyddsklassificerade EU-uppgifter som de skapar på lägre säkerhetsskyddsklassificeringsnivå eller besluta att de inte längre ska vara säkerhetsskyddsklassificerade. I sådana fall ska ett utdrag framställas av de uppgifter som inplacerats på lägre säkerhetsskyddsklassificeringsnivå eller som inte längre är säkerhetsskyddsklassificerade.
            
            
               6.Unionens institutioner och organ ska informera den organisation som mottagit säkerhetsskyddsklassificerade EU-uppgifter om att de inplacerats på lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerade.
            
            
               Artikel 36
            
         
         
            
               Märkningar på handlingar som inplacerats på lägre säkerhetsskyddsklassificeringsnivå eller som inte längre är säkerhetsskyddsklassificerade
            
            
               1.Om unionens institutioner och organ beslutar att uppgifterna i en handling inte längre ska vara säkerhetsskyddsklassificerade, ska det övervägas om handlingen ska förses med en distributionsmärkning för känsliga icke-säkerhetsskyddsklassificerade uppgifter.
            
            
               2.Den ursprungliga säkerhetsmärkningen upptill och nedtill på varje sida ska synligt strykas över, med hjälp av funktionen ”genomstrykning” för elektroniska format eller manuellt för utskrifter. Den ursprungliga säkerhetsmärkningen ska inte tas bort.
            
            
               3.Första sidan eller försättsbladet ska stämplas med information om att uppgifterna har inplacerats på lägre säkerhetsskyddsklassificeringsnivå eller inte längre är säkerhetsskyddsklassificerade och kompletteras med information om den myndighet som är ansvarig för inplaceringen på lägre säkerhetsskyddsklassificeringsnivå eller för beslutet att uppgifterna inte längre ska vara säkerhetsskyddsklassificerade, samt motsvarande datum. Inplacering på lägre säkerhetsskyddsklassificeringsnivå eller beslut att uppgifter inte längre ska vara säkerhetsskyddsklassificerade ska i elektroniska handlingar med säkerhetsskyddsklassificerade EU-uppgifter styrkas med en elektronisk signatur under upphovsmannens överinseende.
            
            
               Artikel 37
            
            
               Förstöring och radering av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Unionens institutioner och organ ska se över säkerhetsskyddsklassificerade EU-uppgifter, både i pappersform och i kommunikations- och informationssystem, minst vart femte år för att avgöra om de ska förstöras eller raderas. Om säkerhetsskyddsklassificerade EU-uppgifter förstörs eller raderas ska alla som tidigare har mottagit dessa säkerhetsskyddsklassificerade EU-uppgifter informeras.
            
            
               2.Unionens institutioner och organ får förstöra kopior av säkerhetsskyddsklassificerade EU-uppgifter som inte längre behövs, med beaktande av de relevanta bestämmelserna om dokumenthantering för originalen.
            
            
               3.Unionens institutioner och organ får förstöra papperskopior av uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre endast genom sin kontrolltjänsteman för register. Kontrolltjänstemannen ska uppdatera diarier och annan registreringsinformation i enlighet med detta och bevara väsentliga metadata för den förstörda handlingen.
            
            
               Handlingar med klassificeringen SECRET UE/EU SECRET och högre får endast förstöras av kontrolltjänstemannen för register i närvaro av ett vittne som har säkerhetsgodkännande för minst den säkerhetsskyddsklassificeringsnivå som anges på handlingen som ska förstöras.
            
            
               4.Kontrolltjänstemannen och, i tillämpliga fall, vittnet ska underteckna ett förstöringsintyg som ska arkiveras vid registreringsenheten. Intyget ska bevaras i minst fem år när det gäller uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET-UE/EU-SECRET och i minst tio år när det gäller uppgifter med klassificeringen TRES SECRET-UE/EU-TOP SECRET.
            
            
               Artikel 38
            
            
               Evakuering och förstöring av säkerhetsskyddsklassificerade EU-uppgifter i en nödsituation
            
            
               1.Varje EU-institution och EU-organ ska utarbeta planer för evakuering och förstöring i nödsituationer på grundval av lokala förhållanden för att skydda säkerhetsskyddsklassificerade EU-uppgifter som löper betydande risk att falla i obehöriga händer.
            
            
               De operativa detaljerna i planerna för evakuering och förstöring i nödsituationer ska i sig tilldelas klassificeringen RESTREINT UE/EU RESTRICTED.
            
            
               2.I nödsituationer där det finns en överhängande risk för obehörigt röjande av säkerhetsskyddsklassificerade EU-uppgifter ska unionens institutioner och organ evakuera säkerhetsskyddsklassificerade EU-uppgifter. 
            
            
               När en evakuering inte går att genomföra ska säkerhetsskyddsklassificerade EU-uppgifter förstöras på ett sådant sätt att de inte kan återskapas, vare sig helt eller delvis.
            
            
               3.Upphovsmannen och den registreringsenhet som uppgifterna härrör från ska informeras om att de registrerade säkerhetsskyddsklassificerade EU-uppgifterna har evakuerats eller förstörts på grund av en nödsituation.
            
            
               4.Om beredskapsplaner har aktiverats ska prioritet ges åt att först evakuera eller förstöra de högre nivåerna av säkerhetsskyddsklassificerade EU-uppgifter, inbegripet krypteringsutrustningen. 
            
            
               Artikel 39
            
         
         
            
               Arkivering
            
            
               1.Unionens institutioner och organ ska besluta huruvida och när de ska arkivera säkerhetsskyddsklassificerade EU-uppgifter, och motsvarande praktiska åtgärder, i enlighet med sina riktlinjer för dokumenthantering.
            
            
               2.Handlingar som innehåller säkerhetsskyddsklassificerade EU-uppgifter får inte överföras till Europeiska unionens historiska arkiv.
            
            
               Avsnitt 5 
                  Skydd av säkerhetsskyddsklassificerade EU-uppgifter i kommunikations- och informationssystem
            
            
               Artikel 40
            
            
               Undergrupp för ackreditering av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter
            
            
               Undergruppen för ackreditering av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter, vilken avses i artikel 7.1 d, ska ha följande roller och ansvarsområden:
            
            
               a)Bistå unionens institutioner och organ i deras ackrediteringsprocesser.
            
            
               b)Rekommendera en standard för ackreditering som ska följas av alla unionens institutioner och organ.
            
            
               c)Sprida och utbyta bästa praxis och vägledning för ackreditering av kommunikations- och informationssystem.
            
            
               Artikel 41
            
            
               Kommunikations- och informationssystem
            
            
               Unionens institutioner och organ ska uppfylla följande krav när det gäller kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter:
            
            
               a)Systemägaren eller den driftsansvariga myndigheten för informationssäkring ska samråda med ackrediteringsmyndigheten för säkerhet innan ett kommunikations- och informationssystem utvecklas, anskaffas eller möjliggörs för att hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter, för att fastställa kraven för ackreditering.
            
            
               b)Centrala säkerhetsprinciper för utformningen av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska tillämpas när projektet inleds, som en del av riskhanteringsprocessen för informationssäkerhet och med beaktande av behovsenlig behörighet, minimal funktionalitet, flernivåförsvar, begränsad behörighet, åtskillnad mellan funktioner och fyra ögon-principen.
            
            
               c)Komponenterna för lagring, central behandling och nätverksförvaltning i ett kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska installeras i ett säkrat utrymme i enlighet med bilaga III.
            
            
               d)Tempestsäkerhetsåtgärder ska genomföras som motsvarar exploateringsrisken och uppgifternas säkerhetsskyddsklassificeringsnivå.
            
            
               e)All personal som är delaktig i driften av ett kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska underrätta säkerhetsmyndigheten och den berörda systemägaren eller den driftsansvariga myndigheten för informationssäkring om eventuella säkerhetsbrister, incidenter, säkerhetsöverträdelser eller systemkompromettering som kan påverka skyddet av kommunikations- och informationssystemet eller dess säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               f)I förekommande fall ska säkerhetsmyndigheten underrätta säkerhetsmyndigheterna för andra berörda EU-institutioner och EU-organ om potentiella säkerhetsbrister eller säkerhetsincidenter som skulle kunna påverka deras kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               Artikel 42
            
         
         
            
               Kryptoprodukter
            
            
               1.Godkända kryptoprodukter ska användas för överföring och lagring av säkerhetsskyddsklassificerade EU-uppgifter på elektronisk väg. Förteckningen över godkända kryptoprodukter ska föras av rådet på grundval av uppgifter från de nationella säkerhetsmyndigheterna.
            
            
               2.Om den förteckning som avses i punkt 1 inte innehåller någon lämplig produkt för det avsedda ändamålet, ska den kryptogodkännande myndigheten för den berörda EU-institutionen eller det berörda EU-organet begära ett interimsgodkännande från rådet. Om möjligt ska en kryptoprodukt som godkänts av den nationella säkerhetsmyndigheten i en medlemsstat väljas.
            
            
               Rådet ska vidta nödvändiga åtgärder för att säkerställa att en lämplig produkt inkluderas i förteckningen.
            
            
               3.Godkännanden av kryptoprodukter ska vara giltiga i högst fem år och därefter ses över årligen.
            
            
               4.Rådet ska avlägsna alla kryptoprodukter för vilka det nationella godkännandet har återkallats eller löpt ut från förteckningen över godkända kryptoprodukter.
            
            
               5.Samordningsgruppen ska årligen informera rådet om de kryptoprodukter som den rekommenderar för utvärdering av den kryptogodkännande myndigheten för en medlemsstat på grundval av en undersökning som utförts vid unionens institutioner och organ.
            
            
               Artikel 43
            
            
               Ackreditering av kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Genom att ackreditera kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska unionens institutioner och organ bekräfta att alla lämpliga säkerhetsåtgärder har vidtagits och att en tillräckligt hög skyddsnivå för de säkerhetsskyddsklassificerade EU-uppgifterna samt för kommunikations- och informationssystemen har uppnåtts i enlighet med denna förordning.
            
            
               2.Ägaren av kommunikations- och informationssystemet eller den driftsansvariga myndigheten för informationssäkring ska ansvara för utarbetandet av ackrediteringsakter och dokumentation, inklusive handböcker för olika typer av användare.
            
            
               3.Ackrediteringsmyndigheten för säkerhet vid varje EU-institution och EU-organ ska ansvara för att inrätta en ackrediteringsprocess med tydliga villkor som kräver godkännande för alla kommunikations- och informationssystem som den ansvarar för.
            
            
               4.Om ett kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter involverar både unionens institutioner och organ samt de nationella säkerhetsmyndigheterna, ska de berörda EU-institutionerna och EU-organen genom ytterligare tillämpningsföreskrifter, som antas i enlighet med artikel 8.2, inrätta en gemensam styrelse för säkerhetsackreditering med ansvar för ackrediteringen av systemet. Denna styrelse ska bestå av företrädare från ackrediteringsmyndigheten för säkerhet för de berörda parterna och ska ledas av ackrediteringsmyndigheten för säkerhet vid den EU-institution eller det EU-organ som äger kommunikations- och informationssystemet.
            
            
               Artikel 44
            
            
               Ackrediteringsförfarande för ett kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Alla kommunikations- och informationssystem som hanterar och lagrar säkerhetsskyddsklassificerade EU-uppgifter ska genomgå ett ackrediteringsförfarande som bygger på principerna om informationssäkring, och vars detaljnivå ska motsvara den skyddsnivå som krävs.
            
            
               2.Detta ackrediteringsförfarande ska resultera i ett ackrediteringsutlåtande som fastställer den högsta säkerhetsskyddsklassificeringsnivån för uppgifter som får hanteras och lagras i ett kommunikations- och informationssystem samt motsvarande villkor. Ackrediteringsutlåtandet ska baseras på den formella valideringen av riskbedömningen och de säkerhetsåtgärder som vidtagits för det berörda kommunikations- och informationssystemet och ge försäkran om följande:
            
            
               a)Riskhanteringsprocessen för informationssäkerhet har genomförts på korrekt sätt.
            
            
               b)Systemägaren eller riskägaren har medvetet antagit kvarstående risk. 
            
            
               c)En tillräckligt hög skyddsnivå för kommunikations- och informationssystemet, samt de säkerhetsskyddsklassificerade EU-uppgifter som hanteras och lagras i det, har uppnåtts i enlighet med denna förordning.
            
         
         
            
               3.Ackrediteringsmyndigheten för säkerhet vid en EU-institution eller ett EU-organ ska formellt validera ackrediteringsutlåtandet. Efter valideringen ska ackrediteringsmyndigheten för säkerhet utfärda ett driftsgodkännande som fastställer den högsta klassificeringsnivån för de säkerhetsskyddsklassificerade EU-uppgifter som får hanteras i kommunikations- och informationssystemet samt motsvarande villkor för driften. Godkännandet ska utfärdas för en angiven period. Om en eller flera av de säkerhetsåtgärder som krävs inte har vidtagits, men detta inte har någon betydande inverkan på den övergripande säkerheten, kan ett tillfälligt driftsgodkännande utfärdas som fastställer de punkter som behöver åtgärdas.
            
            
               4.När som helst under ett kommunikations- och informationssystems livscykel får ackrediteringsmyndigheten för säkerhet vid den berörda EU-institutionen eller det berörda EU-organet vidta följande åtgärder:
            
            
               a)Tillämpa ett ackrediteringsförfarande.
            
            
               b)Granska eller inspektera kommunikations- och informationssystemet.
            
            
               c)Om driftsvillkoren inte längre är uppfyllda, exempelvis när en säkerhetsincident har avslöjat en betydande sårbarhet i kommunikations- och informationssystemet, kräva fastställande och ett effektivt genomförande av en plan för förbättrad säkerhet inom en väldefinierad tidsperiod, och eventuellt återkalla tillståndet att använda kommunikations- och informationssystemet tills driftsvillkoren är uppfyllda.
            
            
               5.Systemägaren eller den driftsansvariga myndigheten för informationssäkring ska årligen lämna en formell rapport till ackrediteringsmyndigheten för säkerhet under giltighetstiden för ett driftsgodkännande, inklusive en sammanfattning av alla betydande incidenter, förändringar och riskfaktorer.
            
            
               Artikel 45
            
            
               Nödsituationer
            
            
               1.Unionens institutioner och organ får tillämpa särskilda förfaranden för att överföra eller lagra säkerhetsskyddsklassificerade EU-uppgifter i en nödsituation, t.ex. under nära förestående eller faktiska kriser, konflikter, krigssituationer eller under exceptionella operativa omständigheter, efter godkännande av sin kryptogodkännande myndighet.
            
            
               2.Under de omständigheter som anges i punkt 1 får säkerhetsskyddsklassificerade EU-uppgifter överföras med användning av kryptoprodukter som har godkänts för en lägre säkerhetsskyddsklassificeringsnivå eller utan kryptering med godkännande av den behöriga myndigheten, om en eventuell försening skulle förorsaka betydligt större skada än den skada som uppkommer genom ett röjande av det säkerhetsskyddsklassificerade materialet och på följande villkor:
            
            
               a)Sändaren eller mottagaren saknar den kryptoutrustning som krävs. 
            
            
               b)Det säkerhetsskyddsklassificerade materialet kan inte överföras i tid på något annat sätt.
            
            
               3.Säkerhetsskyddsklassificerade uppgifter som överförs i enlighet med punkt 2 får inte vara försedda med någon märkning eller andra tecken som skiljer dem från icke-säkerhetsskyddsklassificerade uppgifter eller uppgifter som kan skyddas genom en tillgänglig kryptoprodukt. Mottagarna ska utan dröjsmål underrättas om säkerhetsskyddsklassificeringsnivån på annat sätt.
            
            
               4.En efterföljande rapport om överföringen av säkerhetsskyddsklassificerade EU-uppgifter under de omständigheter som anges i punkt 1 ska lämnas till den berörda säkerhetsmyndigheten.
            
            
               Avsnitt 6 
                  Industrisäkerhet
            
            
               Artikel 46
            
            
               Grundprinciper
            
            
               1.Varje EU-institution eller EU-organ, i egenskap av upphandlande eller beviljande myndighet, ska säkerställa att de miniminormer för industrisäkerhet som anges i detta avsnitt samt de villkor för skydd av säkerhetsskyddsklassificerade EU-uppgifter i säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser vilka anges i bilaga V nämns eller införlivas i kontrakten eller bidragsöverenskommelserna och uppfylls vid tilldelning av säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser.
            
            
               2.Med industrisäkerhet avses följande individers eller enheters tillämpning av åtgärder för att säkerställa skydd av säkerhetsskyddsklassificerade EU-uppgifter:
            
            
               a)När det gäller direkt förvaltning
                  30
               , inom ramen för säkerhetsskyddsklassificerade kontrakt,
            
         
         
            
               i)anbudssökande eller anbudsgivare under upphandlingsförfarandet,
            
            
               ii)entreprenörer eller underentreprenörer under hela löptiden för säkerhetsskyddsklassificerade kontrakt.
            
            
               b)När det gäller direkt förvaltning
                  31
               , inom ramen för säkerhetsskyddsklassificerade bidragsöverenskommelser,
            
            
               i)de sökande under förfaranden för tilldelning av bidrag,
            
            
               ii)bidragsmottagare eller underentreprenörer under hela löptiden för säkerhetsskyddsklassificerade bidragsöverenskommelser.
            
            
               c)När det gäller indirekt förvaltning, inom ramen för ramöverenskommelser om ekonomiskt partnerskap och tillhörande överenskommelser om medverkan, de enheter som anförtrotts uppgifter under hela löptiden för dessa överenskommelser.
            
            
               3.I egenskap av anförtroende enhet ska EU-institutionen eller EU-organet beskriva de särskilda säkerhetskraven för den enhet som anförtrotts uppgifterna i kapitlet om säkerhet i ramöverenskommelsen och tillhörande överenskommelser om medverkan. Dessa krav ska grundas på de säkerhetsprinciper och säkerhetsbestämmelser som ingår i denna förordning när det gäller säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser, vilka gäller i tillämpliga delar.
            
            
               4.Säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser ska inte omfatta uppgifter med klassificeringen TRES SECRET UE/EU TOP SECRET.
            
            
               5.Bestämmelser i detta kapitel som hänvisar till säkerhetsskyddsklassificerade kontrakt eller entreprenörer, eller till säkerhetsskyddsklassificerade bidrag eller bidragsmottagare, ska också tillämpas på säkerhetsskyddsklassificerade underentreprenörsavtal eller underentreprenörer i den mening som avses i säkerhetsskyddsklassificerade kontrakt respektive bidragsöverenskommelser.
            
            
               6.Unionens institutioner och organ ska, i egenskap av upphandlande eller beviljande myndigheter, ha ett nära samarbete med säkerhetsmyndigheterna eller andra behöriga myndigheter i det land där avtalsparten eller bidragsmottagaren är registrerad, samt med säkerhetsmyndigheten eller andra behöriga myndigheter för den internationella organisation som anlitas eller beviljats bidrag.
            
            
               7.Unionens institutioner och organ ska, i egenskap av upphandlande eller beviljande myndigheter, kommunicera med säkerhetsmyndigheterna eller andra behöriga myndigheter via sina säkerhetsmyndigheter.
            
            
               8.Unionens institutioner och organ ska, i egenskap av upphandlande eller beviljande myndigheter, via sin säkerhetsmyndighet underrätta de myndigheter som avses i punkt 6 närhelst ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse har undertecknats.
            
            
               Underrättelsen ska innehålla relevanta uppgifter såsom uppdragstagarens eller bidragsmottagarnas namn, kontraktets eller bidragsöverenskommelsens löptid samt den högsta tillåtna säkerhetsskyddsklassificeringsnivån.
            
            
               Unionens institutioner och organ, i egenskap av upphandlande eller beviljande myndigheter, ska också underrätta de myndigheter som avses i punkt 6 närhelst säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser sägs upp i förtid.
            
            
               9.Unionens institutioner och organ får, i egenskap av upphandlande eller beviljande myndigheter, tilldela säkerhetsskyddsklassificerade kontrakt eller delar av bidrag endast till enheter som är registrerade i de tredjeländer eller etablerade av de internationella organisationer som har ingått ett informationssäkerhetsavtal med unionen. Om de berörda säkerhetsskyddsklassificerade EU-uppgifterna innehåller personuppgifter ska varje överföring av dessa till ett tredjeland eller en internationell organisation ske i enlighet med förordning (EU) 2018/1725.
            
            
               Artikel 47
            
            
               Säkerhetsinslag i säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               1.Säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser ska ha följande säkerhetsrelaterade inslag:
            
            
               a)Handbok om säkerhetsskyddsklassificering.
            
            
               b)Säkerhetsskyddsöverenskommelse.
            
         
         
            
               2.Säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser kan innehålla säkerhetsanvisningar för program eller projekt.
            
            
               Artikel 48
            
            
               Handbok om säkerhetsskyddsklassificering 
            
            
               1.Innan ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse undertecknas ska EU-institutionen eller EU-organet, i egenskap av upphandlande eller beviljande myndighet, fastställa säkerhetsskyddsklassificeringen för samtliga uppgifter som ska skapas av entreprenörer eller bidragsmottagare, eller av deras underentreprenörer. För detta ändamål ska institutionen eller organet utarbeta en handbok om säkerhetsskyddsklassificering som ska användas vid fullgörandet av det säkerhetsskyddsklassificerade kontraktet eller den säkerhetsskyddsklassificerade bidragsöverenskommelsen.
            
            
               2.Handboken om säkerhetsskyddsklassificering kan komma att justeras under hela löptiden för programmet eller projektet, i enlighet med artikel 50, kontraktet eller bidragsöverenskommelsen, och delar av uppgifterna kan inplaceras på en ny eller lägre säkerhetsskyddsklassificeringsnivå. 
            
            
               3.Följande principer ska gälla för fastställande av säkerhetsskyddsklassificeringsnivån för de olika delarna i ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse:
            
            
               a)När handboken om säkerhetsskyddsklassificering utarbetas ska EU-institutionen eller EU-organet, i egenskap av upphandlande eller beviljande myndighet, ta hänsyn till alla relevanta säkerhetsaspekter, inbegripet den säkerhetsskyddsklassificering som uppgifternas upphovsman har tilldelat de tillhandahållna uppgifterna och godkänt för användning för det säkerhetsskyddsklassificerade kontraktet eller den säkerhetsskyddsklassificerade bidragsöverenskommelsen.
            
            
               b)Den övergripande säkerhetsskyddsklassificeringsnivån för det säkerhetsskyddsklassificerade kontraktet eller bidraget får inte vara lägre än den högsta klassificeringen för någon av dess delar. 
            
            
               c)I tillämpliga fall ska den berörda EU-institutionen eller det berörda EU-organet, i egenskap av upphandlande eller beviljande myndighet, genom sin säkerhetsmyndighet samarbeta med säkerhetsmyndigheterna eller andra behöriga myndigheter i det berörda landet vid eventuella ändringar i handboken om säkerhetsskyddsklassificering.
            
            
               Artikel 49
            
            
               Säkerhetsskyddsöverenskommelse
            
            
               1.Varje EU-institution eller EU-organ, i egenskap av upphandlande eller beviljande myndighet, ska beskriva de särskilda säkerhetskraven för det säkerhetsskyddsklassificerade kontraktet eller bidraget i en säkerhetsskyddsöverenskommelse. Denna ska inbegripa handboken om säkerhetsskyddsklassificering och ska utgöra en integrerad del av ett säkerhetsskyddsklassificerat kontrakt, en säkerhetsskyddsklassificerad bidragsöverenskommelse eller ett säkerhetsskyddsklassificerat underentreprenörskontrakt.
            
            
               2.Säkerhetsskyddsöverenskommelsen ska innehålla bestämmelser som ålägger entreprenören eller bidragsmottagaren och deras underentreprenörer att följa bestämmelserna i denna förordning och eventuella ytterligare tillämpningsföreskrifter som antagits i enlighet med artikel 8.2 om industrisäkerhet. Säkerhetsskyddsöverenskommelsen ska tydligt ange att bristande efterlevnad av sådana bestämmelser kan utgöra tillräcklig grund för att säga upp det säkerhetsskyddsklassificerade kontraktet eller den säkerhetsskyddsklassificerade bidragsöverenskommelsen.
            
            
               Artikel 50
            
            
               Säkerhetsanvisning för program eller projekt 
            
            
               1.Unionens institutioner och organ får, i egenskap av upphandlande eller beviljande myndigheter, utarbeta säkerhetsanvisningar för program eller projekt, i nära samarbete med sina säkerhetsmyndigheter, i synnerhet för program och projekt som kännetecknas av en betydande omfattning, storlek eller komplexitet, eller av mångfalden av entreprenörer, bidragsmottagare och andra berörda partner och intressenter.
            
            
               2.Säkerhetsmyndigheten vid varje EU-institution eller EU-organ ska, i egenskap av upphandlande eller beviljande myndighet, lämna in den specifika säkerhetsanvisningen för programmet eller projektet för rådgivning till den berörda medlemsstatens rådgivande säkerhetsorgan bestående av dess nationella säkerhetsmyndigheter och/eller utsedda säkerhetsmyndigheter.
            
            
               Om en EU-institution eller ett EU-organ inte har något sådant rådgivande organ ska säkerhetsanvisningen för programmet eller projektet överlämnas till den kommitté för informationssäkerhet som avses i artikel 6.8.
            
            
               Avsnitt 7 
                  Utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter
            
            
               Artikel 51
            
         
         
            
               Grundprinciper
            
            
               1.Samtliga EU-institutioner och EU-organ får dela säkerhetsskyddsklassificerade EU-uppgifter med andra EU-institutioner eller EU-organ enligt de villkor som anges i artikel 54.
            
            
               2.Unionens institutioner och organ får dela säkerhetsskyddsklassificerade EU-uppgifter med medlemsstaterna och Europeiska atomenergigemenskapen, förutsatt att de skyddar dessa uppgifter i enlighet med motsvarande säkerhetsmärkning som fastställs i avtalet mellan unionens medlemsstater, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i unionens intresse samt motsvarande tabell i bilaga VI till denna förordning.  
            
            
               3.Unionens institutioner och organ får endast utbyta säkerhetsskyddsklassificerade uppgifter med tredjeländer eller internationella organisationer med vilka ett informationssäkerhetsavtal eller en administrativ överenskommelse har ingåtts i enlighet med artiklarna 55 och 56.
            
            
               Sådana avtal och överenskommelser ska innehålla bestämmelser som säkerställer att tredjeländer eller internationella organisationer som mottar säkerhetsskyddsklassificerade EU-uppgifter skyddar dessa uppgifter på en nivå som motsvarar säkerhetsskyddsklassificeringsnivån och enligt miniminormer som inte är mindre stränga än de som fastställs i denna förordning.
            
            
               4.Om ett informationssäkerhetsavtal eller en administrativ överenskommelse saknas får en EU-institution eller ett EU-organ i undantagsfall lämna ut säkerhetsskyddsklassificerade EU-uppgifter till en annan EU-institution eller ett annat EU-organ, ett tredjeland eller en internationell organisation i enlighet med artikel 58.
            
            
               5.Unionens institutioner och organ ska utse de register som fungerar som huvudsakliga in- och utpasseringspunkter för säkerhetsskyddsklassificerade EU-uppgifter som delas med andra EU-institutioner eller EU-organ eller säkerhetsskyddsklassificerade uppgifter som utbyts med tredjeländer och internationella organisationer.  
            
            
               Artikel 52
            
            
               Undergrupp för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter
            
            
               1.Den undergrupp för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter som avses i artikel 7.1 e ska ha följande roller och ansvarsområden:
            
            
               a)Anordna utvärderingsbesök vid unionens institutioner och organ, tredjeländer och internationella organisationer och anta årliga besöksprogram.
            
            
               b)Förbereda och genomföra utvärderingsbesöken.
            
            
               c)Utarbeta en rapport för resultatet av de besök som avses i punkt a. 
            
            
               Förutom i de fall som avses i artikel 56.2.
            
            
               2.Undergruppen för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter ska bestå av företrädare för kommissionen, rådet och Europeiska utrikestjänsten och ska arbeta i samförstånd. 
            
            
               Artikel 53
            
            
               Utvärderingsbesök i samband med utbyte av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Undergruppen för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter ska genomföra utvärderingsbesök i fullständigt samarbete med tjänstemännen vid den EU-institution eller det EU-organ som besöks. Undergruppen får begära stöd från den nationella säkerhetsmyndigheten i det land där EU-institutionen eller EU-organet är belägen.
            
            
               2.Utvärderingsbesöken vid de berörda EU-institutionerna och EU-organen ska fylla följande syften:
            
            
               a)Kontrollera om de krav för skydd av säkerhetsskyddsklassificerade EU-uppgifter som fastställs i denna förordning är uppfyllda och om de genomförda åtgärderna är effektiva.
            
         
         
            
               b)Betona vikten av säkerhet och effektiv riskhantering inom de besökta organisationerna.
            
            
               c)Rekommendera motåtgärder för att minska de specifika konsekvenserna av att de säkerhetsskyddsklassificerade uppgifternas tillgänglighet, sekretess eller integritet går förlorad. 
            
            
               d)Förstärka säkerhetsmyndigheternas fortlöpande program för utbildning och information gällande säkerhet.
            
            
               3.I slutet av utvärderingsbesöket ska undergruppen för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter göra följande:
            
            
               a)Utarbeta en rapport med de viktigaste slutsatserna av utvärderingen.
            
            
               b)Inhämta ett yttrande om rapporten från den kommitté för informationssäkerhet som avses i artikel 6.8.
            
            
               c)Skicka rapporten för uppföljning till säkerhetsmyndigheten vid den EU-institution eller det EU-organ som besökts.
            
            
               4.Om rapporten innehåller förslag till korrigerande åtgärder eller rekommendationer ska ett uppföljningsbesök anordnas för att kontrollera om sådana åtgärder har vidtagits eller om rekommendationerna har följts.
            
            
               Artikel 54
            
            
               Utbyte av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.En EU-institution eller ett EU-organ får dela säkerhetsskyddsklassificerade EU-uppgifter med en annan EU-institution eller ett annat EU-organ om följande villkor är uppfyllda:
            
            
               a)Det finns ett bevisat behov av utbytet.
            
            
               b)Ett utvärderingsbesök har genomförts vid den berörda EU-institutionen eller det berörda EU-organet i enlighet med artikel 53, vars resultat visar att EU-institutionen eller EU-organet har kapacitet att hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter på angiven nivå.
            
            
               c)Säkerhetsmyndigheten för den berörda EU-institutionen eller det berörda EU-organet beslutar att institutionen eller organet får utbyta säkerhetsskyddsklassificerade uppgifter upp till en angiven nivå med andra certifierade EU-institutioner och EU-organ.
            
            
               2.Samordningsgruppens sekretariat ska upprätta en förteckning över de nivåer av säkerhetsskyddsklassificerade EU-uppgifter som får hanteras och lagras av varje EU-institution och EU-organ som uppfyller villkoren i punkt 1 b och c. Sekretariatet ska löpande uppdatera denna förteckning. 
            
            
               Artikel 55
            
            
               Informationssäkerhetsavtal
            
            
               1.Om det är nödvändigt att långsiktigt utbyta säkerhetsskyddsklassificerade uppgifter med ett tredjeland eller en internationell organisation ska den behöriga institutionen eller det behöriga organet sträva efter att förhandla fram och ingå ett informationssäkerhetsavtal i enlighet med artikel 218 i fördraget om Europeiska unionens funktionssätt.
            
            
               2.Ett informationssäkerhetsavtal ska fastställa grundprinciperna och miniminormerna för utbyte av säkerhetsskyddsklassificerade uppgifter mellan unionen och ett tredjeland eller en internationell organisation.
            
            
               3.Informationssäkerhetsavtal ska ange de tekniska genomförandebestämmelser som ska godkännas av de behöriga säkerhetsmyndigheterna vid de berörda EU-institutionerna och EU-organen och den behöriga säkerhetsmyndigheten för det berörda tredjelandet eller den berörda internationella organisationen.
            
         
         
            
               4.Innan de tekniska genomförandebestämmelser som avses i punkt 3 godkänns ska undergruppen för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter göra ett utvärderingsbesök i enlighet med artikel 57.
            
            
               Artikel 56
            
            
               Administrativa överenskommelser med tredjeländer och internationella organisationer
            
            
               1.Om deras arbetsordning eller inrättandeakter föreskriver en sådan möjlighet får unionens institutioner och organ ingå en administrativ överenskommelse med sina motsvarigheter i ett tredjeland eller en internationell organisation, efter att ha informerat undergruppen för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter, såvida följande villkor är uppfyllda:
            
            
               a)Den berörda EU-institutionen eller det berörda EU-organet behöver på långsiktig basis utbyta uppgifter med, i allmänhet, klassificeringen RESTREINT UE/EU RESTRICTED eller lägre med sin motsvarighet i ett tredjeland eller en internationell organisation.
            
            
               b)EU-institutionen eller EU-organet i fråga uppfyller villkoren i artikel 54.1.
            
            
               c)I den rapport från utvärderingsbesöket som avses i artikel 57 intygas att den berörda motsvarigheten i tredjelandet eller den internationella organisationen i fråga har kapacitet att hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter på en angiven nivå.
            
            
               2.Innan en administrativ överenskommelse ingås ska ett utvärderingsbesök genomföras i enlighet med principerna i artikel 57. Den EU-institution eller det EU-organ som avser att ingå den administrativa överenskommelsen får begära att undergruppen för utbyte av säkerhetsskyddsklassificerade EU-uppgifter och säkerhetsskyddsklassificerade uppgifter ska genomföra utvärderingsbesöket för dess räkning eller delta i besöket. 
            
            
               3.Säkerhetsmyndigheten vid den EU-institution eller det EU-organ som avser att ingå den administrativa överenskommelsen ska besluta om eventuella särskilda villkor för utbytet samt om den högsta nivån av säkerhetsskyddsklassificerade EU-uppgifter som får utbytas. Denna nivå får inte vara högre än den nivå som fastställts för utbyte av säkerhetsskyddsklassificerade EU-uppgifter med andra EU-institutioner och EU-organ, i enlighet med artikel 54, och bör i tillämpliga fall inte vara högre än den som föreskrivs i ett informationssäkerhetsavtal med samma tredjeland eller internationella organisation.  
            
            
               Artikel 57
            
            
               Utvärderingsbesök för utbyte av säkerhetsskyddsklassificerade uppgifter med tredjeländer och internationella organisationer
            
            
               1.Ett utvärderingsbesök i ett tredjeland eller en internationell organisation ska genomföras för att avgöra om en EU-institution eller ett EU-organ får utbyta säkerhetsskyddsklassificerade uppgifter med tredjelandet eller den internationella organisationen i fråga.
            
            
               2.Syftet med utvärderingsbesöket ska vara att bedöma effektiviteten hos säkerhetsbestämmelserna och säkerhetsförfarandena i det berörda tredjelandet eller den berörda internationella organisationen när det gäller skyddet av säkerhetsskyddsklassificerade EU-uppgifter på en viss nivå. Utvärderingsbesöket ska genomföras i samförstånd med tredjelandet eller den internationella organisationen i fråga.
            
            
               3.Utvärderingsbesöken ska åtminstone utvärdera följande:
            
            
               a)Det regelverk som ska tillämpas för skyddet av säkerhetsskyddsklassificerade uppgifter och dess lämplighet för att skydda säkerhetsskyddsklassificerade EU-uppgifter på en viss nivå.
            
            
               b)Eventuella särdrag i säkerhetsstrategin och metoderna för organisering av säkerheten i tredjelandet eller den internationella organisationen vilka kan ha inverkan på vilken nivå av säkerhetsskyddsklassificerade uppgifter som får utbytas.
            
            
               c)De säkerhetsåtgärder och säkerhetsförfaranden som faktiskt har införts. 
            
            
               d)Förfaranden för säkerhetsgodkännande avseende den nivå av säkerhetsskyddsklassificerade EU-uppgifter som ska lämnas ut.
            
            
               4.Den kommitté för informationssäkerhet som avses i artikel 6.8 ska erhålla en rapport om resultaten av sådana besök innan de säkerhetsskyddsklassificerade EU-uppgifterna faktiskt lämnas ut till det berörda tredjelandet eller den berörda internationella organisationen. I förekommande fall ska rapporten även delas med den berörda EU-institutionen eller det berörda EU-organet.
            
            
               5.Säkerhetsmyndigheterna vid den berörda EU-institutionen eller det berörda EU-organet ska meddela tredjelandet eller den internationella organisationen om vilket datum säkerhetsskyddsklassificerade EU-uppgifter kan börja utbytas samt om den högsta nivå av säkerhetsskyddsklassificerade EU-uppgifter som får utbytas i pappersformat eller elektroniskt.
            
         
         
            
               6.Uppföljningsbesök ska anordnas om följande villkor är uppfyllda:
            
            
               a)Det är nödvändigt att höja den nivå av säkerhetsskyddsklassificerade EU-uppgifter som får utbytas.
            
            
               b)Den berörda EU-institutionen eller det berörda EU-organet har underrättats om grundläggande förändringar i tredjelandets eller den internationella organisationens säkerhetsarrangemang som kan påverka hur säkerhetsskyddsklassificerade EU-uppgifter skyddas. 
            
            
               c)En allvarlig säkerhetsincident har inträffat som inbegriper obehörigt röjande av säkerhetsskyddsklassificerade EU-uppgifter.  
            
            
               Artikel 58
            
            
               Ad hoc-utlämning av säkerhetsskyddsklassificerade EU-uppgifter i undantagsfall
            
            
               1.Om ett informationssäkerhetsavtal eller en administrativ överenskommelse saknas och en EU-institution eller ett EU-organ fastställer att det föreligger ett exceptionellt behov av att lämna ut säkerhetsskyddsklassificerade EU-uppgifter till en annan EU-institution eller ett EU-organ eller till ett tredjeland eller en internationell organisation, eller
            
            
               om ett informationssäkerhetsavtal eller en administrativ överenskommelse har ingåtts och en EU-institution eller ett EU-organ fastställer att det föreligger ett exceptionellt behov av att lämna ut säkerhetsskyddsklassificerade EU-uppgifter på en högre nivå än vad som redan fastställts i avtalet eller överenskommelsen, ska den EU-institution eller det EU-organ som tillhandahåller säkerhetsskyddsklassificerade EU-uppgifter vidta följande åtgärder:
            
            
               a)I möjligaste mån kontrollera med säkerhetsmyndigheterna i tredjelandet, den internationella organisationen eller den mottagande EU-institutionen eller det mottagande EU-organet att deras säkerhetsbestämmelser, säkerhetsstrukturer och säkerhetsförfaranden kan säkerställa skyddet av säkerhetsskyddsklassificerade EU-uppgifter som lämnas ut enligt normer som inte är mindre stränga än de som fastställs i denna förordning.
            
            
               b)Inhämta ett yttrande från den kommitté för informationssäkerhet som avses i artikel 6.8, på grundval av den kontroll som gjorts enligt led a, såvida inte de operativa omständigheterna kräver ett omedelbart ad hoc-utlämnande, i vilket fall kommittén för informationssäkerhet ska informeras senare.
            
            
               2.Samtliga handlingar som lämnas ut i enlighet med denna artikel ska vara försedda med en utlämningsmärkning som anger det tredjeland, den internationella organisation, den EU-institution eller det EU-organ som de har lämnats ut till.
            
            
               3.Före eller vid den faktiska utlämningen ska den EU-institution eller det EU-organ som tillhandahåller säkerhetsskyddsklassificerade EU-uppgifter begära ett skriftligt åtagande från den mottagande parten om att den kommer att skydda de säkerhetsskyddsklassificerade EU-uppgifter som den mottar.  I tillämpliga fall ska den uppmanas att åta sig att skydda säkerhetsskyddsklassificerade EU-uppgifter i enlighet med de grundläggande principer och miniminormer som fastställs i denna förordning.
            
            
               Kapitel 6 
                  Slutbestämmelser
            
            
               Artikel 59
            
            
               Genomförande
            
            
               1.Samordningsgruppen ska fastställa riktlinjer för informationssäkerhet för genomförandet av denna förordning.
            
            
               2.På grundval av sina särskilda behov får unionens institutioner och organ anta interna regler för genomförandet av denna förordning, i enlighet med artikel 8.2.
            
            
               Artikel 60
            
            
               Övergångsbestämmelser
            
            
               1.De interna regler om informationssäkerhet som antagits av enskilda EU-institutioner eller EU-organ före den [dd/mm/åååå tillämpningsdatum] ska ses över senast den [3 år efter denna förordnings ikraftträdande].
            
         
         
            
               2.Samtliga EU-institutioner och EU-organ som före den [dd/mm/åååå tillämpningsdatum] har bedömts vara lämpade att hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter, antingen av kommissionen, rådet eller Europeiska utrikestjänsten, ska anses uppfylla de villkor som anges i artikel 19.1.
            
            
               3.Samtliga administrativa överenskommelser som unionens institutioner och organ ingår med tredjeländer och internationella organisationer före den [dd/mm/åååå tillämpningsdatum] ska behålla sin giltighet.
            
            
               4.Om de medlemsstater på vars territorium mottagarna av kommissionens bidragsöverenskommelse inom ramen för det europeiska försvarsindustriella utvecklingsprogrammet har beslutat att tillämpa en särskild säkerhetsram för skydd och hantering av nationellt säkerhetsskyddsklassificerade uppgifter som rör den berörda bidragsöverenskommelsen, ska kommissionen, när den tillämpar de förfaranden för industrisäkerhet som anges i denna förordning, respektera denna säkerhetsram fram till dess att bidragsöverenskommelsens löptid upphör.
            
            
               Artikel 61
            
            
               Övervakning och utvärdering
            
            
               1.Senast den [dd/mm/åååå 3 år efter tillämpningsdatum] ska kommissionen lämna en rapport om genomförandet av denna förordning till Europaparlamentet och rådet.
            
            
               2.Tidigast [5 år efter det datum då denna förordning börjar tillämpas] och vart femte år därefter ska kommissionen genomföra en utvärdering av denna förordning och lämna en rapport om de viktigaste resultaten till Europaparlamentet och rådet.
            
            
               Artikel 62
            
            
               Ikraftträdande och tillämpning
            
            
               1.Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.
            
            
               2.Den ska tillämpas från och med [datum: den första dagen i den månad som följer på perioden av 2 år efter datumet för ikraftträdandet]
            
            
               Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
            
            
               Utfärdad i Bryssel den
            
            
               
                  På Europaparlamentets vägnar
                        På rådets vägnar
               
               
                  Ordföranden
                        Ordföranden
               
               
                  [...]
                        [...]
               
            
            
               FINANSIERINGSÖVERSIKT FÖR RÄTTSAKT
            
            
               1.GRUNDLÄGGANDE UPPGIFTER OM FÖRSLAGET ELLER INITIATIVET
            
            
               1.1Förslagets eller initiativets titel
            
            
               1.2Berörda politikområden
            
         
         
            
               1.3Förslaget eller initiativet avser
            
            
               1.4Mål
            
            
               1.4.1Allmänt/allmänna mål
            
            
               1.4.2Specifikt/specifika mål
            
            
               1.4.3Verkan eller resultat som förväntas
            
            
               1.4.4Prestationsindikatorer
            
            
               1.5Grunder för förslaget eller initiativet
            
            
               1.5.1Krav som ska uppfyllas på kort eller lång sikt, inbegripet en detaljerad tidsplan för genomförandet av initiativet
            
            
               1.5.2Mervärdet av en åtgärd på unionsnivå (som kan följa av flera faktorer, t.ex. samordningsfördelar, rättssäkerhet, ökad effektivitet eller komplementaritet). Med ”mervärdet av en åtgärd på unionsnivå” i denna punkt avses det värde en åtgärd från unionens sida tillför utöver det värde som annars skulle ha skapats av enbart medlemsstaterna.
            
            
               1.5.3Erfarenheter från tidigare liknande åtgärder
            
            
               1.5.4Förenlighet med den fleråriga budgetramen och eventuella synergieffekter med andra relevanta instrument
            
            
               1.5.5En bedömning av de olika finansieringsalternativ som finns att tillgå, inbegripet möjligheter till omfördelning
            
            
               1.6Varaktighet för och budgetkonsekvenser av förslaget eller initiativet
            
            
               1.7Planerad metod för genomförandet
            
            
               2.FÖRVALTNINGSÅTGÄRDER
            
            
               2.1Regler om uppföljning och rapportering
            
            
               2.2Förvaltnings- och kontrollsystem
            
            
               2.2.1Motivering av den genomförandemetod, de finansieringsmekanismer, de betalningsvillkor och den kontrollstrategi som föreslås
            
            
               2.2.2Uppgifter om identifierade risker och om det eller de interna kontrollsystem som inrättats för att begränsa riskerna
            
            
               2.2.3Beräkning och motivering av kontrollernas kostnadseffektivitet (dvs. förhållandet mellan kostnaden för kontrollerna och värdet av de medel som förvaltas) och en bedömning av den förväntade risken för fel (vid betalning och vid avslutande)
            
         
         
            
               2.3Åtgärder för att förebygga bedrägeri och oriktigheter
            
            
               3.BERÄKNADE BUDGETKONSEKVENSER AV FÖRSLAGET ELLER INITIATIVET
            
            
               3.1Berörda rubriker i den fleråriga budgetramen och budgetrubriker i den årliga budgetens utgiftsdel
            
            
               3.2Förslagets beräknade budgetkonsekvenser på anslagen
            
            
               3.2.1Sammanfattning av beräknad inverkan på driftsanslagen
            
            
               3.2.2Beräknad output som finansieras med driftsanslag
            
            
               3.2.3Sammanfattning av beräknad inverkan på de administrativa anslagen
            
            
               3.2.4Förenlighet med den gällande fleråriga budgetramen
            
            
               3.2.5Bidrag från tredje part
            
            
               3.3Beräknad inverkan på inkomsterna
            
            
               FINANSIERINGSÖVERSIKT FÖR RÄTTSAKT
            
            
               1.GRUNDLÄGGANDE UPPGIFTER OM FÖRSLAGET ELLER INITIATIVET 
            
            
               1.1.Förslagets eller initiativets titel
            
            
               
                  Förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING om informationssäkerhet i unionens institutioner, organ och byråer
               
            
            
               1.2.Berörda politikområden 
            
            
               
                  Europeisk offentlig förvaltning
               
               
                  Unionens institutioners och organs informationssäkerhetsregler bör tillsammans utgöra en övergripande och sammanhängande allmän ram inom den europeiska förvaltningen för informationsskydd och bör säkerställa likvärdighet mellan grundläggande principer och miniminormer. Skyddsnivån för uppgifter bör också vara likvärdig inom alla unionens institutioner och organ.
               
            
            
               1.3.Förslaget eller initiativet avser 
            
            
               en ny åtgärd 
            
            
               ◻ en ny åtgärd som bygger på ett pilotprojekt eller en förberedande åtgärd
                  32
                
            
         
         
            
               ◻ en förlängning av en befintlig åtgärd 
            
            
               ◻ en sammanslagning eller omdirigering av en eller flera åtgärder mot en annan/en ny åtgärd 
            
            
               1.4.Mål
            
            
               1.4.1.Allmänt/allmänna mål
            
            
               
                  Det allmänna syftet med initiativet är att skapa informationssäkerhetsregler för alla unionens institutioner och organ i syfte att säkerställa ett förstärkt och konsekvent skydd mot framväxande hot mot deras information. 
               
            
            
               1.4.2.Specifikt/specifika mål
            
            
               
                  • Specifikt mål 1: Fastställa harmoniserade och heltäckande kategorier av uppgifter samt gemensamma hanteringskrav för alla uppgifter som hanteras av den europeiska förvaltningen, och underlätta ett säkert informationsutbyte mellan unionens institutioner och organ, samtidigt som inverkan på medlemsstaterna minimeras.
               
               
                  • Specifikt mål 2: Säkerställa att alla unionens institutioner och organ identifierar eventuella säkerhetsbrister i sina processer och genomför de åtgärder som krävs för att säkerställa lika villkor för informationssäkerhet.
               
               
                  • Specifikt mål 3: Inrätta ett smidigt samarbetssystem för informationssäkerhet mellan unionens institutioner och organ som kan främja en sammanhängande informationssäkerhetskultur i hela den europeiska förvaltningen.
               
               
                  • Specifikt mål 4: Modernisera informationssäkerhetspolitiken på alla nivåer av klassificering/kategorisering, för alla unionens institutioner och organ, med beaktande av den digitala omvandlingen och utvecklingen av distansarbete som en strukturell praxis. 
               
            
            
               1.4.3.Verkan eller resultat som förväntas
            
            
               Beskriv den verkan som förslaget eller initiativet förväntas få på berörda mottagare eller grupper.
            
            
               
                  Förslaget kommer att få följande konsekvenser för unionens institutioner och organ:
               
            
            
               –Se över interna regler och förfaranden i syfte att anpassa sig till förordningen.
            
            
               –Kategorisera samtliga uppgifter som hanteras i enlighet med den ordning som föreskrivs i förordningen.
            
            
               –Säkerställa att deras kommunikations- och informationssystem uppfyller de krav som fastställs i förordningen.
            
            
               –Delta i den interinstitutionella samordningsgruppen för informationssäkerhet (samordningsgruppen).
            
            
               
                  Medlemsstaterna kommer att gynnas av denna förordning eftersom samarbetet med unionens institutioner och organ på alla berörda områden (personalsäkerhet, industrisäkerhet eller informationsutbyte) skulle bygga på samma begrepp, regler och förfaranden. 
               
            
            
               1.4.4.Prestationsindikatorer
            
            
               Ange indikatorer för övervakning av framsteg och resultat.
            
         
         
            
               
                  Relevanta indikatorer för specifikt mål nr 1
               
            
            
               –Antagande av lämpliga riktlinjer 
            
            
               –Införande av nya märkningar
            
            
               –Publicering av uppdaterade hanteringsanvisningar för alla kategorier av uppgifter
            
            
               –Genomförande av gemensamma system för hantering av känsliga icke-säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade EU-uppgifter
            
            
               
                  Relevanta indikatorer för specifikt mål nr 2
               
            
            
               –Antal rekommendationer som gjorts/genomförts
            
            
               –Antal informationsläckor inom institutioner och organ 
            
            
               
                  Relevanta indikatorer för specifikt mål nr 3
               
            
            
               –Statistik över centraliserad och lokal upphandling
            
            
               –Inspektionsrapporter
            
            
               –Antal frågor som behandlats av sekretariatet för samordningsgruppen för informationssäkerhet
            
            
               
                  Relevanta indikatorer för specifikt mål nr 4
               
            
            
               –Antal användare som genomgår utbildning
            
            
               –Personalens kännedom om informationssäkerhetsreglerna
            
            
               –Procentandel av personalen som har möjlighet att arbeta med säker utrustning vid distansarbete 
            
            
               1.5.Grunder för förslaget eller initiativet 
            
            
               1.5.1.Krav som ska uppfyllas på kort eller lång sikt, inbegripet en detaljerad tidsplan för genomförandet av initiativet
            
            
               
                  Genomförandet av detta initiativ kommer att ske stegvis enligt följande:
               
            
            
               –2022/2023: antagande av förordningen, ikraftträdande.
            
         
         
            
               –2024/2025: alla unionens institutioner och organ ser över sina interna regler för informationssäkerhet i syfte att anpassa dem till förordningen.
            
            
               –2025: organisatoriskt arbete för inrättandet av samordningsgruppen och dess sekretariat samt av de tekniska undergrupperna.
            
            
               –2024/2025: förordningen börjar tillämpas.
            
            
               –2025/2026: antagande av en arbetsordning för samordningsgruppen och de tekniska undergrupperna.
            
            
               –2026–2028: arbete med vägledningsdokument som stöd för genomförandet av förordningen, utbyte av bästa praxis mellan institutioner och organ.
            
            
               –2029/2030: förberedelse av den första utvärderingen av förordningen (vart femte år från och med tillämpningsdatum).
            
            
               –2030: första utvärderingen av förordningen. 
            
            
               1.5.2.Mervärdet av en åtgärd på unionsnivå (som kan följa av flera faktorer, t.ex. samordningsfördelar, rättssäkerhet, ökad effektivitet eller komplementaritet). Med ”mervärdet av en åtgärd på unionsnivå” i denna punkt avses det värde en åtgärd från unionens sida tillför utöver det värde som annars skulle ha skapats av enbart medlemsstaterna.
            
            
               
                  Initiativet bidrar till att säkerställa att unionens institutioner och organ bistås i sitt uppdrag av en öppen, effektiv och oberoende förvaltning.
               
               
                  Det bidrar till medlemsstaternas allmänna nationella insatser på området för EU:s säkerhet genom att skydda institutionerna och organen mot yttre inblandning och spionverksamhet.
               
            
            
               1.5.3.Erfarenheter från tidigare liknande åtgärder
            
            
               
                  Ej tillämpligt
               
            
            
               1.5.4.Förenlighet med den fleråriga budgetramen och eventuella synergieffekter med andra relevanta instrument
            
            
               
                  Projektet kräver omfördelning/tilldelning av 2 heltidsekvivalenter till sekretariatet för samordningsgruppen för informationssäkerhet.
               
               
                  Andra projekt, såsom utveckling av gemensamma verktyg och centralisering av vissa verksamheter, pågår redan delvis och omfattas av servicenivåavtal och ramavtal.
               
            
            
               1.5.5.En bedömning av de olika finansieringsalternativ som finns att tillgå, inbegripet möjligheter till omfördelning
            
            
               
                  Se föregående avsnitt.
               
            
            
            
               1.6.Varaktighet för och budgetkonsekvenser av förslaget eller initiativet
            
            
               ◻ begränsad varaktighet 
            
         
         
            
               –◻
                     verkan från och med [den DD/MM]ÅÅÅÅ till och med [den DD/MM]ÅÅÅÅ 
            
            
               –◻
                     budgetkonsekvenser från och med YYYY till och med YYYY för åtagandebemyndiganden och från och med YYYY till och med YYYY för betalningsbemyndiganden. 
            
            
               – obegränsad varaktighet
            
            
               1.7.Planerad metod för genomförandet
                  33
                 
            
            
                 Direkt förvaltning som sköts av kommissionen och av varje EU-institution och EU-organ
            
            
               – av dess avdelningar, vilket också inbegriper personalen vid unionens delegationer, 
            
            
               –◻
                     av genomförandeorgan 
            
            
               ◻ Delad förvaltning med medlemsstaterna 
            
            
               ◻ Indirekt förvaltning genom att arbetsuppgifter som ingår i budgetgenomförandet anförtros
            
            
               –◻ tredjeländer eller organ som de har utsett,
            
            
               –◻ internationella organisationer och organ kopplade till dem (ange vilka),
            
            
               –◻ EIB och Europeiska investeringsfonden,
            
            
               –◻ organ som anges i artiklarna 70 och 71 i budgetförordningen,
            
            
               –◻ offentligrättsliga organ,
            
            
               –◻ privaträttsliga organ som har anförtrotts offentliga förvaltningsuppgifter i den utsträckning de tilldelas tillräckliga ekonomiska garantier,
            
            
               –◻ organ som omfattas av privaträtten i en medlemsstat, som anförtrotts genomförandeuppgifter inom ramen för ett offentlig-privat partnerskap och som har tilldelats tillräckliga ekonomiska garantier,
            
            
               –◻ personer som anförtrotts ansvaret för genomförandet av särskilda åtgärder inom Gusp som följer av avdelning V i fördraget om Europeiska unionen och som anges i den grundläggande rättsakten.
            
            
               –Vid fler än en metod, ange kompletterande uppgifter under ”Anmärkningar”.
            
            
               Kommentarer 
            
            
               2.FÖRVALTNINGSÅTGÄRDER 
            
         
         
            
               2.1.Regler om uppföljning och rapportering 
            
            
               Ange intervall och andra villkor för sådana åtgärder.
            
            
               
                  Vart femte år kommer förordningen att utvärderas och kommissionen kommer att rapportera sina resultat till rådet och Europaparlamentet.
               
            
            
               2.2.Förvaltnings- och kontrollsystem 
            
            
               2.2.1.Motivering av den genomförandemetod, de finansieringsmekanismer, de betalningsvillkor och den kontrollstrategi som föreslås
            
            
               
                  I förordningen fastställs regler för informationssäkerhet som är tillämpliga på alla unionens institutioner och organ. Övervakningen av dess korrekta genomförande kommer att ske genom en samordningsgrupp med deltagande av alla säkerhetsmyndigheter vid institutionerna och organen. 
               
               
                  Varje institutions eller organs säkerhetsmyndighet behåller det fullständiga ansvaret för säkerheten i enlighet med varje institutions eller organs befintliga ram för intern kontroll.
               
            
            
               2.2.2.Uppgifter om identifierade risker och om det eller de interna kontrollsystem som inrättats för att begränsa riskerna
            
            
               
                  Förordningen kommer att skapa en baslinje för informationssäkerhetsregler och säkerställa öppenhet i fråga om säkerhetsåtgärder för informationsutbyte mellan unionens institutioner och organ, vilket kommer att minska de informationssäkerhetsrelaterade riskerna över hela linjen.
               
               
                  Förordningen är förenlig med normerna för intern kontroll och innehåller en riskbaserad metod för beslutsfattande.
               
            
            
               2.2.3.Beräkning och motivering av kontrollernas kostnadseffektivitet (dvs. förhållandet mellan kostnaden för kontrollerna och värdet av de medel som förvaltas) och en bedömning av den förväntade risken för fel (vid betalning och vid avslutande) 
            
            
               
                  De befintliga kontrollmekanismerna för institutionerna och organen kommer att tillämpas. Efterlevnad av förordningen och informationssäkerhetsrelaterade risker bör rapporteras i institutens och organens årliga riskrapportering.
               
            
            
               2.3.Åtgärder för att förebygga bedrägeri och oriktigheter 
            
            
               Beskriv förebyggande åtgärder (befintliga eller planerade), t.ex. från strategi för bedrägeribekämpning.
            
            
               
                  Ej tillämpligt
               
            
            
               3.BERÄKNADE BUDGETKONSEKVENSER AV FÖRSLAGET ELLER INITIATIVET 
            
            
               3.1.Berörda rubriker i den fleråriga budgetramen och budgetrubriker i den årliga budgetens utgiftsdel 
            
            
               ·Befintliga budgetrubriker (även kallade ”budgetposter”) 
            
            
               Redovisa enligt de berörda rubrikerna i den fleråriga budgetramen i nummerföljd.
            
            
                     
                        Rubrik i den fleråriga budgetramen
                     
                  
                  
                     
                        Budgetpost
                     
                  
                  
                     
                        Typ av utgifter
                     
                  
                  
                     
                        Bidrag 
                     
                  
               
                     
                  
                  
                     
                        Nummer  
                        
                  
                  
                     
                        Diff./Icke-diff.
                           34
                        
                     
                  
                  
                     
                        från Efta-länder
                           35
                        
                     
                     
                  
                  
                     
                        från kandidatländer
                           36
                        
                     
                     
                  
                  
                     
                        från tredjeländer
                     
                  
                  
                     
                        enligt artikel 21.2 b i budgetförordningen 
                     
                  
               
                     
                        H7
                     
                  
                  
                     
                        20 01 02 01
                     
                  
                  
                     
                        Icke-diff.
                     
                  
                  
                     
                        NEJ
                     
                  
                  
                     
                        NEJ
                     
                  
                  
                     
                        NEJ
                     
                  
                  
                     
                        NEJ
                     
                  
               
         
            
               ·Nya budgetrubriker som föreslås 
            
            
               Redovisa enligt de berörda rubrikerna i den fleråriga budgetramen i nummerföljd.
            
            
                     
                        Rubrik i den fleråriga budgetramen
                     
                  
                  
                     
                        Budgetpost
                     
                  
                  
                     
                        Typ av 
                        anslag
                     
                  
                  
                     
                        Bidrag 
                     
                  
               
                     
                  
                  
                     
                        Nummer  
                        
                  
                  
                     
                        Diff./Icke-diff.
                     
                  
                  
                     
                        från Efta-länder
                     
                  
                  
                     
                        från kandidatländer
                     
                  
                  
                     
                        från tredjeländer
                     
                  
                  
                     
                        enligt artikel 21.2 b i budgetförordningen 
                     
                  
               
                     
                  
                  
                     
                        Inga
                     
                     
                  
                  
                     
                  
                  
                     
                        JA/NEJ
                     
                  
                  
                     
                        JA/NEJ
                     
                  
                  
                     
                        JA/NEJ
                     
                  
                  
                     
                        JA/NEJ
                     
                  
               
               3.2.Förslagets beräknade budgetkonsekvenser på anslagen 
            
            
               3.2.1.Sammanfattning av beräknad inverkan på driftsanslagen 
            
            
               –
                     Förslaget/initiativet kräver inte att driftsanslag tas i anspråk. 
            
            
               –
                     
                     Förslaget/initiativet kräver att driftsanslag tas i anspråk enligt följande:
            
            
               Miljoner euro (avrundat till tre decimaler)
            
            
                     
                        Rubrik i den fleråriga
                        budgetramen 
                     
                  
                  
                     
                        Nummer
                     
                  
                  
                     
                  
               
            
                     
                        GD: <…….>
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        År 
                        n
                           37
                        
                     
                  
                  
                     
                        År 
                        n+1
                     
                  
                  
                     
                        År 
                        n+2
                     
                  
                  
                     
                        År 
                        n+3
                     
                  
                  
                     
                        För in så många år som behövs för att redovisa varaktigheten för inverkan på resursanvändningen (jfr punkt 1.6)
                     
                  
                  
                     
                        TOTALT
                     
                  
               
                     
                        • Driftsanslag 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Budgetpost
                           38
                        
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        1a
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        2a
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Budgetpost
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        1b
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        2b
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Anslag av administrativ natur som finansieras genom ramanslagen för vissa operativa program
                           39
                         
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Budgetpost
                     
                  
                  
                     
                  
                  
                     
                        3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALA anslag 
                        för GD <…….>
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        = 1a + 1b + 3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        = 2a + 2b
                     
                     
                        +3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                
               
            
                     
                        • TOTALA driftsanslag 
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        4
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        5
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        • TOTALA anslag av administrativ natur som finansieras genom ramanslagen för särskilda program 
                     
                  
                  
                     
                        6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALA anslag 
                        under RUBRIK<….>
                        i den fleråriga budgetramen
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        = 4 + 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        = 5 + 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
               Upprepa avsnittet ovan om flera rubriker avseende driftsanslag i budgetramen påverkas av förslaget eller initiativet:
            
            
                     
                        • TOTALA driftsanslag (alla rubriker avseende driftsanslag)
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        4
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        5
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         TOTALA anslag av administrativ natur som finansieras genom ramanslagen för särskilda program (alla driftsrelaterade rubriker)
                     
                  
                  
                     
                     
                        6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALA anslag 
                        för RUBRIKERNA 1–6 
                        i den fleråriga budgetramen 
                        (referensbelopp)
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        = 4 + 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        = 5 + 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
            
               
            
                     
                        Rubrik i den fleråriga
                        budgetramen 
                     
                  
                  
                     
                        7
                     
                  
                  
                     
                        ”Administrativa utgifter”
                     
                  
               
               Detta avsnitt ska fyllas i med hjälp av det datablad för budgetuppgifter av administrativ natur som först ska föras in i 
               
                  bilagan till finansieringsöversikt för rättsakt
               
                (bilaga V till de interna bestämmelserna), vilken ska laddas upp i DECIDE som underlag för samråden mellan kommissionens avdelningar.
            
            
               Miljoner euro (avrundat till tre decimaler)
            
         
         
            
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        År 
                        2023
                     
                  
                  
                     
                        År 
                        2024
                     
                  
                  
                     
                        År 
                        2025
                     
                  
                  
                     
                        År 
                        2026
                     
                  
                  
                     
                        År 
                        2027
                     
                  
                  
                     
                        TOTALT
                     
                  
               
                     
                        GD: HR
                     
                  
               
                     
                        • Personalresurser 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                        • Övriga administrativa utgifter 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        GD TOTALT <…….>
                     
                  
                  
                     
                        Åtagandebelopp 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
                     
                        TOTALA anslag 
                        för RUBRIK 7 
                        i den fleråriga budgetramen 
                     
                  
                  
                     
                        (summa åtaganden = summa betalningar)
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
               Euro (avrundat till tre decimaler)
            
            
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        År 
                        2023
                     
                  
                  
                     
                        År 
                        2024
                     
                  
                  
                     
                        År 
                        2025
                     
                  
                  
                     
                        År 
                        2026
                     
                  
                  
                     
                        År 
                        2027
                     
                  
                  
                     
                        TOTALT
                     
                  
               
                     
                        TOTALA anslag 
                        för RUBRIKERNA 1–7 
                        i den fleråriga budgetramen 
                     
                  
                  
                     
                        Åtaganden
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                  
                  
                     
                        Betalningar
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
            
               3.2.2.Beräknad output som finansieras med driftsanslag 
            
            
               Åtagandebemyndiganden i miljoner euro (avrundat till tre decimaler)
            
            
                     
                        Ange mål och output 
                     
                     
                     
                        ⇩
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        År 
                        n
                     
                  
                  
                     
                        År 
                        n+1
                     
                  
                  
                     
                        År 
                        n+2
                     
                  
                  
                     
                        År 
                        n+3
                     
                  
                  
                     
                        För in så många år som behövs för att redovisa varaktigheten för inverkan på resursanvändningen (jfr punkt 1.6)
                     
                  
                  
                     
                        TOTALT
                     
                  
               
                     
                  
                  
                     
                        OUTPUT
                     
                  
               
                     
                  
                  
                     
                        Typ
                           40
                        
                     
                     
                  
                  
                     
                        Genomsnittliga kostnader
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Antal
                     
                  
                  
                     
                        Anskaffningskostnad
                     
                  
                  
                     
                        Totalt antal
                     
                  
                  
                     
                        Total kostnad
                     
                  
               
                     
                        SPECIFIKT MÅL nr 1
                           41
                        …
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Output
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Output
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Output
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Delsumma för specifikt mål nr 1
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        SPECIFIKT MÅL nr 2…
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Output
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Delsumma för specifikt mål nr 2
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALT
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
               3.2.3.Sammanfattning av beräknad inverkan på de administrativa anslagen 
            
            
               –◻
                     Förslaget/initiativet kräver inte att anslag av administrativ natur tas i anspråk 
            
            
               –Förslaget/initiativet kräver att anslag av administrativ natur tas i anspråk enligt följande:
            
            
               Miljoner euro (avrundat till tre decimaler)
            
            
                     
                  
                  
                     
                        År 
                        2023
                     
                  
                  
                     
                        År 
                        2024
                     
                  
                  
                     
                        År 
                        2025
                     
                  
                  
                     
                        År 
                        2026
                     
                  
                  
                     
                        År 
                        2027
                     
                  
                  
                     
                        TOTALT
                     
                  
               
            
                     
                        RUBRIK 7 
                        i den fleråriga budgetramen
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Personalresurser 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                        Övriga administrativa utgifter 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Delsumma för RUBRIK 7 
                        i den fleråriga budgetramen 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
                     
                        Belopp utanför RUBRIK 7
                           42
                         
                        i den fleråriga budgetramen 
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Personalresurser 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Andra utgifter 
                        av administrativ natur
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Delsumma  
                        utanför RUBRIK 7 
                        i den fleråriga budgetramen 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
         
         
            
                     
                        TOTALT
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
               Personalbehov och andra administrativa kostnader ska täckas genom anslag inom generaldirektoratet som redan har avdelats för att förvalta åtgärden i fråga, och/eller genom en omfördelning av personal inom generaldirektoratet, om så krävs kompletterad med ytterligare resurser som kan tilldelas det förvaltande generaldirektoratet som ett led i det årliga förfarandet för tilldelning av anslag och med hänsyn tagen till begränsningar i fråga om budgetmedel.
            
            
               3.2.3.1.Beräknat personalbehov 
            
            
               –◻
                     Förslaget/initiativet kräver inte att personalresurser tas i anspråk. 
            
            
               –Förslaget/initiativet kräver att personalresurser tas i anspråk enligt följande:
            
            
               Beräkningarna ska anges i heltidsekvivalenter
            
            
                     
                  
                  
                     
                        År 
                        2023
                     
                  
                  
                     
                        År 
                        2024
                     
                  
                  
                     
                        År 
                     
                     
                        2025
                     
                  
                  
                     
                        År 2026
                     
                  
                  
                     
                        År 2027
                     
                  
               
                     
                        20 01 02 01 (vid huvudkontoret eller vid kommissionens kontor i medlemsstaterna)
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
               
                     
                        20 01 02 03 (vid delegationer)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        01 01 01 01  (indirekta forskningsåtgärder)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         01 01 01 11 (direkta forskningsåtgärder)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Annan budgetrubrik (ange vilken)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        20 02 01 (kontraktsanställda, nationella experter och vikarier finansierade genom ramanslaget)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        20 02 03 (kontraktsanställda, lokalanställda, nationella experter, vikarier och unga experter som tjänstgör vid delegationerna)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        XX 01 xx yy zz  
                           43
                        
                     
                     
                  
                  
                     
                        - vid huvudkontoret
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        - vid delegationer 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        01 01 01 02 (kontraktsanställda, vikarier och nationella experter som arbetar med indirekta forskningsåtgärder)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         01 01 01 12 (kontraktsanställda, vikarier och nationella experter som arbetar med direkta forskningsåtgärder)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Annan budgetrubrik (ange vilken)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALT
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
               
               XX motsvarar det politikområde eller den avdelning i budgeten som avses.
            
            
               Personalbehoven ska täckas med personal inom generaldirektoratet som redan har avdelats för förvaltningen av åtgärden i fråga, och/eller genom en omfördelning av personal inom generaldirektoratet, om så krävs kompletterad med ytterligare resurser som kan tilldelas det förvaltande generaldirektoratet som ett led i det årliga förfarandet för tilldelning av anslag och med hänsyn tagen till begränsningar i fråga om budgetmedel.
            
            
               Beskrivning av arbetsuppgifter:
            
            
                     
                        Tjänstemän och tillfälligt anställda
                     
                  
                  
                     
                        Sekretariatet för samordningsgruppen för informationssäkerhet: 1 AD-tjänsteman + 1 AST-tjänsteman
                     
                  
               
                     
                        Extern personal
                     
                  
                  
                     
                  
               
               3.2.4.Förenlighet med den gällande fleråriga budgetramen 
            
            
               Förslaget/initiativet
            
            
               –kan finansieras fullständigt genom omfördelningar inom den berörda rubriken i den fleråriga budgetramen.
            
            
               
                  Enligt förslaget ska två medarbetare tilldelas det ständiga sekretariatet för den interinstitutionella samordningsgruppen, med säte i HR.DS. 
               
            
            
               –◻
                     kräver användning av den outnyttjade marginalen under den relevanta rubriken i den fleråriga budgetramen och/eller användning av särskilda instrument enligt definitionen i förordningen om den fleråriga budgetramen.
            
            
               
                  Beskriv vad som krävs, ange berörda rubriker och budgetrubriker, motsvarande belopp och de instrument som är föreslagna för användning.
               
            
            
               –◻
                     kräver en översyn av den fleråriga budgetramen.
            
            
               
                  Beskriv behovet av sådana åtgärder, och ange berörda rubriker i budgetramen, budgetrubriker i den årliga budgeten samt de motsvarande beloppen.
               
            
            
               3.2.5.Bidrag från tredje part 
            
         
         
            
               Förslaget/initiativet
            
            
               –
                     innehåller inga bestämmelser om samfinansiering från tredje parter
            
            
               –◻
                     innehåller bestämmelser om samfinansiering från tredje parter enligt följande uppskattning:
            
            
               Anslag i miljoner euro (avrundat till tre decimaler)
            
            
                     
                  
                  
                     
                        År 
                        n
                           44
                        
                     
                  
                  
                     
                        År 
                        n+1
                     
                  
                  
                     
                        År 
                        n+2
                     
                  
                  
                     
                        År 
                        n+3
                     
                  
                  
                     
                        Totalt
                     
                  
               
                     
                        Ange vilket organ som deltar i samfinansieringen 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALA anslag som tillförs genom samfinansiering 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                
                  Anmärkning: Förslaget kommer att intensifiera det nuvarande samarbetet om informationssäkerhet genom servicenivåavtalen.
            
            
               3.3.Beräknad inverkan på inkomsterna 
            
            
               –Förslaget/initiativet påverkar inte budgetens inkomstsida.
            
            
               –◻
                     Förslaget/initiativet påverkar inkomsterna på följande sätt:
            
            
               Påverkan på egna medel 
            
            
               Påverkan på andra inkomster
            
            
               ange om inkomsterna har avsatts för utgiftsposter 
            
            
                    Miljoner euro (avrundat till tre decimaler)
            
            
                     
                        Budgetrubrik i den årliga budgetens inkomstdel:
                     
                  
                  
                     
                        Belopp som förts in för det innevarande budgetåret
                     
                  
                  
                     
                        Förslagets/initiativets inverkan på inkomsterna
                           45
                        
                     
                  
               
                     
                  
                  
                     
                  
                  
                     
                        År 
                        n
                     
                  
                  
                     
                        År 
                        n+1
                     
                  
                  
                     
                        År 
                        n+2
                     
                  
                  
                     
                        År 
                        n+3
                     
                  
               
               För inkomster avsatta för särskilda ändamål, ange vilka budgetrubriker i utgiftsdelen som berörs.
            
            
               
            
            
               Övriga anmärkningar (t.ex. vilken metod/formel som har använts för att beräkna inverkan på inkomsterna eller andra relevanta uppgifter).
            
            
               
            
         
         
            
                  
                     (1)
                  
                        Meddelande om strategin för EU:s säkerhetsunion, COM(2020) 605, 24 juli 2020 (Strategisk prioritering: En framtidssäkrad säkerhetsmiljö).
               
               
                  
                     (2)
                  
                        EUCO 9/19.
               
               
                  
                     (3)
                  
                        14972/19.
               
               
                  
                     (4)
                  
                        WK 10563/2018 INIT avsnitt 9.
               
               
                  
                     (5)
                  
                        Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (EUT L 194, s. 1).
               
               
                  
                     (6)
                  
                        C(2020)605.
               
               
                  
                     (7)
                  
                        EU:s strategi för cybersäkerhet för ett digitalt decennium – Att forma EU:s digitala framtid (europa.eu), inklusive ett gemensamt meddelande med unionens höga representant för utrikes frågor och säkerhetspolitik (JOIN(2020) 18) och även ett reviderat direktiv om nät- och informationssäkerhet (COM(2020) 823).
               
               
                  
                     (8)
                  
                        Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).
               
               
                  
                     (9)
                  
                        Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43). 
               
               
                  
                     (10)
                  
                        Europeiska unionens stadga om de grundläggande rättigheterna (EUT C 326, 26.10.2012, s. 391).
               
               
                  
                     (11)
                  
                        Artikel 41 i Europeiska unionens stadga om de grundläggande rättigheterna. 
               
               
                  
                     (12)
                  
                        Artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna.
               
               
                  
                     (13)
                  
                        Artikel 42 i Europeiska unionens stadga om de grundläggande rättigheterna.
               
               
                  
                     (14)
                  
                        Artikel 17 i Europeiska unionens stadga om de grundläggande rättigheterna.
               
               
                  
                     (15)
                  
                        Europaparlamentets och rådets direktiv 2001/29/EG av den 22 maj 2001 om harmonisering av vissa aspekter av upphovsrätt och närstående rättigheter i informationssamhället (EGT L 167, 22.6.2001, s. 10).
               
               
                  
                     (16)
                  
                        Artikel 11 i Europeiska unionens stadga om de grundläggande rättigheterna.
               
               
                  
                     (17)
                  
                        Förordning (Euratom) nr 3/1958 om genomförandet av artikel 24 i fördraget om upprättandet av Europeiska atomenergigemenskapen (EGT 17, 6.10.1958, s. 406).
               
               
                  
                     (18)
                  
                        EGT L 45, 14.6.1962, s. 1385.
               
               
                  
                     (19)
                  
                        Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43).
               
               
                  
                     (20)
                  
                        Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).
               
               
                  
                     (21)
                  
                        Rådets förordning (EEG, Euratom) nr 354/83 av den 1 februari 1983 om öppnandet för allmänheten av Europeiska ekonomiska gemenskapens och Europeiska atomenergigemenskapens historiska arkiv (EGT L 43, 15.2.1983, s. 1).
               
               
                  
                     (22)
                  
                        Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046 av den 18 juli 2018 om finansiella regler för unionens allmänna budget, om ändring av förordningarna (EU) nr 1296/2013, (EU) nr 1301/2013, (EU) nr 1303/2013, (EU) nr 1304/2013, (EU) nr 1309/2013, (EU) nr 1316/2013, (EU) nr 223/2014, (EU) nr 283/2014 och beslut nr 541/2014/EU samt om upphävande av förordning (EU, Euratom) nr 966/2012 (EUT L 193, 30.7.2018, s. 1).
               
               
                  
                     (23)
                  
                        Europaparlamentets och rådets förordning (EU) 2021/697 av den 29 april 2021 om inrättande av Europeiska försvarsfonden och om upphävande av förordning (EU) 2018/1092 (EUT L 170, 12.5.2021, s. 149).
               
               
                  
                     (24)
                  
                        Europaparlamentets och rådets förordning [...] om åtgärder för en hög gemensam cybersäkerhetsnivå vid unionens institutioner, organ och byråer (ännu inte antagen).
               
               
                  
                     (25)
                  
                        Euratom-rådet: Förordning nr 3 om genomförandet av artikel 24 i fördraget om upprättandet av Europeiska atomenergigemenskapen (EGT 17, 6.10.1958, s. 406).
               
               
                  
                     (26)
                  
                        Interinstitutionellt avtal mellan Europaparlamentet, Europeiska unionens råd och Europeiska kommissionen om bättre lagstiftning (EUT L 123, 12.5.2016, s. 1).
               
               
                  
                     (27)
                  
                        Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018).
               
               
                  
                     (28)
                  
                        Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) (EUT L 151, 7.6.2019, s. 15).
               
               
                  
                     (29)
                  
                        EUT C 202, 8.7.2011, s. 13.
               
               
                  
                     (30)
                  
                        Europaparlamentets och rådets förordning (EU, Euratom) 2018/1046.
               
               
                  
                     (31)
                  
                        Som ovan.
               
               
                  
                     (32)
                  
                        I den mening som avses i artikel 58.2 a eller b i budgetförordningen.
               
               
                  
                     (33)
                  
                        Närmare förklaringar av de olika metoderna för genomförande med hänvisningar till respektive bestämmelser i budgetförordningen återfinns på BudgWeb: 
                  https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx
                   
               
               
                  
                     (34)
                  
                        Diff. = differentierade anslag / Icke-diff. = icke-differentierade anslag.
               
               
                  
                     (35)
                  
                        Efta: Europeiska frihandelssammanslutningen. 
               
               
                  
                     (36)
                  
                        Kandidatländer och i förekommande fall potentiella kandidatländer i västra Balkan.
               
               
                  
                     (37)
                  
                        Med år n avses det år då förslaget eller initiativet ska börja genomföras. Ersätt ”n” med det förväntade första genomförandeåret (till exempel 2021). Detsamma för följande år.
               
               
                  
                     (38)
                  
                        Enligt den officiella kontoplanen.
               
               
                  
                     (39)
                  
                        Detta avser tekniskt eller administrativt stöd för genomförandet av vissa av Europeiska unionens program och åtgärder (tidigare s.k. BA-poster) samt indirekta och direkta forskningsåtgärder.
               
               
                  
                     (40)
                  
                        Output som ska anges är de produkter eller tjänster som levererats (t.ex. antal studentutbyten som har finansierats eller antal kilometer väg som har byggts).
               
               
                  
                     (41)
                  
                        Mål som redovisats under punkt 1.4.2: ”Specifikt/specifika mål…”. 
               
               
                  
                     (42)
                  
                        Detta avser tekniskt eller administrativt stöd för genomförandet av vissa av Europeiska unionens program och åtgärder (tidigare s.k. BA-poster) samt indirekta och direkta forskningsåtgärder.
               
               
                  
                     (43)
                  
                        Särskilt tak för finansiering av extern personal genom driftsanslag (tidigare s.k. BA-poster).
               
               
                  
                     (44)
                  
                        Med år n avses det år då förslaget eller initiativet ska börja genomföras. Ersätt ”n” med det förväntade första genomförandeåret (till exempel 2021). Detsamma för följande år.
               
               
                  
                     (45)
                  
                        Vad gäller traditionella egna medel (tullar, sockeravgifter) ska nettobeloppen anges, dvs. bruttobeloppen minus 20 % avdrag för uppbördskostnader.
               
            
      
    ---documentbreak--- 
      
         
               EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            
            BILAGA
            till
            förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               BILAGA I
            
            
            
               Skyddsåtgärder för hantering av känsliga icke-säkerhetsskyddsklassificerade uppgifter 
            
            
               Märkning och hantering av känsliga icke-säkerhetsskyddsklassificerade uppgifter
            
            
               1.Handlingar som innehåller känsliga icke-säkerhetsskyddsklassificerade uppgifter ska märkas med en säkerhetsmärkning och, vid behov, en eller flera distributionsmärkningar eller märkningar som anger målgruppen, beroende på vad som är lämpligt. Standardsäkerhetsmärkningen ska vara ordet SENSITIVE med versaler, utom i de fall som avses i artikel 15.2.
            
            
               2.Handlingar som innehåller känsliga icke-säkerhetsskyddsklassificerade uppgifter får endast vara tillgängliga för mottagare med behovsenlig behörighet för officiella ändamål. Om distributionsmärkningar används måste tillstånd begäras från den EU-institution eller det EU-organ som utfärdat handlingen för att utöka distributionen av en handling.
            
            
               3.Alla personer som hanterar känsliga icke-säkerhetsskyddsklassificerade uppgifter måste göras medvetna om hanteringsanvisningarna.
            
            
               4.Handlingar märkta med SENSITIVE sänks till EU NORMAL eller PUBLIC USE genom att märkningarna tas bort eller stryks över.
            
            
               5.När unionens institutioner och organ förstör handlingar som innehåller känsliga icke-säkerhetsskyddsklassificerade uppgifter måste detta göras på ett sådant sätt att de inte kan rekonstrueras på ett enkelt sätt.  Papperskopior ska köras genom dokumentförstörare och elektroniska kopior måste på ett säkert sätt överskrivas, fysiskt förstöras eller på annat sätt göras omöjliga att återskapa.
            
            
               Skydd av känsliga icke-säkerhetsskyddsklassificerade uppgifter vid arbete utanför EU-institutioners och EU-organs anläggningar 
            
            
               6.Känsliga icke-säkerhetsskyddsklassificerade uppgifter måste skyddas från avlyssning och observation vid distansarbete och uppdrag utanför kontoret och får inte hanteras eller lagras offentligt.
            
            
               7.Handlingar som innehåller känsliga icke-säkerhetsskyddsklassificerade uppgifter får endast hanteras och lagras på utrustning eller applikationer som på lämpligt sätt har säkrats under EU-institutionernas och EU-organens ansvar.
            
            
               8.Unionens institutioner och organ måste tillhandahålla medel för att hindra obehöriga personer, inbegripet släktingar, från att få tillgång till känsliga icke-säkerhetsskyddsklassificerade uppgifter som hanteras eller lagras på en EU-institutions eller ett EU-organs utrustning vid arbete utanför anställningsplatsen.
            
            
               9.Unionens institutioner och organ måste instruera sin personal att
            
            
               a)skydda EU-institutionernas eller EU-organens utrustning som hanterar känsliga icke-säkerhetsskyddsklassificerade uppgifter från stöld, förlust och skada och omedelbart rapportera alla negativa säkerhetshändelser som påverkar deras enheter eller uppgifter på enheterna,
            
            
               b)inte dela sina enheter med obehöriga personer,
            
            
               c)inte använda utrustningen för verksamhet som inte är arbetsrelaterad.
            
            
               10.Unionens institutioner och organ måste säkerställa att deras utrustning eller på lämpligt sätt skyddade applikationer så långt det är möjligt används för att hantera och lagra känsliga icke-säkerhetsskyddsklassificerade handlingar i elektroniskt format utanför deras anläggningar. Hantering av fysiska kopior av känsliga icke-säkerhetsskyddsklassificerade handlingar utanför kontoret bör undvikas.
            
            
               11.Om verktyg för telefonkonferenser eller videokonferenser används måste unionens institutioner och organ minimera risken för att obehöriga personer ser eller hör diskussionerna genom att på lämpligt sätt autentisera deltagarna och använda krypterade kommunikationsverktyg som är kompatibla med den behovsenliga behörigheten.
            
         
         
            
               12.Unionens institutioner och organ ska tillhandahålla utbildning för all personal som arbetar på distans med hantering av känsliga icke-säkerhetsskyddsklassificerade uppgifter när de arbetar utanför kontoret.
            
            
               Utbyte av känsliga icke-säkerhetsskyddsklassificerade uppgifter
            
            
               13.Handlingar som innehåller känsliga icke-säkerhetsskyddsklassificerade uppgifter får delas mellan unionens institutioner och organ utan ytterligare formaliteter.
            
            
               14.Unionens institutioner och organ får endast utbyta handlingar som innehåller känsliga icke-säkerhetsskyddsklassificerade uppgifter utanför unionens samtliga institutioner och organ på grundval av ett åtagande som binder parterna att följa hanteringsanvisningarna.
            
            
               15.Unionens institutioner och organ måste underrätta mottagarna av känsliga icke-säkerhetsskyddsklassificerade uppgifter om skyldigheten att inte dela uppgifterna med någon part utöver den målgrupp som anges genom distributionsmärkningarna, såvida inte upphovsmannen tillåter det.
            
            
               16.Unionens institutioner och organ måste skydda känsliga icke-säkerhetsskyddsklassificerade uppgifter som tillhandahålls eller delas elektroniskt genom lämpliga säkerhetsåtgärder, inbegripet kryptering vid överföring med hjälp av lämpliga kryptografiska mekanismer.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- 
      
         
               EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            
            BILAGA
            till
            förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               BILAGA II
            
            
               Förfaranden för hantering av godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter
            
            
               Definitioner
            
            
               I denna bilaga gäller följande definitioner:
            
            
               1. personalsäkerhetsgodkännande: ett uttalande från en berörd myndighet i en medlemsstat, som lämnas efter genomförandet av en säkerhetsprövning utförd av den behöriga myndigheten, och som intygar att en person får beviljas tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till en angiven nivå (CONFIDENTIEL UE/EU CONFIDENTIAL eller högre) och under en angiven tidsperiod.
            
            
               2. intyg om personalsäkerhetsgodkännande: ett intyg utfärdat av en behörig myndighet, som fastställer att en person innehar ett giltigt säkerhetsgodkännande, eller motsvarande, eller ett säkerhetsbemyndigande och som visar vilken nivå av säkerhetsskyddsklassificerade EU-uppgifter som personen kan få tillgång till (CONFIDENTIEL UE/EU CONFIDENTIAL eller högre), giltighetsdatum för det berörda säkerhetsgodkännandet eller säkerhetsbemyndigandet, samt vilket datum själva intyget löper ut.
            
            
               Godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Säkerhetsmyndigheten vid den berörda EU-institutionen och det berörda EU-organet måste begära ett skriftligt medgivande från den berörda personen för förfarandet för säkerhetsgodkännande innan ett ifyllt frågeformulär om säkerhetsgodkännande skickas till den nationella säkerhetsmyndigheten i den medlemsstat där sökanden är medborgare.
            
            
               2.När en EU-institution eller ett EU-organ får kännedom om uppgifter som är relevanta för en säkerhetsprövning avseende en person som har ansökt om ett säkerhetsgodkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter, ska den behöriga säkerhetsmyndigheten, i enlighet med denna förordning, meddela relevant nationell säkerhetsmyndighet om detta.
            
            
               3.Efter den berörda nationella säkerhetsmyndighetens underrättelse om sin övergripande bedömning av resultaten av säkerhetsprövningen har den behöriga säkerhetsmyndigheten
            
            
               a)möjlighet att bevilja den berörda personen godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till den relevanta nivån under en begränsad tidsperiod, förutsatt att säkerhetsprövningen fastställer personens lojalitet, tillförlitlighet och pålitlighet,
            
            
               b)skyldighet att underrätta sökanden i de fall då säkerhetsprövningen inte leder till en sådan garanti, i enlighet med myndighetens relevanta interna regler. 
            
            
               4.Om personen påbörjar sin tjänstgöring 12 månader eller mer efter datumet för underrättelse om resultatet av säkerhetsprövningen, eller om det finns ett avbrott på 12 månader i personens tjänstgöring, ska den behöriga säkerhetsmyndigheten begära bekräftelse från den berörda nationella säkerhetsmyndigheten gällande säkerhetsgodkännandets giltighet.
            
            
               Tillfällig och slutgiltig återkallelse av godkännande
            
            
               5.Om uppgifter gällande en säkerhetsrisk kopplad till en person som har godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter blir kända för den berörda EU-institutionen eller det berörda EU-organet, ska institutionens eller organets säkerhetsmyndighet underrätta den berörda nationella säkerhetsmyndigheten om detta och får tillfälligt upphäva den berörda personens tillgång till säkerhetsskyddsklassificerade EU-uppgifter eller återkalla godkännandet av tillgång till säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               6.Om en nationell säkerhetsmyndighet underrättar den berörda EU-institutionen eller det berörda EU-organet om att det inte längre finns någon försäkran för en person som har tillgång till säkerhetsskyddsklassificerade EU-uppgifter, måste säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet återkalla sitt säkerhetsbemyndigande och utesluta personen från tillgång till säkerhetsskyddsklassificerade EU-uppgifter i enlighet med myndighetens relevanta interna bestämmelser.
            
            
               Förnyelse av godkännande
            
            
               7.Efter det första beviljandet av säkerhetsbemyndigande, och förutsatt att personen har haft oavbruten tjänstgöring vid en EU-institution eller ett EU-organ och har ett fortsatt behov av tillgång till säkerhetsskyddsklassificerade EU-uppgifter, måste bemyndigandet av tillgång till säkerhetsskyddsklassificerade EU-uppgifter omprövas för förnyelse innan det löper ut.
            
            
               8.Säkerhetsmyndigheten vid den berörda EU-institutionen och det berörda EU-organet får förlänga giltighetstiden för ett godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter med upp till 12 månader, om det inte har inkommit någon negativ information från en nationell säkerhetsmyndighet eller annan behörig nationell myndighet inom en period om 2 månader från den dag då begäran om förnyelse med tillhörande frågeformulär om säkerhetsgodkännande översändes. 
            
         
         
            
               Om säkerhetsprövningen ännu inte har slutförts vid utgången av den period om 12 månader som nämns i första stycket, ska personen tilldelas arbetsuppgifter som inte kräver säkerhetsgodkännande.
            
            
               9.Den berörda personen måste genomgå en repetitionskurs om hantering och lagring av säkerhetsskyddsklassificerade EU-uppgifter varje gång personens säkerhetsgodkännande förnyas.
            
            
               Tillfälliga säkerhetsbemyndiganden i undantagsfall
            
            
               10.Säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet får i undantagsfall bevilja tillfälligt godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter, förutsatt att den behöriga nationella säkerhetsmyndigheten har genomfört en preliminär kontroll, på grundval av det ifyllda och översända säkerhetsfrågeformuläret, för att kontrollera att inga relevanta negativa uppgifter är kända.
            
            
               11.Tillfälligt godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter kan vara giltigt under en sammanhängande period på högst sex månader och får inte medge tillgång till uppgifter med klassificeringen TRES SECRET UE/EU TOP SECRET.
            
            
               12.Efter att ha blivit informerade i enlighet med artikel 26 ska alla personer som har beviljats ett tillfälligt godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter skriftligen bekräfta att de känner till sina åligganden när det gäller skyddet av säkerhetsskyddsklassificerade EU-uppgifter och följderna om säkerhetsskyddsklassificerade EU-uppgifter röjs. Säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet ska föra register över den skriftliga bekräftelsen.
            
            
               Nationella experter som utstationerats till EU-institutioner och EU-organ
            
            
               13.Alla unionens institutioner och organ måste säkerställa att nationella experter som utstationerats till dem för en tjänst som kräver säkerhetsgodkännande, innan de tillträder sin tjänst, uppvisar ett giltigt personalsäkerhetsgodkännande eller intyg om personalsäkerhetsgodkännande, i enlighet med nationella lagar och andra författningar, hos den behöriga säkerhetsmyndigheten. Förutsatt att de villkor som anges i artikel 23.1 är uppfyllda får säkerhetsmyndigheten därefter bevilja ett godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter upp till en nivå som motsvarar den som anges i det nationella säkerhetsgodkännandet, med en maximal giltighetstid som inte överstiger uppdragets längd.
            
            
               Tillträde till säkerhetsskyddsklassificerade möten
            
            
               14.När det gäller anordnandet av möten där uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre ska diskuteras, måste unionens institutioner och organ säkerställa att alla deltagare beviljas ett säkerhetsgodkännande, eller att deras säkerhetsbemyndigandestatus är känd.
            
            
               15.På grundval av dokumentationen för tillgång till säkerhetsskyddsklassificerade EU-uppgifter får den behöriga säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet utfärda ett intyg om personalsäkerhetsgodkännande till en person om det krävs för att närvara vid möten utanför EU-institutionen eller EU-organet i fråga. Intyget om personalsäkerhetsgodkännande ska visa vilken nivå av säkerhetsskyddsklassificerade EU-uppgifter som personen kan få tillgång till (CONFIDENTIEL UE/EU CONFIDENTIAL eller högre), giltighetsdatum för relevant godkännande av tillgång till säkerhetsskyddsklassificerade EU-uppgifter samt vilket datum själva intyget löper ut.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            
            BILAGA
            till
            förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               BILAGA III
            
            
               Åtgärder för fysiskt skydd av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               Utrustning och organisatoriska åtgärder för fysiskt skydd av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.Ett administrativt utrymme ska uppfylla följande krav:
            
            
               a)Ha en synlig yttre gräns som innebär att personer och, om möjligt, fordon kan kontrolleras.
            
            
               b)Säkerställa att fönster som kan möjliggöra obehörig visuell tillgång till säkerhetsskyddsklassificerade EU-uppgifter inom området är ogenomskinliga eller försedda med persienner, gardiner eller andra täckande anordningar.
            
            
               c)Obeledsagat tillträde ska endast beviljas personer som har lämpligt godkännande från säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet.
            
            
               d)Övriga personer ska alltid ledsagas eller genomgå likvärdiga kontroller.
            
            
               2.Utöver kraven som anges i punkt 1 ska ett säkrat utrymme uppfylla följande krav:
            
            
               a)Ha en synligt fastställd och skyddad yttre gräns genom vilken alla in- och utpasserande kontrolleras.
            
            
               b)Vara fritt från otillåtna kommunikationslinjer, otillåtna telefoner eller annan otillåten kommunikationsutrustning och elektrisk eller elektronisk utrustning.
            
            
               c)Vara utrustat med tillträdeskontroll och intrångsupptäcktssystem med övervakning i realtid i kombination med säkerhetspersonal.
            
            
               d)Inspekteras i slutet av normal arbetstid, samt med slumpvisa intervall utanför normal arbetstid, om utrymmet inte är bemannat 24 timmar om dygnet och det inte finns något intrångsupptäcktssystem med övervakning i realtid.
            
            
               e)Förvaltas av utbildad, övervakad säkerhetspersonal med lämpligt säkerhetsgodkännande.
            
            
               f)Ha säkra driftsmetoder som omfattar följande:
            
            
               i)Nivå av säkerhetsskyddsklassificerade EU-uppgifter som får hanteras, diskuteras och lagras i utrymmet.
            
            
               ii)De övervaknings- och skyddsåtgärder som ska upprätthållas.
            
            
               iii)Vilka personer som får ges obeledsagat tillträde till utrymmet i kraft av behovsenlig behörighet för att få tillgång till säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               iv)Vid behov, förfaranden för ledsagare eller för skydd av säkerhetsskyddsklassificerade EU-uppgifter när eventuella andra personer beviljas tillträde till utrymmet.
            
         
         
            
               v)Andra relevanta åtgärder och förfaranden.
            
            
               3.Om inträde i ett säkrat utrymme innebär direkt tillgång till de säkerhetsskyddsklassificerade uppgifter som förvaras i det, ska området fastställas som ett utrymme av klass I, och om så inte är fallet ska området fastställas som ett utrymme av klass II.
            
            
               För båda de klasser av säkrat utrymme som anges i första stycket och utöver de krav som anges i punkt 2 ska säkerhetsavdelningen/säkerhetsansvarig vid den berörda EU-institutionen eller det berörda EU-organet tydligt ange nivån på den högsta säkerhetsskyddsklassificeringen för de uppgifter som normalt förvaras i utrymmet och tydligt definiera en gräns som gör det möjligt att kontrollera personer och, om möjligt, fordon.
            
            
               EU-institutioner och EU-organ måste säkerställa att personer som får tillträde till ett säkrat utrymme uppfyller följande kriterier:
            
            
               a)Har särskilt tillstånd för tillträde till utrymmet.
            
            
               b)Alltid ledsagas.
            
            
               c)Innehar lämpligt säkerhetsgodkännande, såvida inte åtgärder vidtas för att säkerställa att ingen tillgång till säkerhetsskyddsklassificerade EU-uppgifter är möjlig.
            
            
               4.Ett säkrat utrymme som skyddas mot passiv och aktiv avlyssning ska markeras som ett tekniskt säkrat utrymme. Utöver kraven för säkrade utrymmen gäller följande krav:
            
            
               a)Utrymmet ska vara utrustat med ett intrångsupptäcktssystem, vara låst när det är tomt och bevakas när någon vistas där. Eventuella nycklar ska hanteras i enlighet med artikel 29.3.
            
            
               b)Utrymmet ska inspekteras regelbundet, fysiskt eller tekniskt, eller bådadera, av säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet. Sådana inspektioner ska också genomföras efter eventuellt obehörigt tillträde eller misstanke om sådant tillträde.
            
            
               c)Utrymmet ska ha lämpligt akustiskt skydd och tempestskydd.
            
            
               5.Alla personer som går in i tekniskt säkrade utrymmen ska uppfylla kraven i punkt 3.
            
            
               6.Säkrade utrymmen och tekniskt säkrade utrymmen får tillfälligt inrättas inom ett administrativt utrymme för ett säkerhetsskyddsklassificerat möte eller liknande ändamål.
            
            
               7.Skyddsvalv ska byggas inom det säkrade utrymmet. Ett skyddsvalv är ett rum med förstärkt fysisk konstruktion där säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet godkänner väggar, golv, tak, fönster och låsbara dörrar. Sådana rum måste ge ett skydd som motsvarar ett säkerhetsskåp som godkänts för lagring av säkerhetsskyddsklassificerade EU-uppgifter med samma nivå av säkerhetsskyddsklassificering.
            
            
               Fysiska skyddsåtgärder för hantering och lagring av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               8.Säkerhetsskyddsklassificerade EU-uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED ska hanteras och lagras i något av följande utrymmen:
            
            
               a)I ett säkrat utrymme. 
            
            
               b)I ett administrativt utrymme, förutsatt att de säkerhetsskyddsklassificerade EU-uppgifterna skyddas från tillträde av obehöriga.
            
            
               c)Utanför ett säkrat utrymme eller administrativt utrymme, förutsatt att innehavaren har åtagit sig att följa de kompensationsåtgärder som beslutats av säkerhetsmyndigheten för varje EU-institution och EU-organ.
            
            
               9.Säkerhetsskyddsklassificerade EU-uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED ska lagras i låsbara kontorsskåp i ett administrativt utrymme eller säkrat utrymme. De får tillfälligt lagras utanför ett administrativt utrymme eller säkrat utrymme, förutsatt att innehavaren har åtagit sig att lagra de berörda handlingarna i lämpliga låsta kontorsskåp när de inte läses eller diskuteras.
            
         
         
            
               10.EU-institutioner och EU-organ får hantera och lagra uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED utanför sina anläggningar, förutsatt att de relevanta uppgifterna skyddas på lämpligt sätt. För detta ändamål måste EU-institutioner och EU-organ följa de åtgärder som anges i punkt 8 c.
            
            
               11.Uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska hanteras och lagras i något av följande utrymmen:
            
            
               a)I ett säkrat utrymme. 
            
            
               b)I ett administrativt utrymme, förutsatt att de säkerhetsskyddsklassificerade EU-uppgifterna skyddas från tillträde av obehöriga.
            
            
               c)Utanför ett säkrat utrymme eller administrativt utrymme där volymen och tiden är begränsad och förutsatt att innehavaren har åtagit sig att följa de kompensationsåtgärder som beslutats av säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet. Dessutom ska innehavaren av säkerhetsskyddsklassificerade EU-uppgifter vidta följande åtgärder:
            
            
               i)Underrätta den behöriga registreringsenheten om att säkerhetsskyddsklassificerade handlingar hanteras utanför skyddade utrymmen.
            
            
               ii)Ständigt ha handlingen under sin kontroll.
            
            
               12.Uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL och SECRET UE/EU SECRET ska lagras i ett säkrat utrymme som ackrediterats för den nivån av den behöriga ackrediteringsmyndigheten för säkerhet vid den berörda EU-institutionen eller det berörda EU-organet, antingen i ett säkerhetsskåp eller i ett skyddsvalv.
            
            
               13.Handlingar med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre får endast kopieras av relevant registreringsenhet.
            
            
               14.Uppgifter med klassificeringen TRES SECRET UE/EU TOP SECRET ska hanteras och lagras i ett säkrat utrymme som är ackrediterat för den nivån. För detta ändamål får EU-institutioner och EU-organ ingå nödvändiga överenskommelser om att använda ett säkrat utrymme som förvaltas och ackrediteras på lämplig nivå av en annan EU-institutions eller ett annat EU-organs ackrediteringsmyndighet för säkerhet.
            
            
               15.Uppgifter med klassificeringen TRES SECRET UE/EU TOP SECRET ska lagras i ett säkrat utrymme som ackrediterats för den nivån av ackrediteringsmyndigheten för säkerhet vid behörig berörd EU-institution eller berört EU-organ på något av följande villkor:
            
            
               a)I ett säkerhetsskåp som godkänts av säkerhetsmyndigheten vid varje EU-institution och EU-organ med någon av följande kompletterande kontrollåtgärder:
            
            
               i)Kontinuerligt skydd eller kontroll av godkänd säkerhetspersonal eller annan personal. 
            
            
               ii)Ett godkänt intrångsupptäcktssystem i kombination med säkerhetspersonal redo att ingripa.
            
            
               b)Ett skyddsvalv utrustat med intrångsupptäcktssystem i kombination med säkerhetspersonal redo att ingripa.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            
            BILAGA
            till
            förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               BILAGA IV
            
            
               Säkerhetsåtgärder för hantering av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               I denna bilaga avses med kommersiell kurir de nationella posttjänster och privata transportörer som erbjuder en tjänst där handlingar levereras i utbyte mot en avgift och antingen transporteras personligen eller med spårad leverans.
            
            
               Transport av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               1.När så är möjligt ska EU-institutioner och EU-organ som för säkerhetsskyddsklassificerade EU-uppgifter utanför säkrade utrymmen eller administrativa utrymmen skicka dem elektroniskt på lämpligt, ackrediterat sätt eller skydda dem med hjälp av godkända kryptoprodukter.
            
            
               2.När EU-institutioner och EU-organ transporterar säkerhetsskyddsklassificerade EU-uppgifter måste de vidta skyddsåtgärder som uppfyller följande krav:
            
            
               a)Stå i proportion till klassificeringsnivån för de säkerhetsskyddsklassificerade EU-uppgifter som transporteras.
            
            
               b)Vara anpassade till de särskilda villkoren för transporten, samt till arten av och formen för de säkerhetsskyddsklassificerade EU-uppgifter som transporteras.
            
            
               3.Om säkerhetsskyddsklassificerade EU-uppgifter transporteras fysiskt för hand i form av pappersdokument eller på flyttbara lagringsmedier ska de förbli i innehavarens besittning och får inte öppnas förrän de når sin slutdestination.
            
            
               4.Personer eller kurirer som transporterar uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre ska vara säkerhetsbehöriga, informeras om sitt säkerhetsansvar och vid behov förses med ett kuririntyg utfärdat av den behöriga avdelningens registreringsenhet för säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               5.Vakter och ledsagare måste inneha säkerhetsgodkännande för den relevanta nivån och informeras om säkerhetsförfaranden för skydd av säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               6.Vid användning av flyttbara lagringsmedier måste unionens institutioner och organ antingen skydda medierna med hjälp av en kryptoprodukt eller kryptera själva handlingarna.
            
            
               Paketering av säkerhetsskyddsklassificerade EU-uppgifter
            
            
               7.När det gäller paketering av säkerhetsskyddsklassificerade EU-uppgifter måste unionens institutioner och organ säkerställa att innehållet skyddas från insyn.
            
            
               8.Uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED ska transporteras med minst ett lager av ogenomskinligt skydd, t.ex. kuvert, mappar eller en portfölj. Uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre ska transporteras med två lager av ogenomskinligt skydd.
            
            
               9.Ytteremballaget får inte innehålla någon uppgift om innehållets art eller säkerhetsskyddsklassificeringsnivå. Emballagets inre skyddslager ska vara försett med säkerhetsmärkningen för säkerhetsskyddsklassificerade EU-uppgifter. Båda lagren ska innehålla uppgifter om den avsedda mottagarens namn, befattning och adress samt en returadress om leveransen visar sig omöjlig att genomföra.
            
            
               Transport via kommersiell kurir
            
            
               10.Kommersiella kurirer får transportera uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED och CONFIDENTIEL UE/EU CONFIDENTIAL inom en medlemsstat, och från en medlemsstat till en annan. Kommersiella kurirer får leverera uppgifter med klassificeringen SECRET UE/EU SECRET endast inom en medlemsstat och under förutsättning att de har godkänts av den behöriga nationella säkerhetsmyndigheten. Inga säkerhetsskyddsklassificerade EU-uppgifter på nivån TRES SECRET UE/EU TOP SECRET får lämnas till en kommersiell kurir.
            
            
               11.Kommersiella kurirtjänster får leverera försändelser av uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre endast till kontrolltjänstemannen för registreringsenheten, till behörig ersättare eller till den avsedda mottagaren. Ett mottagningsformulär ska placeras inuti emballagets inre kuvert eller skyddslager, vilket mottagaren ska fylla i och returnera. Mottagningsbeviset, som i sig inte är säkerhetsskyddsklassificerat, ska innehålla uppgifter om handlingens referensnummer, datum och kopienummer, men inte själva ämnet.
            
         
         
            
               12.Leveranskvitto krävs i ytterkuvertet eller ytteremballaget. Leveranskvittot, som i sig inte är säkerhetsskyddsklassificerat, ska innehålla uppgifter om handlingens referensnummer, datum och kopienummer, men inte själva ämnet.
            
            
               13.Kurirtjänsten måste erhålla och förse avsändaren med bevis på att försändelsen har levererats enligt namnteckning och packsedel, eller så måste kuriren erhålla mottagningsbevis eller försändelsenummer.
            
            
               14.Avsändaren ska kontakta den namngivna mottagaren innan försändelsen skickas för att komma överens om ett lämpligt datum och klockslag för leverans.
            
            
               15.Kommersiella kurirer får anlita en underleverantör.
            
            
               16.Tjänster som erbjuds av kommersiella kurirer och som omfattar elektronisk överföring av registrerade leveranshandlingar får inte användas för säkerhetsskyddsklassificerade EU-uppgifter.
            
            
               Åtgärder i samband med säkerhetsskyddsklassificerade möten
            
            
               17.Unionens institutioner och organ måste förvarna deltagarna om avsikten att diskutera säkerhetsskyddsklassificerade ämnen under ett möte, och om de motsvarande säkerhetsåtgärder som kommer att tillämpas.
            
            
               18.Unionens institutioner och organ ska kontrollera att deltagarna vid säkerhetsskyddsklassificerade möten har behovsenlig behörighet, och i förekommande fall måste de inneha säkerhetsgodkännande och/eller behörighet på lämplig nivå.
            
            
               19.Unionens institutioner och organ får endast diskutera uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre i en möteslokal som har ackrediterats på lämplig nivå eller högre. På samma sätt får endast ackrediterad it-utrustning användas när säkerhetsskyddsklassificerade uppgifter presenteras under ett möte. Ordföranden ska säkerställa att otillåten bärbar elektronisk utrustning lämnas utanför möteslokalen.
            
            
               20.Mötesarrangörerna för unionens institutioner och organ ska informera sin säkerhetsmyndighet om eventuella externa besökare som kommer att närvara vid ett möte med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller högre som ska äga rum i den berörda EU-institutionens eller det berörda EU-organets lokaler.
            
            
               21.Endast kommunikations- och informationssystem som ackrediterats i enlighet med kapitel 5, avsnitt 5 i denna förordning får användas när säkerhetsskyddsklassificerade uppgifter presenteras under virtuella möten.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            
            BILAGA
            till
            förslag till EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               BILAGA V
            
            
               Skydd av säkerhetsskyddsklassificerade EU-uppgifter i säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               Utöver de definitioner som anges i bilagorna II och IV avses i denna bilaga med säkerhetsgodkännande av verksamhetsställe ett administrativt beslut av en nationell säkerhetsmyndighet, en utsedd säkerhetsmyndighet eller annan behörig säkerhetsmyndighet om att ett verksamhetsställe ur säkerhetssynpunkt kan erbjuda en adekvat nivå av skydd för säkerhetsskyddsklassificerade EU-uppgifter på en angiven säkerhetsskyddsklassificeringsnivå.
            
            
               Tillgång till säkerhetsskyddsklassificerade EU-uppgifter för entreprenörers och underentreprenörers personal
            
            
               1.Varje EU-institution eller EU-organ ska, i egenskap av upphandlande eller beviljande myndighet, säkerställa att säkerhetsskyddsklassificerade kontrakt eller bidragsöverenskommelser innehåller bestämmelser om att personal hos entreprenörer, underentreprenörer eller bidragsmottagare som för att kunna genomföra kontraktet, underentreprenörskontraktet eller bidragsöverenskommelsen behöver tillgång till säkerhetsskyddsklassificerade EU-uppgifter ska beviljas sådan tillgång endast om följande villkor är uppfyllda:
            
            
               a)Det har fastställts att denna personal har behovsenlig behörighet.
            
            
               b)För uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska personalen ha tilldelats ett personalsäkerhetsgodkännande på lämplig nivå från berörd nationell säkerhetsmyndighet, utsedd säkerhetsmyndighet eller annan behörig säkerhetsmyndighet.
            
            
               c)Personalen har informerats om tillämpliga säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter och bekräftat sitt ansvar när det gäller att skydda sådana uppgifter.
            
            
               2.Om en entreprenör eller bidragsmottagare vill anställa en person som är medborgare i tredjeland på en tjänst som kräver tillgång till uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET åligger det entreprenören eller bidragsmottagaren att inleda ett förfarande för säkerhetsgodkännande för personen i enlighet med nationella lagar och andra författningar som är tillämpliga på den plats där tillgången till säkerhetsskyddsklassificerade EU-uppgifter ska godkännas.
            
            
               Säkerhetsgodkännande av verksamhetsställe
            
            
               3.Ett säkerhetsgodkännande av verksamhetsställe beviljas av en medlemsstats nationella säkerhetsmyndighet, utsedda säkerhetsmyndighet eller annan behörig säkerhetsmyndighet som en indikation på att en enhet, i enlighet med nationella lagar och andra författningar, kan skydda säkerhetsskyddsklassificerade EU-uppgifter på lämplig säkerhetsskyddsklassificeringsnivå (CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET) inom sina verksamhetsställen.
            
            
               4.En EU-institution eller ett EU-organ måste, i egenskap av upphandlande eller beviljande myndighet, genom sin säkerhetsmyndighet underrätta den berörda nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller annan behörig säkerhetsmyndighet i de fall då ett säkerhetsgodkännande av verksamhetsställe krävs för att fullgöra kontraktet eller bidragsöverenskommelsen.
            
            
               5.Ett säkerhetsgodkännande av verksamhetsställe krävs när uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET måste lämnas till de anbudssökandes, anbudsgivarnas eller sökandenas verksamhetsställen under upphandlings- eller bidragsförfarandets gång.
            
            
               6.En EU-institution eller ett EU-organ måste, i egenskap av upphandlande eller beviljande myndighet, genom sin säkerhetsmyndighet ha mottagit en bekräftelse på ett säkerhetsgodkännande av verksamhetsställe för den anbudssökande, anbudsgivaren eller entreprenören, eller för den bidragssökande eller bidragsmottagaren, innan tillgång till säkerhetsskyddsklassificerade EU-uppgifter beviljas. 
            
            
               7.I de fall då medlemsstaterna inte utfärdar säkerhetsgodkännanden för verksamhetsställe för vissa anläggningar enligt nationell lagstiftning ska den upphandlande eller beviljande myndigheten kontrollera med den berörda nationella säkerhetsmyndigheten eller den utsedda säkerhetsmyndigheten om dessa anläggningar kan hantera säkerhetsskyddsklassificerade EU-uppgifter på den nivå som krävs.
            
            
               8.Med undantag för de fall som avses i punkt 7 får EU-institutionen eller EU-organet, i egenskap av upphandlande myndighet, inte underteckna ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse innan institutionen eller organet, genom sin säkerhetsmyndighet, fått bekräftelse från den berörda nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller annan behörig nationell myndighet om att ett lämpligt säkerhetsgodkännande av verksamhetsställe har utfärdats.
            
            
               9.Återkallande av ett säkerhetsgodkännande av verksamhetsställe av den berörda nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller annan behörig säkerhetsmyndighet utgör tillräcklig grund för den upphandlande eller beviljande myndigheten att säga upp ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse, eller utestänga en anbudssökande, anbudsgivare eller sökande från förfarandet.
            
            
               Bestämmelser om upphandling och genomförande av säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               10.När säkerhetsskyddsklassificerade EU-uppgifter lämnas till en anbudssökande, anbudsgivare eller sökande under ett upphandlings- eller urvalsförfarande, måste inbjudan att lämna anbud eller inbjudan att lämna förslag innehålla ett krav på att den anbudssökande, anbudsgivare eller sökande som inte väljs ut ska återlämna alla säkerhetsskyddsklassificerade handlingar inom en viss tid.
            
         
         
            
               11.I regel ska entreprenören eller bidragsmottagaren vara skyldig att återlämna alla säkerhetsskyddsklassificerade EU-uppgifter som denna innehar till den upphandlande eller beviljande myndigheten när det säkerhetsskyddsklassificerade kontraktet eller den säkerhetsskyddsklassificerade bidragsöverenskommelsen upphör att gälla eller när en bidragsmottagares deltagande avslutas.
            
            
               12.Särskilda bestämmelser för förfogandet över säkerhetsskyddsklassificerade EU-uppgifter under fullgörandet av ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse, eller efter det att kontraktet eller bidragsöverenskommelsen upphört att gälla, ska fastställas i säkerhetsskyddsöverenskommelsen.
            
            
               13.Om entreprenören eller bidragsmottagaren har rätt att behålla säkerhetsskyddsklassificerade EU-uppgifter efter det att ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse har upphört att gälla, måste entreprenören eller bidragsmottagaren fortsätta att uppfylla miniminormerna i denna förordning och skydda sekretessen för de säkerhetsskyddsklassificerade EU-uppgifterna.
            
            
               14.De relevanta villkoren för skydd av säkerhetsskyddsklassificerade EU-uppgifter enligt vilka entreprenören eller bidragsmottagaren får anlita underentreprenörer måste fastställas i inbjudan att lämna anbud eller inbjudan att lämna förslag och i det säkerhetsskyddsklassificerade kontraktet eller den säkerhetsskyddsklassificerade bidragsöverenskommelsen.
            
            
               15.En entreprenör eller bidragsmottagare måste erhålla tillstånd från den upphandlande eller beviljande myndigheten innan någon del av ett säkerhetsskyddsklassificerat kontrakt eller säkerhetsskyddsklassificerade delar av en bidragsöverenskommelse läggs ut på underentreprenad.
            
            
               16.Entreprenören eller bidragsmottagaren måste vara ansvarig för att säkerställa att all underentreprenad utförs i enlighet med de miniminormer som fastställts i denna förordning och får inte lämna ut säkerhetsskyddsklassificerade EU-uppgifter till en underentreprenör utan föregående skriftligt medgivande från den upphandlande eller beviljande myndigheten.
            
            
               17.När det gäller säkerhetsskyddsklassificerade EU-uppgifter som skapats av entreprenören eller bidragsmottagaren anses den EU-institution eller det EU-organ som är den upphandlande eller beviljande myndigheten vara upphovsman och utövar de rättigheter som tillfaller upphovsmannen.
            
            
               18.I de fall då medlemsstater kräver ett säkerhetsgodkännande av verksamhetsställe eller ett personalsäkerhetsgodkännande för kontrakt, bidragsöverenskommelser eller underentreprenörsavtal med klassificeringen RESTREINT UE/EU RESTRICTED enligt den statens nationella lagar och andra författningar, får EU-institutioner och EU-organ, i egenskap av upphandlande eller beviljande myndigheter, inte använda dessa nationella krav för att ställa ytterligare krav på andra medlemsstater, eller utesluta anbudsgivare, sökande, entreprenörer, bidragsmottagare eller underentreprenörer från medlemsstater som inte kräver säkerhetsgodkännande av verksamhetsställe eller personalsäkerhetsgodkännande för tillgång till uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED från relaterade kontrakt, bidragsöverenskommelser eller underentreprenörsavtal, eller från själva upphandlingen.
            
            
               Besök med anknytning till säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               19.När EU-institutioner och EU-organ, entreprenörer, bidragsmottagare eller underentreprenörer behöver få tillgång till uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET i varandras lokaler inom ramen för genomförandet av ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse, måste besöken anordnas i samarbete med de berörda nationella säkerhetsmyndigheterna, utsedda säkerhetsmyndigheterna eller andra behöriga säkerhetsmyndigheter.
            
            
               20.Följande krav ska ställas på de besök som avses i punkt 19:
            
            
               a)Besöket måste ha ett officiellt syfte med anknytning till ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse.
            
            
               b)Besökarna måste inneha ett personalsäkerhetsgodkännande på lämplig nivå samt behovsenlig behörighet för att få tillgång till säkerhetsskyddsklassificerade EU-uppgifter som används eller genereras vid fullgörandet av ett säkerhetsskyddsklassificerat kontrakt eller en säkerhetsskyddsklassificerad bidragsöverenskommelse.
            
            
               c)En formell begäran om besök måste lämnas in, antingen till verksamhetsställets nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet eller till säkerhetsmyndigheten vid den berörda EU-institutionen eller det berörda EU-organet, minst 15 dagar före datumet för besöket.
            
            
               21.Inom ramen för specifika projekt kan den berörda nationella säkerhetsmyndigheten eller utsedda säkerhetsmyndigheten och den berörda EU-institutionens eller det berörda EU-organets säkerhetsmyndighet enas om ett förfarande som innebär att besök i samband med ett visst säkerhetsskyddsklassificerat kontrakt eller en viss säkerhetsskyddsklassificerad bidragsöverenskommelse kan anordnas direkt mellan besökarens säkerhetsansvariga och den säkerhetsansvariga vid det verksamhetsställe som ska besökas. Ett sådant undantagsförfarande måste anges i säkerhetsanvisningarna för programmet eller projektet eller genom andra särskilda arrangemang.
            
            
               22.Besök som innebär tillgång till uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED måste anordnas direkt mellan den sändande och den mottagande parten.
            
            
               Elektronisk överföring av säkerhetsskyddsklassificerade EU-uppgifter i samband med säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               23.Elektronisk hantering och överföring av säkerhetsskyddsklassificerade EU-uppgifter ska ske i enlighet med avsnitt 5 i kapitel 5.
            
            
               De kommunikations- och informationssystem som ägs av en entreprenör, bidragsmottagare eller underentreprenör och som används för att hantera och lagra säkerhetsskyddsklassificerade EU-uppgifter för fullgörandet av kontraktet eller bidragsöverenskommelsen måste vara föremål för ackreditering av ackrediteringsmyndigheten för säkerhet i det land eller den internationella organisation under vars överinseende entreprenören, bidragsmottagaren eller underentreprenören arbetar.
            
            
               All elektronisk överföring av säkerhetsskyddsklassificerade EU-uppgifter inom ramen för säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser måste skyddas genom kryptoprodukter som godkänts i enlighet med artikel 42.
            
         
         
            
               24.Säkerhetsackrediteringen av entreprenörers eller bidragsmottagares kommunikations- och informationssystem för hantering av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED och all sammankoppling av sådana system får delegeras till entreprenörens eller bidragsmottagarens säkerhetsansvariga om detta är tillåtet enligt nationella lagar och andra författningar.
            
            
               Om säkerhetsackrediteringen delegeras måste entreprenören eller bidragsmottagaren vara ansvarig för tillämpningen av säkerhetskraven enligt säkerhetsskyddsöverenskommelsen vid hantering av uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED i sitt kommunikations- och informationssystem. De berörda nationella säkerhetsmyndigheterna eller nationella säkerhetsmyndigheterna och ackrediteringsmyndigheterna för säkerhet behåller ansvaret för att skydda uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED som hanteras eller lagras av entreprenören eller bidragsmottagaren samt rätten att inspektera entreprenörens eller bidragsmottagarens säkerhetsåtgärder.
            
            
               Entreprenören eller bidragsmottagaren måste dessutom förse EU-institutionen och EU-organet, i egenskap av upphandlande eller beviljande myndighet, och om så krävs enligt nationella lagar och andra författningar även den behöriga nationella ackrediteringsmyndigheten för säkerhet, med ett överensstämmelseintyg som styrker att entreprenörens eller bidragsmottagarens kommunikations- och informationssystem och därmed sammankopplade system har ackrediterats för hantering och lagring av säkerhetsskyddsklassificerade EU-uppgifter på nivån RESTREINT UE/EU RESTRICTED.
            
            
               Personligt överlämnande av säkerhetsskyddsklassificerade EU-uppgifter i samband med säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               25.Personligt överlämnande av säkerhetsskyddsklassificerade uppgifter som rör säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser måste omfattas av stränga säkerhetskrav.
            
            
               26.Uppgifter med klassificeringen RESTREINT UE/EU RESTRICTED får överlämnas personligen av entreprenörens eller bidragsmottagarens personal inom EU om följande krav är uppfyllda:
            
            
               a)Det kuvert eller emballage som används ska vara ogenomskinligt och får inte ange att innehållet är säkerhetsskyddsklassificerat.
            
            
               b)Budet har ständig uppsikt över de säkerhetsskyddsklassificerade uppgifterna.
            
            
               c)Kuvertet eller emballaget öppnas först när det når sin slutdestination.
            
            
               27.När det gäller uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET ska personligt överlämnande via entreprenörens eller bidragsmottagarens personal inom en medlemsstat överenskommas i förväg mellan den sändande och den mottagande parten.
            
            
               Den myndighet eller det verksamhetsställe som är avsändare ska informera den myndighet eller det verksamhetsställe som är mottagare om försändelsens närmare detaljer, däribland referens, klassificering, förväntad ankomsttid och kurirens namn. Personligt överlämnande är tillåtet om följande krav är uppfyllda:
            
            
               a)De säkerhetsskyddsklassificerade uppgifterna ligger i dubbla kuvert eller emballage.
            
            
               b)Det yttre kuvertet eller emballaget ska vara säkrat och får inte ange att innehållet är säkerhetsskyddsklassificerat, medan det inre kuvertet ska vara märkt med relevant säkerhetsskyddsklassificeringsnivå.
            
            
               c)Budet har ständig uppsikt över de säkerhetsskyddsklassificerade EU-uppgifterna.
            
            
               d)Kuvertet eller emballaget öppnas först när det når sin slutdestination.
            
            
               e)Kuvertet eller emballaget ska fraktas i en låsbar portfölj eller liknande godkänd väska av sådan storlek och vikt att budet hela tiden kan bära den med sig.
            
            
               f)Kuriren ska inneha ett kuririntyg utfärdat av dennes behöriga säkerhetsmyndighet som ger kuriren behörighet att överlämna den angivna säkerhetsskyddsklassificerade försändelsen.
            
            
               28.När det gäller personligt överlämnande via entreprenörens eller bidragsmottagarens personal av uppgifter med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET från en medlemsstat till en annan ska följande tilläggsbestämmelser tillämpas utöver de krav som anges i punkt 27:
            
            
               a)Kuriren ansvarar för säker förvaring av det säkerhetsskyddsklassificerade materialet till dess att det har överlämnats till mottagaren.
            
            
               b)Vid säkerhetsöverträdelser kan avsändarens nationella säkerhetsmyndighet eller utsedda säkerhetsmyndighet begära att myndigheterna i det land där överträdelsen ägde rum ska genomföra en utredning, rapportera sina resultat och vidta rättsliga eller andra lämpliga åtgärder.
            
         
         
            
               c)Kuriren måste ha fått information om samtliga säkerhetsförpliktelser avseende överlämnandet och måste ha undertecknat en bekräftelse därom.
            
            
               d)Instruktionerna för kuriren måste bifogas kuririntyget.
            
            
               e)Kuriren måste få en beskrivning av försändelsen samt en resväg.
            
            
               f)Kuririntyget och tillhörande handlingar måste återlämnas till den utfärdande nationella säkerhetsmyndigheten eller den utsedda säkerhetsmyndigheten när resan eller resorna har slutförts, eller hållas tillgängliga av mottagaren av kuririntyget i uppföljningssyfte.
            
            
               g)Om tullen, migrationsmyndigheterna eller gränspolisen ber att få undersöka och kontrollera försändelsen måste de få tillåtelse att öppna och se tillräckliga delar av försändelsen för att kunna fastställa att den inte innehåller annat material än det som deklarerats.
            
            
               h)Tullmyndigheterna bör uppmanas att beakta den officiella ställning som budets transportdokument och tillstånd har.
            
            
               Om försändelsen öppnas av tullen ska det ske utom synhåll för obehöriga och om möjligt i kurirens närvaro. Kuriren måste begära att försändelsen återförpackas samt be de myndigheter som utfört kontrollen att återförsegla försändelsen och skriftligen bekräfta att den öppnats av dem.
            
            
               29.Personligt överlämnande via entreprenörens eller bidragsmottagarens personal av uppgifter med klassificering upp till nivån SECRET UE/EU SECRET till tredjeland eller till en internationell organisation omfattas av bestämmelserna i det informationssäkerhetsavtal som ingåtts mellan EU och det berörda tredjelandet eller den berörda internationella organisationen.
            
            
               Transport av säkerhetsskyddsklassificerade EU-uppgifter med kommersiella kurirer och som frakt i samband med säkerhetsskyddsklassificerade kontrakt och bidragsöverenskommelser
            
            
               30.Kommersiella kurirers transport av säkerhetsskyddsklassificerade EU-uppgifter ska ske i enlighet med de relevanta bestämmelserna i bilaga IV.
            
            
               31.Följande principer måste gälla vid fastställandet av säkerhetsarrangemangen för transport av säkerhetsskyddsklassificerat material som frakt:
            
            
               a)Säkerheten måste garanteras i alla skeden av transporten, från ursprungsplatsen till slutdestinationen.
            
            
               b)Den skyddsnivå som ska gälla en försändelse måste motsvara den högsta säkerhetsskyddsklassificeringsnivån för det material som försändelsen innehåller.
            
            
               c)Ett säkerhetsgodkännande av verksamhetsställe på lämplig nivå måste inhämtas för företag som hanterar transporten. I sådana fall måste den personal som hanterar försändelsen inneha ett säkerhetsgodkännande.
            
            
               d)Innan material med klassificeringen CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET förflyttas över en gräns måste avsändaren upprätta en transportplan som ska godkännas av den berörda nationella säkerhetsmyndigheten, utsedda säkerhetsmyndigheten eller annan behörig säkerhetsmyndighet.
            
            
               e)Resorna måste i möjligaste mån ske utan omvägar och slutföras så snabbt som omständigheterna medger.
            
            
               f)När så är möjligt måste rutterna helt och hållet förläggas inom medlemsstaterna. Rutter får förläggas genom tredjeländer endast om de har godkänts av den nationella säkerhetsmyndigheten, den utsedda säkerhetsmyndigheten eller någon annan behörig säkerhetsmyndighet i både avsändarens och mottagarens stater.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               EUROPEISKA KOMMISSIONEN
            Bryssel den 22.3.2022
            COM(2022) 119 final
            
            Proposal for a
            BILAGA
            till
            EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING
            om informationssäkerhet i unionens institutioner, organ och byråer
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               BILAGA VI
            
            
               Jämförelsetabell för säkerhetsskyddsklassificeringsnivåer
            
            
               Medlemsstaternas och Euratoms likvärdiga säkerhetsskyddsklassificeringar
            
            
                     
                        EU
                     
                  
                  
                     
                        TRES SECRET UE/EU TOP SECRET
                     
                  
                  
                     
                        SECRET UE/EU SECRET
                     
                  
                  
                     
                        CONFIDENTIEL UE/EU CONFIDENTIAL
                     
                  
                  
                     
                        RESTREINT UE/EU RESTRICTED
                     
                  
               
                     
                        EURATOM
                     
                  
                  
                     
                        EURA TOP SECRET
                     
                  
                  
                     
                        EURA SECRET
                     
                  
                  
                     
                        EURA CONFIDENTIAL
                     
                  
                  
                     
                        EURA RESTRICTED
                     
                  
               
                     
                        Belgien
                     
                  
                  
                     
                        Très Secret (Loi 11.12.1998)
                     
                     
                        Zeer Geheim (Wet 11.12.1998)
                     
                  
                  
                     
                        Secret (Loi 11.12.1998)
                     
                     
                        Geheim (Wet 1.12.1998)
                     
                  
                  
                     
                        Confidentiel (Loi 11.12.1998)
                     
                     
                        Vertrouwelijk (Wet 11.12.1998)
                     
                  
                  
                     
                        se fotnot
                           1
                         nedan
                     
                  
               
                     
                        Bulgarien
                     
                  
                  
                     
                        Cтpoгo ceкретно
                     
                  
                  
                     
                        Ceкретно
                     
                  
                  
                     
                        Поверително
                     
                  
                  
                     
                        За служебно ползване
                     
                  
               
                     
                        Tjeckien
                     
                  
                  
                     
                        Přísně tajné
                     
                  
                  
                     
                        Tajné
                     
                  
                  
                     
                        Důvěrné
                     
                  
                  
                     
                        Vyhrazené
                     
                  
               
                     
                        Danmark
                     
                  
                  
                     
                        YDERST HEMMELIGT
                     
                  
                  
                     
                        HEMMELIGT
                     
                  
                  
                     
                        FORTROLIGT
                     
                  
                  
                     
                        TIL TJENESTEBRUG
                     
                  
               
                     
                        Tyskland
                     
                  
                  
                     
                        STRENG GEHEIM
                     
                  
                  
                     
                        GEHEIM
                     
                  
                  
                     
                        VS
                           2
                         — VERTRAULICH
                     
                  
                  
                     
                        VS — NUR FÜR DEN DIENSTGEBRAUCH
                     
                  
               
                     
                        Estland
                     
                  
                  
                     
                        Täiesti salajane
                     
                  
                  
                     
                        Salajane
                     
                  
                  
                     
                        Konfidentsiaalne
                     
                  
                  
                     
                        Piiratud
                     
                  
               
                     
                        Irland
                     
                  
                  
                     
                        Top Secret
                     
                  
                  
                     
                        Secret
                     
                  
                  
                     
                        Confidential
                     
                  
                  
                     
                        Restricted
                     
                  
               
                     
                        Grekland
                     
                  
                  
                     
                        Άκρως Απόρρητο
                     
                     
                        Förkortn.: (ΑΑΠ)
                     
                  
                  
                     
                        Απόρρητο
                     
                     
                        Förkortn.: (ΑΠ)
                     
                  
                  
                     
                        Εμπιστευτικό
                     
                     
                        Förkortn.: (ΕΜ)
                     
                  
                  
                     
                        Περιορισμένης Χρήσης
                     
                     
                        Förkortn.: (ΠΧ)
                     
                  
               
                     
                        Spanien
                     
                  
                  
                     
                        SECRETO
                     
                  
                  
                     
                        RESERVADO
                     
                  
                  
                     
                        CONFIDENCIAL
                     
                  
                  
                     
                        DIFUSIÓN LIMITADA
                     
                  
               
                     
                        Frankrike
                     
                  
                  
                     
                        TRÈS SECRET
                     
                     
                        TRÈS SECRET DÉFENSE
                           3
                        
                     
                  
                  
                     
                        SECRET
                     
                     
                        SECRET DÉFENSE(3)
                     
                  
                  
                     
                        CONFIDENTIEL DÉFENSE (3) 
                           4
                        
                     
                  
                  
                     
                        se fotnot
                           5
                         nedan
                     
                  
               
                     
                        Kroatien
                     
                  
                  
                     
                        VRLO TAJNO
                     
                  
                  
                     
                        TAJNO
                     
                  
                  
                     
                        POVJERLJIVO
                     
                  
                  
                     
                        OGRANIČENO
                     
                  
               
                     
                        Italien
                     
                  
                  
                     
                        Segretissimo
                     
                  
                  
                     
                        Segreto
                     
                  
                  
                     
                        Riservatissimo
                     
                  
                  
                     
                        Riservato
                     
                  
               
                     
                        Cypern
                     
                  
                  
                     
                        Άκρως Απόρρητο
                     
                     
                        Förkortn.: (ΑΑΠ)
                     
                  
                  
                     
                        Απόρρητο
                     
                     
                        Förkortn.: (ΑΠ)
                     
                  
                  
                     
                        Εμπιστευτικό
                     
                     
                        Förkortn.: (ΕΜ)
                     
                  
                  
                     
                        Περιορισμένης Χρήσης
                     
                     
                        Förkortn.: (ΠΧ)
                     
                  
               
                     
                        Lettland
                     
                  
                  
                     
                        Sevišķi slepeni
                     
                  
                  
                     
                        Slepeni
                     
                  
                  
                     
                        Konfidenciāli
                     
                  
                  
                     
                        Dienesta vajadzībām
                     
                  
               
                     
                        Litauen
                     
                  
                  
                     
                        Visiškai slaptai
                     
                  
                  
                     
                        Slaptai
                     
                  
                  
                     
                        Konfidencialiai
                     
                  
                  
                     
                        Riboto naudojimo
                     
                  
               
                     
                        Luxemburg
                     
                  
                  
                     
                        Très Secret Lux
                     
                  
                  
                     
                        Secret Lux
                     
                  
                  
                     
                        Confidentiel Lux
                     
                  
                  
                     
                        Restreint Lux
                     
                  
               
                     
                        Ungern
                     
                  
                  
                     
                        Szigorúan titkos!
                     
                  
                  
                     
                        Titkos!
                     
                  
                  
                     
                        Bizalmas!
                     
                  
                  
                     
                        Korlátozott terjesztésű!
                     
                  
               
                     
                        Malta
                     
                  
                  
                     
                        L-Ogħla Segretezza
                     
                     
                        Top Secret
                     
                  
                  
                     
                        Sigriet
                     
                     
                        Secret
                     
                  
                  
                     
                        Kunfidenzjali
                     
                     
                        Confidential
                     
                  
                  
                     
                        Ristrett
                     
                     
                        Restricted
                           6
                        
                     
                  
               
                     
                        Nederländerna
                     
                  
                  
                     
                        Stg. ZEER GEHEIM
                     
                  
                  
                     
                        Stg. GEHEIM
                     
                  
                  
                     
                        Stg. CONFIDENTIEEL
                     
                  
                  
                     
                        Dep. VERTROUWELIJK
                     
                  
               
                     
                        Österrike
                     
                  
                  
                     
                        Streng Geheim
                     
                  
                  
                     
                        Geheim
                     
                  
                  
                     
                        Vertraulich
                     
                  
                  
                     
                        Eingeschränkt
                     
                  
               
                     
                        Polen
                     
                  
                  
                     
                        Ściśle Tajne
                     
                  
                  
                     
                        Tajne
                     
                  
                  
                     
                        Poufne
                     
                  
                  
                     
                        Zastrzeżone
                     
                  
               
                     
                        Portugal
                     
                  
                  
                     
                        Muito Secreto
                     
                  
                  
                     
                        Secreto
                     
                  
                  
                     
                        Confidencial
                     
                  
                  
                     
                        Reservado
                     
                  
               
                     
                        Rumänien
                     
                  
                  
                     
                        Strict secret de importanță deosebită
                     
                  
                  
                     
                        Strict secret
                     
                  
                  
                     
                        Secret
                     
                  
                  
                     
                        Secret de serviciu
                     
                  
               
                     
                        Slovenien
                     
                  
                  
                     
                        STROGO TAJNOt
                     
                  
                  
                     
                        TAJNO
                     
                  
                  
                     
                        ZAUPNO
                     
                  
                  
                     
                        INTERNO
                     
                  
               
                     
                        Slovakien
                     
                  
                  
                     
                        Prísne tajné
                     
                  
                  
                     
                        Tajné
                     
                  
                  
                     
                        Dôverné
                     
                  
                  
                     
                        Vyhradené
                     
                  
               
                     
                        Finland
                     
                  
                  
                     
                        ERITTÄIN SALAINEN
                     
                     
                        YTTERST HEMLIG
                     
                  
                  
                     
                        SALAINEN
                     
                     
                        HEMLIG
                     
                  
                  
                     
                        LUOTTAMUKSELLINEN
                     
                     
                        KONFIDENTIELL
                     
                  
                  
                     
                        KÄYTTÖ RAJOITETTU
                     
                     
                        BEGRÄNSAD TILLGÅNG
                     
                  
               
                     
                        Sverige 
                     
                  
                  
                     
                        Kvalificerat hemlig
                     
                  
                  
                     
                        Hemlig
                     
                  
                  
                     
                        Konfidentiell
                     
                  
                  
                     
                        Begränsat hemlig
                     
                  
               
         
         
            
                  
                     (1)
                  
                        Diffusion Restreinte/Beperkte Verspreiding är inte en säkerhetsskyddsklassificering i Belgien. Belgien hanterar och skyddar uppgifter med säkerhetsskyddsklassificering RESTREINT UE/EU RESTRICTED enligt avtalet mellan medlemsstaterna, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i EU:s intresse (2011/C 202/05).
               
               
                  
                     (2)
                  
                        Tyskland: VS = Verschlusssache.
               
               
                  
                     (3)
                  
                        Uppgifter som framställts av Frankrike före den 1 juli 2021 med säkerhetsskyddsklassificeringarna TRÈS SECRET DÉFENSE, SECRET DÉFENSE och CONFIDENTIEL DÉFENSE hanteras och skyddas även i fortsättningen på motsvarande nivå TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET respektive CONFIDENTIEL UE/EU CONFIDENTIAL.
               
               
                  
                     (4)
                  
                        Frankrike hanterar och skyddar uppgifter med säkerhetsskyddsklassificering CONFIDENTIEL UE/EU CONFIDENTIAL i enlighet med de franska säkerhetsåtgärderna för att skydda uppgifter med säkerhetsskyddsklassificering SECRET. 
               
               
                  
                     (5)
                  
                        Frankrike använder inte säkerhetsskyddsklassificeringen RESTREINT i sitt nationella system. Frankrike hanterar och skyddar uppgifter med säkerhetsskyddsklassificering RESTREINT UE/EU RESTRICTED enligt avtalet mellan medlemsstaterna, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i EU:s intresse (2011/C 202/05).
               
               
                  
                     (6)
                  
                        I Maltas fall kan klassificeringarna anges antingen på maltesiska eller på engelska.