CELEX: 52022PC0119
Language: pt
Date: 2022-03-22
Title: Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativo à segurança da informação nas instituições, órgãos e organismos da União

COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            2022/0084(COD)
            
            Proposta de
            REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               EXPOSIÇÃO DE MOTIVOS
            
            
               1.CONTEXTO DA PROPOSTA
            
            
               •Razões e objetivos da proposta
            
            
               A presente proposta faz parte da Estratégia da UE para a União da Segurança
                  1
               , adotada pela Comissão em 24 de julho de 2020, e que estabelece o seu compromisso de adicionar o valor acrescentado da União Europeia aos esforços nacionais no domínio da segurança. Parte deste compromisso é a iniciativa de racionalizar os quadros jurídicos internos em matéria de segurança da informação em todas as instituições e organismos da União.
            
            
               Uma característica fundamental da Agenda Estratégica para 2019-2024, adotada pelo Conselho Europeu em junho de 2019, é proteger as nossas sociedades das ameaças em permanente evolução que visam as informações tratadas pelas instituições e organismos. Nas suas conclusões
                  2
               , o Conselho Europeu convidou «as instituições da UE a trabalharem, em conjunto com os Estados-Membros, em medidas para reforçar a resiliência e melhorar a cultura de segurança da UE contra ciberameaças e ameaças híbridas provenientes do exterior da UE, bem como para proteger melhor as redes de informação e comunicação da UE, e os seus processos de tomada de decisões, de todo o tipo de atividades mal-intencionadas».
            
            
               No mesmo sentido, o Conselho dos Assuntos Gerais de dezembro de 2019
                  3
                concluiu que as instituições e organismos da UE, apoiados pelos Estados-Membros, devem desenvolver e aplicar um conjunto abrangente de medidas para garantir a sua segurança. Tal reflete um pedido de longa data do Comité de Segurança do Conselho no sentido de ponderar um núcleo comum de regras de segurança para o Conselho, a Comissão e o Serviço Europeu para a Ação Externa
                  4
               .
            
            
               Atualmente, as instituições e organismos da União têm as suas próprias regras em matéria de segurança da informação, com base no seu regulamento interno ou ato constitutivo, ou não dispõem de quaisquer regras de segurança da informação. Tal é sobretudo o caso de algumas pequenas entidades, que não dispõem de políticas formais de segurança da informação. 
            
            
               Devido ao número crescente de informações sensíveis não classificadas e de informações classificadas da União Europeia (ICUE) que as instituições e organismos da União têm de partilhar entre si, e tendo em conta a evolução dramática do panorama das ameaças, a administração europeia está exposta a ataques em todas as suas áreas de atividade. As informações tratadas pelas nossas instituições e organismos são muito atrativas para os perpetradores de ameaças e devem ser devidamente protegidas. Tal exige uma ação rápida com vista a reforçar a sua proteção.
            
            
               Por conseguinte, e a fim de aumentar a proteção das informações tratadas pela administração europeia, a presente iniciativa visa racionalizar os diferentes quadros jurídicos das instituições e organismos da União neste domínio, nomeadamente através:
            
            
               •Do estabelecimento de categorias harmonizadas e abrangentes de informações, bem como de regras comuns de tratamento para todas as instituições e organismos da União; 
            
            
               •Da criação de um sistema de cooperação simplificado em matéria de segurança da informação entre as instituições e organismos da União, capaz de promover uma cultura coerente de segurança da informação em toda a administração europeia;
            
            
               •Da modernização das políticas de segurança da informação a todos os níveis de classificação/categorização, para todas as instituições e organismos da União, tendo em conta a transformação digital e o desenvolvimento do teletrabalho como prática estrutural.
            
            
               •Coerência com as disposições vigentes no mesmo domínio de intervenção
            
            
               Esta iniciativa está em conformidade com uma vasta gama de políticas da UE no domínio da segurança e da segurança da informação.
            
            
               Em 2016, o Parlamento Europeu e o Conselho adotaram uma diretiva
                  5
                relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União. Esta diretiva foi a primeira medida legislativa a nível da UE destinada a aumentar a cooperação entre os Estados-Membros em matéria de cibersegurança. Embora a Comissão tenha adotado, em dezembro de 2020, uma proposta de revisão deste instrumento, introduzindo medidas de supervisão para as autoridades nacionais, a administração da União ainda não é abrangida pelo seu âmbito de aplicação. 
            
            
               No mesmo sentido, e para complementar os esforços dos Estados-Membros no domínio da segurança, é da maior importância que as instituições e organismos da União alcancem um elevado nível de proteção das suas informações e dos respetivos sistemas de informação e comunicação, a fim de salvaguardar a segurança da informação.
            
            
               Em julho de 2020, a Comissão adotou a Estratégia para a União da Segurança
                  6
               , que estabelece um compromisso global da UE no sentido de complementar os esforços dos Estados-Membros em todos os domínios da segurança. Esta estratégia decorre entre 2020 e 2025 e define quatro pilares principais de ação: um ambiente de segurança adequado às exigências do futuro, fazer face a ameaças em constante evolução, proteger os europeus do terrorismo e da criminalidade organizada e um ecossistema de segurança europeu sólido. Vários dos temas abordados no âmbito destes pilares centram-se na segurança da informação, na cibersegurança, na cooperação e no intercâmbio de informações, e nas infraestruturas críticas.
            
            
               Em consonância com a Estratégia para a União da Segurança, a Comissão Europeia propõe a criação de um conjunto mínimo de regras em matéria de segurança da informação em todas as instituições e organismos da União, o que dará origem a normas comuns obrigatórias e elevadas para o intercâmbio seguro de informações. Esta iniciativa representa o compromisso das instituições e organismos no sentido de estabelecer, no âmbito da administração europeia, o mesmo nível de ambição no domínio da segurança que é exigido aos Estados-Membros.
            
            
               Em 16 de dezembro de 2020, a Comissão e o Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança apresentaram uma nova Estratégia da UE para a Cibersegurança
                  7
               . Esta estratégia define as prioridades e ações-chave para reforçar a resiliência, a autonomia, a liderança e a capacidade operacional da Europa face a ameaças crescentes e complexas às suas redes e sistemas de informação, bem como para promover um ciberespaço mundial e aberto e as respetivas parcerias internacionais. É igualmente importante que as instituições e organismos da União contribuam para a concretização destas prioridades, estabelecendo requisitos equivalentes nos domínios da segurança da informação e da cibersegurança. 
            
         
         
            
               A presente proposta, juntamente com a proposta de regulamento que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União, procura completar o quadro regulamentar da Estratégia para a União da Segurança com requisitos específicos para a administração europeia. Tendo em conta as interligações entre a segurança da informação e a cibersegurança, deve ser assegurada uma abordagem coerente da proteção das informações não classificadas entre estas duas propostas.
            
            
               •Coerência com as outras políticas da União
            
            
               A presente iniciativa tem igualmente em conta outras políticas da União relevantes para a segurança da informação. 
            
            
               No domínio da proteção de dados, e aplicável à administração da União Europeia e da Comunidade Europeia da Energia Atómica («Euratom»), existe o Regulamento (UE) 2018/1725
                  8
                relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados. No mesmo sentido, importa mencionar que, para algumas instituições e organismos da União, os legisladores da UE adotaram regras específicas pertinentes em matéria de proteção de dados pessoais.
            
            
               No domínio da transparência, a presente proposta baseia-se nos princípios consagrados no Regulamento (CE) n.º 1049/2001
                  9
                relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão, no que diz respeito a outras regras pertinentes.
            
            
               2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE
            
            
               •Base jurídica
            
            
               Tendo em conta o objetivo e o conteúdo da presente proposta, a sua base jurídica mais adequada é o artigo 298.º do Tratado sobre o Funcionamento da União Europeia (TFUE) e o artigo 106.º-A do Tratado que institui a Comunidade Europeia da Energia Atómica. 
            
            
               O artigo 298.º do TFUE foi introduzido pelo Tratado de Lisboa e permite que os legisladores estabeleçam disposições com vista à criação de uma administração eficiente e independente que apoie as instituições, órgãos e organismos no desempenho da sua missão.  
            
            
               Uma administração eficiente e independente depende da segurança das suas informações. A fim de cumprirem a sua missão, as instituições e organismos da União beneficiarão de um ambiente seguro para as informações que tratam e armazenam diariamente. Além disso, proporcionar uma base comum de normas obrigatórias para todos garantiria um elevado nível de segurança, reduziria o risco de elos fracos no apoio à interoperabilidade entre as instituições e organismos e impulsionaria sinergias, reforçando assim a resiliência da administração face à evolução das ameaças.  
            
            
               Ademais, com o objetivo geral de alcançar um elevado nível comum de segurança para as ICUE e as informações não classificadas tratadas e armazenadas pelas instituições e organismos da União, a presente proposta permite à administração europeia proteger-se melhor contra interferências externas e atividades de espionagem. 
            
            
               O artigo 298.º do TFUE permite à União estabelecer regras comuns para toda a administração europeia a fim de assegurar que todas as instituições e organismos da União tratem de forma idêntica as ICUE e as informações não classificadas. Como tal, o presente regulamento estabelece regras aplicáveis à administração e pode impor indiretamente obrigações apenas às pessoas que executam funções em nome dessa administração ou numa base contratual (com exceção dos Comissários, dos Representantes dos Estados-Membros no Conselho, dos Membros do Parlamento Europeu, dos Juízes dos Tribunais da União ou dos Membros do Tribunal de Contas Europeu).
            
            
               Nos termos do artigo 298.º do TFUE, o Parlamento Europeu e o Conselho deliberam por meio de um regulamento e de acordo com o processo legislativo ordinário. 
            
            
               A presente proposta necessita de uma base jurídica adicional, uma vez que abrange igualmente as informações relacionadas com algumas atividades da Comunidade Europeia da Energia Atómica. Essas informações não são informações classificadas da Euratom, mas são tratadas pelas instituições e organismos da União ao abrigo do regime geral das ICUE.  
            
            
               Esta base jurídica adicional é o artigo 106.º-A do Tratado que institui a Comunidade Europeia da Energia Atómica, que torna o artigo 298.º do TFUE também aplicável às atividades da Euratom acima referidas.  
            
            
               •Subsidiariedade (no caso de competência não exclusiva)
            
            
               De acordo com o princípio da subsidiariedade estabelecido no artigo 5.º, n.º 3, do Tratado da União Europeia, a UE apenas deve intervir quando os objetivos da ação considerada não podem ser suficientemente alcançados pelos Estados-Membros, podendo contudo, devido às dimensões ou aos efeitos da ação considerada, ser mais bem alcançados ao nível da União. 
            
            
               Uma vez que só a União pode adotar regras que regulem as ICUE e as informações sensíveis não classificadas tratadas e armazenadas pelas instituições e pelos organismos da União, o princípio da subsidiariedade não se aplica.
            
            
               •Proporcionalidade
            
            
               É necessário estabelecer uma base comum em matéria de segurança da informação para todas as instituições e organismos da União, a fim de contribuir para uma administração independente e eficiente.
            
         
         
            
               Em conformidade com o princípio da proporcionalidade consagrado no artigo 5.º, n.º 4, do TUE, as disposições do regulamento não são excessivamente prescritivas e deixam margem para diferentes níveis de ação específica, em consonância com o nível de maturidade de segurança de cada instituição e organismo da União.
            
            
               Além disso, a solução tem um impacto limitado nos direitos fundamentais das pessoas. Por conseguinte, a proposta não excede o necessário para resolver o problema da ausência de um conjunto comum de regras de segurança da informação para todas as instituições e organismos da União.
            
            
               •Escolha do instrumento
            
            
               Um regulamento baseado no artigo 298.º do TFUE é considerado o instrumento jurídico adequado.
            
            
               Justifica-se pela predominância de elementos que exigem uma aplicação uniforme que não deixe margens de execução às instituições e organismos da União e que crie um quadro horizontal mínimo.
            
            
               3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO
            
            
               •Avaliações ex post/balanços de qualidade da legislação em vigor
            
            
               Não aplicável
            
            
               •Consulta das partes interessadas
            
            
               A Comissão procedeu a uma ampla consulta das principais partes interessadas sobre vários aspetos relacionados com as regras de segurança da informação das instituições e organismos da União. O objetivo geral das atividades de consulta era recolher contributos relevantes para a preparação de uma iniciativa legislativa sobre regras de segurança da informação comuns a todas as instituições e organismos da União. As consultas procuraram recolher contributos sobre:
            
            
               •Os problemas relacionados com o quadro de segurança da informação existente nas instituições e organismos da União que, segundo as partes interessadas, devem ser abordados na iniciativa;
            
            
               •A pertinência, a eficácia, a eficiência e o valor acrescentado da iniciativa;
            
            
               •Os impactos previstos da iniciativa e outras eventuais consequências para as partes interessadas.
            
            
               Na preparação da presente proposta legislativa, a Comissão consultou as seguintes categorias de partes interessadas:
            
            
               1.Instituições, órgãos e organismos da União; 
            
            
               2.Autoridades nacionais de segurança nos Estados-Membros;
            
            
               3.Peritos em investigação do Centro Comum de Investigação (JRC).
            
            
               Dada a particularidade desta iniciativa, que se aplica exclusivamente às instituições e organismos da União, com pouco impacto nos cidadãos e nas empresas europeias, os serviços da Comissão optaram por dar prioridade à recolha de opiniões junto dos grupos de partes interessadas pertinentes. Como tal, não foi realizada qualquer consulta pública especificamente para esta iniciativa legislativa.
            
            
               Durante o processo de consulta, os serviços da Comissão utilizaram os seguintes métodos e formas de consulta:
            
            
               1.Uma oportunidade para todas as partes interessadas apresentarem observações sobre a avaliação de impacto inicial através da plataforma «Dê a sua opinião» da Comissão;
            
         
         
            
               2.Um questionário específico dirigido aos peritos em segurança da informação nas instituições e organismos da União através da ferramenta em linha EU Survey;
            
            
               3.Um questionário específico dirigido às autoridades nacionais de segurança dos Estados-Membros através da ferramenta em linha EU Survey;
            
            
               4.Um pedido de avaliação de risco personalizada dos principais ativos de segurança da informação; e
            
            
               5.Várias reuniões e intercâmbios com homólogos de instituições, órgãos e organismos, bem como das autoridades nacionais de segurança dos Estados-Membros.
            
            
               Como principais contributos das atividades de consulta, a Comissão salienta o seguinte:
            
            
               •A fragmentação dos quadros jurídicos pertinentes entre as nossas instituições e organismos gera uma duplicação significativa de esforços para criar e manter regras internas, bem como práticas não interoperáveis no tratamento das informações. Para os Estados-Membros, a diversidade destas regras aumenta os riscos de equívocos, de interpretações incorretas e de incumprimento;
            
            
               •Ao passo que o estabelecimento de uma base de referência para a segurança da informação para todas as instituições e organismos da União criaria um ecossistema com regras de segurança normalizadas e boas práticas implementadas, devem ser tidos em conta a diversidade e o ambiente empresarial de cada instituição e organismo da União e devem ser permitidas soluções locais;
            
            
               •Esta iniciativa deve respeitar a autonomia e os diferentes níveis de maturidade de segurança de cada instituição e organismo da União, que continuarão a ser plenamente responsáveis pela respetiva organização da segurança da informação;
            
            
               •Obtenção e utilização de conhecimentos especializados
            
            
               A Comissão utilizou os seus próprios recursos para realizar a consulta das partes interessadas. A Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança (DG HR) realizou o trabalho relacionado com os inquéritos, videoconferências e outros workshops. Esta tarefa envolveu a seleção dos participantes, a organização de eventos e o tratamento dos contributos recebidos.
            
            
               O Centro Comum de Investigação (JRC) realizou uma avaliação dos riscos dos principais ativos de segurança da informação, utilizados como base para a análise de impacto.
            
            
               •Avaliação de impacto
            
            
               A presente iniciativa dirige-se exclusivamente às instituições e organismos da União e tem um impacto limitado nos Estados-Membros e nas pessoas singulares. Por conseguinte, não foi necessário realizar uma avaliação de impacto exaustiva, uma vez que não existiam impactos claramente identificáveis ou significativos para os cidadãos e as empresas. Foi publicado no sítio Web Europa um roteiro abrangente que recolheu as observações das partes interessadas pertinentes.
            
            
               •Adequação e simplificação da regulamentação
            
            
               Não aplicável
            
            
               •Direitos fundamentais
            
            
               A UE está empenhada em assegurar elevados níveis de proteção dos direitos fundamentais. A presente iniciativa garante o pleno respeito dos direitos fundamentais consagrados na Carta dos Direitos Fundamentais da União Europeia
                  10
               , do seguinte modo:
            
            
               •O direito a uma boa administração
                  11
               
            
            
               Ao reforçar a segurança da informação tratada no contexto da gestão dos assuntos dos cidadãos europeus, as instituições e organismos da União contribuem para a realização do princípio da boa administração.
            
            
               •Proteção de dados pessoais
                  12
                
            
         
         
            
               Todo o tratamento de dados pessoais no âmbito da presente proposta será efetuado em ambientes de confiança e no pleno respeito do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho.
            
            
               •Direito de acesso aos documentos
                  13
               
            
            
               O acesso do público às ICUE e aos documentos sensíveis não classificados continua a ser inteiramente regido pelo Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho.
            
            
               •Direito de propriedade intelectual
                  14
               
            
            
               No tratamento e armazenamento de informações não classificadas e ICUE, as instituições e organismos da União protegem a propriedade intelectual em conformidade com a Diretiva 2001/29/CE do Parlamento Europeu e do Conselho
                  15
               .
            
            
               •Liberdade de expressão e de informação
                  16
               
            
            
               Embora qualquer pessoa tenha a liberdade de receber e transmitir informações e ideias sem interferência da autoridade pública, tal não impede a União de estabelecer as condições de acesso, tratamento e armazenamento de determinados tipos de informações, com base no seu nível de confidencialidade.
            
            
               O exercício destas liberdades pode estar sujeito a condições e restrições previstas por lei e necessárias numa sociedade democrática, a fim de impedir a divulgação de informações recebidas a título confidencial e no interesse da segurança da UE.
            
            
               4.IMPLICAÇÕES ORÇAMENTAIS
            
            
               A presente proposta exige a afetação de um funcionário AD e de um assistente AST ao Secretariado permanente do Grupo de Coordenação, que é assegurado pela Comissão, na Direção de Segurança da Direção-Geral dos Recursos Humanos e da Segurança.
            
            
               Para as instituições e organismos, esperam-se economias de custos em termos de funções partilhadas e colaborativas, bem como de prevenção de potenciais danos económicos resultantes de incidentes de segurança, graças a melhorias na segurança da informação. Por outro lado, os esforços financeiros necessários para a aplicação da nova legislação podem ser cobertos ao abrigo dos programas de melhoria da segurança da informação existentes em cada instituição e organismo da União.
            
            
               5.OUTROS ELEMENTOS
            
            
               •Planos de execução e acompanhamento, avaliação e prestação de informações
            
            
               A proposta prevê que a Comissão apresente ao Parlamento Europeu e ao Conselho, de três em três anos, um relatório sobre a aplicação do presente regulamento, incluindo o funcionamento da governação instituída pelo presente regulamento.
            
            
               Além disso, de 5 em 5 anos, a Comissão avaliará o presente regulamento com vista a avaliar o seu desempenho real e, com base neste, a eventual necessidade de alterar a legislação.
            
            
               •Explicação pormenorizada das disposições específicas da proposta
            
            
               A presente proposta está estruturada em torno dos requisitos para o tratamento e armazenamento de informações não classificadas e de ICUE, que são os principais temas da iniciativa e cuja proteção reforçada representa o seu objetivo subjacente.
            
            
               Objeto e âmbito de aplicação (artigo 1.º e artigo 2.º)
            
            
               O presente regulamento visa criar um conjunto mínimo de regras de segurança da informação aplicáveis a todas as instituições e organismos da União. 
            
            
               Aplica-se a todas as informações tratadas e armazenadas pelas instituições e organismos da União, incluindo as informações relacionadas com as atividades da Comunidade Europeia da Energia Atómica, com exceção das informações classificadas da Euratom. Tanto as informações não classificadas como as ICUE são abrangidas pelo presente regulamento.
            
         
         
            
               Definições e princípios gerais (artigos 3.º a 5.º)
            
            
               As definições constantes do artigo 3.º baseiam-se nas regras em vigor em matéria de segurança da informação adotadas separadamente pelas instituições e organismos da União.  
            
            
               Para além dos princípios gerais da legislação da União (transparência, proporcionalidade, eficiência e responsabilidade), o presente regulamento prevê as principais orientações vinculativas, tais como o processo individual de gestão dos riscos de segurança da informação realizado por cada instituição e organismo da União e a avaliação das suas informações, a fim de serem devidamente categorizadas.
            
            
               Governação e organização da segurança (artigos 6.º a 8.º)
            
            
               Todas as instituições e organismos da União devem cooperar no âmbito de um Grupo Interinstitucional de Coordenação da Segurança da Informação, que delibera por consenso e no interesse comum das instituições e organismos da União. 
            
            
               O Grupo de Coordenação reúne as Autoridades de Segurança de todas as instituições e organismos e elabora documentos de orientação sobre a aplicação do presente regulamento. Assegura contactos regulares com as Autoridades Nacionais de Segurança dos Estados-Membros, reunidas num Comité de Segurança da Informação.
            
            
               São criados cinco subgrupos compostos por peritos representantes de diferentes instituições e organismos, a fim de racionalizar os procedimentos e outros aspetos práticos relacionados com a segurança da informação. 
            
            
               Cada instituição e organismo da União deve designar uma Autoridade de Segurança, responsável pela definição das políticas internas em matéria de segurança da informação e pela sua execução. A Autoridade de Segurança cria funções específicas, como a Autoridade de Garantia da Informação, a Autoridade Operacional de Garantia da Informação, a Autoridade de Acreditação de Segurança, a Autoridade TEMPEST, a Autoridade de Aprovação Criptográfica e a Autoridade de Distribuição Criptográfica, que podem ser delegadas noutra instituição ou organismo por razões de eficiência ou de recursos.
            
            
               Garantia da informação e sistemas de comunicação e informação (artigos 9.º a 11.º)
            
            
               O regulamento cria um subgrupo em matéria de garantia da informação com o objetivo de reforçar a coerência, em todas as instituições e organismos da União, entre as regras de segurança da informação e a base de referência em matéria de cibersegurança, como definido no regulamento que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União.
            
            
               As instituições e organismos da União devem respeitar os princípios mencionados nestes artigos e adotar regras internas separadas para medidas de segurança específicas, adaptadas ao seu próprio ambiente de segurança.
            
            
               Informações não classificadas (artigos 12.º a 17.º e anexo I)
            
            
               O regulamento prevê três categorias de informações não classificadas: informações para uso público, informações normais e informações sensíveis não classificadas. São definidas todas as categorias, ao mesmo tempo que são criadas as marcas e as condições de tratamento para a proteção dessas informações. 
            
            
               A fim de coordenar o trabalho sobre a equivalência entre categorias particulares criadas por algumas instituições e organismos da União e categorias comuns previstas pelo Regulamento, a proposta cria um subgrupo sobre informações não classificadas.
            
            
               ICUE (artigos 18.º a 58.º e anexos II a VI)
            
            
               Sendo o mais volumoso da proposta, este capítulo está estruturado em sete secções, com se segue: Disposições gerais, Segurança do pessoal, Segurança física, Gestão de ICUE, Proteção nos sistemas de comunicação e informação, Segurança industrial e Partilha de ICUE e intercâmbio de informações classificadas. 
            
            
               A secção relativa às disposições gerais prevê quatro níveis de ICUE: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED e prevê a obrigação das instituições e organismos da União de tomarem as medidas de segurança necessárias em conformidade com os resultados de um processo de gestão dos riscos de segurança da informação.
            
            
               Cada uma das restantes secções centra-se nas normas de proteção das ICUE, relacionadas com a sua área específica. Os pormenores relativos a esta proteção das ICUE são especificados nos Anexos II a V. O Anexo VI estabelece a tabela de equivalência entre as ICUE e as classificações de segurança dos Estados-Membros e da Comunidade Europeia da Energia Atómica.
            
            
               Com o objetivo de racionalizar os processos pertinentes no terreno e de evitar a duplicação de esforços, o regulamento cria subgrupos dedicados a áreas específicas, nomeadamente garantia da informação, informações não classificadas, segurança física, acreditação dos sistemas de comunicação e informação, tratamento e armazenamento de ICUE, e partilha de ICUE e intercâmbio de informações classificadas.
            
            
               Disposições finais (artigos 59.º a 62.º)
            
         
         
            
               As disposições finais asseguram a transição das regras e procedimentos em vigor para o novo quadro jurídico criado pelo presente regulamento. Dizem respeito às regras internas em matéria de segurança da informação atualmente aplicáveis nas instituições e organismos da União, ao reconhecimento das visitas de avaliação realizadas antes do início da aplicação do regulamento, ao tratamento dos convénios administrativos anteriormente celebrados e à continuação dos quadros de segurança específicos aplicáveis às convenções de subvenção.
            
            
               O presente regulamento deve aplicar-se decorridos 2 anos a contar da data da sua entrada em vigor.
            
            
               2022/0084 (COD)
            
            
               Proposta de
            
            
               REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            
            
               relativo à segurança da informação nas instituições, órgãos e organismos da União
            
            
               O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,
            
            
               Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 298.º,
            
            
               Tendo em conta o Tratado que institui a Comunidade Europeia da Energia Atómica, nomeadamente o artigo 106.º-A,
            
            
               Tendo em conta a proposta da Comissão Europeia,
            
            
               Após transmissão do projeto de ato legislativo aos Parlamentos nacionais, 
            
            
               Deliberando de acordo com o processo legislativo ordinário,
            
            
               Considerando o seguinte:
            
            
               1)Atualmente, as instituições e organismos da União têm as suas próprias regras em matéria de segurança da informação, com base no seu regulamento interno ou no seu ato constitutivo, ou não dispõem de quaisquer regras dessa natureza. Neste contexto, cada instituição e organismo da União investe esforços significativos na adoção de abordagens diferentes, conduzindo a uma situação em que o intercâmbio de informações nem sempre é fiável. A ausência de uma abordagem comum dificulta a utilização de instrumentos comuns com base num conjunto acordado de regras em função das necessidades de segurança das informações a proteger.
            
            
               2)Embora se tenham registado progressos no sentido de estabelecer regras mais coerentes para a proteção de informações classificadas da União Europeia («ICUE») e de informações não classificadas, a interoperabilidade dos sistemas pertinentes continua a ser limitada, impedindo uma transferência sem descontinuidades de informações entre as diferentes instituições e organismos da União. Por conseguinte, devem ser envidados mais esforços para permitir uma abordagem interinstitucional em matéria de partilha de ICUE e de informações sensíveis não classificadas, com categorias comuns de informações e princípios comuns fundamentais de tratamento dessas informações. Deve também ser prevista uma base de referência para simplificar os procedimentos de partilha de ICUE e de informações sensíveis não classificadas entre as instituições e organismos da União e com os Estados-Membros.
            
            
               3)Por conseguinte, devem ser estabelecidas regras pertinentes que garantam um nível comum de segurança da informação em todas as instituições e organismos da União. Estas devem constituir um quadro geral abrangente e coerente para a proteção das ICUE e das informações não classificadas, e assegurar a equivalência dos princípios básicos e das normas mínimas. 
            
            
               4)A recente pandemia provocou uma mudança significativa nas práticas de trabalho, tendo as ferramentas de comunicação à distância passado a ser a norma. Por conseguinte, muitos procedimentos que ainda eram, pelo menos parcialmente, assegurados em suporte papel foram rapidamente adaptados de forma a permitir o tratamento e o intercâmbio eletrónicos de informação. Esta evolução exige alterações no que diz respeito ao tratamento e à proteção das informações. O presente regulamento tem em conta as novas práticas de trabalho. 
            
            
               5)Ao criar um nível mínimo comum de proteção das ICUE e das informações não classificadas, o presente regulamento contribui para assegurar que as instituições e organismos da União tenham o apoio de uma administração eficiente e independente no desempenho das suas missões. Simultaneamente, cada instituição e organismo da União mantém a sua autonomia para determinar a forma de aplicar as regras estabelecidas no presente regulamento, em consonância com as suas próprias necessidades de segurança. O presente regulamento não pode, em caso algum, impedir que as instituições e organismos da União cumpram a sua missão, confiada nos termos da legislação da UE, ou prejudicar a sua autonomia institucional.
            
            
               6)O presente regulamento não prejudica o disposto no Regulamento (Euratom) n.º 3/1958
                  17
               , no Regulamento n.º 31 (CEE), 11.º (CEEA), que fixa o Estatuto dos Funcionários e o Regime aplicável aos outros agentes da Comunidade Económica Europeia e da Comunidade Europeia da Energia Atómica
                  18
               , no Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho
                  19
               , no Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho
                  20
               , no Regulamento (CEE, Euratom) n.º 354/83 do Conselho
                  21
               , no Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho
                  22
               , no Regulamento (UE) 2021/697 do Parlamento Europeu e do Conselho
                  23
               , e no Regulamento (UE) [...] do Parlamento Europeu e do Conselho
                  24
                que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União.
            
            
                7)A fim de preservar a natureza específica das atividades da Comunidade Europeia da Energia Atómica reguladas pelo Regulamento (CE) n.º 3/1958 do Conselho da Comunidade Europeia da Energia Atómica
                  25
               , o presente regulamento não deve aplicar-se às informações classificadas da Euratom. No entanto, todas as informações relacionadas com outras atividades Euratom não abrangidas pelo Regulamento (CE) n.º 3/1958 devem ser enquadradas no âmbito de aplicação do presente regulamento.
            
         
         
            
               8)A fim de estabelecer uma estrutura formal de cooperação entre as instituições e organismos da União no domínio da segurança da informação, é necessário criar um Grupo de Coordenação Interinstitucional (a seguir designado «Grupo de Coordenação») no qual estejam representadas todas as autoridades de segurança das instituições e organismos da União. Não dispondo de poderes de decisão, o Grupo de Coordenação deve reforçar a coerência das políticas no domínio da segurança da informação e contribuir para a harmonização dos procedimentos e instrumentos de segurança da informação em todas as instituições e organismos da União.
            
            
               9)O trabalho do Grupo de Coordenação necessita do apoio de peritos em diferentes domínios da segurança da informação: categorização e marcação, sistemas de comunicação e informação, acreditação, segurança física, e partilha de ICUE e intercâmbio de informações classificadas. Por conseguinte, a fim de evitar a duplicação de esforços entre as instituições e organismos da União, devem ser criados subgrupos temáticos. Além disso, sempre que necessário, o Grupo de Coordenação deve poder criar outros subgrupos com funções específicas.
            
            
               10)O Grupo de Coordenação deve cooperar estreitamente com as Autoridades Nacionais de Segurança dos Estados-Membros, a fim de reforçar a segurança da informação na União. Por conseguinte, deve ser criado um Comité de Segurança da Informação dos Estados-Membros para prestar aconselhamento ao Grupo de Coordenação.
            
            
               11)Embora os organismos comuns que representam todas as instituições e organismos da União sejam criados com base no princípio da cooperação, cada instituição e organismo deve continuar a ser plenamente responsável pela segurança da informação na sua organização. Cada instituição e organismo da União deve dispor de uma Autoridade de Segurança e, se necessário, de outras autoridades com responsabilidades específicas relacionadas com a segurança da informação.
            
            
               12)O princípio da gestão dos riscos de segurança da informação deve estar no cerne da política a desenvolver no terreno por cada instituição e organismo da União. Embora os requisitos mínimos estabelecidos no presente regulamento devam ser cumpridos, cada instituição e organismo da União deve adotar medidas de segurança específicas para proteger as informações de acordo com os resultados de uma avaliação interna dos riscos. Do mesmo modo, os meios técnicos para proteger as informações devem ser adaptados à situação específica de cada instituição e organismo.
            
            
               13)Dada a diversidade de categorias de informações não classificadas que as instituições e organismos da União desenvolveram com base nas suas próprias regras de segurança da informação, e a fim de evitar atrasos na aplicação do presente regulamento, as instituições ou organismos da União devem poder manter o seu próprio sistema de marcação para fins internos ou para o intercâmbio de informações com os seus homólogos específicos de outras instituições e organismos ou dos Estados-Membros.  
            
            
               14)Com o objetivo de se adaptarem às novas práticas de teletrabalho, as redes utilizadas para a ligação aos serviços de acesso remoto das instituições ou organismos da União devem ser protegidas através de medidas de segurança adequadas.
            
            
               15)Uma vez que as instituições e organismos da União recorrem frequentemente a contratantes e a serviços de externalização, é importante estabelecer disposições comuns relativas ao pessoal das entidades contratantes responsável por executar tarefas relacionadas com a segurança da informação.
            
            
               16)As regras substantivas relativas ao acesso a ICUE nas regras internas de várias instituições e organismos da União estão atualmente alinhadas, mas existem diferenças significativas no que diz respeito às denominações e aos procedimentos exigidos. Esta situação cria um encargo para as Autoridades Nacionais de Segurança dos Estados-Membros, que têm de se adaptar a diferentes requisitos. Por conseguinte, é necessário prever um glossário comum e procedimentos comuns no domínio da segurança do pessoal, simplificando assim a cooperação com as Autoridades Nacionais de Segurança dos Estados-Membros e limitando o risco de comprometer as ICUE.
            
            
               17)Dada a disparidade de recursos entre as instituições e organismos da União e a fim de racionalizar os seus procedimentos e práticas pertinentes, as tarefas de credenciação de segurança podem ser confiadas à Comissão, a fim de dar continuidade a uma prática de longa data no domínio da credenciação de segurança e contribuir para a centralização das funções atribuídas a cada Autoridade de Segurança.
            
            
               18)A proteção das ICUE é igualmente assegurada por medidas técnicas e organizativas aplicáveis às instalações, edifícios, salas ou gabinetes das instituições e organismos da União onde sejam discutidas, tratadas ou armazenadas ICUE. O presente regulamento prevê a aplicação de um processo de gestão da segurança da informação no domínio da segurança física que permita às instituições e organismos da União selecionar as medidas de segurança adequadas para as suas instalações.
            
            
               19)Todas as instituições e organismos da União que tratem e armazenem ICUE devem estabelecer zonas fisicamente protegidas nas suas instalações, a fim de assegurar o mesmo nível de proteção para os níveis relevantes de classificação de ICUE tratadas e armazenadas. Essas zonas devem ser designadas Zonas Administrativas e Zonas de Segurança e devem respeitar normas mínimas comuns para a proteção das ICUE.
            
            
               20)O controlo das entidades de origem é um princípio importante na gestão das ICUE, pelo que deve ser claramente definido e desenvolvido. A este respeito, a criação de ICUE confere à entidade de origem uma responsabilidade que deve abranger todo o ciclo de vida do documento de ICUE em causa.
            
            
               21)Tradicionalmente, as instituições e os organismos da União têm desenvolvido os seus sistemas de comunicação e informação de forma autónoma, sem dar suficiente atenção à sua interoperabilidade entre as instituições e organismos da União. Por conseguinte, é necessário estabelecer requisitos mínimos de segurança para os Sistemas de Comunicação e Informação (SCI) que tratam e armazenam ICUE e informações não classificadas, com o objetivo de garantir um intercâmbio sem descontinuidades de informações com as partes interessadas pertinentes. 
            
            
               22)Com o objetivo de estabelecer uma norma única de acreditação dos SCI que tratam e armazenam ICUE, as instituições e organismos da União devem trabalhar em conjunto num grupo criado para o efeito. Recomenda-se que todos utilizem essa norma a fim de contribuir para um nível geral de proteção das ICUE. No entanto, no que diz respeito à autonomia organizativa, a decisão continua a caber à autoridade competente de cada instituição ou organismo.
            
            
               23)Todas as instituições e organismos da União devem seguir os mesmos procedimentos e aplicar as mesmas medidas aquando da adjudicação e execução de contratos ou convenções de subvenção classificados. Por conseguinte, é necessário definir claramente tanto os elementos obrigatórios como os elementos facultativos dos contratos e convenções de subvenção classificados. No entanto, as medidas de proteção das ICUE relacionadas com contratos e convenções de subvenção classificados devem ter em conta as regras já desenvolvidas individualmente na área pelas instituições e organismos da União em conjunto com os Estados-Membros.
            
            
               24)A estreita cooperação entre as instituições e organismos da União, bem como a multiplicidade de sinergias desenvolvidas entre eles, implica a partilha de uma grande quantidade de informações. Por razões de segurança das informações classificadas, a fiabilidade de uma instituição ou organismo da União deve ser avaliada antes que esta/este trate e armazene um nível especificado de ICUE. 
            
            
               25)Além disso, a partilha de ICUE entre as instituições e organismos da União e o intercâmbio de informações classificadas com organizações internacionais e países terceiros devem também ser regulamentados por medidas de segurança adequadas para a proteção dessas informações. Sempre que estejam previstos acordos em matéria de segurança da informação, devem ser aplicadas as disposições do artigo 218.º do Tratado. 
            
            
               26)Os acordos em matéria de segurança das informações destinam-se a assegurar o quadro jurídico geral para o intercâmbio de informações classificadas da União com países terceiros e com organizações internacionais, sendo igualmente necessário prever a possibilidade de as instituições e organismos da União celebrarem acordos administrativos com uma contraparte específica de um país terceiro ou de uma organização internacional para efeitos de intercâmbio de ICUE. 
            
            
               27)O presente regulamento estabelece um quadro comum para todas as instituições e organismos da União. A fim de evitar a imposição de uma carga administrativa excessiva às instituições e organismos da União no processo de adaptação das suas regras de segurança interna às regras estabelecidas no presente regulamento, este deve ser aplicável decorridos 2 anos após a sua entrada em vigor.
            
         
         
            
               28)Em conformidade com os pontos 22 e 23 do Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor
                  26
               , a Comissão deve avaliar o presente regulamento a fim de analisar os seus efeitos reais e a necessidade de eventuais novas medidas. A Comissão deve apresentar ao Parlamento Europeu e ao Conselho um relatório sobre a aplicação do presente regulamento, o mais tardar 3 anos a contar da data de aplicação.
            
            
               29)A Autoridade Europeia para a Proteção de Dados foi consultada nos termos do artigo 42.º do Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho
                  27
                e emitiu um parecer em...
            
            
               ADOTARAM O PRESENTE REGULAMENTO:
            
            
               Capítulo 1 
                  Disposições gerais
            
            
               Artigo 1.º
            
            
               Objeto 
            
            
               1.O presente regulamento estabelece regras de segurança da informação para todas as instituições e organismos da União.
            
            
               Artigo 2.º
            
            
               Âmbito de aplicação
            
            
               1.O presente regulamento aplica-se a todas as informações tratadas e armazenadas pelas instituições e organismos da União, incluindo as informações relacionadas com atividades da Comunidade Europeia da Energia Atómica, com exceção das informações classificadas da Euratom.
            
            
               2.O presente regulamento aplica-se aos seguintes níveis de confidencialidade das informações:
            
            
               a)Três níveis de informações não classificadas: para uso público, normais e sensíveis não classificadas;
            
            
               b)Quatro níveis de informações classificadas da UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.
            
            
               3.Estes níveis baseiam-se nos prejuízos que a divulgação não autorizada pode causar aos legítimos interesses privados e públicos, incluindo os da União, das instituições e organismos da União e dos Estados-Membros ou outras partes interessadas, para que possam ser aplicadas as medidas de proteção adequadas.
            
            
               Artigo 3.º
            
            
               Definições
            
            
               Para efeitos do presente regulamento, entende-se por:
            
            
               a)«Informações», quaisquer dados em formato oral, visual, eletrónico, magnético ou físico, ou sob a forma de material, equipamento ou tecnologia, incluindo reproduções, traduções e material em desenvolvimento;
            
            
               b)«Segurança da informação», a garantia da autenticidade, disponibilidade, confidencialidade, integridade e não rejeição da informação;
            
            
               c)«Tratamento» de informações, todas as atividades a que as informações possam eventualmente ser sujeitas ao longo do seu ciclo de vida; compreende a sua produção, recolha, registo, atribuição de um nível de confidencialidade, processamento, visualização, consulta, transporte, transmissão, desgraduação, desclassificação, arquivo e destruição;
            
         
         
            
               d)«Armazenamento», o ato de conservar informações em qualquer suporte, a fim de assegurar a sua disponibilidade para utilização futura;
            
            
               e)«Instituições e organismos da União», as instituições, órgãos e organismos da União criados pelo Tratado da União Europeia, pelo Tratado sobre o Funcionamento da União Europeia, pelo Tratado que institui a Comunidade Europeia da Energia Atómica ou por um ato legislativo, ou com base nos mesmos;
            
            
               f)«Informações classificadas da Euratom», informações na aceção do Regulamento n.º 3/1958 do Conselho da Comunidade Europeia da Energia Atómica;
            
            
               g)«Autoridade de Segurança», a função de segurança de cada instituição e organismo da União, designada em conformidade com o seu regulamento interno ou com o seu ato constitutivo;
            
            
               h)«Processo de gestão dos riscos de segurança da informação», todo o processo de identificação, controlo e minimização de acontecimentos indeterminados que possam afetar a segurança de determinada organização ou qualquer um dos sistemas por ela utilizados; este processo abarca todas as atividades relacionadas com o risco, designadamente a avaliação, tratamento, aceitação e comunicação;
            
            
               i)«Ativo», tudo o que é útil para uma instituição ou organismo da União, para as suas atividades e para a continuidade destas, nomeadamente os recursos de informação que a apoiam no desempenho das suas funções;
            
            
               j)«Procedimentos operacionais de segurança», um conjunto de procedimentos documentados, tal como referido no anexo III, para a operação de uma Zona de Segurança, de um sistema de comunicação e informação ou de outro ativo ou serviço relacionado com a segurança, a fim de garantir a sua eficácia;
            
            
               k)«Sistema de comunicação e informação» ou «SCI», qualquer sistema que permita o tratamento e o armazenamento de informações em formato eletrónico, incluindo todos os ativos necessários ao seu funcionamento;
            
            
               l)«Garantia da informação», a certeza de que os sistemas de comunicação e informação protegem as informações neles tratadas e armazenadas e funcionam como necessário, quando necessário, sob o controlo de utilizadores legítimos, assegurando simultaneamente níveis adequados de autenticidade, disponibilidade, confidencialidade, integridade e não rejeição;
            
            
               m)«Acreditação», a autorização formal da Autoridade de Acreditação de Segurança para que um sistema de comunicação e informação trate, ou para que uma Zona de Segurança armazene, um nível predefinido de ICUE;
            
            
               n)«Processo de acreditação», as medidas e tarefas necessárias exigidas antes da acreditação;
            
            
               o)«Medidas de segurança TEMPEST», medidas destinadas a proteger os SCI que tratem e armazenem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior contra o risco de comprometimento de tais informações devido a emanações eletromagnéticas não intencionais;
            
            
               p)«CERT-UE», o Centro de Cibersegurança das instituições e organismos da União, na aceção do Regulamento (UE) [...] do Parlamento Europeu e do Conselho que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União;
            
            
               q)«Incidente de segurança da informação», qualquer acontecimento que possa comprometer a autenticidade, a disponibilidade, a confidencialidade, a integridade ou a não rejeição das informações armazenadas, transmitidas ou tratadas;
            
            
               r)«Necessidade de tomar conhecimento», a necessidade de uma pessoa aceder a determinadas informações tratadas ou armazenadas por uma instituição ou organismo da União para desempenhar as funções dessa instituição ou organismo da União;
            
            
               s)«Confiança zero», um modelo de segurança, um conjunto de princípios de conceção de sistemas e uma estratégia coordenada de cibersegurança e de gestão de sistemas baseada no reconhecimento da existência de ameaças dentro e fora das fronteiras tradicionais da rede;
            
            
               t)«Marca», um rótulo que é aplicado às informações para assegurar a aplicação das medidas de segurança adequadas;
            
            
               u)«Marca de segurança», uma marca que indica o nível de confidencialidade das informações;
            
            
               v)«Marca de distribuição», uma marca que indica os destinatários pretendidos das informações na instituição ou organismo de origem da União;
            
            
               w)«Marca de comunicabilidade», uma marca que indica os destinatários autorizados fora da instituição ou organismo de origem da União;
            
         
         
            
               x)«Proprietário do sistema», a pessoa responsável pelo processo global de aquisição, desenvolvimento, integração, modificação, funcionamento, manutenção e retirada de funcionamento de um sistema de comunicação e informação;
            
            
               y)«Ameaça à segurança da informação», um acontecimento ou agente relativamente ao qual se pode razoavelmente esperar que afete negativamente a segurança da informação se não lhe for dada resposta e se não for controlado;  
            
            
               z)«Vulnerabilidade», uma insuficiência, suscetibilidade ou falha de um ativo, sistema, processo ou controlo, suscetível de ser potenciada por uma ou mais ameaças;
            
            
               aa)«Risco», o potencial efeito adverso de uma determinada ameaça, suscetível de explorar as vulnerabilidades internas e externas de uma instituição ou organismo da União ou dos sistemas por eles utilizados, e de causar danos aos interesses públicos e privados legítimos, medindo-se pela combinação da probabilidade de as ameaças ocorrerem e do respetivo impacto;
            
            
               ab)«Risco residual», o risco que permanece após terem sido aplicadas medidas de segurança;
            
            
               ac)«Avaliação do risco», a identificação das ameaças e vulnerabilidades e realização da análise de risco conexa, ou seja, a análise da probabilidade e do impacto;
            
            
               ad)«Tratamento do risco», a atenuação, eliminação, redução (mediante uma combinação adequada de medidas técnicas, materiais, organizativas e processuais), transferência ou acompanhamento do risco;
            
            
               ae)«Certificado europeu de cibersegurança», um certificado na aceção do artigo 2.º, n.º 11, do Regulamento (UE) 2019/881
                  28
               ;
            
            
               af)«Detentor», pessoa devidamente autorizada com necessidade comprovada de tomar conhecimento, que está na posse de informações e é consequentemente responsável pela sua proteção;
            
            
               ag)«Material», qualquer documento, suporte de dados ou peça de maquinaria ou equipamento, já fabricado ou em fase de fabrico;
            
            
               ah)«Informações classificadas da União Europeia» ou «ICUE», quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União ou de um ou mais Estados-Membros;
            
            
               ai)«Autorização de acesso a ICUE», a decisão tomada por uma Autoridade de Segurança de que pode ser facultado acesso a ICUE a um funcionário, outro agente ou perito nacional destacado de uma instituição ou organismo da União, até determinado nível, e até determinada data;
            
            
               aj)«Autoridade Nacional de Segurança» ou «ANS», uma autoridade governamental de um Estado-Membro responsável, em última instância, pela segurança das informações classificadas nesse Estado-Membro;
            
            
               ak)«Autoridade de Segurança Designada» ou «ASD», uma autoridade de um Estado-Membro (ANS ou qualquer outra autoridade competente) responsável por facultar orientação e prestar assistência na implementação da segurança industrial ou nos procedimentos de credenciação, ou ambos;
            
            
               al)«Investigação de segurança», os procedimentos de investigação conduzidos pela autoridade competente de um Estado-Membro, em conformidade com as disposições legislativas e regulamentares nacionais, a fim de obter a garantia de que não há conhecimento de circunstâncias desfavoráveis que impeçam uma dada pessoa de obter uma credenciação de segurança até um determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior);
            
            
               am)«Segurança física», a aplicação de medidas físicas, técnicas e organizativas a instalações, edifícios, gabinetes ou salas de uma instituição ou organismo da União que exijam proteção contra o acesso não autorizado às informações aí tratadas, armazenadas ou discutidas;
            
            
               an)«Locais», as instalações, edifícios, salas ou gabinetes de uma instituição ou organismo da União;
            
            
               ao)«Defesa em profundidade», um tipo de segurança que utiliza vários estratos independentes de controlos de segurança para assegurar que, caso um falhe, um dos outros ficará operacional;
            
            
               ap)«Material criptográfico», os algoritmos criptográficos, módulos criptográficos de hardware e software, e produtos que incluam regras de aplicação e documentação conexa e material de cifragem;
            
            
               aq)«Produto criptográfico», produto cuja funcionalidade primeira e principal é a prestação de serviços de segurança (autenticidade, disponibilidade, confidencialidade, integridade e não rejeição) através de um ou mais mecanismos criptográficos;
            
         
         
            
               ar)«Entidade de origem», a instituição ou organismo da União, Estado-Membro, Estado terceiro ou organização internacional sob cuja autoridade tenham sido produzidas ou introduzidas nas estruturas da União informações classificadas;
            
            
               as)«Documento», qualquer conteúdo, seja qual for o seu suporte (papel, eletrónico, magnético ou outro), sob forma escrita ou em formato de registo visual ou audiovisual;
            
            
               at)«Registo para efeitos de segurança», a aplicação de procedimentos que registam o ciclo de vida do material, incluindo a sua divulgação e destruição;
            
            
               au)«Desclassificação», a eliminação de qualquer classificação de segurança;
            
            
               av)«Desgraduação», uma redução do nível de classificação de segurança;
            
            
               aw)«Contrato classificado», um contrato-quadro ou contrato, tal como referido no Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, celebrado por uma instituição ou organismo da União com um contratante para o fornecimento de bens móveis ou imóveis, a execução de obras ou a prestação de serviços, cuja execução exija ou implique o tratamento, incluindo a produção, ou o armazenamento de ICUE;
            
            
               ax)«Convenção de subvenção classificada», um acordo nos termos do qual uma instituição ou organismo da União concede uma subvenção, como referido no Título VIII do Regulamento (UE, Euratom) 2018/1046, cuja execução exija ou implique o tratamento, incluindo a produção, ou o armazenamento de ICUE;
            
            
               ay)«Subcontrato classificado», um contrato celebrado por um contratante ou beneficiário de uma instituição ou organismo da União com um subcontratante para o fornecimento de bens móveis ou imóveis, a realização de obras ou a prestação de serviços, cuja execução exija ou implique o tratamento, incluindo a criação, ou o armazenamento de ICUE;
            
            
               az)«Instruções de Segurança do Programa ou Projeto» ou «ISP», uma lista de procedimentos de segurança que são aplicados a um programa ou projeto específico a fim de normalizar os procedimentos de segurança;
            
            
               ba)«Cláusula Adicional de Segurança» ou «CAS», condições contratuais especiais, emitidas pela entidade contratante ou que concede a subvenção, que fazem parte integrante de um contrato ou convenção de subvenção classificado que implica o acesso a ICUE ou a sua produção, e nas quais são identificados os requisitos de segurança e as partes do contrato ou subvenção que exigem proteção de segurança;
            
            
               bb)«Guia da Classificação de Segurança» ou «GCS», um documento que descreve as partes classificadas do programa, projeto, contrato ou convenção de subvenção, especificando os níveis da classificação de segurança aplicáveis;
            
            
               Artigo 4.º
            
            
               Princípios gerais 
            
            
               1.Cada instituição e organismo da União é responsável pela aplicação das disposições do presente regulamento na sua organização, tendo em conta o seu próprio processo de gestão dos riscos de segurança da informação.
            
            
               2.
                      O incumprimento do presente regulamento, em particular a divulgação não autorizada de informações com os níveis de confidencialidade a que se refere o artigo 2.º, n.º 2, com exceção das informações para uso público, deve ser sujeito a investigação e pode acionar a responsabilidade do pessoal nos termos dos Tratados ou das respetivas regras aplicáveis ao pessoal.
            
            
               3.As instituições e organismos da União avaliam todas as informações que tratam e armazenam, a fim de as classificar em conformidade com os níveis de confidencialidade a que se refere o artigo 2.º, n.º 2.
            
            
               4.As instituições e organismos da União determinam as necessidades de segurança de todas as informações que tratam e armazenam tendo em conta os seguintes aspetos: 
            
            
               a)Autenticidade: a garantia de que a informação é genuína e provém de fonte fidedigna;
            
            
               b)Disponibilidade: acessibilidade e possibilidade de ser utilizada a pedido de uma entidade autorizada;
            
            
               c)Confidencialidade: não divulgação de informações a pessoas, entidades ou processos não autorizados;
            
         
         
            
               d)Integridade: o facto de as informações estarem completas e de a completude das informações não ter sido alterada;
            
            
               e)Não rejeição: a capacidade de provar que um ato ou acontecimento teve lugar, de modo a que esse acontecimento ou ato não possa ser subsequentemente negado;
            
            
               5.Para cada sistema de comunicação e informação sob a sua responsabilidade, as instituições e organismos da União identificam o mais elevado nível de confidencialidade que esse sistema de comunicação e informação pode tratar e armazenar, realizam uma avaliação dos riscos para a segurança da informação e acompanham regularmente as necessidades de segurança e a correta aplicação das medidas de proteção identificadas. 
            
            
               6.Todas as instituições e organismos da União devem realizar ações de formação e sensibilização sobre a forma de tratar e armazenar informações não classificadas e ICUE. 
            
            
               As instituições e organismos da União que tratam e armazenam ICUE organizam ações de formação obrigatórias, pelo menos de 5 em 5 anos, para todas as pessoas autorizadas a aceder a ICUE. As instituições e organismos da União em causa organizam ações de formação específicas para as funções específicas às quais são confiadas tarefas de segurança da informação.
            
            
               Uma instituição ou organismo da União pode coordenar essas ações de formação e sensibilização com outras instituições e organismos da União.
            
            
               Artigo 5.º
            
            
               Processo de gestão dos riscos de segurança da informação
            
            
               1.Cada instituição e organismo da União estabelece um processo de gestão dos riscos de segurança da informação para a proteção das informações tratadas e armazenadas na referida instituição ou organismo.
            
            
               2.O processo de gestão dos riscos de segurança da informação inclui as seguintes etapas:
            
            
               a)Identificação de ameaças e vulnerabilidades;
            
            
               b)Avaliação do risco;
            
            
               c)Tratamento do risco;
            
            
               d)Aceitação do risco;
            
            
               e)Comunicação do risco.
            
            
               3.O processo de gestão dos riscos de segurança da informação tem em conta todos os fatores relevantes para a instituição ou organismo em causa, nomeadamente:
            
            
               a)O nível de confidencialidade das informações e as obrigações legais conexas;
            
            
               b)A forma e a quantidade das informações e das instalações ou SCI onde as informações são tratadas e armazenadas;
            
            
               c)As pessoas que acedem às informações nos próprios locais ou à distância;
            
            
               d)O ambiente envolvente e a estrutura dos edifícios ou zonas de armazenamento da informação;
            
         
         
            
               e)As ameaças que visam a União, as instituições e organismos da União ou os Estados-Membros, provenientes de ciberataques, ataques à cadeia de abastecimento, espionagem, sabotagem, atividades terroristas, subversivas ou outras atividades criminosas;
            
            
               f)Continuidade das atividades e recuperação em caso de catástrofe;
            
            
               g)Os resultados das inspeções, auditorias ou visitas de avaliação, se for caso disso.
            
            
               Capítulo 2 
                  Governação e organização da segurança
            
            
               Artigo 6.º
            
            
               Grupo Interinstitucional de Coordenação da Segurança da Informação
            
            
               1.É criado um Grupo Interinstitucional de Coordenação da Segurança da Informação (a seguir designado «Grupo de Coordenação»).
            
            
               É composto por todas as Autoridades de Segurança das instituições e organismos da União e dispõe de um mandato para definir a sua política comum no domínio da segurança da informação.
            
            
               2.Deliberando por consenso e no interesse comum de todas as instituições e organismos da União, o Grupo de Coordenação:
            
            
               a)Adota o seu regulamento interno e os objetivos e prioridades comuns anuais;
            
            
               b)Adota decisões sobre a criação de subgrupos temáticos e as respetivas atribuições;
            
            
               c)Elabora documentos de orientação sobre a aplicação do presente regulamento, em cooperação com o Comité Interinstitucional para a Cibersegurança a que se refere o artigo 9.º do Regulamento UE [...] que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União, se for caso disso; 
            
            
               d)Cria plataformas específicas para a partilha de boas práticas e conhecimentos sobre temas comuns relevantes para a segurança da informação, bem como para a prestação de assistência em caso de incidentes de segurança da informação;
            
            
               e)Assegura que as medidas de segurança são coordenadas, na medida do necessário, com as Autoridades Nacionais de Segurança competentes para efeitos de proteção das ICUE.
            
            
               3.O Grupo de Coordenação designa um presidente e dois vice-presidentes de entre os seus membros, por um período de 3 anos.
            
            
               4.O Grupo de Coordenação reúne-se, pelo menos, uma vez por ano, por iniciativa do seu presidente ou a pedido de uma instituição ou organismo da União.
            
            
               5.O Grupo de Coordenação tem o apoio administrativo de um secretariado permanente assegurado pela Comissão.
            
            
               6.Cada instituição ou organismo da União está devidamente representado no Grupo de Coordenação e, se for caso disso, nos subgrupos temáticos.
            
            
               7.As instituições e organismos da União chamam a atenção do Grupo de Coordenação para qualquer evolução significativa que diga respeito à política de segurança da informação no âmbito da sua organização.
            
            
               8.Na execução das funções a que se refere o n.º 2, alínea e), o Grupo de Coordenação é assistido por um Comité de Segurança da Informação. Esse Comité é composto por um representante de cada Autoridade Nacional de Segurança e presidido pelo Secretariado do Grupo de Coordenação referido no n.º 5. O Comité de Segurança da Informação tem um papel consultivo.
            
         
         
            
               Artigo 7.º
            
            
               Subgrupos temáticos
            
            
               1.O Grupo de Coordenação cria os seguintes subgrupos temáticos permanentes a fim de facilitar a aplicação do presente regulamento:
            
            
               a)Um subgrupo no domínio da garantia da informação;
            
            
               b)Um subgrupo no domínio das informações não classificadas;
            
            
               c)Um subgrupo no domínio da segurança física;
            
            
               d)Um subgrupo no domínio da acreditação dos sistemas de comunicação e informação que tratam e armazenam ICUE;
            
            
               e)Um subgrupo no domínio da partilha de ICUE e do intercâmbio de informações classificadas.
            
            
               2.Se necessário, o Grupo de Coordenação pode criar subgrupos ad hoc para uma função específica e por um período limitado.
            
            
               3.Salvo disposição em contrário nas suas atribuições, os subgrupos baseiam-se numa composição aberta que represente a instituição ou o organismo da União em causa. Os membros dos subgrupos são peritos no respetivo domínio de competências.
            
            
               4.O Secretariado do Grupo de Coordenação, a que se refere o artigo 5.º, n.º 5, apoia o trabalho de todos os subgrupos e assegura a comunicação entre os seus membros.                                 
            
            
               Artigo 8.º
            
            
               Organização da segurança
            
            
               1.Cada instituição e organismo da União designa uma Autoridade de Segurança para assumir as responsabilidades que lhe são atribuídas pelo presente regulamento e, se for caso disso, pelas suas regras internas de segurança. No desempenho das suas funções, cada Autoridade de Segurança tem o apoio do serviço ou do funcionário a quem são confiadas tarefas de segurança da informação.
            
            
               2.Sempre que necessário, a Autoridade de Segurança de cada instituição e organismo da União adota regras de execução internas para a proteção da informação, em conformidade com a sua missão específica confiada nos termos da legislação da UE, e com base na sua autonomia institucional.
            
            
               3.Se for caso disso, cada Autoridade de Segurança assume igualmente as seguintes funções:
            
            
               a)A Autoridade de Garantia da Informação fica encarregada da elaboração de políticas e diretrizes de segurança em matéria de garantia da informação e do controlo da sua eficácia e pertinência;
            
            
               b)A Autoridade Operacional de Garantia da Informação é responsável pela elaboração de documentação em matéria de segurança, em particular os Procedimentos Operacionais de Segurança e o plano criptográfico no âmbito do processo de acreditação dos sistemas de comunicação e informação;
            
            
               c)A Autoridade de Acreditação de Segurança é responsável pela acreditação das Zonas de Segurança e de SCI que tratam e armazenam ICUE;
            
            
               d)A Autoridade TEMPEST é responsável pela aprovação das medidas de proteção contra o comprometimento de ICUE devido a emanações eletromagnéticas não intencionais;
            
         
         
            
               e)A Autoridade de Aprovação Criptográfica é responsável pela aprovação da utilização de tecnologias de encriptação com base num pedido do proprietário do sistema;
            
            
               f)A Autoridade de Distribuição Criptográfica é responsável pela distribuição de materiais criptográficos utilizados para proteger as ICUE (equipamento de cifragem, chaves criptográficas, certificados e autenticadores conexos) aos utilizadores em causa.
            
            
               4.As responsabilidades de uma ou mais das funções a que se refere o n.º 3 podem ser delegadas noutra instituição ou organismo da União sempre que a execução descentralizada de segurança proporcione poupanças significativas em termos de eficiência, recursos ou tempo.
            
            
               Capítulo 3 
                  Garantia da informação e sistemas de comunicação e informação (SCI)
            
            
               Artigo 9.º
            
            
               Princípios de garantia da informação
            
            
               1.A avaliação das necessidades de segurança da informação é tida em conta desde o início da criação, ou na fase de adjudicação do contrato, no que diz respeito a todos os SCI, incluindo os SCI internos, externalizados e híbridos.
            
            
               2.Qualquer SCI que trate e armazene ICUE deve ser acreditado nos termos da Secção 5 do Capítulo 5. Os SCI que tratam e armazenam informações sensíveis não classificadas devem cumprir os requisitos mínimos aplicáveis às informações sensíveis não classificadas nos SCI, estabelecidos no capítulo 4.
            
            
               Artigo 10.º
            
            
               Subgrupo no domínio da garantia da informação
            
            
               1.O subgrupo no domínio da garantia da informação a que se refere o artigo 7.º, n.º 1, alínea a), tem as seguintes funções e responsabilidades:
            
            
               a)Fornecer orientações e boas práticas sobre a marcação, o tratamento e o armazenamento de informações nos SCI, em estreita cooperação com o Comité Interinstitucional de Cibersegurança a que se refere o artigo 9.º do Regulamento (UE) [XXX] que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União;
            
            
               b)Estabelecer um sistema de metadados para as marcas e todas as informações técnicas necessárias para contribuir para um intercâmbio de informações interoperável e sem descontinuidades entre as instituições e organismos da União, ao interligar os respetivos SCI;
            
            
               c)Contribuir para a coerência entre as regras de segurança da informação e a base de referência em matéria de cibersegurança em todas as instituições e organismos da União, a que se refere o artigo 5.º do Regulamento (UE) [XXX] que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União.
            
            
               Artigo 11.º
            
            
               Requisitos aplicáveis aos sistemas de comunicação e informação
            
            
               1.As instituições e organismos da União informam os utilizadores sobre os níveis de confidencialidade das informações que podem ser tratadas e armazenadas num SCI. Sempre que um SCI trate e armazene vários níveis de confidencialidade, devem ser utilizados metadados e marcas visuais para assegurar que os diferentes níveis possam ser distinguidos.
            
            
               2.As instituições e organismos da União identificam os utilizadores do SCI antes de lhes conceder acesso a outros níveis de confidencialidade que não a utilização pública. Os utilizadores são autenticados com um nível de garantia adequado ao nível de confidencialidade. Se for caso disso, deve ser utilizado um sistema de identificação comum seguro.
            
            
               3.São conservados registos de segurança adequados para todos os SCI, a fim de assegurar investigações rápidas em caso de violações ou fugas de informação. Tais registos são conservados durante um período estabelecido na avaliação de impacto sobre as atividades ou nas políticas de segurança pertinentes, de forma irrefutável. 
            
            
               Sempre que um SCI trate e armazene ICUE, os registos relacionados com a necessidade de tomar conhecimento e o acesso às informações são conservados até que as informações sejam desclassificadas. Os registos de segurança são pesquisáveis e acessíveis pela Autoridade de Segurança.
            
         
         
            
               4.As instituições e organismos da União adotam regras internas em matéria de segurança dos SCI a fim de especificar as medidas de segurança adequadas, em conformidade com as necessidades de segurança das informações a tratar e armazenar, e tendo em conta as jurisdições em que as informações são armazenadas, transmitidas e tratadas. Se for caso disso, tais medidas incluem:
            
            
               a)Restrições à localização geográfica;
            
            
               b)Consideração de potenciais conflitos de interesses, boicotes ou sanções aplicáveis às entidades contratantes;
            
            
               c)Disposições contratuais para garantir a segurança das informações;
            
            
               d)Cifragem das informações armazenadas e em trânsito;
            
            
               e)Restrições à acessibilidade das informações das instituições e organismos da União por parte do pessoal das entidades contratantes;
            
            
               f)Proteção dos dados pessoais em conformidade com a legislação aplicável em matéria de proteção de dados. 
            
            
               5.As instituições e organismos da União gerem os respetivos SCI em conformidade com os seguintes princípios:  
            
            
               a)Cada SCI tem um proprietário do sistema ou uma Autoridade Operacional de Garantia da Informação responsável pela sua segurança;
            
            
               b)É conduzido um processo de gestão dos riscos de segurança da informação que abranja os aspetos de segurança da informação;
            
            
               c)Os requisitos de segurança e os procedimentos operacionais de segurança são formalmente definidos, aplicados, verificados e revistos;
            
            
               d)Os incidentes de segurança da informação são formalmente registados e acompanhados, em conformidade com o Regulamento (UE) [XXX] que estabelece medidas destinadas a garantir um elevado nível comum de cibersegurança nas instituições, órgãos e organismos da União.
            
            
               Capítulo 4 
                  Informações não classificadas
            
            
               Artigo 12.º
            
            
               Informações para uso público
            
            
               1.As informações destinadas a uso público, a publicação oficial ou já divulgadas, que possam ser partilhadas sem restrições dentro ou fora das instituições e organismos da União, são categorizadas, tratadas e armazenadas como informações para uso público.
            
            
               2.As instituições e organismos da União podem colocar a marca «PUBLIC USE» nas informações a que se refere o n.º 1.
            
            
               3.Todas as instituições e organismos da União garantem a integridade e a disponibilidade das informações para uso público através de medidas adequadas com base nas suas necessidades de segurança.
            
            
               Artigo 13.º
            
            
               Informações normais
            
         
         
            
               1.As informações destinadas a ser utilizadas por uma instituição ou organismo da União no exercício das suas funções que não sejam informações sensíveis não classificadas nem informações para uso público são categorizadas, tratadas e armazenadas como informações normais. Esta categoria abrange todas as informações de trabalho normais tratadas na instituição ou organismo da União em causa.
            
            
               2.As informações normais podem ser marcadas visualmente ou em metadados, se tal for necessário para assegurar a sua proteção, em particular quando são partilhadas fora das instituições e organismos da União. Nesse caso, deve ser utilizada a menção «EU NORMAL» ou o «nome ou acrónimo da instituição ou do organismo da União NORMAL» (ajustado caso a caso).
            
            
               3.As instituições e organismos da União definem medidas de proteção normalizadas para as informações normais, tendo em conta as orientações do subgrupo relativo às informações não classificadas e quaisquer riscos específicos relacionados com as suas funções e atividades.
            
            
               4.As informações normais só podem ser trocadas fora das instituições e organismos da União com pessoas singulares ou coletivas que tenham necessidade de tomar conhecimento.                                                                                                                                                            
            
            
               Artigo 14.º
            
            
               Informações sensíveis não classificadas
            
            
               1.As instituições e organismos da União categorizam, tratam e armazenam como informações sensíveis não classificadas todas as informações que não estejam classificadas, mas que devam proteger devido a obrigações legais ou devido aos danos que possam ser causados aos legítimos interesses privados e públicos, incluindo os das instituições e organismos da União, dos Estados-Membros ou das pessoas singulares pela sua divulgação não autorizada.
            
            
               2.Cada instituição e organismo da União identifica as informações sensíveis não classificadas através de uma marca de segurança visível e define as correspondentes instruções de tratamento, em conformidade com o anexo I.
            
            
               3.As instituições e organismos da União protegem as informações sensíveis não classificadas através da aplicação de medidas adequadas no que diz respeito ao seu tratamento e armazenamento. Tais informações só podem ser disponibilizadas no seio das instituições e organismos da União a pessoas que delas tenham necessidade de tomar conhecimento para o desempenho das funções que lhes são atribuídas.
            
            
               4.As informações sensíveis não classificadas só podem ser trocadas fora das instituições e organismos da União com pessoas singulares e coletivas que delas tenham necessidade de tomar conhecimento, respeitando simultaneamente as instruções de tratamento que acompanham as informações. Todas as partes envolvidas são informadas das instruções de tratamento adequadas.
            
            
               Artigo 15.º
            
            
               Proteção das informações não classificadas e interoperabilidade
            
            
               1.As instituições e organismos da União estabelecem procedimentos para a comunicação e gestão de quaisquer incidentes ou suspeitas de incidentes que possam comprometer a segurança das informações não classificadas.
            
            
               2.Se necessário, as instituições e organismos da União utilizam as marcas previstas nos artigos 12.º, 13.º e 14.º. Excecionalmente, podem ser utilizadas outras marcas equivalentes internamente e relativamente aos seus homólogos específicos de outras instituições e organismos da União ou dos Estados-Membros, quando todas as partes estiverem de acordo. Essa exceção é notificada ao subgrupo responsável pelas informações não classificadas, tal como referido no artigo 7.º, n.º 1, alínea b).
            
            
               3.São criadas salvaguardas contratuais para garantir a proteção das informações normais e sensíveis não classificadas tratadas por serviços externalizados. As salvaguardas são concebidas de modo a garantir, pelo menos, um nível de proteção equivalente ao previsto no presente regulamento, e incluem acordos de confidencialidade e de não divulgação a assinar por todos os prestadores de serviços pertinentes envolvidos no fornecimento dos sistemas externalizados.
            
            
               Artigo 16.º
            
            
               Subgrupo no domínio das informações não classificadas 
            
            
               1.O subgrupo no domínio das informações não classificadas a que se refere o artigo 7.º, n.º 1, alínea b), tem as seguintes funções e responsabilidades:
            
            
               a)Racionalizar os procedimentos relativos ao tratamento e armazenamento das informações não classificadas e preparar as orientações pertinentes;
            
            
               b)Coordenar com o subgrupo no domínio da garantia da informação a que se refere o artigo 7.º, n.º 1, alínea a), questões relacionadas com os sistemas que tratam e armazenam informações não classificadas;
            
         
         
            
               c)Elaborar instruções de tratamento para os diferentes níveis de confidencialidade das informações não classificadas;
            
            
               d)Assistir as instituições e organismos da União no estabelecimento da equivalência entre as suas categorias específicas de informações não classificadas e as previstas nos artigos 12.º, 13.º e 14.º;
            
            
               e)Facilitar a partilha de informações não classificadas entre instituições e organismos da União, prestando assistência e orientação.
            
            
               Artigo 17.º
            
            
               Tratamento e armazenamento de informações sensíveis não classificadas nos SCI
            
            
               1.As instituições e organismos da União asseguram que os SCI cumprem os seguintes requisitos mínimos quando tratam e armazenam informações sensíveis não classificadas:
            
            
               a)É criada uma autenticação forte para aceder a informações SNC e as informações SNC são cifradas na transmissão e no armazenamento;
            
            
               b)As chaves criptográficas utilizadas para o armazenamento são da responsabilidade da instituição ou organismo da União responsável pelo funcionamento do SCI;
            
            
               c)As informações SNC são armazenadas e tratadas na União;
            
            
               d)As disposições contratuais que abranjam a segurança do pessoal, dos ativos e das informações são incluídas em todos os contratos de externalização;
            
            
               e)São utilizados metadados interoperáveis para registar o nível de confidencialidade dos documentos eletrónicos e para facilitar a automatização das medidas de segurança;
            
            
               f)As instituições e organismos da União aplicam medidas para prevenir e detetar fugas de dados, a fim de proteger as informações sensíveis não classificadas;
            
            
               g)É utilizado, se disponível, equipamento de segurança detentor de um certificado europeu de cibersegurança;
            
            
               h)São aplicadas medidas de segurança baseadas nos princípios da necessidade de tomar conhecimento e da confiança zero para minimizar o acesso a informações sensíveis não classificadas por parte dos prestadores de serviços e das entidades contratantes.
            
            
               2.Qualquer derrogação aos requisitos mínimos estabelecidos no n.º 1 está sujeita à aprovação do nível adequado de gestão da instituição ou organismo da União em causa, com base numa avaliação de risco que abranja os riscos jurídicos e técnicos para a segurança das informações sensíveis não classificadas.
            
            
               3.A Autoridade de Garantia da Informação da instituição ou organismo da União em causa pode verificar a conformidade com os princípios estabelecidos no n.º 1 em qualquer momento durante o ciclo de vida de um SCI.
            
            
               Capítulo 5 
                  ICUE
            
            
               Secção 1 
                  Disposições gerais
            
            
               Artigo 18.º
            
            
               Classificações e marcas de segurança
            
         
         
            
               1.As ICUE são classificadas num dos seguintes níveis e são marcadas do seguinte modo:
            
            
               a)TRES SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excecionalmente grave os interesses essenciais da União ou de um ou mais Estados-Membros;
            
            
               b)SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União ou de um ou mais Estados-Membros;
            
            
               c)CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União ou de um ou mais Estados-Membros;
            
            
               d)RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União ou de um ou mais Estados-Membros.
            
            
               2.O Grupo de Coordenação adota documentos de orientação sobre a criação e classificação de ICUE.
            
            
               Artigo 19.º
            
            
               Aptidão para tratar e armazenar ICUE
            
            
               1.Qualquer instituição e organismo da União pode tratar e armazenar ICUE caso preencha as seguintes condições:
            
            
               a)Estabelece regras e procedimentos em conformidade com o presente regulamento, garantindo a proteção das informações para um determinado nível de classificação; e
            
            
               b)Foi objeto de uma visita de avaliação nos termos do artigo 53.º, tendo-lhe sido subsequentemente atribuído um certificado que indica estar em condições de proteger as ICUE nos termos do presente regulamento e, se for caso disso, de quaisquer outras regras e procedimentos pertinentes.
            
            
               2.Considera-se que as condições estabelecidas no n.º 1 estão preenchidas por defeito pelos membros do subgrupo relativo à partilha de ICUE e intercâmbio de informações classificadas a que se refere o artigo 7.º, n.º 1, alínea e).
            
            
               Artigo 20.º
            
            
               Proteção das ICUE
            
            
               1.O detentor de quaisquer ICUE é responsável pela sua proteção.
            
            
               2.Caso um Estado-Membro introduza nas estruturas ou redes de uma instituição ou organismo da União informações classificadas que ostentem uma marca de classificação de segurança nacional, essa instituição ou organismo deve proteger essas informações em conformidade com a marca de classificação correspondente estabelecida no Acordo entre os Estados-Membros da União Europeia, reunidos no Conselho, sobre a proteção das informações classificadas trocadas no interesse da União Europeia
                  29
               . A tabela de equivalências correspondente consta do anexo VI do presente regulamento.
            
            
               3.Um agregado de ICUE pode justificar um nível de proteção correspondente a uma classificação mais elevada do que a de cada um dos seus componentes.
            
            
               Artigo 21.º
            
            
               Processo de gestão dos riscos de segurança das ICUE
            
            
               1.A Autoridade de Segurança de cada instituição e organismo da União aprova as medidas de segurança para proteger as ICUE ao longo do seu ciclo de vida, em conformidade com o resultado de uma avaliação dos riscos efetuada pela respetiva instituição ou organismo da União.
            
         
         
            
               2.As medidas de segurança tomadas por cada instituição e organismo da União devem ser proporcionais ao nível de classificação das informações tratadas e armazenadas, à sua forma e volume, à localização e às características de proteção das instalações onde são tratadas e armazenadas ICUE e à avaliação local da ameaça de atos mal-intencionados ou atividades criminosas.
            
            
               3.Todas as instituições e organismos da União estabelecem:
            
            
               a)Planos de emergência para garantir a segurança das ICUE em situações de emergência;
            
            
               b)Planos de continuidade das atividades, incluindo medidas de prevenção e recuperação destinadas a minimizar o impacto de quaisquer falhas ou incidentes graves sobre o tratamento e armazenamento das ICUE.                           
            
            
               Artigo 22.º
            
            
               Violações da segurança e comprometimento de ICUE
            
            
               1.Um ato ou omissão de uma instituição ou organismo da União ou de uma pessoa que viole o presente regulamento é considerado uma violação da segurança. 
            
            
               2.Considera-se haver comprometimento de ICUE quando, em consequência de uma violação da segurança, estas são, no todo ou em parte, divulgadas a uma ou mais pessoas não autorizadas a aceder a essas informações.
            
            
               3.Qualquer comprometimento ou suspeita de comprometimento de ICUE deve ser imediatamente comunicado à Autoridade de Segurança da instituição ou organismo competente da União, que realizará um inquérito de segurança e tomará, pelo menos, as seguintes medidas:
            
            
               a)Informar a entidade de origem;
            
            
               b)Garantir que o caso seja investigado por elementos do pessoal não diretamente envolvidos na violação da segurança, a fim de determinar os factos ocorridos;
            
            
               c)Avaliar os danos eventualmente causados aos interesses da União ou dos Estados-Membros;
            
            
               d)Tomar as medidas adequadas para impedir novas ocorrências;
            
            
               e)Notificar as autoridades competentes do comprometimento real ou potencial e das medidas tomadas. 
            
            
               Secção 2 
                  Segurança do pessoal 
            
            
               Artigo 23.º
            
            
               Princípios básicos
            
            
               1.A Autoridade de Segurança de uma instituição ou organismo da União pode conceder acesso a ICUE se estiverem preenchidas todas as seguintes condições:
            
            
               a)As pessoas têm necessidade de tomar conhecimento de tais informações;
            
            
               b)As pessoas foram informadas das regras e procedimentos de segurança aplicáveis à proteção das ICUE e das normas e diretrizes de segurança pertinentes e reconheceram por escrito as suas responsabilidades no que respeita à proteção dessas informações;
            
         
         
            
               c)No caso de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, as pessoas obtiveram uma credenciação de segurança e possuem autorização para o nível adequado.
            
            
               2.As instituições e organismos da União devem ter em conta a lealdade, idoneidade e fiabilidade de uma dada pessoa, tal como determinado mediante uma investigação de segurança conduzida pelas autoridades competentes do Estado-Membro de que o requerente é cidadão ou nacional. 
            
            
               3.As instituições e organismos da União podem aceitar credenciais de segurança de países terceiros e organizações internacionais com os quais a União tenha um acordo de segurança da informação.
            
            
               4.As instituições e organismos da União podem gerir os processos de credenciação de forma autónoma ou solicitar um acordo de nível de serviço («SLA») com a Comissão para efeitos de credenciação de segurança.
            
            
               Caso seja celebrado um SLA, a Autoridade de Segurança da Comissão é o ponto de contacto entre os serviços de segurança da instituição e do organismo da União em causa e as autoridades nacionais competentes dos Estados-Membros no contexto das questões de credenciação de segurança. 
            
            
               5.A Autoridade de Segurança de cada instituição e organismo da União conserva registos das suas credenciações de segurança, sessões de informação, declarações escritas e autorizações de acesso a ICUE.
            
            
               6.As instituições e organismos da União que celebrem um SLA com a Comissão disponibilizam à Autoridade de Segurança da Comissão os registos pertinentes que especificam, pelo menos, o nível das ICUE a que a pessoa pode ter acesso, a data de emissão da autorização de acesso a ICUE e o seu período de validade. Sempre que tal se justifique, esses registos devem ser acessíveis a outras instituições e organismos da União com um acordo de nível de serviço.
            
            
               Artigo 24.º
            
            
               Autorização de acesso a ICUE
            
            
               1.Cada instituição e organismo da União identifica os cargos na sua organização cujos titulares precisam de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior para desempenhar as suas funções.
            
            
               2.Sempre que uma pessoa deva ser autorizada a aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, a instituição ou organismo em causa informará disso a Autoridade de Segurança competente, que irá proceder às formalidades exigidas no ponto 1 do anexo II.
            
            
               3.A Autoridade de Segurança de cada instituição e organismo da União é responsável pela concessão, suspensão, retirada e renovação das autorizações de acesso do seu pessoal a ICUE.
            
            
               4.Em circunstâncias excecionais devidamente justificadas pelo interesse do serviço e na pendência da conclusão de uma investigação de segurança exaustiva, a Autoridade de Segurança de uma instituição ou organismo da União pode conceder uma autorização temporária de acesso a ICUE para uma função específica, sem prejuízo das disposições relativas à renovação da autorização de acesso a ICUE e após verificação da Autoridade Nacional de Segurança competente.
            
            
               5.As instituições e organismos da União seguem os procedimentos de gestão da autorização de acesso a ICUE constantes do anexo II. 
            
            
               Artigo 25.º
            
            
               Reconhecimento das autorizações de acesso a ICUE
            
            
               1.Uma autorização de acesso a ICUE até ao nível especificado é válida em qualquer instituição ou organismo da União a que a pessoa em causa esteja afetada.
            
            
               2.As instituições e organismos da União aceitam autorizações de acesso a ICUE concedidas por outras instituições ou organismos da União. 
            
            
               3.Caso o titular de uma autorização de acesso a ICUE inicie funções noutra instituição ou organismo da União, essa instituição ou organismo da União notifica a ANS competente da mudança de empregador, através da Autoridade de Segurança competente.
            
            
               Artigo 26.º
            
         
         
            
               Sessões de informação sobre ICUE
            
            
               1.A Autoridade de Segurança de uma instituição ou organismo da União informa todas as pessoas que necessitem de aceder a ICUE sobre quaisquer ameaças à segurança e sobre a sua obrigação de comunicar qualquer atividade suspeita. A sessão de informação deve ter lugar antes de ser concedido o acesso a ICUE e, posteriormente, pelo menos de 5 em 5 anos. 
            
            
               2.Após terem recebido a informação a que se refere o n.º 1, todas as pessoas em causa reconhecem por escrito que compreenderam as suas obrigações em matéria de proteção das ICUE e as consequências em caso de comprometimento das ICUE.
            
            
               3.A sessão de informação a que se refere o n.º 1 inclui os seguintes elementos informativos:
            
            
               a)O responsável pela violação das regras de segurança estabelecidas no presente regulamento é passível de ação disciplinar, em conformidade com as disposições legislativas e regulamentares aplicáveis; 
            
            
               b)O responsável pelo comprometimento ou pela perda de ICUE é passível de ação disciplinar ou judicial, em conformidade com as disposições legislativas e regulamentares aplicáveis.
            
            
               4.Caso as pessoas a quem tenha sido concedida autorização de acesso a ICUE deixem de necessitar desse acesso, as instituições e organismos da União asseguram que essas pessoas tenham conhecimento e, se for caso disso, reconheçam por escrito as suas obrigações no que respeita à continuidade da proteção das ICUE.
            
            
               5.A tarefa de criar e gerir as sessões de informação sobre ICUE pode ser partilhada entre as instituições e organismos da União, desde que sejam tidos em conta os seus requisitos específicos. 
            
            
               Secção 3 
                  Segurança física
            
            
               Artigo 27.º
            
            
               Princípios básicos
            
            
               1.Cada instituição e organismo da União determina as medidas de segurança física adequadas às suas instalações, em conformidade com o anexo III e com o princípio da defesa em profundidade, com base numa avaliação de risco efetuada pela respetiva Autoridade de Segurança. As medidas devem assegurar os seguintes objetivos:
            
            
               a)Impedir o acesso a ICUE ou a entrada forçada de intrusos;
            
            
               b)Dissuadir, impedir e detetar ações não autorizadas e responder a incidentes de segurança o mais rapidamente possível;
            
            
               c)Permitir a diferenciação do pessoal no que se refere ao acesso a ICUE com base na sua necessidade de tomar conhecimento de tais informações e, se for caso disso, na respetiva credenciação de segurança. 
            
            
               2.As instituições e órgãos da União adotam medidas de segurança física para todos os locais onde sejam discutidas, armazenadas ou tratadas ICUE, incluindo nas zonas onde se encontrem sistemas de comunicação e informação, tal como referidos na secção 5 do presente capítulo.
            
            
               3.Só devem ser utilizados equipamentos de segurança aprovados pela Autoridade de Segurança de uma instituição ou organismo da União para a proteção física de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior.
            
            
               4.As instituições e organismos da União podem partilhar Zonas de Segurança, tal como referido no anexo III, para o tratamento e armazenamento de ICUE, após a celebração de um acordo.
            
            
               Artigo 28.º
            
            
               Subgrupo no domínio da segurança física
            
         
         
            
               1.O subgrupo no domínio da segurança física a que se refere o artigo 7.º, n.º 1, alínea c), tem as seguintes funções e responsabilidades:
            
            
               a)Elaborar documentos de orientação relativos a questões de segurança física;
            
            
               b)Definir os critérios gerais de segurança para a aquisição de equipamentos como contentores de segurança, máquinas trituradoras, fechaduras de porta, sistemas eletrónicos de controlo de acesso, sistemas de deteção de intrusos e sistemas de alarme para a proteção física das ICUE;
            
            
               c)Assistir as instituições e organismos da União na determinação das medidas de segurança adequadas para as suas instalações;
            
            
               d)Propor medidas compensatórias para a proteção das ICUE quando estas são tratadas fora das zonas fisicamente protegidas de uma instituição ou organismo da União. 
            
            
               Artigo 29.º
            
            
               Proteção física das ICUE
            
            
               1.A fim de assegurar a proteção física das ICUE, as instituições e organismos da União estabelecem as seguintes zonas fisicamente protegidas:
            
            
               a)Zonas administrativas, conforme referidas no anexo III;
            
            
               b)Se necessário, zonas de segurança, incluindo de classe I, de classe II e zonas tecnicamente seguras, tal como referido no anexo III.
            
            
               2.A Autoridade de Segurança da instituição ou organismo da União em causa realiza uma inspeção interna para verificar se uma dada zona preenche os requisitos para poder ser instituída como Zona Administrativa ou Zona de Segurança, conforme estabelecido no anexo III. Caso o relatório de inspeção indique que tais requisitos foram preenchidos, a Autoridade de Segurança pode emitir uma acreditação para uma Zona de Segurança para a proteção das ICUE até ao nível indicado, por um período não superior a 5 anos.
            
            
               A Autoridade de Segurança da instituição ou organismo da União em causa é responsável pela execução do processo de reacreditação das suas Zonas de Segurança, antes do termo da acreditação ou sempre que tenham sido introduzidas alterações na zona acreditada. 
            
            
               3.Cada instituição e organismo da União adota procedimentos para a gestão das chaves e das combinações das fechaduras de segredo dos gabinetes, salas, casas-fortes e contentores de segurança para o nível CONFIDENTIEL UE/EU-CONFIDENTIAL e para níveis superiores.
            
            
               4.A Autoridade de Segurança pode autorizar a realização de buscas nas entradas e saídas para dissuadir e detetar a introdução não autorizada de material ou a saída não autorizada de ICUE das instalações.
            
            
               5.As instituições e organismos da União estabelecem as medidas de proteção física das ICUE nos termos do anexo III.                                       
            
            
               Secção 4 
                  Gestão de ICUE
            
            
               Artigo 30.º
            
            
               Princípios básicos
            
            
               1.As instituições e organismos da União procedem ao registo, arquivo, conservação e, por fim, à eliminação ou transferência, integral ou por amostragem, dos seus documentos de ICUE para os arquivos pertinentes, em conformidade com a política e as regras de conservação específicas para os dossiês de cada instituição e organismo da União. 
            
            
               2.Qualquer instituição ou organismo da União que seja a entidade de origem das ICUE determina a classificação de segurança dessas informações após a sua produção e nos termos do artigo 18.º, n.º 1.
            
         
         
            
               3.As instituições e organismos da União comunicam claramente o nível de classificação aos destinatários, quer através de uma marca de classificação, quer através de um anúncio, caso em que as informações são prestadas oralmente.
            
            
               4.As medidas de segurança aplicáveis ao documento original são igualmente aplicáveis aos respetivos projetos, cópias e traduções.
            
            
               5.As instituições e organismos da União estabelecem as medidas de gestão das ICUE nos termos do anexo IV. 
            
            
               Artigo 31.º
            
            
               Produção de ICUE
            
            
               2. As instituições e organismos da União sob cuja autoridade são produzidas ICUE asseguram o cumprimento dos seguintes requisitos:
            
            
               a)Todas as páginas são marcadas de forma clara com o nível de classificação;
            
            
               b)Todas as páginas são numeradas;
            
            
               c)O documento ostenta um número de referência e, se for caso disso, um número de registo e o assunto, que não constituem por si só ICUE, a menos que estejam marcados como tal;
            
            
               d)O documento inclui a data de produção;
            
            
               e)Todos os anexos e apêndices são enumerados, sempre que possível, na primeira página;
            
            
               f)Os documentos com classificação EU SECRET ou superior que devam ser distribuídos em vários exemplares ostentam um número de exemplar em todas as páginas. As cópias eletrónicas distribuídas fora do sistema de conservação ostentam um identificador único baseado numa assinatura eletrónica.
            
            
               Artigo 32.º
            
            
               Controlo por parte da entidade de origem
            
            
               1.A instituição ou organismo da União sob cuja autoridade é produzido um documento de ICUE é objeto do controlo da entidade de origem sobre esse documento. A entidade de origem determina o nível de classificação do documento e é responsável pela sua divulgação inicial. Sem prejuízo do disposto no Regulamento (CE) n.º 1049/2001, o consentimento prévio por escrito da entidade de origem deve ser obtido antes de as informações serem:
            
            
               a)Desclassificadas ou desgraduadas;
            
            
               b)Utilizadas para fins diferentes dos estabelecidos pela entidade de origem;
            
            
               c)Transmitidas a qualquer entidade externa à instituição ou organismo da União que detenha as informações, incluindo um país terceiro ou uma organização internacional, outra instituição ou organismo da União, Estados-Membros, uma entidade contratante ou potencial contratante, um beneficiário ou potencial beneficiário;
            
            
               d)Copiadas e traduzidas, no caso das informações de nível TRES SECRET-UE/EU-TOP SECRET.
            
            
               2.Se a entidade de origem de um documento de ICUE não puder ser identificada, a instituição ou organismo da União que detenha essas informações classificadas é responsável por exercer o controlo que cabia à entidade de origem.
            
         
         
            
               3.As entidades de origem de qualquer documento de ICUE conservam registos de todas as fontes classificadas utilizadas para a produção de documentos classificados, incluindo os dados relativos às fontes originalmente provenientes dos Estados-Membros, de organizações internacionais ou de países terceiros. Nos casos em que tal se justifique, as informações classificadas agregadas são marcadas de modo a preservar a identificação das entidades de origem dos materiais de referência classificados utilizados.
            
            
               Artigo 33.º
            
            
               Marcas de classificação
            
            
               1.Se for caso disso, para além de uma das marcas de classificação de segurança, os documentos de ICUE podem ostentar outras marcas, como marcas de distribuição ou relativas à comunicabilidade ou para indicar a entidade de origem.
            
            
               2.Cada uma das partes de um determinado documento de ICUE pode exigir classificações diferentes, devendo ostentar a marca correspondente. A classificação geral de um documento ou dossiê deve ser pelo menos tão elevada como a da parte desse documento classificada ao nível mais elevado.
            
            
               3.Os documentos que contenham partes com níveis de classificação diferentes devem ser estruturados de forma a que as partes com um nível de classificação diferente possam ser facilmente identificadas e, se necessário, separadas.
            
            
               Artigo 34.º
            
            
               Sistema de registo de ICUE
            
            
               1.Todas as instituições e organismos da União que manuseiem e armazenem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIEL ou superior devem criar um ou mais registos de ICUE, a fim de garantir o seu registo para fins de segurança quando entram ou saem de uma instituição ou organismo da União.
            
            
               2.Todos os registos de ICUE devem ser estabelecidos em Zonas de Segurança, tal como referido no anexo III.
            
            
               3.As instituições e organismos da União nomeiam um responsável pelo controlo do registo («RCO») para gerir cada registo de ICUE.  O RCO deve possuir a credenciação de segurança adequada e dispor de uma autorização nos termos do artigo 24.º. As instituições e organismos da União devem assegurar a formação adequada dos seus RCO.
            
            
               Artigo 35.º
            
            
               Desgraduação e desclassificação
            
            
               1.As informações só são classificadas enquanto necessitarem de proteção. As ICUE que já não necessitem da classificação original são desgraduadas para um nível inferior. As ICUE que já não necessitem de ser consideradas classificadas são desclassificadas.
            
            
               2.Aquando da produção de ICUE, a entidade de origem indica, sempre que possível, e em particular no que se refere a informações com classificação RESTREINT UE/EU RESTRICTED, se as ICUE podem ser desgraduadas ou desclassificadas em determinada data ou após um dado acontecimento.
            
            
               3.Cabe à instituição ou organismo da União de origem decidir se um documento de ICUE pode ser desgraduado ou desclassificado. Deve analisar as informações e avaliar os riscos regularmente, pelo menos de 5 em 5 anos, a fim de determinar se o nível de classificação inicial continua a ser adequado.
            
            
               4.As instituições e organismos da União que detenham ICUE de que não sejam a entidade de origem não podem desgraduar ou desclassificar esse documento, nem alterar ou suprimir qualquer das marcas referidas no artigo 18.º, n.º 1, sem o consentimento prévio por escrito da entidade de origem.
            
            
               5.As instituições e organismos da União podem desgraduar ou desclassificar parcialmente as ICUE que produzam. Nesse caso, deve ser produzido um extrato desgraduado ou desclassificado.
            
            
               6.As instituições e organismos da União informam a organização destinatária das ICUE da sua desgraduação ou desclassificação.
            
            
               Artigo 36.º
            
         
         
            
               Marcas nos documentos desgraduados e desclassificados
            
            
               1.Sempre que as instituições e organismos da União decidam desclassificar um documento de ICUE, devem considerar se o mesmo deve ostentar uma marca de distribuição de informações sensíveis não classificadas.
            
            
               2.A marca de classificação original na parte superior e inferior de cada página deve ser rasurada de forma visível, utilizando a funcionalidade «rasurado» para formatos eletrónicos, ou manualmente para impressão. A marca de classificação original não deve ser suprimida.
            
            
               3.A primeira página ou a capa devem ser carimbadas como desgraduadas ou desclassificadas e completadas com os dados da autoridade responsável pela desgraduação ou desclassificação e a data correspondente. A desgraduação ou desclassificação de documentos de ICUE eletrónicos deve ser atestada por uma assinatura eletrónica sob a autoridade da entidade de origem.
            
            
               Artigo 37.º
            
            
               Destruição e supressão de ICUE
            
            
               1.As instituições e organismos da União analisam as ICUE, tanto em papel como em SCI, pelo menos de 5 em 5 anos, a fim de determinar se devem ser destruídas ou suprimidas. Sempre que as ICUE sejam destruídas ou suprimidas, devem disso informar qualquer pessoa que tenha recebido anteriormente essas ICUE.
            
            
               2.As instituições e organismos da União podem destruir os duplicados de ICUE que deixem de ser necessários, tendo em conta as regras pertinentes em matéria de gestão de documentos aplicáveis aos originais.
            
            
               3.Só o responsável do controlo do registo das instituições e organismos da União pode destruir qualquer cópia impressa de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior. O RCO atualiza os livros de registo e outras informações de registo em conformidade, conservando os metadados essenciais do documento destruído.
            
            
               A destruição dos documentos com classificação SECRET UE/EU SECRET e superior é efetuada pelo RCO apenas na presença de uma testemunha, que deve possuir uma credenciação de segurança pelo menos equivalente ao nível de classificação dos documentos a destruir.
            
            
               4.O RCO e, se for caso disso, a testemunha assinam um certificado de destruição, que é arquivado no registo. Os certificados são conservados durante um período mínimo de 5 anos, no caso das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET-UE/EU-SECRET, e durante um período mínimo de 10 anos, no caso das informações com classificação TRES SECRET-UE/EU-TOP SECRET.
            
            
               Artigo 38.º
            
            
               Evacuação e destruição de ICUE em situações de emergência
            
            
               1.Cada instituição e organismo da União deve elaborar planos de evacuação e destruição de emergência, com base nas condições locais, para a salvaguarda de ICUE que corram um risco significativo de chegar às mãos de pessoas não autorizadas.
            
            
               Os próprios elementos operacionais dos planos de evacuação e de destruição de emergência devem ser classificados como RESTREINT UE/EU RESTRICTED.
            
            
               2.Em caso de emergência, se houver um risco iminente de divulgação não autorizada de ICUE, as instituições e organismos da União procedem à evacuação das ICUE. 
            
            
               Se a evacuação não for possível, as ICUE devem ser destruídas de modo a não poderem ser reconstituídas integral ou parcialmente.
            
            
               3.A entidade de origem e o registo de origem devem ser informados da evacuação ou destruição de emergência das ICUE registadas.
            
            
               4.Sempre que tenham sido ativados planos de emergência, será dada prioridade à evacuação ou destruição dos níveis mais elevados de ICUE, incluindo o equipamento de cifragem. 
            
            
               Artigo 39.º
            
         
         
            
               Arquivo
            
            
               1.As instituições e organismos da União decidem se e quando devem arquivar ICUE, bem como as medidas práticas correspondentes, de acordo com a sua política de gestão de documentos.
            
            
               2.Os documentos de ICUE não podem ser transferidos para os Arquivos Históricos da União Europeia.
            
            
               Secção 5 
                  Proteção das ICUE nos sistemas de comunicação e informação (SCI)
            
            
               Artigo 40.º
            
            
               Subgrupo no domínio da acreditação dos sistemas de comunicação e informação que tratam e armazenam ICUE
            
            
               O subgrupo no domínio da acreditação dos SCI que tratam e armazenam ICUE, a que se refere o artigo 7.º, n.º 1, alínea d), tem as seguintes funções e responsabilidades:
            
            
               a)Assistir as instituições e organismos da União nos seus processos de acreditação;
            
            
               b)Recomendar uma norma de acreditação a seguir por todas as instituições e organismos da União;
            
            
               c)Divulgar e partilhar boas práticas e orientações em matéria de acreditação dos SCI.
            
            
               Artigo 41.º
            
            
               Sistemas de comunicação e informação
            
            
               As instituições e organismos da União devem satisfazer os seguintes requisitos em relação ao tratamento e armazenamento de ICUE pelos SCI:
            
            
               a)O proprietário do sistema ou a Autoridade Operacional de Garantia da Informação deve consultar a Autoridade de Acreditação de Segurança antes de desenvolver, adquirir ou permitir que um SCI trate e armazene ICUE, a fim de determinar os requisitos de acreditação;
            
            
               b)Os princípios fundamentais de segurança para a conceção de SCI que tratem e armazenem ICUE são aplicáveis no início do projeto, como parte do processo de gestão dos riscos de segurança da informação e tendo em conta a necessidade de tomar conhecimento, a funcionalidade mínima, a defesa em profundidade, o menor privilégio, a diferenciação de funções e o princípio dos «quatro olhos»;
            
            
               c)Os componentes de armazenamento, processamento central e gestão de rede dos SCI que tratem e armazenem ICUE são instalados numa Zona de Segurança, tal como referido no anexo III;
            
            
               d)Aplicar «medidas de segurança TEMPEST» que sejam proporcionais ao risco de exploração e ao nível de classificação da informação;
            
            
               e)Todo o pessoal envolvido no funcionamento de um SCI que trate e armazene ICUE deve notificar a Autoridade de Segurança e o proprietário do sistema ou Autoridade Operacional de Garantia da Informação pertinente de todas as potenciais lacunas de segurança, incidentes, violações da segurança ou comprometimentos suscetíveis de ter impacto sobre a proteção do SCI e/ou as ICUE nele contidas;
            
            
               f)Se for caso disso, a Autoridade de Segurança notifica as autoridades de segurança de quaisquer outras instituições e organismos da União em causa sobre potenciais lacunas ou incidentes de segurança que possam afetar o tratamento e o armazenamento de ICUE.
            
            
               Artigo 42.º
            
         
         
            
               Produtos criptográficos
            
            
               1.Durante a transmissão e armazenamento de ICUE por via eletrónica devem ser utilizados produtos criptográficos aprovados. A lista de produtos criptográficos aprovados é conservada pelo Conselho, com base nos contributos das Autoridades Nacionais de Segurança.
            
            
               2.Se da lista referida no n.º 1 não constar qualquer produto adequado para o fim a que se destina, a Autoridade de Aprovação Criptográfica da instituição ou organismo da União em causa deve solicitar uma aprovação provisória ao Conselho. Sempre que possível, deve ser selecionado um produto criptográfico aprovado pela Autoridade Nacional de Segurança de um Estado-Membro.
            
            
               O Conselho deve tomar as medidas necessárias para garantir a inclusão de um produto adequado na lista.
            
            
               3.As aprovações de produtos criptográficos são válidas por um período máximo de 5 anos e posteriormente revistas anualmente.
            
            
               4.O Conselho retira qualquer produto criptográfico da lista de produtos criptográficos aprovados cuja aprovação nacional tenha sido retirada ou tenha caducado.
            
            
               5.O Grupo de Coordenação informa anualmente o Conselho de quaisquer produtos criptográficos que recomende para avaliação por parte de uma Autoridade de Aprovação Criptográfica de um Estado-Membro, com base num inquérito realizado nas instituições e organismos da União.
            
            
               Artigo 43.º
            
            
               Acreditação de SCI que tratam e armazenam ICUE
            
            
               1.Através da acreditação dos SCI que tratam e armazenam ICUE, as instituições e organismos da União confirmam que foram aplicadas todas as medidas de segurança adequadas e que foi alcançado um nível suficiente de proteção das ICUE e dos SCI, em conformidade com o presente regulamento.
            
            
               2.A responsabilidade pela preparação dos processos e da documentação de acreditação, incluindo manuais para diferentes tipos de utilizadores, cabe ao proprietário do SCI ou à Autoridade Operacional de Garantia da Informação.
            
            
               3.A Autoridade de Acreditação de Segurança de cada instituição e organismo da União é responsável pelo estabelecimento de um processo de acreditação com condições claras que necessitem de aprovação, para todos os SCI sob a sua autoridade.
            
            
               4.Caso um SCI que trate e armazene ICUE envolva tanto instituições e organismos da União como Autoridades Nacionais de Segurança, as instituições e organismos da União em causa instituem, através de outras regras de execução adotadas nos termos do artigo 8.º, n.º 2, um Comité Conjunto de Acreditação de Segurança responsável pela acreditação do sistema. Esse Comité é composto por representantes da Autoridade de Acreditação de Segurança das partes envolvidas e presidido pela Autoridade de Acreditação de Segurança da instituição ou organismo da União proprietário do SCI.
            
            
               Artigo 44.º
            
            
               Processo de acreditação de um SCI que trata e armazena ICUE
            
            
               1.Todos os SCI que tratam e armazenam ICUE devem ser objeto de um processo de acreditação, com base nos princípios da garantia da informação, cujo nível de pormenor deve ser proporcional ao nível de proteção exigido.
            
            
               2.O processo de acreditação resultará numa declaração de acreditação que determina o nível máximo de classificação das informações que podem ser tratadas e armazenadas pelo SCI, bem como as respetivas modalidades e condições. A declaração de acreditação baseia-se na validação formal da avaliação de risco e das medidas de segurança aplicadas ao SCI em causa, dando garantias sobre os seguintes elementos:
            
            
               a)O processo de gestão dos riscos de segurança da informação foi corretamente executado;
            
            
               b)O proprietário do sistema ou o proprietário do risco aceitou conscientemente o risco residual; 
            
            
               c)Foi alcançado um nível suficiente de proteção do SCI e das ICUE nele tratadas e armazenadas, em conformidade com o presente regulamento.
            
         
         
            
               3.A Autoridade de Acreditação de Segurança de uma instituição ou organismo da União valida formalmente a declaração de acreditação. Após a validação bem‑sucedida, a Autoridade de Acreditação de Segurança emite uma aprovação de funcionamento que determina o nível máximo de classificação das ICUE que podem ser tratadas no SCI, bem como as respetivas modalidades e condições de funcionamento. A aprovação é emitida por um período determinado. Se uma ou mais das medidas de segurança exigidas não estiverem em vigor, mas tal não tiver um impacto significativo na segurança global, pode ser emitida uma aprovação provisória para o funcionamento, especificando os pontos que requerem melhorias.
            
            
               4.Em qualquer momento do ciclo de vida de um SCI, a Autoridade de Acreditação de Segurança da instituição ou organismo da União em causa pode tomar as seguintes medidas:
            
            
               a)Aplicar um processo de acreditação;
            
            
               b)Realizar uma auditoria ou inspeção do SCI;
            
            
               c)Sempre que as condições de funcionamento deixem de estar preenchidas, como, por exemplo, quando um incidente de segurança tenha revelado uma vulnerabilidade significativa no SCI, exigir o estabelecimento e a aplicação efetiva de um plano de melhoria da segurança, num calendário bem definido, retirando eventualmente a autorização de funcionamento do SCI até as condições de funcionamento voltarem a estar reunidas.
            
            
               5.O proprietário do sistema ou a Autoridade Operacional de Garantia da Informação apresenta anualmente um relatório formal à Autoridade de Acreditação de Segurança durante o período de validade da aprovação de funcionamento, incluindo um resumo de quaisquer incidentes, alterações e fatores de risco significativos.
            
            
               Artigo 45.º
            
            
               Circunstâncias de emergência
            
            
               1.As instituições e organismos da União podem aplicar procedimentos específicos para transmitir ou armazenar ICUE classificadas em situações de emergência, nomeadamente em situações de crise iminente ou real, de conflito ou de guerra, ou em circunstâncias operacionais excecionais, após aprovação pela respetiva Autoridade de Aprovação Criptográfica.
            
            
               2.Nas circunstâncias referidas no n.º 1, as ICUE podem ser transmitidas através de produtos criptográficos aprovados para um nível de classificação inferior, ou sem cifragem, com o consentimento da autoridade competente, se o prejuízo causado por um atraso for claramente mais grave do que o decorrente da eventual divulgação do material classificado e sob reserva das seguintes condições:
            
            
               a)O remetente ou o destinatário não dispuser do sistema de cifragem necessário; 
            
            
               b)O material classificado não puder ser enviado a tempo por outros meios.
            
            
               3.As informações classificadas transmitidas nos termos do n.º 2 não podem ostentar marcas nem indicações que as distingam de informações não classificadas ou de informações que possam ser protegidas por produtos de cifragem disponíveis. Os destinatários devem ser imediatamente notificados, por outros meios, do nível de classificação das informações.
            
            
               4.Subsequentemente, deve ser apresentado à Autoridade de Segurança competente um relatório sobre a transmissão de ICUE nas circunstâncias referidas no n.º 1.
            
            
               Secção 6 
                  Segurança industrial
            
            
               Artigo 46.º
            
            
               Princípios básicos
            
            
               1.Ao adjudicar contratos classificados ou ao conceder subvenções classificadas, cada instituição ou organismo da União, na qualidade de entidade contratante ou que concede a subvenção, deve garantir a referência a ou a integração nos contratos ou convenções de subvenção das normas mínimas de segurança industrial estabelecidas na presente secção e das condições de proteção das ICUE em contratos e convenções de subvenção classificados constantes do anexo V, bem como o seu cumprimento.
            
            
               2.A segurança industrial consiste na aplicação de medidas destinadas a assegurar a proteção das ICUE pelas seguintes pessoas ou entidades:
            
            
               a)Em regime de gestão direta
                  30
               , no âmbito de contratos classificados, pelos:
            
         
         
            
               i)candidatos ou proponentes durante o concurso e o procedimento de adjudicação do contrato,
            
            
               ii)contratantes ou subcontratantes durante a vigência dos contratos classificados;
            
            
               b)Em regime de gestão direta
                  31
               , no âmbito de convenções de subvenção classificadas, pelos:
            
            
               i)requerentes durante os procedimentos de concessão de subvenções,
            
            
               ii)beneficiários ou subcontratantes durante a vigência das convenções de subvenção classificadas;
            
            
               c)Em regime de gestão indireta, no âmbito dos acordos-quadro de parceria financeira («FFPA») e dos acordos de contribuição conexos celebrados pelas entidades encarregadas da execução durante a vigência destes acordos.
            
            
               3.Na qualidade de entidade responsável, a instituição ou organismo da União descreve os requisitos de segurança específicos aplicáveis à entidade mandatada no capítulo relativo à segurança dos FFPA e nos acordos de contribuição conexos. Estes requisitos baseiam-se nos princípios e disposições de segurança constantes do presente regulamento em relação aos contratos classificados e às convenções de subvenção classificadas, que se aplicam mutatis mutandis.
            
            
               4.Os contratos classificados e as convenções de subvenção classificadas não envolvem informações com classificação TRES SECRET UE/EU TOP SECRET.
            
            
               5.As disposições do presente capítulo relativas a contratos ou contratantes classificados, ou a subvenções ou beneficiários classificados, são igualmente aplicáveis a subcontratos ou subcontratantes classificados na aceção, respetivamente, de contratos ou subvenções classificados.
            
            
               6.As instituições e organismos da União, enquanto autoridades contratantes ou que concedem subvenções, cooperam estreitamente com as autoridades de segurança ou quaisquer outras autoridades competentes do país em cujo território está registada a parte contratante ou o beneficiário da subvenção, bem como com as autoridades de segurança ou quaisquer outras autoridades competentes da organização internacional contratada ou beneficiária da subvenção.
            
            
               7.As instituições e organismos da União, enquanto autoridades contratantes ou que concedem subvenções, comunicam com as autoridades de segurança ou quaisquer outras autoridades competentes através das respetivas Autoridades de Segurança.
            
            
               8.As instituições e organismos da União, enquanto autoridades contratantes ou que concedem subvenções, notificam as autoridades referidas no n.º 6, através da sua Autoridade de Segurança, sempre que tenha sido assinado um contrato classificado ou uma convenção de subvenção classificada.
            
            
               A notificação deve incluir dados relevantes, nomeadamente os nomes do contratante ou dos beneficiários, a duração do contrato classificado ou da convenção de subvenção classificada e o nível máximo de classificação.
            
            
               As instituições e organismos da União, enquanto autoridades contratantes ou que concedem subvenções, notificam igualmente as autoridades a que se refere o n.º 6 sempre que os contratos classificados ou as convenções de subvenção classificadas sejam objeto de denúncia prematura.
            
            
               9.As instituições e organismos da União, enquanto autoridades contratantes ou que concedem subvenções, só podem adjudicar contratos classificados ou partes classificadas de subvenções a entidades registadas nesses países terceiros ou criadas por organizações internacionais que tenham celebrado um acordo de segurança da informação com a União. Se as ICUE em causa contiverem dados pessoais, qualquer transferência destes para um país terceiro ou organização internacional deve ser efetuada nos termos do Regulamento (UE) 2018/1725.
            
            
               Artigo 47.º
            
            
               Elementos de segurança num contrato classificado ou numa convenção de subvenção classificada
            
            
               1.Os contratos classificados ou as convenções de subvenção classificadas devem incluir os seguintes elementos de segurança:
            
            
               a)Guia da classificação de segurança;
            
            
               b)Cláusula adicional de segurança.
            
         
         
            
               2.Os contratos classificados ou as convenções de subvenção classificadas podem incluir Instruções de Segurança do Programa ou Projeto.
            
            
               Artigo 48.º
            
            
               Guia da Classificação de Segurança 
            
            
               1.Antes de assinar um contrato classificado ou uma convenção de subvenção classificada, a instituição ou organismo da União, enquanto autoridade contratante ou que concede a subvenção, determina a classificação de segurança de todas as informações a serem produzidas pelos contratantes ou beneficiários, ou pelos respetivos subcontratantes. Para o efeito, elabora um Guia da Classificação de Segurança para ser utilizado na execução do contrato classificado ou da convenção de subvenção classificada.
            
            
               2.O Guia da Classificação de Segurança pode ser alterado ao longo da vigência do programa ou projeto, tal como referido no artigo 50.º, do contrato ou convenção de subvenção, e os elementos das informações podem ser reclassificados ou desgraduados. 
            
            
               3.A fim de determinar a classificação de segurança dos vários elementos de um contrato classificado ou de uma convenção de subvenção classificada, são aplicáveis os seguintes princípios:
            
            
               a)Ao elaborar um Guia da Classificação de Segurança, a instituição ou organismo da União, enquanto autoridade contratante ou que concede a subvenção, tem em conta todos os aspetos de segurança pertinentes, incluindo a classificação de segurança atribuída às informações fornecidas e aprovadas pela respetiva entidade de origem para utilização no âmbito do contrato classificado ou da convenção de subvenção classificada;
            
            
               b)O nível global de classificação do contrato classificado ou subvenção classificada não pode ser inferior à classificação mais elevada de qualquer das suas partes; 
            
            
               c)Se for caso disso, a instituição ou organismo da União em causa, enquanto autoridade contratante ou que concede a subvenção, contacta, através da respetiva Autoridade de Segurança, as autoridades de segurança ou quaisquer outras autoridades competentes do país em causa, sempre que introduzir alterações ao Guia da Classificação de Segurança.
            
            
               Artigo 49.º
            
            
               Cláusula Adicional de Segurança
            
            
               1.Cada instituição ou organismo da União, enquanto autoridade contratante ou que concede a subvenção, descreve os requisitos específicos de segurança do contrato classificado ou da subvenção classificada numa cláusula adicional de segurança. Essa cláusula deve incluir o Guia da Classificação de Segurança e fazer parte integrante do contrato ou subcontrato classificado ou da convenção de subvenção classificada.
            
            
               2.A Cláusula Adicional de Segurança contém disposições que exigem que o contratante ou o beneficiário, bem como os seus subcontratantes, cumpram as disposições estabelecidas no presente regulamento e quaisquer outras regras de execução adotadas nos termos do artigo 8.º, n.º 2, relativas à segurança industrial. A Cláusula Adicional de Segurança deve indicar claramente que o incumprimento dessas disposições pode constituir motivo suficiente para a denúncia do contrato classificado ou da convenção de subvenção classificada.
            
            
               Artigo 50.º
            
            
               Instruções de Segurança do Programa ou Projeto 
            
            
               1.As instituições e organismos da União, enquanto autoridades contratantes ou que concedem subvenções, podem elaborar Instruções de Segurança do Programa ou Projeto, em estreita cooperação com as respetivas Autoridades de Segurança, em especial para os programas e projetos caracterizados pelo seu grande alcance, dimensão ou complexidade, ou pela multiplicidade ou diversidade dos contratantes, beneficiários e outros parceiros e interessados.
            
            
               2.A Autoridade de Segurança de cada instituição ou organismo da União, enquanto autoridade contratante ou que concede a subvenção, submete à apreciação do órgão consultivo de segurança do Estado-Membro pertinente, composto pelas respetivas Autoridades Nacionais de Segurança e/ou Autoridades de Segurança Designadas, as Instruções específicas de Segurança do Programa ou Projeto.
            
            
               Se uma instituição ou organismo da União não dispuser de tal órgão consultivo, as Instruções de Segurança do Programa ou Projeto são submetidas ao Comité de Segurança da Informação a que se refere o artigo 6.º, n.º 8.
            
            
               Secção 7 
                  Partilha de ICUE e intercâmbio de informações classificadas
            
            
               Artigo 51.º
            
         
         
            
               Princípios básicos
            
            
               1.Todas as instituições e organismos da União podem partilhar ICUE com outras instituições ou organismos da União nas condições estabelecidas no artigo 54.º.
            
            
               2.As instituições e organismos da União podem partilhar ICUE com os Estados-Membros e a Comunidade Europeia da Energia Atómica, desde que protejam essas informações em conformidade com a marca de classificação correspondente estabelecida no Acordo entre os Estados-Membros da União Europeia, reunidos no Conselho, sobre a proteção das informações classificadas trocadas no interesse da União, e na tabela correspondente constante do anexo VI do presente regulamento.  
            
            
               3.As instituições e organismos da União só podem trocar informações classificadas com países terceiros ou organizações internacionais com os quais tenha sido celebrado um acordo de segurança da informação ou um convénio administrativo nos termos dos artigos 55.º e 56.º.
            
            
               Esses acordos e convénios incluem disposições destinadas a assegurar que os países terceiros ou as organizações internacionais que recebam ICUE protejam essas informações a um nível proporcional ao seu nível de classificação e correspondente a normas mínimas que não sejam menos rigorosas do que as estabelecidas no presente regulamento.
            
            
               4.Se não estiver em vigor qualquer acordo de segurança das informações ou convénio administrativo, a instituição ou organismo da União pode, em circunstâncias excecionais, comunicar as ICUE a outra instituição ou organismo da União, a um país terceiro ou a uma organização internacional, nos termos do artigo 58.º.
            
            
               5.As instituições e organismos da União designam os registos que servem de principais pontos de entrada e de saída de ICUE partilhadas com outras instituições ou organismos da União, ou de informações classificadas trocadas com países terceiros e organizações internacionais.  
            
            
               Artigo 52.º
            
            
               Subgrupo no domínio da partilha de ICUE e intercâmbio de informações classificadas
            
            
               1.O subgrupo no domínio da partilha e intercâmbio de informações classificadas a que se refere o artigo 7.º, n.º 1, alínea e), tem as seguintes funções e responsabilidades:
            
            
               a)Organizar visitas de avaliação a instituições e organismos da União, países terceiros e organizações internacionais e adoção do programa anual de visitas;
            
            
               b)Preparar e realizar as visitas de avaliação;
            
            
               c)Elaborar um relatório sobre os resultados das visitas referidas na alínea a). 
            
            
               Exceto nos casos referidos no artigo 56.º, n.º 2.
            
            
               2.O subgrupo no domínio da partilha de ICUE e intercâmbio de informações classificadas é composto por representantes da Comissão, do Conselho e do Serviço Europeu para a Ação Externa e trabalha por consenso. 
            
            
               Artigo 53.º
            
            
               Visitas de avaliação relacionadas com a partilha de ICUE
            
            
               1.O subgrupo no domínio da partilha de ICUE e intercâmbio de informações classificadas efetua visitas de avaliação em plena cooperação com os funcionários da instituição ou organismo da União visitado. Pode solicitar a assistência da ANS em cujo território se situa a instituição ou organismo da União.
            
            
               2.As visitas de avaliação às instituições e organismos da União em causa têm por objetivo:
            
            
               a)Verificar se os requisitos de proteção das ICUE estabelecidos no presente regulamento são cumpridos e, por conseguinte, se as medidas aplicadas são eficazes;
            
         
         
            
               b)Salientar a importância da segurança e da gestão eficaz dos riscos na organização visitada;
            
            
               c)Recomendar contramedidas para atenuar o impacto específico da perda de disponibilidade, confidencialidade ou integridade das informações classificadas; 
            
            
               d)Reforçar os programas de educação e sensibilização em matéria de segurança em curso nas autoridades de segurança.
            
            
               3.No final da visita de avaliação, o subgrupo responsável pela partilha de ICUE e pelo intercâmbio de informações classificadas efetua as seguintes tarefas:
            
            
               a)Elabora um relatório com as principais conclusões da avaliação;
            
            
               b)Solicita o parecer do Comité de Segurança da Informação, referido no artigo 6.º, n.º 8, sobre o relatório;
            
            
               c)Envia o relatório à autoridade de segurança da instituição ou organismo da União visitado, para o devido seguimento.
            
            
               4.Sempre que o relatório proponha medidas corretivas ou formule recomendações, deve ser organizada uma visita de seguimento para verificar se essas medidas foram tomadas ou se as recomendações foram seguidas.
            
            
               Artigo 54.º
            
            
               Partilha de ICUE
            
            
               1.Uma instituição ou organismo da União pode partilhar ICUE com outra instituição ou organismo da União se estiverem preenchidas as seguintes condições:
            
            
               a)Existe uma necessidade comprovada de intercâmbio;
            
            
               b)Foi efetuada uma visita de avaliação à instituição ou organismo da União em causa, nos termos do artigo 53.º, cujos resultados atestem a capacidade dessa instituição ou organismo da União para tratar e armazenar um nível especificado de ICUE;
            
            
               c)A Autoridade de Segurança da instituição ou organismo da União em causa decide que pode partilhar informações classificadas até um nível especificado com outras instituições e organismos da União certificados.
            
            
               2.O secretariado do Grupo de Coordenação cria uma lista dos níveis de ICUE que podem ser tratadas e armazenadas por cada instituição e organismo da União que preencha as condições previstas no n.º 1, alíneas b) e c). A Comissão deve atualizar regularmente essa lista. 
            
            
               Artigo 55.º
            
            
               Acordos de segurança das informações
            
            
               1.Caso exista a necessidade, a longo prazo, de proceder ao intercâmbio de informações classificadas com um país terceiro ou uma organização internacional, a instituição ou organismo competente deve procurar negociar e celebrar um acordo de segurança das informações, em conformidade com o artigo 218.º do Tratado sobre o Funcionamento da União Europeia.
            
            
               2.Um acordo de segurança das informações estabelece os princípios básicos e as normas mínimas aplicáveis ao intercâmbio de informações classificadas entre a União e um país terceiro ou uma organização internacional.
            
            
               3.Os acordos de segurança das informações devem prever modalidades técnicas de execução a acordar entre as autoridades de segurança competentes das instituições e organismos relevantes da União e a autoridade de segurança competente do país terceiro ou da organização internacional em causa.
            
         
         
            
               4.Antes da aprovação das modalidades técnicas de execução a que se refere o n.º 3, o subgrupo responsável pela partilha de ICUE e pelo intercâmbio de informações classificadas deve efetuar uma visita de avaliação nos termos do artigo 57.º.
            
            
               Artigo 56.º
            
            
               Convénios administrativos com países terceiros e organizações internacionais
            
            
               1.Sempre que o seu regulamento interno ou os seus atos constitutivos prevejam essa possibilidade, as instituições e organismos da União podem celebrar um convénio administrativo com as respetivas contrapartes de um país terceiro ou organização internacional, após terem informado disso o subgrupo de partilha de ICUE e intercâmbio de informações classificadas, se estiverem reunidas as seguintes condições:
            
            
               a)A instituição ou organismo da União em causa tem necessidade de trocar, a longo prazo, informações com um nível de classificação, regra geral, não superior a RESTREINT UE/EU RESTRICTED com a sua contraparte de um país terceiro ou organização internacional;
            
            
               b)A instituição ou o organismo da União em causa satisfaz as condições estabelecidas no artigo 54.º, n.º 1;
            
            
               c)O relatório da visita de avaliação, a que se refere o artigo 57.º, certifica que a contraparte pertinente do país terceiro ou organização internacional em causa tem capacidade para tratar e armazenar um nível especificado de ICUE.
            
            
               2.Antes da celebração de um convénio administrativo, é efetuada uma visita de avaliação em conformidade com os princípios enunciados no artigo 57.º. A instituição ou organismo da União que solicita o convénio administrativo pode solicitar ao subgrupo responsável pela partilha de ICUE que efetue a visita de avaliação em seu nome ou que nela participe. 
            
            
               3.A Autoridade de Segurança da instituição ou organismo da União que pretende celebrar o convénio administrativo decide sobre as condições específicas aplicáveis ao intercâmbio, bem como sobre o nível máximo de ICUE que podem ser objeto de intercâmbio. Esse nível não pode ser superior ao nível fixado para a partilha de ICUE com outras instituições e organismos da União, nos termos do artigo 54.º, e, se for caso disso, não deve ser superior ao previsto no Acordo de Segurança das Informações celebrado com o mesmo país terceiro ou organização internacional.  
            
            
               Artigo 57.º
            
            
               Visitas de avaliação para o intercâmbio de informações classificadas com países terceiros e organizações internacionais
            
            
               1.É efetuada uma visita de avaliação a um país terceiro ou a uma organização internacional para determinar se uma instituição ou organismo da União pode trocar informações classificadas com o país terceiro ou a organização internacional em causa.
            
            
               2.A visita de avaliação terá por objetivo avaliar a eficácia das regras e procedimentos de segurança no país terceiro ou organização internacional em causa no que respeita à proteção das ICUE a um determinado nível. A visita de avaliação deve ser efetuada de comum acordo com o país terceiro ou a organização internacional em causa.
            
            
               3.As visitas de avaliação devem avaliar, pelo menos, o seguinte:
            
            
               a)O quadro regulamentar aplicável à proteção das informações classificadas e a sua adequação para a proteção das ICUE a um determinado nível;
            
            
               b)Quaisquer características específicas da política de segurança e a forma como se encontra organizada a segurança no país terceiro ou organização internacional que possam ser determinantes para o nível de classificação das informações suscetíveis de intercâmbio;
            
            
               c)As medidas e os procedimentos de segurança efetivamente aplicados; 
            
            
               d)Os procedimentos de credenciação de segurança para o nível de ICUE a comunicar.
            
            
               4.O Comité de Segurança da Informação a que se refere o artigo 6.º, n.º 8, recebe um relatório sobre os resultados dessas visitas antes de as ICUE serem efetivamente comunicadas ao país terceiro ou organização internacional em causa. Se for caso disso, o relatório deve também ser partilhado com a instituição ou organismo da União em causa.
            
            
               5.As autoridades de segurança da instituição ou organismo da União em causa comunicam ao país terceiro ou organização internacional a data a partir da qual estão em condições de proceder ao intercâmbio de ICUE, bem como o nível máximo de ICUE que podem ser trocadas em papel ou por via eletrónica.
            
         
         
            
               6.São organizadas visitas de seguimento sempre que estejam reunidas as seguintes condições:
            
            
               a)É necessário aumentar o nível de ICUE que podem ser objeto de intercâmbio;
            
            
               b)A instituição ou organismo da União em causa foi notificado de alterações fundamentais nas disposições de segurança do país terceiro ou organização internacional suscetíveis de ter impacto na forma como as ICUE são protegidas; 
            
            
               c)Ocorreu um incidente grave de segurança das informações que envolveu a divulgação não autorizada de ICUE.  
            
            
               Artigo 58.º
            
            
               Comunicação ad hoc de ICUE a título excecional
            
            
               1.Na ausência de um acordo de segurança das informações ou de um convénio administrativo, se uma instituição ou organismo da União determinar a necessidade excecional de comunicar ICUE a outra instituição ou organismo da União, ou a um país terceiro ou organização internacional, ou caso tenha sido celebrado um acordo de segurança das informações ou um convénio administrativo, e uma instituição ou organismo da União determine que existe uma necessidade excecional de comunicar um nível de ICUE superior ao já estipulado no acordo ou convénio, a instituição ou organismo da União que fornece ICUE tomará as seguintes medidas:
            
            
               a)Na medida do possível, verifica junto das autoridades de segurança do país terceiro, organização internacional ou instituição ou organismo da União que recebe as informações se as respetivas regras, estruturas e procedimentos de segurança são capazes de garantir que as ICUE que lhes forem comunicadas serão protegidas segundo normas não menos rigorosas do que as estabelecidas no presente regulamento;
            
            
               b)Solicita o parecer do Comité de Segurança da Informação a que se refere o artigo 6.º, n.º 8, com base na verificação efetuada nos termos da alínea a), a menos que circunstâncias operacionais exijam uma comunicação ad hoc imediata, caso em que o Comité de Segurança da Informação será posteriormente informado.
            
            
               2.Todos os documentos divulgados nos termos do presente artigo devem ostentar uma marca relativa à comunicabilidade indicando o país terceiro, a organização internacional ou a instituição ou organismo da União a que as ICUE foram comunicadas.
            
            
               3.Antes da comunicação ou no momento em que esta é efetuada, a instituição ou organismo da União que fornece ICUE solicita à outra parte que assuma o compromisso por escrito de proteger as ICUE que recebe. Se necessário, ser-lhe-á solicitado que se comprometa a proteger as ICUE de acordo com os princípios básicos e as normas mínimas estabelecidas no presente regulamento.
            
            
               Capítulo 6 
                  Disposições finais
            
            
               Artigo 59.º
            
            
               Execução
            
            
               1.O Grupo de Coordenação estabelece orientações em matéria de segurança da informação para a execução do presente regulamento.
            
            
               2.Com base nas suas necessidades específicas, as instituições e organismos da União podem adotar regras internas para efeitos de execução do presente regulamento, nos termos do artigo 8.º, n.º 2.
            
            
               Artigo 60.º
            
            
               Disposições transitórias
            
            
               1.As regras internas em matéria de segurança da informação adotadas por cada instituição ou organismo da União antes de [dd/mm/aaaa data de aplicação] devem ser revistas o mais tardar até [3 anos após a entrada em vigor do presente regulamento].
            
            
               2.Todas as instituições e organismos da União que tenham sido avaliados pela Comissão, pelo Conselho ou pelo SEAE antes de [dd/mm/aaaa data de aplicação] são considerados aptos a tratar e armazenar ICUE preenchem as condições a que se refere o artigo 19.º, n.º 1.
            
         
         
            
               3.Os convénios administrativos celebrados pelas instituições e organismos da União com países terceiros e organizações internacionais antes de [dd/mm/aaaa data de aplicação] permanecem válidos.
            
            
               4.Sempre que os Estados-Membros em cujo território os beneficiários da convenção de subvenção da Comissão ao abrigo do Programa Europeu de Desenvolvimento Industrial no domínio da Defesa tenham decidido dispor de um quadro de segurança específico para a proteção e o manuseamento das informações classificadas a nível nacional relacionadas com a convenção de subvenção em causa, a Comissão, ao aplicar os procedimentos de segurança industrial previstos no presente regulamento, respeitará esse quadro de segurança até ao final da vigência da convenção de subvenção.
            
            
               Artigo 61.º
            
            
               Acompanhamento e avaliação
            
            
               1.O mais tardar até [dd/mm/aaaa 3 anos após a data de aplicação], a Comissão apresenta ao Parlamento Europeu e ao Conselho um relatório sobre a execução do presente regulamento.
            
            
               2.Pelo menos [5 anos após a data de aplicação] e, posteriormente, de 5 em 5 anos, a Comissão deve proceder a uma avaliação do presente regulamento e apresentar um relatório sobre as principais conclusões ao Parlamento Europeu e ao Conselho.
            
            
               Artigo 62.º
            
            
               Entrada em vigor e aplicação
            
            
               1.O presente regulamento entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.
            
            
               2.É aplicável a partir de [data: no primeiro dia do mês seguinte ao período de 2 anos após a data de entrada em vigor]
            
            
               O presente regulamento é obrigatório em todos os seus elementos e diretamente aplicável em todos os Estados-Membros.
            
            
               Feito em Bruxelas, em
            
            
               
                  Pelo Parlamento Europeu
                        Pelo Conselho
               
               
                  A Presidente
                        O Presidente
               
               
                  [...]
                        [...]
               
            
            
               FICHA FINANCEIRA LEGISLATIVA
            
            
               1.CONTEXTO DA PROPOSTA/INICIATIVA
            
            
               1.1.Denominação da proposta/iniciativa
            
            
               1.2.Domínio(s) de intervenção abrangido(s)
            
            
               1.3.A proposta/iniciativa refere-se a:
            
         
         
            
               1.4.Objetivo(s)
            
            
               1.4.1.Objetivo(s) geral(ais)
            
            
               1.4.2.Objetivo(s) específico(s)
            
            
               1.4.3.Resultados e impacto esperados
            
            
               1.4.4.Indicadores de desempenho
            
            
               1.5.Justificação da proposta/iniciativa
            
            
               1.5.1.Necessidade(s) a satisfazer a curto ou longo prazo, incluindo um calendário pormenorizado para a implementação da iniciativa
            
            
               1.5.2.Valor acrescentado da intervenção da União (que pode resultar de diferentes fatores, por exemplo, ganhos de coordenação, segurança jurídica, maior eficácia ou complementaridades). Para efeitos do presente ponto, entende-se por «valor acrescentado da intervenção da União» o valor resultante da intervenção da União que se acrescenta ao valor que teria sido criado pelos Estados-Membros de forma isolada.
            
            
               1.5.3.Ensinamentos retirados de experiências anteriores semelhantes
            
            
               1.5.4.Compatibilidade com o quadro financeiro plurianual e eventuais sinergias com outros instrumentos adequados
            
            
               1.5.5.Avaliação das diferentes opções de financiamento disponíveis, incluindo possibilidades de reafetação
            
            
               1.6.Duração e impacto financeiro da proposta/iniciativa
            
            
               1.7.Modalidade(s) de gestão prevista(s)
            
            
               2.MEDIDAS DE GESTÃO
            
            
               2.1.Disposições em matéria de acompanhamento e prestação de informações
            
            
               2.2.Sistema(s) de gestão e de controlo
            
            
               2.2.1.Justificação da(s) modalidade(s) de gestão, do(s) mecanismo(s) de execução do financiamento, das modalidades de pagamento e da estratégia de controlo propostos
            
            
               2.2.2.Informações sobre os riscos identificados e o(s) sistema(s) de controlo interno criado(s) para os atenuar
            
            
               2.2.3.Estimativa e justificação da relação custo-eficácia dos controlos (rácio «custos de controlo/valor dos respetivos fundos geridos») e avaliação dos níveis previstos de risco de erro (no pagamento e no encerramento)
            
            
               2.3.Medidas de prevenção de fraudes e irregularidades
            
         
         
            
               3.IMPACTO FINANCEIRO ESTIMADO DA PROPOSTA/INICIATIVA
            
            
               3.1.Rubrica(s) do quadro financeiro plurianual e rubrica(s) orçamental(ais) de despesas envolvida(s)
            
            
               3.2.Impacto financeiro estimado da proposta nas dotações
            
            
               3.2.1.Síntese do impacto estimado nas dotações operacionais
            
            
               3.2.2.Estimativa das realizações financiadas com dotações operacionais
            
            
               3.2.3.Síntese do impacto estimado nas dotações de natureza administrativa
            
            
               3.2.4.Compatibilidade com o atual quadro financeiro plurianual
            
            
               3.2.5.Participações de terceiros
            
            
               3.3.Impacto estimado nas receitas
            
            
               FICHA FINANCEIRA LEGISLATIVA
            
            
               1.CONTEXTO DA PROPOSTA/INICIATIVA 
            
            
               1.1.Denominação da proposta/iniciativa
            
            
               
                  Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO relativa à segurança da informação nas instituições, órgãos e organismos da União
               
            
            
               1.2.Domínio(s) de intervenção abrangido(s) 
            
            
               
                  Administração pública europeia
               
               
                  As regras de segurança da informação das instituições e organismos da União devem, em conjunto, constituir um quadro geral abrangente e coerente no âmbito da administração europeia para a proteção da informação e assegurar a equivalência dos princípios básicos e das normas mínimas. O nível de proteção da informação deve também ser equivalente em todas as instituições e organismos da União.
               
            
            
               1.3.A proposta/iniciativa refere-se a: 
            
            
               uma nova ação 
            
            
               ◻ uma nova ação na sequência de um projeto-piloto/ação preparatória
                  32
                
            
            
               ◻ a prorrogação de uma ação existente 
            
         
         
            
               ◻ uma fusão ou reorientação de uma ou mais ações para outra/nova ação 
            
            
               1.4.Objetivo(s)
            
            
               1.4.1.Objetivo(s) geral(ais)
            
            
               
                  O objetivo geral da iniciativa é criar regras de segurança da informação para todas as instituições e organismos da União, com o objetivo de assegurar uma proteção reforçada e coerente contra a evolução das ameaças à sua informação. 
               
            
            
               1.4.2.Objetivo(s) específico(s)
            
            
               
                  • OE 1: Estabelecer categorias de informações harmonizadas e abrangentes, bem como requisitos comuns de tratamento para todas as informações tratadas pela administração europeia, e facilitar o intercâmbio seguro de informações entre as instituições e organismos da União, minimizando simultaneamente o impacto nos Estados-Membros.
               
               
                  • OE 2: Assegurar que todas as instituições e organismos da União identificam eventuais lacunas de segurança nos seus processos e aplicam as medidas necessárias para assegurar condições equitativas em matéria de segurança da informação.
               
               
                  • OE 3: Criar um sistema de cooperação simplificado em matéria de segurança da informação entre as instituições e organismos da União, capaz de promover uma cultura coerente de segurança da informação em toda a administração europeia.
               
               
                  • OE 4: Modernizar as políticas de segurança da informação a todos os níveis de classificação/categorização, para todas as instituições e organismos da União, tendo em conta a transformação digital e o desenvolvimento do teletrabalho como prática estrutural. 
               
            
            
               1.4.3.Resultados e impacto esperados
            
            
               Especificar os efeitos que a proposta/iniciativa poderá ter nos beneficiários/na população visada
            
            
               
                  A proposta terá os seguintes efeitos nas instituições e organismos da União:
               
            
            
               –Rever as suas regras e procedimentos internos, com o objetivo de se adaptarem ao regulamento;
            
            
               –Categorizar todas as informações tratadas em conformidade com o sistema previsto no regulamento;
            
            
               –Assegurar que os seus sistemas de comunicação e informação estão em conformidade com os requisitos estabelecidos no regulamento;
            
            
               –Participar no Grupo Interinstitucional de Coordenação da Segurança da Informação («Grupo de Coordenação»).
            
            
               
                  Os Estados-Membros beneficiarão do presente regulamento, uma vez que a cooperação com as instituições e organismos da União em todos os domínios pertinentes (segurança do pessoal, segurança industrial ou partilha de informações) se baseará nos mesmos conceitos, regras e procedimentos. 
               
            
            
               1.4.4.Indicadores de desempenho
            
            
               Especificar os indicadores que permitem acompanhar os progressos e os resultados.
            
            
               
                  Indicadores pertinentes para o objetivo específico n.º 1
               
            
         
         
            
               –Adoção de orientações adequadas 
            
            
               –Aplicação de novas marcas
            
            
               –Publicação de instruções de tratamento atualizadas para todas as categorias de informação
            
            
               –Implementação de sistemas comuns de tratamento de informações sensíveis não classificadas e de ICUE
            
            
               
                  Indicadores pertinentes para o objetivo específico n.º 2
               
            
            
               –Número de recomendações formuladas/executadas
            
            
               –Número de fugas de informação entre instituições e organismos 
            
            
               
                  Indicadores pertinentes para o objetivo específico n.º 3
               
            
            
               –Estatísticas sobre contratação centralizada versus contratação local
            
            
               –Relatórios das inspeções
            
            
               –Número de questões tratadas pelo Secretariado do Grupo de Coordenação da Segurança da Informação
            
            
               
                  Indicadores pertinentes para o objetivo específico n.º 4
               
            
            
               –Número de utilizadores em formação
            
            
               –Nível de sensibilização do pessoal para as regras de segurança da informação
            
            
               –Percentagem de pessoal com capacidade para trabalhar com equipamento de teletrabalho seguro 
            
            
               1.5.Justificação da proposta/iniciativa 
            
            
               1.5.1.Necessidade(s) a satisfazer a curto ou longo prazo, incluindo um calendário pormenorizado para a implementação da iniciativa
            
            
               
                  A execução da presente iniciativa seguirá uma abordagem faseada, da seguinte forma:
               
            
            
               –2022/2023: adoção do regulamento, entrada em vigor
            
            
               –2024/2025: revisão por todas as instituições e organismos da União das suas regras internas em matéria de segurança da informação, com o objetivo de as adaptar ao regulamento
            
         
         
            
               –2025: trabalho organizacional para a criação do Grupo de Coordenação e do seu Secretariado, bem como dos subgrupos técnicos
            
            
               –2024/2025: início da aplicação do regulamento
            
            
               –2025/2026: adoção do regulamento interno do Grupo de Coordenação e dos subgrupos técnicos
            
            
               –2026-2028: trabalho sobre documentos de orientação para apoiar a aplicação do regulamento, intercâmbio de boas práticas entre instituições e organismos
            
            
               –2029/2030: preparação da primeira avaliação do regulamento (de 5 em 5 anos a contar da data de aplicação)
            
            
               –2030: primeira avaliação do regulamento 
            
            
               1.5.2.Valor acrescentado da intervenção da União (que pode resultar de diferentes fatores, por exemplo, ganhos de coordenação, segurança jurídica, maior eficácia ou complementaridades). Para efeitos do presente ponto, entende-se por «valor acrescentado da intervenção da União» o valor resultante da intervenção da União que se acrescenta ao valor que teria sido criado pelos Estados-Membros de forma isolada.
            
            
               
                  A iniciativa contribui para assegurar que as instituições e organismos da União sejam assistidos na sua missão por uma administração aberta, eficiente e independente.
               
               
                  Vem juntar-se aos esforços nacionais gerais dos Estados-Membros no domínio da segurança da UE, protegendo as instituições e organismos contra interferências externas e atividades de espionagem.
               
            
            
               1.5.3.Ensinamentos retirados de experiências anteriores semelhantes
            
            
               
                  n/a
               
            
            
               1.5.4.Compatibilidade com o quadro financeiro plurianual e eventuais sinergias com outros instrumentos adequados
            
            
               
                  O projeto exige a reafetação/afetação de 2 ETI para o Secretariado do Grupo de Coordenação da Segurança da Informação.
               
               
                  Outros projetos, como o desenvolvimento de instrumentos comuns e a centralização de algumas atividades, já estão parcialmente em curso e são abrangidos por SLA e contratos-quadro.
               
            
            
               1.5.5.Avaliação das diferentes opções de financiamento disponíveis, incluindo possibilidades de reafetação
            
            
               
                  Ver secção anterior.
               
            
            
            
               1.6.Duração e impacto financeiro da proposta/iniciativa
            
            
               ◻ duração limitada 
            
            
               –◻
                     válida entre [DD/MM] AAAA e [DD/MM] AAAA 
            
         
         
            
               –◻
                     Impacto financeiro no período compreendido entre AAAA e AAAA para as dotações de autorização e entre AAAA e AAAA para as dotações de pagamento. 
            
            
               – duração ilimitada
            
            
               1.7.Modalidade(s) de gestão prevista(s)
                  33
                 
            
            
                 Gestão direta pela Comissão e por cada instituição e organismo da União
            
            
               – pelos seus serviços, incluindo o pessoal nas delegações da União 
            
            
               –◻
                     pelas agências de execução 
            
            
               ◻ Gestão partilhada com os Estados-Membros 
            
            
               ◻ Gestão indireta confiando tarefas de execução orçamental:
            
            
               –◻ a países terceiros ou organismos por eles designados;
            
            
               –◻ a organizações internacionais e respetivas agências (a especificar);
            
            
               –◻ ao BEI e ao Fundo Europeu de Investimento;
            
            
               –◻ aos organismos referidos nos artigos 70.º e 71.º do Regulamento Financeiro;
            
            
               –◻ a organismos de direito público;
            
            
               –◻ a organismos regidos pelo direito privado investidos de uma missão de serviço público, na medida em que prestem garantias financeiras adequadas;
            
            
               –◻ a organismos regidos pelo direito privado de um Estado-Membro incumbidos de executar uma parceria público-privada e que prestem garantias financeiras adequadas;
            
            
               –◻ a pessoas às quais tenha sido confiada a execução de ações específicas no domínio da PESC de acordo com o título V do TUE, e que estejam identificadas no ato de base relevante.
            
            
               –Se assinalar mais de uma modalidade de gestão, queira especificar na secção «Observações».
            
            
               Observações 
            
            
               2.MEDIDAS DE GESTÃO 
            
            
               2.1.Disposições em matéria de acompanhamento e prestação de informações 
            
         
         
            
               Especificar a periodicidade e as condições.
            
            
               
                  De 5 em 5 anos, o regulamento será avaliado e a Comissão apresentará um relatório sobre as suas conclusões ao Conselho e ao Parlamento Europeu.
               
            
            
               2.2.Sistema(s) de gestão e de controlo 
            
            
               2.2.1.Justificação da(s) modalidade(s) de gestão, do(s) mecanismo(s) de execução do financiamento, das modalidades de pagamento e da estratégia de controlo propostos
            
            
               
                  O regulamento estabelece regras em matéria de segurança da informação aplicáveis a todas as instituições e organismos da União. O acompanhamento da sua correta aplicação será efetuado através de um grupo de coordenação com a participação de todas as autoridades de segurança das instituições e organismos. 
               
               
                  A plena responsabilidade pela segurança continua a ser da responsabilidade da autoridade de segurança de cada instituição ou organismo e está sujeita ao atual quadro de controlo interno de cada instituição ou organismo.
               
            
            
               2.2.2.Informações sobre os riscos identificados e o(s) sistema(s) de controlo interno criado(s) para os atenuar
            
            
               
                  O regulamento criará uma base de referência para as regras de segurança da informação e assegurará a transparência das medidas de segurança para o intercâmbio de informações entre instituições e organismos da União, reduzindo assim os riscos relacionados com a segurança da informação em todos os domínios.
               
               
                  O regulamento está em conformidade com as normas de controlo interno e inclui uma abordagem baseada no risco para a elaboração de políticas.
               
            
            
               2.2.3.Estimativa e justificação da relação custo-eficácia dos controlos (rácio «custos de controlo/valor dos respetivos fundos geridos») e avaliação dos níveis previstos de risco de erro (no pagamento e no encerramento) 
            
            
               
                  Serão aplicáveis os mecanismos de controlo existentes para as instituições e organismos. A conformidade com o regulamento e os riscos relacionados com a segurança da informação devem ser comunicados nos relatórios anuais de risco das instituições e organismos.
               
            
            
               2.3.Medidas de prevenção de fraudes e irregularidades 
            
            
               Especificar as medidas de prevenção e de proteção existentes ou previstas, como, por exemplo, da estratégia antifraude.
            
            
               
                  n/a
               
            
            
               3.IMPACTO FINANCEIRO ESTIMADO DA PROPOSTA/INICIATIVA 
            
            
               3.1.Rubrica(s) do quadro financeiro plurianual e rubrica(s) orçamental(ais) de despesas envolvida(s) 
            
            
               ·Atuais rubricas orçamentais 
            
            
               Segundo a ordem das rubricas do quadro financeiro plurianual e das respetivas rubricas orçamentais.
            
            
                     
                        Rubrica do quadro financeiro plurianual
                     
                  
                  
                     
                        Rubrica orçamental
                     
                  
                  
                     
                        Tipo de 
                        despesa
                     
                  
                  
                     
                        Participação 
                     
                  
               
                     
                  
                  
                     
                        Número  
                        
                  
                  
                     
                        DD/DND
                           34
                        
                     
                  
                  
                     
                        dos países da EFTA
                           35
                        
                     
                     
                  
                  
                     
                        de países candidatos
                           36
                        
                     
                     
                  
                  
                     
                        de países terceiros
                     
                  
                  
                     
                        na aceção do artigo 21.º, n.º 2, alínea b), do Regulamento Financeiro 
                     
                  
               
                     
                        H7
                     
                  
                  
                     
                        20 01 02 01
                     
                  
                  
                     
                        DND
                     
                  
                  
                     
                        NÃO
                     
                  
                  
                     
                        NÃO
                     
                  
                  
                     
                        NÃO
                     
                  
                  
                     
                        NÃO
                     
                  
               
               ·Novas rubricas orçamentais, cuja criação é solicitada 
            
         
         
            
               Segundo a ordem das rubricas do quadro financeiro plurianual e das respetivas rubricas orçamentais.
            
            
                     
                        Rubrica do quadro financeiro plurianual
                     
                  
                  
                     
                        Rubrica orçamental
                     
                  
                  
                     
                        Tipo de 
                        despesa
                     
                  
                  
                     
                        Participação 
                     
                  
               
                     
                  
                  
                     
                        Número  
                        
                  
                  
                     
                        DD/DND
                     
                  
                  
                     
                        dos países da EFTA
                     
                  
                  
                     
                        de países candidatos
                     
                  
                  
                     
                        de países terceiros
                     
                  
                  
                     
                        na aceção do artigo 21.º, n.º 2, alínea b), do Regulamento Financeiro 
                     
                  
               
                     
                  
                  
                     
                        Nenhum
                     
                     
                  
                  
                     
                  
                  
                     
                        SIM/NÃO
                     
                  
                  
                     
                        SIM/NÃO
                     
                  
                  
                     
                        SIM/NÃO
                     
                  
                  
                     
                        SIM/NÃO
                     
                  
               
               3.2.Impacto financeiro estimado da proposta nas dotações 
            
            
               3.2.1.Síntese do impacto estimado nas dotações operacionais 
            
            
               –
                     A proposta/iniciativa não acarreta a utilização de dotações operacionais 
            
            
               –
                     
                     A proposta/iniciativa acarreta a utilização de dotações operacionais, tal como explicitado seguidamente:
            
            
               Em milhões de EUR (três casas decimais)
            
            
                     
                        Rubrica do quadro financeiro plurianual 
                     
                  
                  
                     
                        Número
                     
                  
                  
                     
                  
               
            
                     
                        DG: <…….>
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Ano 
                        N
                           37
                        
                     
                  
                  
                     
                        Ano 
                        N+1
                     
                  
                  
                     
                        Ano 
                        N+2
                     
                  
                  
                     
                        Ano 
                        N+3
                     
                  
                  
                     
                        Inserir os anos necessários para refletir a duração do impacto (ver ponto 1.6)
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                        • Dotações operacionais 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Rubrica orçamental
                           38
                        
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        (1a)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        (2a)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Rubrica orçamental
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        (1b)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        (2b)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Dotações de natureza administrativa financiadas a partir da dotação de programas específicos
                           39
                         
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Rubrica orçamental
                     
                  
                  
                     
                  
                  
                     
                        3)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL das dotações 
                        para a DG <…….>
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        = 1a+1b
                        +3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        = 2a+2b
                     
                     
                        +3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                
               
            
                     
                        • TOTAL das dotações operacionais 
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        4)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        5)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        • TOTAL das dotações de natureza administrativa financiadas a partir da dotação de programas específicos 
                     
                  
                  
                     
                        6)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL das dotações
                           no âmbito da RUBRICA <...>
                           do quadro financeiro plurianual
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        = 4+6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        = 5+6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
               Se o impacto da proposta/iniciativa incidir sobre mais de uma rubrica operacional, repetir a secção acima:
            
            
                     
                        • TOTAL das dotações operacionais (todas as rubricas operacionais)
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        4)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        5)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         TOTAL das dotações de natureza administrativa financiadas a partir da dotação de programas específicos (todas as rubricas operacionais)
                     
                  
                  
                     
                     
                        6)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL das dotações
                           no âmbito das RUBRICAS 1 a 6 
                        do quadro financeiro plurianual 
                        (Montante de referência)
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        = 4+6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        = 5+6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
            
               
            
                     
                        Rubrica do quadro financeiro plurianual 
                     
                  
                  
                     
                        7
                     
                  
                  
                     
                        «Despesas administrativas»
                     
                  
               
               Esta secção deve ser preenchida com «dados orçamentais de natureza administrativa» a inserir em primeiro lugar no 
               
                  anexo da ficha financeira legislativa
               
                (anexo V das regras internas), que é carregada no DECIDE para efeitos das consultas interserviços.
            
            
            
               Em milhões de EUR (três casas decimais)
            
         
         
            
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Ano 
                        2023
                     
                  
                  
                     
                        Ano 
                        2024
                     
                  
                  
                     
                        Ano 
                        2025
                     
                  
                  
                     
                        Ano 
                        2026
                     
                  
                  
                     
                        Ano 
                        2027
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                        DG: RH
                     
                  
               
                     
                        • Recursos humanos 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                        • Outras despesas administrativas 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL DG <…….>
                     
                  
                  
                     
                        Dotações 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
                     
                        TOTAL das dotações 
                        no âmbito da RUBRICA 7 
                        do quadro financeiro plurianual 
                     
                  
                  
                     
                        (Total das autorizações = total dos pagamentos)
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
               EUR (três casas decimais)
            
            
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Ano 
                        2023
                     
                  
                  
                     
                        Ano 
                        2024
                     
                  
                  
                     
                        Ano 
                        2025
                     
                  
                  
                     
                        Ano 
                        2026
                     
                  
                  
                     
                        Ano 
                        2027
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                        TOTAL das dotações
                           no âmbito das RUBRICAS 1 a 7 
                        do quadro financeiro plurianual 
                     
                  
                  
                     
                        Autorizações
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                  
                  
                     
                        Pagamentos
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
            
            
               3.2.2.Estimativa das realizações financiadas com dotações operacionais 
            
            
               Dotações de autorização em milhões de EUR (três casas decimais)
            
            
                     
                        Indicar os objetivos e as realizações 
                     
                     
                     
                        ⇩
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Ano 
                        N
                     
                  
                  
                     
                        Ano 
                        N+1
                     
                  
                  
                     
                        Ano 
                        N+2
                     
                  
                  
                     
                        Ano 
                        N+3
                     
                  
                  
                     
                        Inserir os anos necessários para refletir a duração do impacto (ver ponto 1.6)
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                  
                  
                     
                        REALIZAÇÕES
                     
                  
               
                     
                  
                  
                     
                        Tipo
                           40
                        
                     
                     
                  
                  
                     
                        Custo médio
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º
                     
                  
                  
                     
                        Custo
                     
                  
                  
                     
                        N.º Total
                     
                  
                  
                     
                        Custo total
                     
                  
               
                     
                        OBJETIVO ESPECÍFICO N.º 1
                           41
                        …
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Realização
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Realização
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Realização
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal objetivo específico n.º 1
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        OBJETIVO ESPECÍFICO N.º 2 ...
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Realização
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal objetivo específico n.º 2
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAIS
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
               3.2.3.Síntese do impacto estimado nas dotações de natureza administrativa 
            
            
               –◻
                     A proposta/iniciativa não acarreta a utilização de dotações de natureza administrativa. 
            
            
               –A proposta/iniciativa acarreta a utilização de dotações de natureza administrativa, tal como explicitado seguidamente:
            
            
               Em milhões de EUR (três casas decimais)
            
            
                     
                  
                  
                     
                        Ano 
                        2023
                     
                  
                  
                     
                        Ano 
                        2024
                     
                  
                  
                     
                        Ano 
                        2025
                     
                  
                  
                     
                        Ano 
                        2026
                     
                  
                  
                     
                        Ano 
                        2027
                     
                  
                  
                     
                        TOTAL
                     
                  
               
            
                     
                        RUBRICA 7 
                        do quadro financeiro plurianual
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Recursos humanos 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                        Outras despesas administrativas 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal RUBRICA 7 
                        do quadro financeiro plurianual 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
                     
                        Com exclusão da RUBRICA 7
                           42
                         
                           do quadro financeiro plurianual 
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Recursos humanos 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Outras despesas 
                           de natureza administrativa
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal 
                           com exclusão da RUBRICA 7 
                        do quadro financeiro plurianual 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
         
            
            
                     
                        TOTAL
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
               As dotações relativas aos recursos humanos e outras despesas administrativas necessárias serão cobertas pelas dotações da DG já afetadas à gestão da ação e/ou reafetadas na DG e, se necessário, pelas eventuais dotações adicionais que sejam concedidas à DG gestora no âmbito do processo de afetação anual e atendendo às restrições orçamentais.
            
            
               3.2.3.1.Necessidades estimadas de recursos humanos 
            
            
               –◻
                     A proposta/iniciativa não acarreta a utilização de recursos humanos. 
            
            
               –A proposta/iniciativa acarreta a utilização de recursos humanos, tal como explicitado seguidamente:
            
            
               As estimativas devem ser expressas em termos de equivalente a tempo integral
            
            
                     
                  
                  
                     
                        Ano 
                        2023
                     
                  
                  
                     
                        Ano 
                        2024
                     
                  
                  
                     
                        Ano 
                     
                     
                        2025
                     
                  
                  
                     
                        Ano 
                     
                     
                        2026
                     
                  
                  
                     
                        Ano 
                     
                     
                        2027
                     
                  
               
                     
                        20 01 02 01 (na sede e nos gabinetes de representação da Comissão)
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
               
                     
                        20 01 02 03 (Delegações)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        01 01 01 01  (Investigação indireta)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         01 01 01 11 (Investigação direta)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Outras rubricas orçamentais (especificar)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        20 02 01 (AC, PND e TT da «dotação global»)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        20 02 03 (AC, AL, PND, TT e JPD nas delegações)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        XX 01  xx aa zz  
                           43
                        
                     
                     
                  
                  
                     
                        — na sede
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        — nas delegações 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        01 01 01 02 (AC, PND e TT — Investigação indireta)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         01 01 01 12 (AC, PND, TT — Investigação direta)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Outras rubricas orçamentais (especificar)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
               
               XX constitui o domínio de intervenção ou título em causa.
            
            
               As necessidades de recursos humanos serão cobertas pelos efetivos da DG já afetados à gestão da ação e/ou reafetados internamente a nível da DG, complementados, caso necessário, por eventuais dotações adicionais que sejam atribuídas à DG gestora no quadro do processo anual de atribuição e no limite das disponibilidades orçamentais.
            
            
               Descrição das tarefas a executar:
            
            
                     
                        Funcionários e agentes temporários
                     
                  
                  
                     
                        Secretariado do Grupo de Coordenação da Segurança da Informação: 1 funcionário AD + 1 funcionário AST
                     
                  
               
                     
                        Pessoal externo
                     
                  
                  
                     
                  
               
               3.2.4.Compatibilidade com o atual quadro financeiro plurianual 
            
            
               A proposta/iniciativa:
            
            
               –pode ser integralmente financiada pela reafetação de fundos no quadro da rubrica pertinente do quadro financeiro plurianual (QFP).
            
            
               
                  A proposta exige a afetação de dois efetivos ao secretariado permanente do Grupo de Coordenação Interinstitucional, situado na DG RH. 
               
            
            
               –◻
                     requer o recurso à margem não afetada na rubrica em causa do QFP e/ou o recurso a instrumentos especiais tal como definidos no regulamento QFP.
            
            
               
                  Explicitar as necessidades, especificando as rubricas orçamentais em causa e as quantias correspondentes, bem como os instrumentos cuja utilização é proposta.
               
            
            
               –◻
                     requer uma revisão do QFP.
            
            
               
                  Explicitar as necessidades, especificando as rubricas orçamentais em causa e as quantias correspondentes.
               
            
         
         
            
               3.2.5.Participações de terceiros 
            
            
               A proposta/iniciativa:
            
            
               –
                     não prevê o cofinanciamento por terceiros.
            
            
               –◻
                     prevê o cofinanciamento por terceiros estimado a seguir:
            
            
               Dotações em milhões de EUR (três casas decimais)
            
            
                     
                  
                  
                     
                        Ano 
                        N
                           44
                        
                     
                  
                  
                     
                        Ano 
                        N+1
                     
                  
                  
                     
                        Ano 
                        N+2
                     
                  
                  
                     
                        Ano 
                        N+3
                     
                  
                  
                     
                        Total
                     
                  
               
                     
                        Especificar o organismo de cofinanciamento 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL das dotações cofinanciadas 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                
                  Observação: a proposta intensificará as atuais cooperações em matéria de segurança da informação através de SLA.
            
            
               3.3.Impacto estimado nas receitas 
            
            
               –A proposta/iniciativa não tem impacto financeiro nas receitas.
            
            
               –◻
                     A proposta/iniciativa tem o impacto financeiro a seguir descrito:
            
            
               nos recursos próprios 
            
            
               nas outras receitas
            
            
               indicar se as receitas são afetadas a rubricas de despesas 
            
            
                    Em milhões de EUR (três casas decimais)
            
            
                     
                        Rubrica orçamental das receitas:
                     
                  
                  
                     
                        Dotações disponíveis para o atual exercício
                     
                  
                  
                     
                        Impacto da proposta/iniciativa
                           45
                        
                     
                  
               
                     
                  
                  
                     
                  
                  
                     
                        Ano 
                        N
                     
                  
                  
                     
                        Ano 
                        N+1
                     
                  
                  
                     
                        Ano 
                        N+2
                     
                  
                  
                     
                        Ano 
                        N+3
                     
                  
               
               Relativamente às receitas afetadas, especificar a(s) rubrica(s) orçamental(ais) de despesas envolvida(s).
            
            
               
            
            
               Outras observações [por exemplo, método/fórmula utilizado(a) para o cálculo do impacto sobre as receitas ou qualquer outra informação].
            
            
               
            
         
         
            
                  
                     (1)
                  
                        Comunicação sobre a Estratégia da UE para a União da Segurança, COM(2020) 605, de 24 de julho de 2020 (Prioridade estratégica «Um ambiente de segurança a longo prazo»).
               
               
                  
                     (2)
                  
                        EUCO 9/19.
               
               
                  
                     (3)
                  
                        14972/19.
               
               
                  
                     (4)
                  
                        WK 10563/2018 INIT secção 9.
               
               
                  
                     (5)
                  
                        Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194/1).
               
               
                  
                     (6)
                  
                        C(2020)605.
               
               
                  
                     (7)
                  
                        Estratégia de cibersegurança da UE para a década digital | Construir o futuro digital da Europa (europa.eu), incluindo uma Comunicação Conjunta do Alto Representante da União para os Negócios Estrangeiros e a Política de Segurança (JOIN(2020)18) e uma Diretiva revista relativa à segurança das redes e da informação (SRI) (COM(2020)823).
               
               
                  
                     (8)
                  
                        Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).
               
               
                  
                     (9)
                  
                        Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43). 
               
               
                  
                     (10)
                  
                        Carta dos Direitos Fundamentais da União Europeia (JO C 326 de 26.10.2012, p. 391-407).
               
               
                  
                     (11)
                  
                        Artigo 41.º da Carta dos Direitos Fundamentais da União Europeia. 
               
               
                  
                     (12)
                  
                        Artigo 8.º da Carta dos Direitos Fundamentais da União Europeia.
               
               
                  
                     (13)
                  
                        Artigo 42.º da Carta dos Direitos Fundamentais da União Europeia.
               
               
                  
                     (14)
                  
                        Artigo 17.º da Carta dos Direitos Fundamentais da União Europeia.
               
               
                  
                     (15)
                  
                        Diretiva 2001/29/CE do Parlamento Europeu e do Conselho, de 22 de maio de 2001, relativa à harmonização de certos aspetos do direito de autor e dos direitos conexos na sociedade da informação (JO L 167 de 22.6.2001, p. 10).
               
               
                  
                     (16)
                  
                        Artigo 11.º da Carta dos Direitos Fundamentais da União Europeia.
               
               
                  
                     (17)
                  
                        Regulamento (Euratom) n.º 3/1958 que aplica o artigo 24.º do Tratado que institui a Comunidade Europeia da Energia Atómica (JO 17 de 6.10.1958, p. 406).
               
               
                  
                     (18)
                  
                        JO 45 de 14.6.1962, p. 1385.
               
               
                  
                     (19)
                  
                        Regulamento (CE) n.º 1049/2001 do Parlamento Europeu e do Conselho, de 30 de maio de 2001, relativo ao acesso do público aos documentos do Parlamento Europeu, do Conselho e da Comissão (JO L 145 de 31.5.2001, p. 43).
               
               
                  
                     (20)
                  
                        Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão n.º 1247/2002/CE (JO L 295 de 21.11.2018, p. 39).
               
               
                  
                     (21)
                  
                        Regulamento (CEE, Euratom) n.º 354/83 do Conselho, de 1 de fevereiro de 1983, respeitante à abertura ao público dos arquivos históricos da Comunidade Económica Europeia e da Comunidade Europeia da Energia Atómica (JO L 43 de 15.2.1983, p. 1).
               
               
                  
                     (22)
                  
                        Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho, de 18 de julho de 2018, relativo às disposições financeiras aplicáveis ao orçamento geral da União, que altera os Regulamentos (UE) n.º 1296/2013, (UE) n.º 1301/2013, (UE) n.º 1303/2013, (UE) n.º 1304/2013, (UE) n.º 1309/2013, (UE) n.º 1316/2013, (UE) n.º 223/2014 e (UE) n.º 283/2014, e a Decisão 541/2014/UE, e revoga o Regulamento (UE, Euratom) n.º 966/2012 (JO L 193 de 30.7.2018, p. 1).
               
               
                  
                     (23)
                  
                        Regulamento (UE) 2021/697 do Parlamento Europeu e do Conselho, de 29 de abril de 2021, que cria o Fundo Europeu de Defesa e revoga o Regulamento (UE) 2018/1092 (JO L 170 de 12.5.2021, p. 149).
               
               
                  
                     (24)
                  
                        Regulamento [...] do Parlamento Europeu e do Conselho que estabelece medidas destinadas a garantir um elevado nível de cibersegurança nas instituições, órgãos e organismos da União, a ser adotado
               
               
                  
                     (25)
                  
                        Conselho CEEA: Regulamento n.º 3 que aplica o artigo 24.º do Tratado que institui a Comunidade Europeia da Energia Atómica (JO 17 de 6.10.1958, p. 406).
               
               
                  
                     (26)
                  
                        Acordo Interinstitucional entre o Parlamento Europeu, o Conselho da União Europeia e a Comissão Europeia sobre legislar melhor (JO L 123 de 12.5.2016, p. 1).
               
               
                  
                     (27)
                  
                        Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.º 45/2001 e a Decisão 1247/2002/CE (JO L 295 de 21.11.2018).
               
               
                  
                     (28)
                  
                        Regulamento (UE) 2019/881 do Parlamento Europeu e do Conselho, de 17 de abril de 2019, relativo à ENISA (Agência da União Europeia para a Cibersegurança) e à certificação da cibersegurança das tecnologias da informação e comunicação e que revoga o Regulamento (UE) n.º 526/2013 (Regulamento Cibersegurança) (JO L 151 de 7.6.2019, p. 15).
               
               
                  
                     (29)
                  
                        JO C 202 de 8.7.2011, p. 13.
               
               
                  
                     (30)
                  
                        Regulamento (UE, Euratom) 2018/1046 do Parlamento Europeu e do Conselho.
               
               
                  
                     (31)
                  
                        Idem
               
               
                  
                     (32)
                  
                        Tal como referido no artigo 58.º, n.º 2, alínea a) ou b), do Regulamento Financeiro.
               
               
                  
                     (33)
                  
                        Para mais informações sobre as modalidades de gestão e as referências ao Regulamento Financeiro, consultar o sítio BudgWeb: 
                  https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx
                   
               
               
                  
                     (34)
                  
                        DD = dotações diferenciadas/DND = dotações não diferenciadas.
               
               
                  
                     (35)
                  
                        EFTA: Associação Europeia de Comércio Livre. 
               
               
                  
                     (36)
                  
                        Países candidatos e, se aplicável, candidatos potenciais dos Balcãs Ocidentais.
               
               
                  
                     (37)
                  
                        O ano N é o do início da aplicação da proposta/iniciativa. Substituir «N» pelo primeiro ano de execução previsto (por exemplo: 2021). Proceder do mesmo modo relativamente aos anos seguintes.
               
               
                  
                     (38)
                  
                        De acordo com a nomenclatura orçamental oficial.
               
               
                  
                     (39)
                  
                        Assistência técnica e/ou administrativa e despesas de apoio à execução de programas e/ou ações da UE (antigas rubricas «BA»), bem como investigação direta e indireta.
               
               
                  
                     (40)
                  
                        As realizações dizem respeito aos produtos fornecidos e serviços prestados (exemplo: número de intercâmbios de estudantes financiados, número de quilómetros de estradas construídas, etc.).
               
               
                  
                     (41)
                  
                        Tal como descrito no ponto 1.4.2. «Objetivo(s) específico(s)…» 
               
               
                  
                     (42)
                  
                        Assistência técnica e/ou administrativa e despesas de apoio à execução de programas e/ou ações da UE (antigas rubricas «BA»), bem como investigação direta e indireta.
               
               
                  
                     (43)
                  
                        Sublimite para o pessoal externo coberto pelas dotações operacionais (antigas rubricas «BA»).
               
               
                  
                     (44)
                  
                        O ano N é o do início da aplicação da proposta/iniciativa. Substituir «N» pelo primeiro ano de execução previsto (por exemplo: 2021). Proceder do mesmo modo relativamente aos anos seguintes.
               
               
                  
                     (45)
                  
                        No que diz respeito aos recursos próprios tradicionais (direitos aduaneiros e quotizações sobre o açúcar), as quantias indicadas devem ser apresentadas em termos líquidos, isto é, quantias brutas após dedução de 20 % a título de despesas de cobrança.
               
            
      
    ---documentbreak--- 
      
         
               COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            da
            Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO I
            
            
            
               Medidas de proteção para o tratamento de informações sensíveis não classificadas 
            
            
               Aposição de marcas e tratamento de informações sensíveis não classificadas
            
            
               1.Nos documentos que contenham informações sensíveis não classificadas deve ser aposta uma marca de segurança e, se for caso disso, uma ou mais marcas de distribuição que especifiquem o público-alvo, conforme adequado. A marca de segurança normalizada é a palavra «SENSITIVE» em maiúsculas, exceto nos casos referidos no artigo 15.º, n.º 2.
            
            
               2.Os documentos que contenham informações sensíveis não classificadas só devem ser acessíveis a destinatários com necessidade de tomar conhecimento dessas informações para fins oficiais. Sempre que sejam utilizadas marcas de distribuição, deve ser solicitada autorização à instituição ou organismo da União de origem para alargar a distribuição de um documento.
            
            
               3.Todas as pessoas que tratam informações sensíveis não classificadas devem ser informadas das instruções de manuseamento.
            
            
               4.Os documentos com a marca de classificação SENSITIVE são desgraduados para EU NORMAL ou PUBLIC USE, através da eliminação ou supressão das marcas.
            
            
               5.Sempre que as instituições e organismos da União destruam documentos que contenham informações sensíveis não classificadas, tal deve ser feito de modo a não poderem ser facilmente reconstituídos. As cópias impressas devem ser trituradas e as cópias eletrónicas devem ser regravadas em segurança, fisicamente destruídas ou tornadas irrecuperáveis por qualquer outra forma.
            
            
               Proteção de informações sensíveis não classificadas no trabalho fora das instalações das instituições e organismos da União 
            
            
               6.As informações sensíveis não classificadas devem ser protegidas contra escutas e observação durante o teletrabalho e as missões fora dos gabinetes, e não devem ser manuseadas ou armazenadas em público.
            
            
               7.Os documentos que contenham informações sensíveis não classificadas só devem ser tratados e armazenados em equipamentos ou aplicações devidamente protegidos sob a responsabilidade das instituições e organismos da União.
            
            
               8.As instituições e organismos da União devem disponibilizar meios para impedir que pessoas não autorizadas, incluindo familiares, acedam a informações sensíveis não classificadas tratadas ou armazenadas pelo equipamento de uma instituição ou organismo da União, quando o trabalho é efetuado fora do local de afetação.
            
            
               9.As instituições e organismos da União devem dar instruções ao seu pessoal para:
            
            
               a)Proteger o equipamento das instituições ou organismos da União que trata informações sensíveis não classificadas contra roubos, perdas e danos e comunicar imediatamente qualquer acontecimento adverso de segurança que afete os seus dispositivos ou as informações neles contidas;
            
            
               b)Não partilhar os seus dispositivos com pessoas não autorizadas;
            
            
               c)Não utilizar o equipamento para atividades não relacionadas com o trabalho.
            
            
               10.As instituições e os organismos da União devem assegurar que, na medida do possível, o seu equipamento ou as suas aplicações devidamente protegidas sejam utilizados para tratar e armazenar quaisquer documentos sensíveis não classificados em formato eletrónico fora das suas instalações. Deve evitar-se o manuseamento de cópias físicas de documentos sensíveis não classificados fora dos gabinetes.
            
            
               11.Sempre que sejam utilizadas ferramentas de teleconferência ou videoconferência, as instituições e organismos da União devem minimizar o risco de pessoas não autorizadas verem ou ouvirem os debates, autenticando adequadamente os participantes e utilizando ferramentas de comunicação cifradas compatíveis com a necessidade de tomar conhecimento das referidas informações.
            
         
         
            
               12.As instituições e organismos da União devem ministrar formação a todo o pessoal que trabalha à distância no que respeita ao tratamento de informações sensíveis não classificadas quando trabalha fora do gabinete.
            
            
               Partilha de informações sensíveis não classificadas
            
            
               13.Os documentos que contenham informações sensíveis não classificadas podem ser partilhados entre as instituições e organismos da União sem formalidades adicionais.
            
            
               14.As instituições e organismos da União só devem partilhar documentos que contenham informações sensíveis não classificadas fora de todas as instituições e organismos da União com base num compromisso que vincule as partes a respeitar as instruções de manuseamento.
            
            
               15.As instituições e organismos da União devem notificar os destinatários de informações sensíveis não classificadas da obrigação de não partilhar as informações com quaisquer partes fora do público indicado pelas marcas de distribuição, a menos que a entidade de origem o permita.
            
            
               16.As instituições e organismos da União devem proteger as informações sensíveis não classificadas fornecidas ou partilhadas por via eletrónica através de medidas de segurança adequadas, incluindo a cifragem em trânsito, utilizando mecanismos criptográficos adequados.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            
            ANEXOS
            da
            Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO II
            
            
               Procedimentos para gestão da autorização de acesso a informações classificadas da UE («ICUE»)
            
            
               Definições
            
            
               Para efeitos do presente anexo, entende-se por:
            
            
               1) «Credenciação de segurança do pessoal» (CSP): declaração de uma autoridade competente de um Estado-Membro, feita depois de concluída uma investigação de segurança conduzida pelas autoridades competentes, pela qual se atesta que uma dada pessoa pode aceder a ICUE até determinado nível (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), e durante um determinado período de tempo;
            
            
               2) «Certificado de Credenciação de Segurança do Pessoal» (CCSP): certificado, emitido por uma autoridade competente, pelo qual se atesta que uma dada pessoa possui uma credenciação de segurança válida, ou equivalente, ou uma autorização de segurança que indica o nível de ICUE a que a pessoa pode aceder (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), a data de validade da credenciação ou autorização de segurança relevante e a data de caducidade do próprio certificado.
            
            
               Concessão de uma autorização de acesso a ICUE
            
            
               1.A Autoridade de Segurança da instituição e organismo da União em questão deve solicitar à pessoa o seu consentimento por escrito para o procedimento de credenciação de segurança, antes de enviar um questionário de credenciação de segurança preenchido à Autoridade Nacional de Segurança do Estado-Membro de que é nacional o requerente.
            
            
               2.Se uma instituição ou organismo da União tomar conhecimento de informações relevantes para a investigação de segurança a respeito de alguém que tenha solicitado uma credenciação de segurança para acesso a ICUE, a Autoridade de Segurança competente, agindo em conformidade com o presente Regulamento, informa desse facto a Autoridade Nacional de Segurança relevante.
            
            
               3.Após a notificação da avaliação global dos resultados da investigação de segurança pela Autoridade Nacional de Segurança relevante, a Autoridade de Segurança competente:
            
            
               a)Se da investigação de segurança se concluir a garantia da lealdade, idoneidade e fiabilidade da pessoa, pode conceder à pessoa em causa uma autorização de acesso a ICUE até ao nível adequado e durante um determinado período de tempo;
            
            
               b)Se da investigação de segurança não resultar tal garantia, em conformidade com as regras internas aplicáveis, deve notificar do facto o requerente. 
            
            
               4.Se a pessoa começar o serviço 12 meses ou mais a contar da data de notificação dos resultados da investigação de segurança, ou se houver uma interrupção de 12 meses no serviço da pessoa em causa, a Autoridade de Segurança competente deve obter junto da Autoridade Nacional de Segurança relevante a confirmação da validade da credenciação de segurança.
            
            
               Suspensão e retirada da autorização
            
            
               5.Se a instituição ou organismo da União em questão tomar conhecimento de informações a respeito da existência de qualquer risco para a segurança colocado por uma pessoa que disponha de uma autorização de acesso a ICUE, a Autoridade de Segurança dessa instituição ou organismo deve informar desse facto a ANS pertinente, e pode suspender o acesso da pessoa a ICUE ou retirar a autorização de acesso a ICUE.
            
            
               6.Se uma Autoridade Nacional de Segurança comunicar à instituição ou organismo relevante da União que uma pessoa com autorização de acesso a ICUE já não dispõe da garantia que lhe fora dada, a Autoridade de Segurança da instituição ou organismo da União em causa deve retirar a autorização de segurança e excluir a pessoa do acesso às ICUE, em conformidade com as respetivas regras internas aplicáveis.
            
            
               Renovação da autorização
            
            
               7.Depois da primeira atribuição de uma autorização de segurança, e desde que a pessoa em causa tenha prestado ininterruptamente serviço numa instituição ou organismo da União e continue a precisar de ter acesso a ICUE, a autorização para aceder a ICUE deve ser revista, para efeitos de renovação, antes de caducar.
            
            
               8.A Autoridade de Segurança da instituição ou organismo em causa da União pode prorrogar o prazo de validade da autorização de acesso a ICUE existente por um período de, no máximo, 12 meses, se não tiver sido recebida qualquer informação desfavorável da ANS ou de outra autoridade nacional competente no prazo de dois meses a contar da data de transmissão do pedido de renovação e do correspondente questionário de credenciação. 
            
         
         
            
               Se, findo o período de 12 meses referido no primeiro parágrafo, a investigação de segurança ainda não estiver concluída, a pessoa em causa não deve ser afetada a funções que exijam uma credenciação de segurança.
            
            
               9.Sempre que a sua autorização de segurança for renovada, a pessoa em causa deve frequentar um curso de atualização de conhecimentos em matéria de manuseamento e armazenamento de ICUE.
            
            
               Autorização de segurança temporária excecional
            
            
               10.A Autoridade de Segurança da instituição ou organismo relevante da União pode conceder, a título excecional, uma autorização temporária de acesso a ICUE, desde que a Autoridade Nacional de Segurança tenha realizado uma verificação inicial, com base no questionário de segurança preenchido e enviado, que conclua não haver conhecimento de informações pertinentes desfavoráveis.
            
            
               11.As autorizações temporárias de acesso a ICUE são válidas por um período único não superior a seis meses e não devem permitir o acesso a informações com classificação TRES SECRET UE/EU TOP SECRET.
            
            
               12.Após receberem a informação, em conformidade com o artigo 26.º, todas as pessoas a quem tenha sido concedida uma autorização temporária de acesso a ICUE devem confirmar por escrito que compreenderam as obrigações a que estão sujeitas no que respeita à proteção das ICUE e as consequências do comprometimento de ICUE. A Autoridade de Segurança da instituição ou organismo em causa da União deve conservar um registo dessas declarações escritas.
            
            
               Peritos nacionais destacados para instituições e organismos da União
            
            
               13.Todas as instituições e organismos da União devem certificar-se de que, antes de assumirem funções, os peritos nacionais destacados para um cargo que exija uma autorização de segurança apresentam à Autoridade de Segurança competente uma CSP válida ou um Certificado de Credenciação de Segurança do Pessoal, em conformidade com as disposições legislativas e regulamentares nacionais. Desde que os requisitos estabelecidos no artigo 23.º, n.º 1, sejam cumpridos, a Autoridade de Segurança pode conceder uma autorização de segurança para aceder a ICUE até ao nível equivalente ao referido na credenciação de segurança nacional, com uma validade máxima não superior ao período da afetação.
            
            
               Acesso a reuniões classificadas
            
            
               14.No que respeita à organização de reuniões nas quais sejam discutidas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, as instituições e organismos da União devem assegurar que é concedida a todos os participantes uma credenciação de segurança ou que é conhecido o estatuto da sua autorização de segurança.
            
            
               15.Com base nos registos de acesso às ICUE, a Autoridade de Segurança competente da instituição ou órgão da União em causa pode emitir um Certificado de Credenciação de Segurança do Pessoal, quando este for necessário para a participação da pessoa em questão em reuniões fora dessa instituição ou organismo da União. O Certificado de Credenciação de Segurança do Pessoal deve indicar o nível de ICUE a que a pessoa pode ter acesso (CONFIDENTIEL UE/EU CONFIDENTIAL ou superior), o período de validade da autorização pertinente para efeitos de acesso a ICUE ou a data de expiração do próprio certificado.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            da
            Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO III
            
            
               Medidas para a proteção física das informações classificadas da União Europeia («ICUE»)
            
            
               Equipamento e medidas organizativas para a proteção física das ICUE
            
            
               1.Uma Zona Administrativa deve preencher os seguintes requisitos:
            
            
               a)Dispor de um perímetro visivelmente definido que permita o controlo de pessoas e, se possível, de veículos;
            
            
               b)Assegurar que as janelas que possam permitir o acesso visual não autorizado a ICUE dentro da zona sejam tornadas opacas ou sejam equipadas com estores, cortinas ou outros revestimentos;
            
            
               c)Só podem ter acesso sem escolta as pessoas devidamente autorizadas pela Autoridade de Segurança da instituição ou organismo da União em questão;
            
            
               d)Quaisquer outras pessoas são permanentemente escoltadas ou sujeitas a controlos equivalentes.
            
            
               2.Para além dos requisitos previstos no ponto 1, uma Zona de Segurança deve preencher os seguintes requisitos:
            
            
               a)Dispor de um perímetro visivelmente definido e protegido em que qualquer entrada e saída seja controlada de forma permanente;
            
            
               b)Ser desprovida de dispositivos não autorizados como linhas de comunicação, telefones ou outros aparelhos de comunicação, bem como equipamento elétrico ou eletrónico;
            
            
               c)Estar equipada com um sistema de controlo do acesso e de monitorização em tempo real para a deteção de intrusos («IDS»), combinado com pessoal de segurança incumbido das situações de emergência;
            
            
               d)Ser inspecionada no final das horas normais de serviço e a intervalos aleatórios fora dessas horas, caso não esteja ocupada por pessoal em serviço 24 horas por dia e não esteja instalado um sistema IDS de monitorização em tempo real;
            
            
               e)Ser gerida por pessoal de segurança devidamente formado, supervisionado e com a devida credenciação de segurança;
            
            
               f)Dispor de procedimentos operacionais de segurança que incluam os seguintes elementos:
            
            
               i)o nível das ICUE que podem ser manuseadas, discutidas ou armazenadas nessa zona,
            
            
               ii)as medidas de vigilância e de proteção a manter,
            
            
               iii)as pessoas autorizadas a aceder sem escolta à zona por terem autorização de acesso e a necessidade de tomar conhecimento das ICUE em causa,
            
            
               iv)se necessário, os procedimentos respeitantes a escoltas ou à proteção das ICUE quando se autorize o acesso de outras pessoas a essa zona,
            
         
         
            
               v)quaisquer outras medidas e procedimentos relevantes.
            
            
               3.Nos casos em que a entrada numa Zona de Segurança represente um acesso direto às informações classificadas que nela se encontrem, a zona deve ser definida como uma Zona de Classe I e, nos casos em que tal não se verifique, a zona deve ser definida como uma Zona de Classe II.
            
            
               Para ambas as classes de Zona de Segurança a que se refere o primeiro parágrafo e para além dos requisitos previstos no ponto 2, o Departamento/Responsável de Segurança da instituição ou organismo da União em causa deve indicar claramente o nível de classificação de segurança mais elevado das informações normalmente conservadas nessa zona e definir claramente um perímetro que permita o controlo das pessoas e, se possível, dos veículos.
            
            
               As instituições e os organismos da União devem assegurar que as pessoas que acedem a uma Zona de Segurança cumprem os seguintes critérios:
            
            
               a)Pedir autorização específica para entrar nessa zona;
            
            
               b)Ser permanentemente escoltadas;
            
            
               c)Possuir a devida credenciação de segurança, a menos que sejam tomadas medidas para assegurar que não seja possível ter acesso às ICUE.
            
            
               4.Uma Zona de Segurança a proteger contra escutas passivas e ativas deve ser designada Zona Tecnicamente Segura. Para além dos requisitos aplicáveis às Zonas de Segurança, aplicam-se ainda os seguintes requisitos a estas zonas:
            
            
               a)Devem estar equipadas com IDS, fechadas à chave quando não estiverem ocupadas e guardadas quando ocupadas. Todas as chaves devem ser controladas de acordo com o artigo 29.º, n.º 3;
            
            
               b)São sujeitas a inspeção física e/ou técnica, ou ambas, de forma regular pela Autoridade de Segurança da instituição ou organismo da União em questão. Essas inspeções devem ser igualmente efetuadas na sequência de qualquer entrada não autorizada ou de suspeitas dessa possibilidade;
            
            
               c)Devem dispor de uma proteção acústica e TEMPEST adequada.
            
            
               5.Todas as pessoas que entrem em Zonas Tecnicamente Seguras devem cumprir os requisitos estabelecidos no ponto 3.
            
            
               6.Poderão ser temporariamente criadas Zonas de Segurança e Zonas Tecnicamente Seguras no interior de determinada Zona Administrativa para a realização de uma reunião classificada ou para qualquer outro fim semelhante.
            
            
               7.Devem ser construídas casas-fortes dentro das Zonas de Segurança. Uma casa-forte é uma instalação com uma construção física reforçada em que a Autoridade de Segurança da instituição ou organismo da União em questão aprova as paredes, o chão, os tetos, as janelas e as portas com sistema de fecho. Essas instalações devem beneficiar de proteção equivalente à de um contentor de segurança aprovado para armazenamento de ICUE com o mesmo nível de classificação.
            
            
               Medidas de proteção física para o tratamento e armazenamento de ICUE
            
            
               8.As ICUE com classificação RESTREINT UE/EU RESTRICTED devem ser tratadas e armazenadas em qualquer das seguintes zonas:
            
            
               a)Em Zonas de Segurança; 
            
            
               b)Em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas;
            
            
               c)Fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor se tenha comprometido a respeitar as medidas de compensação decididas pela Autoridade de Segurança de cada instituição e organismo da União.
            
            
               9.As ICUE com classificação RESTREINT UE/EU RESTRICTED devem ser armazenadas em mobiliário de escritório apropriado e fechado à chave, numa Zona Administrativa ou Zona de Segurança. As referidas ICUE poderão ser temporariamente armazenadas fora de Zonas de Segurança ou de Zonas Administrativas, desde que o detentor se tenha comprometido a armazenar os documentos em causa em mobiliário de escritório apropriado e fechado à chave quando estes não estejam a ser lidos ou discutidos.
            
         
         
            
               10.As instituições e os organismos da União podem tratar e armazenar informações com classificação RESTREINT UE/EU RESTRICTED fora das suas instalações, desde que as informações pertinentes sejam devidamente protegidas. Para o efeito, as instituições e organismos da União devem cumprir as medidas previstas no ponto 8, alínea c).
            
            
               11.As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser manuseadas e armazenadas numa das seguintes zonas:
            
            
               a)Em Zonas de Segurança; 
            
            
               b)Em Zonas Administrativas, desde que as ICUE se encontrem protegidas do acesso por parte de pessoas não autorizadas;
            
            
               c)Fora de Zonas de Segurança ou de Zonas Administrativas, sempre que limitadas em termos de volume e de tempo, e desde que o detentor se tenha comprometido a respeitar as medidas de compensação decididas pela Autoridade de Segurança da instituição ou organismo da União em questão. Além disso, o detentor de ICUE deve tomar as seguintes medidas:
            
            
               i)informar o registo competente do facto de os documentos classificados estarem a ser manuseados fora das zonas protegidas,
            
            
               ii)manter os documentos permanentemente sob o seu controlo pessoal.
            
            
               12.As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL e SECRET UE/EU SECRET devem ser armazenadas numa Zona de Segurança credenciada para esse nível pela Autoridade de Acreditação de Segurança competente da instituição ou organismo da União em questão, seja num contentor de segurança ou numa casa-forte.
            
            
               13.Os documentos com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior só podem ser copiados pelo Registo pertinente.
            
            
               14.As informações com a classificação TRES SECRET UE/EU TOP SECRET devem ser tratadas e armazenadas em Zonas de Segurança credenciadas para esse nível. Para o efeito, as instituições e organismos da União podem celebrar os convénios necessários para utilizar uma Zona de Segurança alojada e acreditada ao nível adequado pela Autoridade de Acreditação de Segurança de outra instituição e organismo da União.
            
            
               15.As informações com a classificação TRES SECRET UE/EU TOP SECRET devem ser armazenadas em Zonas de Segurança credenciadas para esse nível pela Autoridade de Acreditação de Segurança da instituição ou organismo competente da União em questão, numa das seguintes condições:
            
            
               a)Num contentor de segurança aprovado pela Autoridade de Segurança de cada instituição e organismo da União, com um dos seguintes controlos complementares:
            
            
               i)proteção ou verificação permanente por pessoal de segurança ou de serviço com credenciação de segurança, 
            
            
               ii)um IDS aprovado, conjugado com pessoal de segurança incumbido das situações de emergência;
            
            
               b)Numa casa-forte com IDS, conjugada com pessoal de segurança incumbido das situações de emergência.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            da
            Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO IV
            
            
               Medidas de segurança para a gestão de informações classificadas da União Europeia («ICUE»)
            
            
               Para efeitos do presente anexo, entende-se por «serviços comerciais de correio rápido» os serviços postais nacionais e as transportadoras privadas que oferecem um serviço em que os documentos são entregues em troca de um pagamento e são transportados pessoalmente ou seguidos.
            
            
               Transporte de ICUE
            
            
               1.Sempre que possível, as instituições e organismos da União que enviem ICUE para fora das Zonas de Segurança ou das Zonas Administrativas devem enviá-las por via eletrónica, através de meios acreditados adequados, ou protegê-las através de produtos criptográficos aprovados.
            
            
               2.No transporte de ICUE, as instituições e organismos da União devem aplicar medidas de proteção que satisfaçam os seguintes requisitos:
            
            
               a)Ser proporcionais ao nível de classificação das ICUE transportadas;
            
            
               b)Ser adaptadas às condições específicas do seu transporte, bem como à natureza e à forma das ICUE transportadas.
            
            
               3.Quando transportadas fisicamente, em mão própria, sob a forma de documentos impressos ou em suportes de armazenamento amovíveis, as ICUE devem permanecer na posse do portador e não devem ser abertas até chegarem ao seu destino final.
            
            
               4.As pessoas ou os serviços de correio rápido que transportem informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior devem dispor de uma autorização de segurança, ser informados das suas responsabilidades em matéria de segurança e, se necessário, receber um certificado de correio rápido, emitido pelo registo de ICUE do serviço competente.
            
            
               5.Os guardas e escoltas devem possuir credenciação de segurança para o nível adequado e ser informados sobre os procedimentos de segurança para a proteção das ICUE.
            
            
               6.Sempre que utilizem suportes de armazenamento amovíveis, as instituições e organismos da União devem proteger esses suportes através de um produto de cifragem ou encriptar os próprios documentos.
            
            
               Embalagem de ICUE
            
            
               7.No que diz respeito à embalagem de ICUE, as instituições e organismos da União devem assegurar que o seu conteúdo não é visível.
            
            
               8.As informações com classificação RESTREINT UE/EU RESTRICTED devem ser transportadas em, pelo menos, uma camada de embalagem opaca, tais como sobrescritos, capas opacas ou uma pasta para documentos. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior devem ser transportadas em duas camadas de embalagem opaca.
            
            
               9.A embalagem exterior não deve ostentar qualquer indicação da natureza ou do nível de classificação do seu conteúdo. A camada interior da embalagem deve ostentar a marca de classificação das ICUE. Ambas as camadas devem indicar o nome do destinatário, o seu cargo e o seu endereço, bem como um endereço de devolução caso a entrega não possa ser efetuada.
            
            
               Transporte por serviços comerciais de correio rápido
            
            
               10.Os serviços comerciais de correio rápido podem transmitir informações com classificação RESTREINT UE/EU RESTRICTED e CONFIDENTIEL UE/EU CONFIDENTIAL no interior de um Estado-Membro ou de um Estado-Membro para outro. Os serviços comerciais de correio rápido só podem fornecer informações com a classificação SECRET UE/EU SECRET no interior de um Estado-Membro e desde que sejam aprovados pela Autoridade Nacional de Segurança competente. Nenhuma ICUE de nível TRES SECRET UE/EU TOP SECRET pode ser confiada a um serviço comercial de correio rápido.
            
            
               11.Os serviços comerciais de correio rápido devem fornecer remessas de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior apenas ao responsável do controlo do registo, ao seu substituto devidamente autorizado ou ao destinatário previsto. Deve ser colocado um formulário de recibo de registo dentro do sobrescrito interior ou na camada interior da embalagem, que o destinatário deve preencher e devolver. O recibo de registo, que, por si só, não está classificado, deve mencionar o número de referência, a data e o número de cópia do documento, mas não o assunto.
            
         
         
            
               12.O sobrescrito ou embalagem exterior deve conter recibos de entrega. O recibo de entrega, que, por si só, não está classificado, deve mencionar o número de referência, a data e o número de cópia do documento, mas não o assunto.
            
            
               13.O serviço de correio rápido deve obter a prova da entrega da remessa no documento de assinaturas e registo e fornecê-la ao remetente, ou obter recibos ou números de encomenda.
            
            
               14.O remetente deve contactar o destinatário indicado antes da expedição da remessa a fim de combinar uma data e hora adequadas para a entrega.
            
            
               15.Os serviços comerciais de correio rápido podem recorrer aos serviços de um subcontratante.
            
            
               16.Os serviços prestados pelos serviços comerciais de correio rápido que consistam na transmissão eletrónica de documentos enviados por correio registado não devem ser utilizados para as ICUE.
            
            
               Medidas relacionadas com reuniões classificadas
            
            
               17.As instituições e organismos da União devem prevenir os participantes da intenção de debater temas classificados durante uma reunião e das correspondentes medidas de segurança que serão aplicadas.
            
            
               18.As instituições e organismos da União devem verificar se os participantes de reuniões classificadas têm necessidade de tomar conhecimento e, se for caso disso, devem possuir uma credenciação e/ou autorização de segurança para o nível adequado.
            
            
               19.As instituições e organismos da União só devem debater informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior numa sala de reuniões que tenha sido acreditada ao nível adequado ou superior. Do mesmo modo, só deve ser utilizado equipamento informático acreditado aquando da transmissão de informações classificadas durante uma reunião. O presidente deve certificar-se de que os dispositivos eletrónicos portáteis não autorizados são deixados no exterior da sala de reuniões.
            
            
               20.Os organizadores de reuniões das instituições e organismos da União devem informar a respetiva Autoridade de Segurança de quaisquer visitantes externos que participarão numa reunião com a classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior, a realizar nas instalações da instituição ou organismo da União em causa.
            
            
               21.Quando forem transmitidas informações classificadas durante reuniões virtuais, apenas podem ser utilizados os Sistemas de Comunicação e Informação acreditados em conformidade com o capítulo 5, secção 5, do presente regulamento.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            da
            Proposta de REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO V
            
            
               Proteção de informações classificadas da União Europeia («ICUE») em contratos classificados e convenções de subvenção classificadas
            
            
               Para efeitos do presente anexo, além das definições estabelecidas nos anexos II e IV, entende-se por «Credenciação de segurança da empresa» ou «CSE» uma decisão administrativa, emitida por uma Autoridade Nacional de Segurança, Autoridade de Segurança Designada ou qualquer outra autoridade de segurança competente, de que, do ponto de vista da segurança, determinada empresa está apta a garantir um nível adequado de proteção das ICUE com determinado nível de classificação de segurança.
            
            
               Acesso a ICUE por parte do pessoal dos contratantes e dos beneficiários
            
            
               1.Cada instituição ou organismo da União, enquanto autoridade contratante ou que concede a subvenção, deve assegurar que os contratos classificados ou as convenções de subvenção classificadas contenham disposições que determinem que o acesso a ICUE só deve ser concedido ao pessoal de um contratante, subcontratante ou beneficiário que, para a execução do contrato, subcontrato ou convenção de subvenção classificado, solicitar tal acesso se forem cumpridas as seguintes condições:
            
            
               a)Ter ficado comprovada a sua necessidade de tomar conhecimento das informações;
            
            
               b)Possuir uma Credenciação de Segurança do Pessoal (CSP) ao nível adequado para informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET emitida pela respetiva Autoridade, Autoridade de Segurança Designada ou qualquer outra autoridade de segurança competente;
            
            
               c)O pessoal em causa tiver sido informado das regras de segurança aplicáveis à proteção de ICUE e tiver reconhecido as suas responsabilidades no que respeita à proteção dessas informações.
            
            
               2.Quando um contratante ou beneficiário pretender contratar um nacional de um país terceiro para um lugar que implique o acesso a informações com classificação EU CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, cabe ao contratante ou beneficiário iniciar o procedimento de credenciação de segurança dessa pessoa, em conformidade com as disposições legislativas e regulamentares nacionais aplicáveis no local onde o acesso às ICUE deve ser concedido.
            
            
               Credenciação de segurança da empresa («CSE»)
            
            
               3.Uma Credenciação de segurança da empresa («CSE») é concedida pela Autoridade Nacional de Segurança, Autoridade de Segurança Designada ou qualquer outra autoridade de segurança competente de um Estado-Membro para indicar, em conformidade com as disposições legislativas e regulamentares nacionais, que uma entidade está em condições de proteger as ICUE ao nível de classificação adequado (CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET) dentro das respetivas instalações.
            
            
               4.A instituição ou organismo da União, na qualidade de autoridade contratante ou que concede a subvenção, informa, através da respetiva Autoridade de Segurança, a Autoridade Nacional de Segurança, a Autoridade de Segurança Designada, ou qualquer outra autoridade de segurança competente, de que é necessária uma CSE para a execução do contrato ou convenção de subvenção.
            
            
               5.É exigida uma CSE quando tiverem de ser fornecidas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET às instalações dos candidatos, proponentes ou requerentes durante o procedimento de adjudicação do contrato ou de concessão da subvenção.
            
            
               6.A instituição ou organismo da União, na qualidade de autoridade contratante ou que concede a subvenção, deve ter recebido a confirmação, através da sua Autoridade de Segurança, de que foi emitida uma CSE para o candidato, proponente ou contratante, ou para o candidato ou beneficiário da subvenção, antes de lhe conceder acesso a ICUE. 
            
            
               7.Quando os Estados Membros não emitem CSE para certos estabelecimentos ao abrigo das disposições legislativas nacionais, a autoridade contratante ou que concede a subvenção deve verificar junto da Autoridade Nacional de Segurança ou da Autoridade de Segurança Designada em questão se esses estabelecimentos estão aptos a tratar as ICUE ao nível exigido.
            
            
               8.À exceção dos casos enumerados no ponto 7, a instituição ou organismo da União, enquanto autoridade contratante, não deve assinar um contrato classificado nem celebrar uma convenção de subvenção classificada antes de ter recebido, através da sua Autoridade de Segurança, da Autoridade Nacional de Segurança, da Autoridade de Segurança Designada ou de qualquer outra autoridade nacional competente, a confirmação de que foi emitida a CSE adequada.
            
            
               9.A retirada de uma CSE pela Autoridade Nacional de Segurança, Autoridade de Segurança Designada ou qualquer outra autoridade de segurança competente constitui motivo suficiente para que a autoridade contratante ou que concede a subvenção ponha termo a um contrato classificado ou convenção de subvenção classificada, ou exclua do procedimento concorrencial um candidato, proponente ou requerente.
            
            
               Disposições relativas a concursos e execução de contratos classificados e convenções de subvenção classificadas
            
            
               10.Quando forem fornecidas ICUE a um candidato, proponente ou requerente de subvenção durante o procedimento de contratação, o anúncio de concurso ou o convite à apresentação de propostas deve conter uma disposição que obrigue o candidato, proponente ou requerente de subvenção que não seja selecionado a devolver todos os documentos classificados num prazo determinado.
            
         
         
            
               11.No termo do contrato classificado ou da convenção de subvenção classificada, ou da participação de um beneficiário de uma subvenção, o contratante ou o beneficiário da subvenção deve, regra geral, restituir à autoridade contratante ou que concede a subvenção quaisquer ICUE que se encontrem na sua posse.
            
            
               12.Devem ser estabelecidas nas Cláusulas Adicionais de Segurança disposições específicas referentes à eliminação das ICUE durante a fase de execução ou após o termo do contrato classificado ou da convenção de subvenção classificada.
            
            
               13.Quando o contratante ou beneficiário de uma subvenção for autorizado a conservar ICUE após o termo de um contrato classificado ou de uma convenção de subvenção classificada, deve continuar a cumprir as normas mínimas estabelecidas no presente regulamento, e a confidencialidade das ICUE deve ser protegida pelo contratante ou beneficiário de uma subvenção.
            
            
               14.As condições para a proteção das ICUE ao abrigo das quais os contratantes ou beneficiários podem subcontratar devem ser definidas no anúncio de concurso ou no convite à apresentação de propostas, e no contrato classificado ou na convenção de subvenção classificada.
            
            
               15.Antes de procederem à subcontratação de qualquer parte de um contrato classificado ou de uma convenção de subvenção classificada, os contratantes ou beneficiários devem obter a autorização da autoridade contratante ou que concede a subvenção.
            
            
               16.O contratante ou beneficiário é responsável por garantir que todas as atividades de subcontratação respeitam as normas mínimas estabelecidas no presente regulamento e não pode fornecer ICUE a nenhum subcontratante sem o prévio consentimento escrito da autoridade contratante ou que concede a subvenção.
            
            
               17.A instituição ou organismo da União, na qualidade de autoridade contratante ou que concede a subvenção, é considerada a entidade de origem das ICUE produzidas pelo contratante ou beneficiário e exerce os direitos que incumbem à entidade de origem.
            
            
               18.Nos casos em que os Estados-Membros exigem uma CSE ou uma Credenciação de Segurança do Pessoal para contratos, convenções de subvenção ou subcontratos ao nível RESTREINT UE/EU RESTRICTED, ao abrigo das suas disposições legislativas e regulamentares nacionais, as instituições e organismos da União, na qualidade de autoridades contratantes ou que concedem a subvenção, não devem utilizar esses requisitos nacionais para impor obrigações adicionais a outros Estados-Membros ou excluir proponentes, candidatos, contratantes, beneficiários ou subcontratantes de Estados-Membros que não tenham tais requisitos de CSE ou de Credenciação de Segurança do Pessoal para acesso a informações com classificação RESTREINT UE/EU RESTRICTED de contratos, convenções de subvenção ou subcontratos relacionados, ou um concurso para tal.
            
            
               Visitas associadas a contratos classificados e a convenções de subvenção classificadas
            
            
               19.Quando as instituições e organismos da União, os contratantes, os beneficiários ou os subcontratantes precisem de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET nas instalações uns dos outros para a execução de um contrato classificado ou de uma convenção de subvenção classificada, devem ser organizadas visitas em ligação com as Autoridades Nacionais de Segurança, as Autoridades de Segurança Designadas ou com outras autoridades de segurança competentes a que o assunto diga respeito.
            
            
               20.As visitas a que se refere o ponto 19 estão sujeitas aos seguintes requisitos:
            
            
               a)A visita deve ter uma finalidade oficial relacionada com o contrato classificado ou a convenção de subvenção classificada;
            
            
               b)Para poderem aceder às ICUE utilizadas ou produzidas na execução de um contrato classificado ou de uma convenção de subvenção classificada, os visitantes devem possuir uma Credenciação de segurança do pessoal ao nível exigido e ter «necessidade de tomar conhecimento» dessas informações;
            
            
               c)Pelo menos 15 dias antes da data da visita, deve ser enviado um pedido formal de visita à Autoridade Nacional de Segurança competente ou à Autoridade de Segurança Designada para as instalações, ou à Autoridade de Segurança da instituição ou organismo da União em causa.
            
            
               21.No contexto de projetos específicos, a Autoridade Nacional de Segurança competente ou a Autoridade de Segurança Designada e a Autoridade de Segurança da instituição ou organismo da União em causa podem aprovar um procedimento segundo o qual as visitas relacionadas com contratos classificados ou convenções de subvenção classificadas específicos podem ser organizadas diretamente entre o responsável de segurança do visitante e o responsável de segurança das instalações visitadas. Um procedimento excecional desta natureza deve ser estabelecido nas Instruções de Segurança do Programa ou Projeto ou noutras disposições específicas.
            
            
               22.As visitas que envolvam acesso a informações com classificação RESTREINT UE/EU RESTRICTED devem ser organizadas diretamente entre a entidade expedidora e a entidade recetora.
            
            
               Transmissão por via eletrónica de ICUE no âmbito de contratos classificados e convenções de subvenção classificadas
            
            
               23.O tratamento e a transmissão de ICUE por meios eletrónicos devem ser realizados em conformidade com o Capítulo 5, Secção 5.
            
            
               Os SCI que sejam propriedade de um contratante, beneficiário ou subcontratante e sejam utilizados para tratar e armazenar ICUE para a execução do contrato ou convenção de subvenção devem ser objeto de acreditação por parte da Autoridade de Acreditação de Segurança (AAS) do país ou da organização internacional sob cuja autoridade o contratante, o beneficiário ou o subcontratante funciona.
            
            
               Qualquer transmissão de ICUE por via eletrónica no contexto de contratos classificados e de convenções de subvenção classificadas deve ser protegida por produtos criptográficos aprovados nos termos do artigo 42.º.
            
         
         
            
               24.A acreditação de segurança de SCI de contratantes ou beneficiários que tratem ICUE com o nível de classificação RESTREINT UE/EU RESTRICTED e qualquer interligação conexa pode ser delegada no responsável de segurança de um contratante ou beneficiário, se tal for permitido pelas disposições legislativas e regulamentares nacionais.
            
            
               Nos casos em que a tarefa de acreditação de segurança é delegada, o contratante ou beneficiário deve ser responsável pela implementação dos requisitos de segurança descritos nas Cláusulas Adicionais de Segurança durante o tratamento de informações com classificação RESTREINT UE/EU RESTRICTED no seu SCI. As Autoridades Nacionais de Segurança competentes ou as Autoridades Nacionais de Segurança e as AAS continuam a ter a responsabilidade pela proteção das informações com classificação RESTREINT UE/EU RESTRICTED manuseadas ou armazenadas pelo contratante ou beneficiário, e o direito de inspecionar as medidas de segurança tomadas pelo contratante ou beneficiário.
            
            
               Além disso, o contratante ou beneficiário deve fornecer à instituição ou organismo da União, na qualidade de contratante ou autoridade que concede a subvenção e, se as disposições legislativas e regulamentares nacionais o exigirem, à AAS nacional competente, uma declaração de conformidade certificando que o SCI do contratante ou beneficiário e as interligações conexas foram acreditados para o tratamento e armazenamento de ICUE de nível RESTREINT UE/EU RESTRICTED.
            
            
               Transporte em mão própria de ICUE no âmbito de contratos classificados e convenções de subvenção classificadas
            
            
               25.O transporte em mão própria de informações classificadas relacionadas com os contratos classificados e as convenções de subvenção classificadas deve estar sujeito a rigorosos requisitos de segurança.
            
            
               26.As informações com classificação RESTREINT UE/EU RESTRICTED podem ser transportadas em mão própria por pessoal do contratante ou do beneficiário dentro da União Europeia, desde que sejam cumpridos os seguintes requisitos:
            
            
               a)O sobrescrito ou embalagem utilizado é opaco e não contém qualquer indicação sobre a classificação do seu conteúdo;
            
            
               b)As informações classificadas não saem das mãos do portador;
            
            
               c)O sobrescrito ou embalagem não é aberto até chegar ao seu destino final.
            
            
               27.No que respeita às informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, o transporte em mão própria por pessoal do contratante ou do beneficiário num Estado-Membro é organizado com antecedência entre a entidade expedidora e a entidade recetora.
            
            
               A autoridade ou instalação expedidora informa a autoridade ou instalação recetora dos dados relativos à remessa, incluindo a referência, a classificação, a hora prevista de chegada e o nome do estafeta. É permitido o transporte em mão própria, desde que sejam cumpridos os seguintes requisitos:
            
            
               a)As informações classificadas são transportadas num duplo sobrescrito ou embalagem;
            
            
               b)O sobrescrito ou embalagem exterior está protegido e não contém qualquer indicação sobre a classificação do seu conteúdo, devendo o sobrescrito interior indicar o nível de classificação;
            
            
               c)As ICUE não saem das mãos do portador;
            
            
               d)O sobrescrito ou embalagem não é aberto até chegar ao seu destino final;
            
            
               e)O sobrescrito ou embalagem é transportado numa pasta que possa ser fechada à chave ou num contentor aprovado similar, de dimensões e peso tais que possam ser mantidos permanentemente na posse do portador;
            
            
               f)O estafeta está munido de um certificado de estafeta emitido pela respetiva Autoridade de Segurança competente que o autoriza a transportar a remessa classificada conforme identificada.
            
            
               28.No que respeita ao transporte em mão própria pelo pessoal do contratante ou do beneficiário de informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET de um Estado-Membro para outro, aplicam-se, para além dos requisitos estabelecidos no ponto 27, as seguintes regras adicionais:
            
            
               a)O estafeta é responsável por guardar em segurança o material classificado transportado até à sua entrega ao destinatário;
            
            
               b)Em caso de violação da segurança, a Autoridade Nacional de Segurança ou a Autoridade de Segurança Designada do expedidor pode solicitar que as autoridades do país em que se verificou a violação de segurança procedam a uma investigação, comuniquem as suas constatações e tomem medidas legais ou outras, conforme adequado;
            
         
         
            
               c)O estafeta deve ter sido informado de todas as obrigações de segurança a observar durante o transporte e deve ter assinado uma declaração adequada;
            
            
               d)As instruções destinadas ao estafeta devem estar apensas ao certificado de estafeta;
            
            
               e)Deve ser fornecida ao estafeta uma descrição da remessa e um itinerário;
            
            
               f)O certificado de estafeta e os documentos associados devem ser devolvidos à Autoridade de Segurança Nacional ou à Autoridade de Segurança Designada emissora no termo da ou das deslocações ou mantidos à disposição pelo destinatário do certificado de estafeta para fins de controlo;
            
            
               g)Caso as autoridades aduaneiras ou de imigração ou a polícia de fronteiras solicitem o exame e a inspeção da remessa, estas estão autorizadas a abrir e a examinar partes suficientes da remessa que lhes permitam determinar que esta não contém material distinto do declarado;
            
            
               h)As autoridades aduaneiras são instadas a respeitar a autoridade oficial dos documentos de expedição e dos documentos de autorização transportados pelo estafeta.
            
            
               Se uma remessa for aberta pelas autoridades aduaneiras, tal deve ser feito fora da vista de pessoas não autorizadas e, sempre que possível, na presença do estafeta. O estafeta deve solicitar que a remessa seja reembalada e que as autoridades que efetuam a inspeção voltem a selar a remessa e confirmem, por escrito, que a remessa foi aberta por elas.
            
            
               29.O transporte em mão própria, por pessoal do contratante ou do beneficiário, de informações com classificação SECRET UE/EU SECRET para um país terceiro ou uma organização internacional está sujeito às disposições do acordo de segurança das informações celebrado entre a União Europeia e esse país terceiro ou organização internacional.
            
            
               Transporte de ICUE por serviços comerciais de correio rápido e como mercadorias no âmbito de contratos classificados e convenções de subvenção classificadas
            
            
               30.O transporte de ICUE por serviços comerciais de correio rápido deve ser efetuado em conformidade com as disposições relevantes constantes do anexo IV.
            
            
               31.No que respeita ao transporte de material classificado como mercadoria, devem ser aplicados os seguintes princípios aquando da determinação dos mecanismos de segurança:
            
            
               a)Deve ser garantida a segurança em todas as fases do transporte, desde o ponto de origem até ao destino final;
            
            
               b)O grau de proteção atribuído a uma remessa deve ser determinado pelo nível de classificação mais elevado do material nela contido;
            
            
               c)Deve ser obtida uma CSE de nível adequado para as empresas que efetuam o transporte. Nesses casos, o pessoal responsável pelo manuseamento da remessa deve dispor de uma credenciação de segurança;
            
            
               d)Antes de qualquer transporte transnacional de material com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET, o expedidor deve elaborar um plano de transporte, que deverá ser aprovado pela Autoridade Nacional de Segurança, pela Autoridade de Segurança Designada ou por qualquer outra autoridade de segurança competente em questão;
            
            
               e)Na medida do possível, os transportes devem ser diretos e efetuados tão rapidamente quanto as circunstâncias o permitam;
            
            
               f)Sempre que possível, os itinerários apenas devem atravessar o território de Estados-Membros. Só devem atravessar países terceiros quando tal for autorizado pela Autoridade Nacional de Segurança, pela Autoridade de Segurança Designada ou por qualquer outra autoridade de segurança competente dos Estados do expedidor e do destinatário.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISSÃO EUROPEIA
            Bruxelas, 22.3.2022
            COM(2022) 119 final
            
            Proposal for a
            ANEXO
            da
            REGULAMENTO DO PARLAMENTO EUROPEU E DO CONSELHO
            relativo à segurança da informação nas instituições, órgãos e organismos da União
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO VI
            
            
               Equivalência das classificações de segurança
            
            
               Classificações de segurança equivalentes dos Estados-Membros e da EURATOM
            
            
                     
                        UE
                     
                  
                  
                     
                        TRES SECRET UE/EU TOP SECRET
                     
                  
                  
                     
                        SECRET UE/EU SECRET
                     
                  
                  
                     
                        CONFIDENTIEL UE/EU CONFIDENTIAL
                     
                  
                  
                     
                        RESTREINT UE/EU RESTRICTED
                     
                  
               
                     
                        EURATOM
                     
                  
                  
                     
                        EURA TOP SECRET
                     
                  
                  
                     
                        EURA SECRET
                     
                  
                  
                     
                        EURA CONFIDENTIAL
                     
                  
                  
                     
                        EURA RESTRICTED
                     
                  
               
                     
                        Bélgica
                     
                  
                  
                     
                        Très Secret (Loi 11.12.1998)
                     
                     
                        Zeer Geheim (Wet 11.12.1998)
                     
                  
                  
                     
                        Secret (Loi 11.12.1998)
                     
                     
                        Geheim (Wet 1.12.1998)
                     
                  
                  
                     
                        Confidentiel (Loi 11.12.1998)
                     
                     
                        Vertrouwelijk (Wet 11.12.1998)
                     
                  
                  
                     
                        ver nota
                           1
                         infra
                     
                  
               
                     
                        Bulgária
                     
                  
                  
                     
                        Cтpoгo ceкретно
                     
                  
                  
                     
                        Ceкретно
                     
                  
                  
                     
                        Поверително
                     
                  
                  
                     
                        За служебно ползване
                     
                  
               
                     
                        República Checa
                     
                  
                  
                     
                        Přísně tajné
                     
                  
                  
                     
                        Tajné
                     
                  
                  
                     
                        Důvěrné
                     
                  
                  
                     
                        Vyhrazené
                     
                  
               
                     
                        Dinamarca
                     
                  
                  
                     
                        YDERST HEMMELIGT
                     
                  
                  
                     
                        HEMMELIGT
                     
                  
                  
                     
                        FORTROLIGT
                     
                  
                  
                     
                        TIL TJENESTEBRUG
                     
                  
               
                     
                        Alemanha
                     
                  
                  
                     
                        STRENG GEHEIM
                     
                  
                  
                     
                        GEHEIM
                     
                  
                  
                     
                        VS
                           2
                         — VERTRAULICH
                     
                  
                  
                     
                        VS — NUR FÜR DEN DIENSTGEBRAUCH
                     
                  
               
                     
                        Estónia
                     
                  
                  
                     
                        Täiesti salajane
                     
                  
                  
                     
                        Salajane
                     
                  
                  
                     
                        Konfidentsiaalne
                     
                  
                  
                     
                        Piiratud
                     
                  
               
                     
                        Irlanda
                     
                  
                  
                     
                        Top Secret
                     
                  
                  
                     
                        Secret
                     
                  
                  
                     
                        Confidential
                     
                  
                  
                     
                        Restricted
                     
                  
               
                     
                        Grécia
                     
                  
                  
                     
                        Άκρως Απόρρητο
                     
                     
                        Abr: ΑΑΠ
                     
                  
                  
                     
                        Απόρρητο
                     
                     
                        Abr: (ΑΠ)
                     
                  
                  
                     
                        Εμπιστευτικό
                     
                     
                        Abr: (ΕΜ)
                     
                  
                  
                     
                        Περιορισμένης Χρήσης
                     
                     
                        Abr: (ΠΧ)
                     
                  
               
                     
                        Espanha
                     
                  
                  
                     
                        SECRETO
                     
                  
                  
                     
                        RESERVADO
                     
                  
                  
                     
                        CONFIDENCIAL
                     
                  
                  
                     
                        DIFUSIÓN LIMITADA
                     
                  
               
                     
                        França
                     
                  
                  
                     
                        TRÈS SECRET
                     
                     
                        TRÈS SECRET DÉFENSE
                           3
                        
                     
                  
                  
                     
                        SECRET
                     
                     
                        SECRET DÉFENSE(3)
                     
                  
                  
                     
                        CONFIDENTIEL DÉFENSE (3) 
                           4
                        
                     
                  
                  
                     
                        ver nota
                           5
                         infra
                     
                  
               
                     
                        Croácia
                     
                  
                  
                     
                        VRLO TAJNO
                     
                  
                  
                     
                        TAJNO
                     
                  
                  
                     
                        POVJERLJIVO
                     
                  
                  
                     
                        OGRANIČENO
                     
                  
               
                     
                        Itália
                     
                  
                  
                     
                        Segretissimo
                     
                  
                  
                     
                        Segreto
                     
                  
                  
                     
                        Riservatissimo
                     
                  
                  
                     
                        Riservato
                     
                  
               
                     
                        Chipre
                     
                  
                  
                     
                        Άκρως Απόρρητο
                     
                     
                        Abr: (ΑΑΠ)
                     
                  
                  
                     
                        Απόρρητο
                     
                     
                        Abr: (ΑΠ)
                     
                  
                  
                     
                        Εμπιστευτικό
                     
                     
                        Abr: (ΕΜ)
                     
                  
                  
                     
                        Περιορισμένης Χρήσης
                     
                     
                        Abr: (ΠΧ)
                     
                  
               
                     
                        Letónia
                     
                  
                  
                     
                        Sevišķi slepeni
                     
                  
                  
                     
                        Slepeni
                     
                  
                  
                     
                        Konfidenciāli
                     
                  
                  
                     
                        Dienesta vajadzībām
                     
                  
               
                     
                        Lituânia
                     
                  
                  
                     
                        Visiškai slaptai
                     
                  
                  
                     
                        Slaptai
                     
                  
                  
                     
                        Konfidencialiai
                     
                  
                  
                     
                        Riboto naudojimo
                     
                  
               
                     
                        Luxemburgo
                     
                  
                  
                     
                        Très Secret Lux
                     
                  
                  
                     
                        Secret Lux
                     
                  
                  
                     
                        Confidentiel Lux
                     
                  
                  
                     
                        Restreint Lux
                     
                  
               
                     
                        Hungria
                     
                  
                  
                     
                        «Szigorúan titkos!»
                     
                  
                  
                     
                        «Titkos!»
                     
                  
                  
                     
                        «Bizalmas!»
                     
                  
                  
                     
                        «Korlátozott terjesztésű!»
                     
                  
               
                     
                        Malta
                     
                  
                  
                     
                        L-Ogħla Segretezza
                     
                     
                        Top Secret
                     
                  
                  
                     
                        Sigriet
                     
                     
                        Secret
                     
                  
                  
                     
                        Kunfidenzjali
                     
                     
                        Confidential
                     
                  
                  
                     
                        Ristrett
                     
                     
                        Restricted
                           6
                        
                     
                  
               
                     
                        Países Baixos
                     
                  
                  
                     
                        Stg. ZEER GEHEIM
                     
                  
                  
                     
                        Stg. GEHEIM
                     
                  
                  
                     
                        Stg. CONFIDENTIEEL
                     
                  
                  
                     
                        Dep. VERTROUWELIJK
                     
                  
               
                     
                        Áustria
                     
                  
                  
                     
                        Streng Geheim
                     
                  
                  
                     
                        Geheim
                     
                  
                  
                     
                        Vertraulich
                     
                  
                  
                     
                        Eingeschränkt
                     
                  
               
                     
                        Polónia
                     
                  
                  
                     
                        Ściśle Tajne
                     
                  
                  
                     
                        Tajne
                     
                  
                  
                     
                        Poufne
                     
                  
                  
                     
                        Zastrzeżone
                     
                  
               
                     
                        Portugal
                     
                  
                  
                     
                        Muito Secreto
                     
                  
                  
                     
                        Secreto
                     
                  
                  
                     
                        Confidencial
                     
                  
                  
                     
                        Reservado
                     
                  
               
                     
                        Roménia
                     
                  
                  
                     
                        Strict secret de importanță deosebită
                     
                  
                  
                     
                        Strict secret
                     
                  
                  
                     
                        Secret
                     
                  
                  
                     
                        Secret de serviciu
                     
                  
               
                     
                        Eslovénia
                     
                  
                  
                     
                        STROGO TAJNOt
                     
                  
                  
                     
                        TAJNO
                     
                  
                  
                     
                        ZAUPNO
                     
                  
                  
                     
                        INTERNO
                     
                  
               
                     
                        Eslováquia
                     
                  
                  
                     
                        Prísne tajné
                     
                  
                  
                     
                        Tajné
                     
                  
                  
                     
                        Dôverné
                     
                  
                  
                     
                        Vyhradené
                     
                  
               
                     
                        Finlândia
                     
                  
                  
                     
                        ERITTÄIN SALAINEN
                     
                     
                        YTTERST HEMLIG
                     
                  
                  
                     
                        SALAINEN
                     
                     
                        HEMLIG
                     
                  
                  
                     
                        LUOTTAMUKSELLINEN
                     
                     
                        KONFIDENTIELL
                     
                  
                  
                     
                        KÄYTTÖ RAJOITETTU
                     
                     
                        BEGRÄNSAD TILLGÅNG
                     
                  
               
                     
                        Suécia 
                     
                  
                  
                     
                        Kvalificerat hemlig
                     
                  
                  
                     
                        HEMLIG
                     
                  
                  
                     
                        Konfidentiell
                     
                  
                  
                     
                        Begränsat hemlig
                     
                  
               
         
         
            
                  
                     (1)
                  
                        «Diffusion Restreinte/Beperkte Verspreiding» não é uma classificação de segurança na Bélgica. A Bélgica manuseia e protege as informações «RESTREINT UE/EU RESTRICTED» tal como estabelecido no Acordo entre os Estados-Membros, reunidos em Conselho, sobre a proteção das informações classificadas trocadas no interesse da UE (2011/C 202/05).
               
               
                  
                     (2)
                  
                        Alemanha: VS = Verschlusssache.
               
               
                  
                     (3)
                  
                        As informações geradas pela França antes de 1 de julho de 2021 com a classificação «TRÈS SECRET DÉFENSE», «SECRET DÉFENSE» ou «CONFIDENTIEL DÉFENSE» continuam a ser tratadas e protegidas, respetivamente, conforme os níveis equivalentes «TRÈS SECRET UE/EU TOP SECRET», «SECRET UE/EU SECRET» ou «CONFIDENTIEL UE/EU CONFIDENTIAL».
               
               
                  
                     (4)
                  
                        A França manuseia e protege as informações classificadas «CONFIDENTIEL UE/EU CONFIDENTIAL» de acordo com as medidas de segurança francesas para a proteção de informações classificadas ao nível «SECRET». 
               
               
                  
                     (5)
                  
                        A França não utiliza a classificação «RESTREINT» no seu sistema nacional. A França manuseia e protege as informações «RESTREINT UE/EU RESTRICTED» tal como estabelecido no Acordo entre os Estados-Membros, reunidos em Conselho, sobre a proteção das informações classificadas trocadas no interesse da UE (2011/C 202/05).
               
               
                  
                     (6)
                  
                        As marcas de classificação em Malta podem ser usadas em maltês e inglês indistintamente.