CELEX: 52022PC0119
Language: es
Date: 2022-03-22
Title: Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión

COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            2022/0084(COD)
            
            Propuesta de
            REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               CONTEXTO DE LA PROPUESTA
            
            
               1.CONTEXTO DE LA PROPUESTA
            
            
               •Razones y objetivos de la propuesta
            
            
               La presente propuesta forma parte de la Estrategia de la UE para una Unión de la Seguridad
                  1
                adoptada por la Comisión el 24 de julio de 2020 y en la que se establece su compromiso de aportar el valor añadido de la Unión Europea a los esfuerzos nacionales en el ámbito de la seguridad. Parte de este compromiso es la iniciativa de racionalizar los marcos jurídicos internos para la seguridad de la información en todas las instituciones y órganos de la Unión.
            
            
               Una característica clave de la Agenda Estratégica para 2019-2024, adoptada por el Consejo Europeo en junio de 2019, es proteger a nuestras sociedades de las amenazas en constante evolución dirigidas contra la información tratada por las instituciones y órganos. En sus conclusiones
                  2
               , el Consejo Europeo pidió, en particular, que «las instituciones de la UE, junto con los Estados miembros, elaboren medidas destinadas a reforzar la resiliencia, a mejorar la cultura de seguridad de la UE frente a las amenazas híbridas y las ciberamenazas procedentes de fuera de la UE y a proteger mejor de todo tipo de actividades malintencionadas las redes de información y comunicación de la UE y los procesos decisorios de esta».
            
            
               En la misma línea, el Consejo de Asuntos Generales de diciembre de 2019
                  3
                concluyó que las instituciones y órganos de la UE, con el apoyo de los Estados miembros, debían desarrollar y aplicar un conjunto completo de medidas para garantizar su seguridad. Esto se hace eco de una reiterada petición del Comité de Seguridad del Consejo de estudiar las posibilidad de establecer un núcleo común de normas de seguridad para el Consejo, la Comisión y el Servicio Europeo de Acción Exterior
                  4
               .
            
            
               En la actualidad, las instituciones y órganos de la Unión tienen sus propias normas sobre seguridad de la información, basadas en su reglamento interno o acto constitutivo, o no disponen de ninguna norma de esta índole. Este es principalmente el caso de determinadas pequeñas entidades, que carecen de políticas formales de seguridad de la información. 
            
            
               Debido a la creciente cantidad de información sensible no clasificada y de información clasificada de la Unión Europea (ICUE) que las instituciones y órganos de la Unión deben compartir entre sí, y teniendo en cuenta la drástica evolución del panorama de amenazas, la Administración europea está expuesta a ataques en todos sus ámbitos de actividad. La información que tratan nuestras instituciones y órganos es muy atractiva para quienes nos amenazan y debe protegerse adecuadamente. Esto requiere la rápida adopción de medidas para mejorar su protección.
            
            
               Por consiguiente, y con el fin de aumentar la protección de la información tratada por la Administración europea, esta iniciativa tiene por objeto racionalizar los diferentes marcos jurídicos de las instituciones y órganos de la Unión en este ámbito mediante:
            
            
               •El establecimiento de categorías armonizadas y exhaustivas de información, así como de normas comunes de tratamiento para todas las instituciones y órganos de la Unión. 
            
            
               •El establecimiento de un sistema de cooperación sencillo en materia de seguridad de la información entre las instituciones y órganos de la Unión capaz de fomentar una cultura coherente de la seguridad de la información en toda la Administración europea.
            
            
               •La modernización de las políticas de seguridad de la información en todos los grados de clasificación y categorización para todas las instituciones y órganos de la Unión, teniendo en cuenta la transformación digital y el desarrollo del teletrabajo como práctica estructural.
            
            
               •Coherencia con las disposiciones existentes en la misma política sectorial
            
            
               Esta iniciativa se ajusta a una amplia gama de políticas de la UE en los ámbitos de la seguridad y la seguridad de la información.
            
            
               En 2016, el Parlamento Europeo y el Consejo adoptaron una Directiva
                  5
                relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión. Esta Directiva fue la primera medida legislativa a escala de la UE destinada a aumentar la cooperación entre los Estados miembros en materia de ciberseguridad. Si bien la Comisión adoptó en diciembre de 2020 una propuesta de revisión de este instrumento, que introduce medidas de supervisión para las autoridades nacionales, la Administración de la Unión sigue estando fuera de su ámbito de aplicación. 
            
            
               En la misma línea y para complementar los esfuerzos de los Estados miembros en el ámbito de la seguridad, es de vital importancia que las instituciones y órganos de la Unión alcancen un alto nivel de protección de su información y de sus sistemas de información y comunicación conexos, con vistas a salvaguardar la seguridad de la información.
            
            
               En julio de 2020, la Comisión adoptó la Estrategia para una Unión de la Seguridad
                  6
               , con el compromiso de la UE de complementar los esfuerzos de los Estados miembros en todos los ámbitos de la seguridad. Esta Estrategia se desarrolla entre 2020 y 2025 y esboza cuatro pilares principales de actuación: un entorno de seguridad que resista el paso del tiempo; hacer frente a unas amenazas en constante evolución; proteger a los ciudadanos europeos frente al terrorismo y la delincuencia organizada; e instaurar un sólido ecosistema europeo de seguridad. Varios de los temas abordados en el marco de estos pilares se centran en la seguridad de la información, la ciberseguridad, la cooperación y el intercambio de información, y las infraestructuras críticas.
            
            
               En consonancia con la Estrategia para una Unión de la Seguridad, la Comisión Europea propone la creación de un conjunto mínimo de normas sobre seguridad de la información y ciberseguridad en todas las instituciones y órganos de la Unión, lo que dará lugar a normas comunes obligatorias y estrictas para el intercambio seguro de información. Esta iniciativa representa el compromiso de las instituciones y órganos de establecer en la Administración europea el mismo nivel de ambición en el ámbito de la seguridad que se exige a los Estados miembros.
            
            
               El 16 de diciembre de 2020, la Comisión y el Alto Representante para Asuntos Exteriores y Política de Seguridad presentaron una nueva Estrategia de Ciberseguridad de la UE
                  7
                que establece prioridades y acciones clave para reforzar la resiliencia, la autonomía, el liderazgo y la capacidad operativa de Europa frente a amenazas crecientes y complejas para sus redes y sistemas de información, y para promover un ciberespacio global y abierto y sus asociaciones internacionales. Es igualmente importante que las instituciones y órganos de la Unión contribuyan a la consecución de estas prioridades estableciendo requisitos equivalentes tanto en el ámbito de la seguridad de la información como en el de la ciberseguridad. 
            
         
         
            
               La presente propuesta, junto con la propuesta de Reglamento por el que se establecen medidas destinadas a garantizar un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión, tiene por objeto completar la visión normativa de la Estrategia para una Unión de la Seguridad con requisitos específicos para la Administración europea. Habida cuenta de las interrelaciones entre seguridad de la información y ciberseguridad, ambas propuestas deben garantizar un enfoque coherente de la protección de la información no clasificada.
            
            
               •Coherencia con otras políticas de la Unión
            
            
               Esta iniciativa también tiene en cuenta otras políticas de la Unión que son pertinentes para la seguridad de la información. 
            
            
               En el ámbito de la protección de datos aplicable a la Administración de la Unión Europea y de la Comunidad Europea de la Energía Atómica (Euratom), existe el Reglamento (UE) 2018/1725
                  8
               , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos. En la misma línea, debemos mencionar que, en el caso de determinadas instituciones y órganos de la Unión, los legisladores de la UE han adoptado normas específicas pertinentes para la protección de los datos personales.
            
            
               En el ámbito de la transparencia, la presente propuesta se basa en los principios consagrados en el Reglamento (CE) n.º 1049/2001
                  9
                relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión, con respecto a otras normas pertinentes.
            
            
               2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD
            
            
               •Base jurídica
            
            
               Teniendo en cuenta el objetivo y el contenido de la presente propuesta, su base jurídica más adecuada es el artículo 298 del Tratado de Funcionamiento de la Unión Europea (TFUE) y el artículo 106 bis del Tratado constitutivo de la Comunidad Europea de la Energía Atómica. 
            
            
               El artículo 298 del TFUE fue introducido por el Tratado de Lisboa y permite a los legisladores establecer disposiciones con vistas a crear una Administración eficaz e independiente que apoye a las instituciones, órganos y organismos en el cumplimiento de su misión. 
            
            
               Una Administración eficiente e independiente depende de la seguridad de su información. Con el fin de cumplir su misión, las instituciones y órganos de la Unión dispondrán de un entorno seguro para la información que traten y almacenen diariamente. Además, facilitar una base de referencia común de normas obligatorias para todos garantizaría un alto nivel de seguridad, reduciría el riesgo de vínculos débiles a la hora de apoyar la interoperabilidad entre instituciones y órganos e impulsaría sinergias, mejorando así la resiliencia de la Administración frente a amenazas cambiantes. 
            
            
               Además, con el objetivo general de lograr un alto nivel común de seguridad para la ICUE y la información no clasificada tratada y almacenada por las instituciones y órganos de la Unión, la presente propuesta permite a la Administración europea proteger mejor de las interferencias externas y las actividades de espionaje. 
            
            
               El artículo 298 del TFUE permite a la Unión establecer normas comunes para el conjunto de la Administración europea a fin de garantizar que todas las instituciones y órganos de la Unión traten de manera similar la ICUE y la información no clasificada. Como tal, el presente Reglamento establece normas aplicables a la Administración y solo puede imponer obligaciones indirectas a las personas que desempeñen funciones en nombre de dicha Administración o sobre una base contractual (excluidos los comisarios, los representantes de los Estados miembros en el seno del Consejo, los miembros del Parlamento Europeo, los jueces de los tribunales de la Unión o los miembros del Tribunal de Cuentas Europeo).
            
            
               De conformidad con el artículo 298 del TFUE, el Parlamento Europeo y el Consejo se pronunciarán mediante un reglamento y con arreglo al procedimiento legislativo ordinario. 
            
            
               La presente propuesta necesita una base jurídica adicional, ya que también contempla la información relativa a algunas actividades de la Comunidad Europea de la Energía Atómica. Dicha información no es información clasificada de Euratom, sino que es tratada por las instituciones y órganos de la Unión con arreglo al régimen general de la ICUE. 
            
            
               Esta base jurídica adicional es el artículo 106 bis del Tratado constitutivo de la Comunidad Europea de la Energía Atómica, que hace también aplicable el artículo 298 del TFUE a las actividades de Euratom antes mencionadas. 
            
            
               •Subsidiariedad (en el caso de competencia no exclusiva)
            
            
               Con arreglo al principio de subsidiariedad contemplado en el artículo 5, apartado 3, del Tratado de la Unión Europea, la UE solo debe intervenir en caso de que los objetivos perseguidos no puedan ser alcanzados de manera suficiente por los Estados miembros por sí solos, sino que puedan alcanzarse mejor, debido a la dimensión o a los efectos de la acción pretendida, a escala de la UE. 
            
            
               Dado que solo la Unión puede adoptar normas que regulen la ICUE y la información sensible no clasificada tratada y almacenada por las instituciones y órganos de la Unión, no se aplica el principio de subsidiariedad.
            
            
               •Proporcionalidad
            
            
               El establecimiento de una base común de seguridad de la información para todas las instituciones y órganos de la Unión es necesario para contribuir a una Administración independiente y eficiente.
            
         
         
            
               De conformidad con el principio de proporcionalidad establecido en el artículo 5, apartado 4, del TUE, las disposiciones del Reglamento no son excesivamente prescriptivas y dejan margen para diferentes niveles de acción específica, en consonancia con el nivel de madurez de la seguridad de cada institución y órgano de la Unión.
            
            
               Por otro lado, la solución tiene un impacto limitado en los derechos fundamentales de las personas. Por lo tanto, la propuesta no va más allá de lo necesario para abordar el problema de no disponer de un conjunto común de normas de seguridad de la información para todas las instituciones y órganos de la Unión.
            
            
               •Elección del instrumento
            
            
               Un reglamento basado en el artículo 298 del TFUE se considera el instrumento jurídico adecuado.
            
            
               Está justificado por el predominio de elementos que requieren una aplicación uniforme, lo que no deja márgenes de ejecución a las instituciones y órganos de la Unión y que crea un marco horizontal mínimo.
            
            
               3.RESULTADOS DE LAS EVALUACIONES A POSTERIORI, DE LAS CONSULTAS CON LAS PARTES INTERESADAS Y DE LAS EVALUACIONES DE IMPACTO
            
            
               •Evaluaciones a posteriori y controles de la adecuación de la legislación existente
            
            
               No procede.
            
            
               •Consultas con las partes interesadas
            
            
               La Comisión ha llevado a cabo una amplia consulta de las principales partes interesadas sobre diversos aspectos relacionados con las normas sobre seguridad de la información de las instituciones y órganos de la Unión. El objetivo general de la consulta era recabar información pertinente para la preparación de una iniciativa legislativa sobre normas de seguridad de la información comunes a todas las instituciones y órganos. Las consultas trataron de recabar información sobre:
            
            
               •Los problemas relacionados con el marco existente de seguridad de la información en las instituciones y órganos de la Unión que las partes interesadas consideran que deben abordarse en la iniciativa.
            
            
               •La pertinencia, eficacia, eficiencia y valor añadido de la iniciativa.
            
            
               •Las repercusiones previstas de la iniciativa y otras posibles consecuencias para las partes interesadas.
            
            
               Para preparar la propuesta legislativa, la Comisión ha consultado a las siguientes categorías de partes interesadas:
            
            
               1.Instituciones, órganos y organismos de la Unión. 
            
            
               2.Autoridades nacionales de seguridad de los Estados miembros.
            
            
               3.Expertos en investigación del CCI.
            
            
               Habida cuenta de las características particulares de esta iniciativa, que es aplicable exclusivamente a las instituciones y órganos de la Unión, con escaso impacto en los ciudadanos y las empresas europeos, los servicios de la Comisión optaron por dar prioridad a la recogida de puntos de vista de los grupos de partes interesadas pertinentes. Por tanto, no se realizó ninguna consulta pública específica para esta iniciativa legislativa.
            
            
               Durante el proceso de consulta, los servicios de la Comisión utilizaron los siguientes métodos y formas de consulta:
            
            
               1.La posibilidad de que todas las partes interesadas formulasen observaciones sobre la evaluación de impacto inicial a través de la plataforma «Díganos lo que piensa» de la Comisión.
            
         
         
            
               2.Un cuestionario específico dirigido a los expertos en seguridad de la información de las instituciones y órganos de la Unión a través de una encuesta en línea.
            
            
               3.Un cuestionario específico dirigido a las autoridades nacionales de seguridad de los Estados miembros a través de una encuesta en línea.
            
            
               4.Una solicitud de evaluación de riesgos adaptada de los activos básicos de seguridad de la información.
            
            
               5.Numerosas reuniones y conversaciones con homólogos de instituciones, órganos y organismos, así como con las autoridades nacionales de seguridad de los Estados miembros.
            
            
               Como principales aportaciones de las consultas, la Comisión destaca:
            
            
               •La fragmentación de los marcos jurídicos pertinentes entre nuestras instituciones y órganos genera una importante duplicación de esfuerzos para crear y mantener normas internas, así como prácticas no interoperables de tratamiento de la información. Para los Estados miembros, la diversidad de estas normas aumenta el riesgo de malentendidos, interpretaciones erróneas e incumplimientos.
            
            
               •Si bien el establecimiento de una base de referencia de la seguridad de la información para todas las instituciones y órganos de la Unión crearía un «ecosistema» con normas de seguridad normalizadas y la aplicación de mejores prácticas, deben tenerse en cuenta la diversidad y el diferente entorno administrativo de cada institución y órgano de la Unión, y permitirse soluciones locales.
            
            
               •Esta iniciativa debe respetar la autonomía y los diferentes niveles de madurez en materia de seguridad de cada institución y órgano de la Unión, que seguirán siendo plenamente responsables de su organización de la seguridad de la información.
            
            
               •Obtención y uso de asesoramiento especializado
            
            
               La Comisión utilizó sus propios recursos para consultar a las partes interesadas. La Dirección de Seguridad de la DG HR realizó el trabajo correspondiente sobre las encuestas, las videoconferencias y otros talleres. Esta tarea supuso tanto la selección de los participantes como la organización de actos y el tratamiento de las aportaciones recibidas.
            
            
               El Centro Común de Investigación (CCI) realizó una evaluación de riesgos de los principales activos de seguridad de la información, que sirvió de base para la evaluación de impacto.
            
            
               •Evaluación de impacto
            
            
               Esta iniciativa se dirige exclusivamente a las instituciones y órganos de la Unión y tiene un impacto limitado para los Estados miembros y los particulares. Por lo tanto, no era necesario realizar una evaluación de impacto exhaustiva, al no haber repercusiones claramente identificables o significativas para los ciudadanos y las empresas. En el sitio web Europa se publicó un plan de trabajo exhaustivo que recabó información de las partes interesadas pertinentes.
            
            
               •Adecuación regulatoria y simplificación
            
            
               No procede.
            
            
               •Derechos fundamentales
            
            
               La UE tiene el compromiso de garantizar un alto nivel de protección de los derechos fundamentales. Esta iniciativa garantiza el pleno respeto de los derechos fundamentales consagrados en la Carta de los Derechos Fundamentales de la Unión Europea
                  10
               , a saber:
            
            
               •Derecho a una buena administración
                  11
               
            
            
               Al mejorar la seguridad de la información que gestionan al tratar los asuntos de los ciudadanos europeos, las instituciones y órganos de la Unión contribuyen a la consecución del principio de buena administración.
            
            
               •Protección de datos de carácter personal
                  12
                
            
         
         
            
               Todo tratamiento de datos de carácter personal en el marco de la presente propuesta se llevaría a cabo en entornos de confianza y respetando plenamente el Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo.
            
            
               •Derecho de acceso a los documentos
                  13
               
            
            
               El acceso público a la ICUE y a los documentos sensibles no clasificados sigue estando plenamente regulado por el Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo.
            
            
               •Derecho a la propiedad intelectual
                  14
               
            
            
               Al tratar y almacenar información no clasificada e ICUE, las instituciones y órganos de la Unión protegen la propiedad intelectual de conformidad con la Directiva 2001/29/CE del Parlamento Europeo y del Consejo
                  15
               .
            
            
               •Libertad de expresión y de información
                  16
               
            
            
               Si bien todo el mundo tiene libertad para recibir y compartir información e ideas sin interferencia de la autoridad pública, ello no debe impedir que la Unión establezca las condiciones de acceso, tratamiento y almacenamiento de determinados tipos de información, sobre la base de su nivel de confidencialidad.
            
            
               El ejercicio de estas libertades puede estar sujeto a condiciones y restricciones establecidas por la ley y necesarias en una sociedad democrática, a fin de impedir la divulgación de información recibida de forma confidencial y en interés de la seguridad de la UE.
            
            
               4.REPERCUSIONES PRESUPUESTARIAS
            
            
               La presente propuesta exige la asignación de un funcionario AD y un asistente AST para la secretaría permanente del Grupo de Coordinación, que facilita la Comisión en el seno de la Dirección de Seguridad de la Dirección General de Recursos Humanos y Seguridad.
            
            
               Se espera que las instituciones y órganos ahorren costes en términos de tareas compartidas y colaborativas, así como que se impidan posibles daños económicos derivados de incidentes de seguridad, gracias a la mejora de la seguridad de la información. Por otra parte, los esfuerzos financieros necesarios para la aplicación de la nueva legislación pueden cubrirse como parte de los programas de mejora de la seguridad de la información existentes en cada institución y órgano de la Unión.
            
            
               5.OTROS ELEMENTOS
            
            
               •Planes de ejecución y modalidades de seguimiento, evaluación e información
            
            
               La propuesta establece la obligación de que la Comisión informe cada tres años al Parlamento Europeo y al Consejo sobre la aplicación del presente Reglamento, incluido el funcionamiento de la gobernanza establecida en el mismo.
            
            
               Además, cada cinco años la Comisión evaluará el presente Reglamento con el fin de evaluar su rendimiento real y, sobre la base de ello, si es necesaria alguna modificación de la legislación.
            
            
               •Explicación detallada de las disposiciones específicas de la propuesta
            
            
               La propuesta se estructura en torno a los requisitos para el tratamiento y almacenamiento de información no clasificada e ICUE, que son los principales objetos de la iniciativa y cuya protección reforzada representa su objetivo de fondo.
            
            
               Objeto y ámbito de aplicación (artículos 1 y 2)
            
            
               El Reglamento tiene por objeto crear un conjunto mínimo de normas de seguridad de la información aplicables a todas las instituciones y órganos de la Unión. 
            
            
               Se aplica a toda la información tratada y almacenada por las instituciones y órganos de la Unión, incluida la información relacionada con las actividades de la Comunidad Europea de la Energía Atómica, distinta de la información clasificada de Euratom. Tanto la información no clasificada como la ICUE se contemplan en el presente Reglamento.
            
         
         
            
               Definiciones y principios generales (artículos 3 a 5)
            
            
               Las definiciones que figuran en el artículo 3 se basan en las normas actuales sobre seguridad de la información adoptadas por separado por las instituciones y órganos de la Unión. 
            
            
               Además de los principios generales de la legislación de la Unión (transparencia, proporcionalidad, eficiencia y rendición de cuentas), el Reglamento establece las principales directrices vinculantes, como el proceso independiente de gestión del riesgo en materia de seguridad de la información llevado a cabo por cada institución y órgano de la Unión, y la evaluación de su información para que se clasifique adecuadamente.
            
            
               Gobernanza y organización de la seguridad (artículos 6 a 8)
            
            
               Todas las instituciones y órganos de la Unión cooperarán en un Grupo de Coordinación Interinstitucional de la Seguridad de la Información, que actuará por consenso y en interés común de las instituciones y órganos de la Unión. 
            
            
               El Grupo de Coordinación reúne a las autoridades de seguridad de todas las instituciones y órganos y elabora documentos de orientación sobre la aplicación del Reglamento. Mantiene contactos periódicos con las autoridades nacionales de seguridad de los Estados miembros, reunidos en un Comité de Seguridad de la Información.
            
            
               Se crean cinco subgrupos de expertos que representan a diferentes instituciones y órganos con el fin de racionalizar los procedimientos y otros aspectos prácticos relacionados con la seguridad de la información. 
            
            
               Cada institución y órgano de la Unión debe designar una autoridad de seguridad encargada de definir las políticas internas en materia de seguridad de la información y de aplicarlas. La autoridad de seguridad establece funciones específicas asignadas a entidades como la Autoridad de Garantía de la Información, la Autoridad Operativa de Garantía de la Información, la Autoridad de Acreditación de Seguridad, la Autoridad TEMPEST, la Autoridad de Certificación Criptográfica y la Autoridad de Distribución Criptográfica, que pueden delegarse en otra institución u órgano por razones de eficiencia o recursos.
            
            
               Garantía de la información y sistemas de comunicación e información (artículos 9 a 11)
            
            
               El Reglamento establece un subgrupo sobre garantía de la información con el objetivo de mejorar la coherencia entre las instituciones y órganos de la Unión entre las normas de seguridad de la información y el código básico de ciberseguridad, tal como se define en el Reglamento por el que se establecen medidas destinadas a garantizar un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión.
            
            
               Las instituciones y órganos de la Unión deben cumplir los principios mencionados en estos artículos y adoptar sus propias normas internas para medidas de seguridad específicas, adaptadas a su propio entorno de seguridad.
            
            
               Información no clasificada (artículos 12 a 17 y anexo I)
            
            
               El Reglamento establece tres categorías de información no clasificada: información para uso público, información normal e información sensible no clasificada. Se definen todas las categorías y se establecen marcas y condiciones de tratamiento para proteger dicha información. 
            
            
               Con el fin de coordinar el trabajo sobre la equivalencia entre categorías particulares establecidas por determinadas instituciones y órganos de la Unión y categorías comunes previstas en el Reglamento, la propuesta crea un subgrupo sobre información no clasificada.
            
            
               ICUE (artículos 18 a 58 y anexos II a VI)
            
            
               Este capítulo, el más voluminoso de la propuesta, se estructura en siete secciones: disposiciones generales, seguridad en el personal, seguridad física, gestión de la ICUE, protección de los sistemas de comunicación e información, seguridad industrial, y puesta en común de ICUE e intercambio de información clasificada. 
            
            
               La sección sobre disposiciones generales establece cuatro grados de ICUE: TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL, RESTREINT UE/EU RESTRICTED, y la obligación de las instituciones y órganos de la Unión de adoptar las medidas de seguridad necesarias de conformidad con los resultados de un proceso de gestión del riesgo para la seguridad de la información.
            
            
               Cada una de las secciones restantes se centra en las normas de protección de la ICUE en relación con su ámbito específico. Los detalles para esta protección de la ICUE se especifican en los anexos II a V. El anexo VI establece el cuadro de equivalencias de la ICUE con las clasificaciones de seguridad de los Estados miembros y de la Comunidad Europea de la Energía Atómica.
            
            
               Con el fin de racionalizar los procesos pertinentes sobre el terreno y evitar la duplicación de esfuerzos, el Reglamento crea subgrupos sobre garantía de la información, información no clasificada, seguridad física, acreditación de sistemas de comunicación e información que tratan y almacenan ICUE, y puesta en común e intercambio de información clasificada.
            
            
               Disposiciones finales (artículos 59 a 62)
            
         
         
            
               Las disposiciones finales garantizan la transición desde las normas y procedimientos actuales al nuevo marco jurídico establecido por el presente Reglamento. Se refieren a las normas internas sobre seguridad de la información actualmente aplicables en las instituciones y órganos de la Unión, al reconocimiento de las visitas de evaluación realizadas antes del inicio de la aplicación del Reglamento, al tratamiento de los acuerdos administrativos celebrados anteriormente y a la continuación de los marcos de seguridad específicos aplicables a los acuerdos de subvención.
            
            
               El presente Reglamento se aplicará transcurridos dos años desde la fecha de su entrada en vigor.
            
            
               2022/0084 (COD)
            
            
               Propuesta de
            
            
               REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            
            
               sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
            
            
               EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA,
            
            
               Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 298,
            
            
               Visto el Tratado constitutivo de la Comunidad Europea de la Energía Atómica, y en particular su artículo 106 bis,
            
            
               Vista la propuesta de la Comisión Europea,
            
            
               Previa transmisión del proyecto de acto legislativo a los Parlamentos nacionales, 
            
            
               De conformidad con el procedimiento legislativo ordinario,
            
            
               Considerando lo siguiente:
            
            
               (1)En la actualidad, las instituciones y órganos de la Unión tienen sus propias normas de seguridad de la información, basadas en su reglamento interno o en un acto constitutivo, o no disponen de ninguna norma sobre seguridad de la información. En este contexto, cada institución y órgano de la Unión invierte esfuerzos significativos en la adopción de enfoques diferentes, lo que da lugar a una situación en la que el intercambio de información no siempre es fiable. La falta de un enfoque común dificulta el despliegue de herramientas comunes basadas en un conjunto de normas acordado en función de las necesidades de seguridad de la información que debe protegerse.
            
            
               (2)Si bien se ha avanzado hacia unas normas más coherentes para la protección de la información clasificada de la Unión Europea (ICUE) y de la información no clasificada, la interoperabilidad de los sistemas pertinentes sigue siendo limitada, lo que impide una transferencia fluida de información entre las diferentes instituciones y órganos de la Unión. Por consiguiente, deben realizarse esfuerzos adicionales en aras de un enfoque interinstitucional de la puesta en común de ICUE y del intercambio de información sensible no clasificada, recurriendo a categorías de información comunes y principios clave de tratamiento comunes. También debe preverse una base de referencia para simplificar los procedimientos de puesta en común de ICUE y de intercambio de información sensible no clasificada entre las instituciones y órganos de la Unión y con los Estados miembros.
            
            
               (3)Por consiguiente, deben establecerse normas pertinentes que garanticen un nivel común de seguridad de la información en todas las instituciones y órganos de la Unión. Dichas normas deben constituir un marco general completo y coherente para la protección de la ICUE y de la información no clasificada, y garantizar la equivalencia de los principios básicos y las normas mínimas. 
            
            
               (4)La reciente pandemia ha provocado un cambio significativo en las prácticas de trabajo, pues las herramientas de comunicación a distancia se han convertido en norma. Por lo tanto, muchos procedimientos que aún se basaban parcialmente en el papel se ajustaron rápidamente para permitir el tratamiento y el intercambio de información por medios electrónicos. Esta evolución requiere cambios en el tratamiento y la protección de la información. El presente Reglamento tiene en cuenta las nuevas prácticas de trabajo. 
            
            
               (5)Al crear un nivel mínimo común de protección de la ICUE y de la información no clasificada, el presente Reglamento contribuye a garantizar que las instituciones y órganos de la Unión cuenten con el apoyo de una Administración eficiente e independiente en el desempeño de sus funciones. Al mismo tiempo, cada institución y órgano de la Unión conserva su autonomía a la hora de determinar cómo aplicar las normas establecidas en el presente Reglamento, en consonancia con sus propias necesidades de seguridad. El presente Reglamento no impedirá en ningún caso a las instituciones y órganos de la Unión cumplir su misión, tal como le encomienda la legislación de la UE, ni interfiere en su autonomía institucional.
            
            
               (6)El presente Reglamento no obsta a la aplicación del Reglamento (Euratom) n.º 3/1958
                  17
               ; del Reglamento n.º 31 (CEE), 11 (CEEA), por el que se establece el Estatuto de las funcionarios y el régimen aplicable a los otros agentes de la Comunidad Económica Europea y de la Comunidad y de la Comunidad Europa de la Energía Atómica
                  18
               ; del Reglamento (CE) 1049/2001 del Parlamento Europeo y del Consejo
                  19
               ; del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo
                  20
               ; del Reglamento (CEE, Euratom) n.º 354/83 del Consejo
                  21
               ; del Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo
                  22
               ; del Reglamento (UE) 2021/697 del Parlamento Europeo y del Consejo
                  23
               ; y del Reglamento (UE) [...] del Parlamento Europeo y del Consejo
                  24
                por el que se establecen medidas para un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión.
            
            
               (7)Con el fin de preservar la naturaleza específica de las actividades de la Comunidad Europea de la Energía Atómica reguladas por el Reglamento 3/1958 del Consejo de la Comunidad Europea de la Energía Atómica
                  25
               , el presente Reglamento no debe aplicarse a la información clasificada de Euratom. No obstante, toda la información relacionada con otras actividades de Euratom no contempladas en el Reglamento 3/1958 debe entrar en el ámbito de aplicación del presente Reglamento.
            
         
         
            
               (8)Con el fin de establecer una estructura formal de cooperación entre las instituciones y órganos de la Unión en el ámbito de la seguridad de la información, es necesario crear un Grupo de Coordinación Interinstitucional (en lo sucesivo, «Grupo de Coordinación») en el que estén representadas las autoridades de seguridad de todas las instituciones y órganos de la Unión. Sin poder decisorio, el Grupo de Coordinación debe reforzar la coherencia de las políticas en el ámbito de la seguridad de la información y contribuir a la armonización de los procedimientos y herramientas de seguridad de la información en todas las instituciones y órganos de la Unión.
            
            
               (9)El trabajo del Grupo de Coordinación necesita el apoyo de expertos en diferentes ámbitos de la seguridad de la información: categorización y marcado, sistemas de comunicación e información, acreditación, seguridad física, y puesta en común de ICUE e intercambio de información clasificada. A fin de evitar la duplicación de esfuerzos entre las instituciones y órganos de la Unión, deben crearse subgrupos temáticos. Además, cuando sea necesario, el Grupo de Coordinación debe poder crear otros subgrupos con tareas específicas.
            
            
               (10)El Grupo de Coordinación debe cooperar estrechamente con las autoridades nacionales de seguridad de los Estados miembros con vistas a mejorar la seguridad de la información en la Unión. Por consiguiente, debe crearse un Comité de Seguridad de la Información de los Estados miembros que asesore al Grupo de Coordinación.
            
            
               (11)Si bien los órganos comunes que representan a todas las instituciones y órganos de la Unión se crean sobre la base del principio de cooperación, cada institución y órgano debe seguir siendo plenamente responsable de la seguridad de la información dentro de su organización. Cada institución y órgano de la Unión debe contar con una autoridad de seguridad y, en caso necesario, otras autoridades con responsabilidades específicas relacionadas con la seguridad de la información.
            
            
               (12)El principio de gestión del riesgo de la seguridad de la información debe constituir el núcleo de la política que desarrolle cada institución y órgano de la Unión en este ámbito. Si bien deben cumplirse los requisitos mínimos establecidos en el presente Reglamento, cada institución y órgano de la Unión debe adoptar medidas de seguridad específicas para proteger la información de conformidad con los resultados de una evaluación interna de riesgos. Del mismo modo, los medios técnicos para proteger la información deben adaptarse a la situación específica de cada institución y órgano.
            
            
               (13)Dada la diversidad de categorías de información no clasificada que las instituciones y órganos de la Unión han desarrollado sobre la base de sus propias normas en materia de información de seguridad, y a fin de evitar retrasos en la aplicación del presente Reglamento, las instituciones y órganos de la Unión deben poder mantener su propio sistema de marcado a efectos internos o en el intercambio de información con homólogos concretos de otras instituciones y órganos o de los Estados miembros. 
            
            
               (14)Con el fin de adaptarse a las nuevas prácticas de teletrabajo, las redes utilizadas para conectarse a los servicios de acceso remoto de las instituciones u órganos de la Unión deben protegerse con medidas de seguridad adecuadas.
            
            
               (15)Dado que las instituciones y órganos de la Unión recurren con frecuencia a contratistas y a la externalización, es importante establecer disposiciones comunes relativas al personal de los contratistas que lleva a cabo tareas relacionadas con la seguridad de la información.
            
            
               (16)Las normas sustantivas relativas al acceso a la ICUE que figuran en las normas internas de varias instituciones y órganos de la Unión concuerdan actualmente, pero existen diferencias significativas en cuanto a las denominaciones y los procedimientos. Esto supone una carga para las autoridades nacionales de seguridad de los Estados miembros, que deben adaptarse a diferentes requisitos. Por lo tanto, es necesario establecer un glosario común y procedimientos comunes en el ámbito de la seguridad en el personal, simplificando así la cooperación con las autoridades nacionales de seguridad de los Estados miembros y limitando el riesgo de comprometer la ICUE.
            
            
               (17)Dada la disparidad de recursos entre las instituciones y órganos de la Unión y con el fin de racionalizar sus procedimientos y prácticas pertinentes, las tareas de habilitación de seguridad pueden encomendarse a la Comisión con el fin de mantener una práctica ya consolidada en el ámbito de la habilitación de seguridad y contribuir a la centralización de las tareas asignadas a cada autoridad de seguridad.
            
            
               (18)La protección de la ICUE también se garantiza a través de medidas técnicas y organizativas que se aplican a los locales, edificios, salas, oficinas o instalaciones de las instituciones y órganos de la Unión en los que se debate, trata o almacena ICUE. El presente Reglamento prevé la aplicación de un proceso de gestión de la seguridad de la información en el ámbito de la seguridad física que permita a las instituciones y órganos de la Unión seleccionar las medidas de seguridad adecuadas para sus emplazamientos.
            
            
               (19)Todas las instituciones y órganos de la Unión que traten y almacenen ICUE deben establecer zonas físicamente protegidas en sus emplazamientos, a fin de garantizar el mismo nivel de protección para los grados pertinentes de clasificación de la ICUE tratada y almacenada en ellos. Dichas zonas deben ser designadas zonas administrativas y zonas de acceso restringido y respetar las normas mínimas comunes para la protección de la ICUE.
            
            
               (20)El control por parte del expedidor es un principio importante en la gestión de la ICUE, por lo que debe estipularse y desarrollarse claramente. A este respecto, la creación de ICUE confiere al expedidor una responsabilidad que debe abarcar todo el ciclo de vida del documento pertinente que contenga ICUE.
            
            
               (21)Tradicionalmente, las instituciones y órganos de la Unión han desarrollado sus sistemas de comunicación e información de manera autónoma, sin prestar suficiente atención a su interoperabilidad en todas las instituciones y órganos de la Unión. Por consiguiente, es necesario establecer requisitos mínimos de seguridad en relación con los sistemas de información y comunicación (SIC) que tratan y almacenan tanto ICUE como información no clasificada, con el fin de garantizar un intercambio fluido de información con las partes interesadas pertinentes. 
            
            
               (22)Con el fin de lograr un único nivel de acreditación de los SIC que tratan y almacenan ICUE, las instituciones y órganos de la Unión deben colaborar en un grupo creado a tal efecto. Se recomienda que todos ellos utilicen dicha norma para contribuir a un nivel general de protección de la ICUE. No obstante, por lo que se refiere a la autonomía organizativa, la decisión corresponde a la autoridad competente de cada institución u órgano.
            
            
               (23)Todas las instituciones y organismos de la Unión deben seguir los mismos procedimientos y aplicar las mismas medidas a la hora de adjudicar y ejecutar contratos o acuerdos de subvención clasificados. Por lo tanto, es necesario establecer claramente los elementos obligatorios y facultativos de los contratos y acuerdos de subvención clasificados. No obstante, las medidas para la protección de la ICUE en relación con los contratos y acuerdos de subvención clasificados deben tener en cuenta las normas ya desarrolladas por separado en este ámbito por las instituciones y órganos de la Unión junto con los Estados miembros.
            
            
               (24)La estrecha cooperación entre las instituciones y órganos de la Unión, así como la multitud de sinergias desarrolladas entre ellos, implican la puesta en común de una gran cantidad de información. En aras de la seguridad de la información clasificada, la fiabilidad de una institución u órgano de la Unión debe evaluarse antes de que estos traten y almacenen un determinado grado de ICUE. 
            
            
               (25)Además, la puesta en común de ICUE entre las instituciones y órganos de la Unión y el intercambio de información clasificada con organizaciones internacionales y terceros países también deben regularse a través de medidas de seguridad adecuadas para la protección de dicha información. Cuando se prevean acuerdos sobre seguridad de la información, deberán aplicarse las disposiciones del artículo 218 del Tratado. 
            
            
               (26)Los acuerdos sobre seguridad de la información tienen por objeto garantizar el marco jurídico general para el intercambio de ICUE con terceros países y organizaciones internacionales. También es necesario prever la posibilidad de que las instituciones y órganos de la Unión celebren acuerdos administrativos con una contraparte específica de un tercer país o de una organización internacional con el fin de intercambiar ICUE. 
            
            
               (27)El presente Reglamento establece un marco común a todas las instituciones y órganos de la Unión. A fin de evitar imponer una carga administrativa excesiva a las instituciones y órganos de la Unión en el proceso de adaptación de sus normas de seguridad internas a las establecidas en el presente Reglamento, el presente Reglamento debe aplicarse a partir de dos años después de su entrada en vigor.
            
         
         
            
               (28)De conformidad con los apartados 22 y 23 del Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación
                  26
               , la Comisión debe evaluar el presente Reglamento a fin de evaluar sus efectos reales y la necesidad de adoptar nuevas medidas. La Comisión debe presentar al Parlamento Europeo y al Consejo un informe sobre la aplicación del presente Reglamento, a más tardar tres años después de la fecha de aplicación.
            
            
               (29)El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo
                  27
               , emitió su dictamen el...,
            
            
               HAN ADOPTADO EL PRESENTE REGLAMENTO:
            
            
               Capítulo 1 
                  Disposiciones generales
            
            
               Artículo 1
            
            
               Objeto 
            
            
               1.El presente Reglamento establece normas de seguridad de la información para todas las instituciones y órganos de la Unión.
            
            
               Artículo 2
            
            
               Ámbito de aplicación
            
            
               1.El presente Reglamento se aplicará a toda la información tratada y almacenada por las instituciones y órganos de la Unión, incluida la información relacionada con las actividades de la Comunidad Europea de la Energía Atómica, distinta de la información clasificada de Euratom.
            
            
               2.Se aplicará a los siguientes grados de confidencialidad de la información:
            
            
               a)tres grados de información no clasificada: uso público, normal y sensible no clasificada;
            
            
               b)cuatro grados de información no clasificada de la UE: RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL, SECRET UE/EU SECRET, TRES SECRET UE/EU TOP SECRET.
            
            
               3.Estos grados se basan en el perjuicio que la divulgación no autorizada puede causar a los intereses públicos y privados legítimos, incluidos los de la Unión, las instituciones y órganos de la Unión y los Estados miembros u otras partes interesadas, de modo que puedan aplicarse las medidas de protección adecuadas.
            
            
               Artículo 3
            
            
               Definiciones
            
            
               A efectos del presente Reglamento, se entenderá por:
            
            
               a)«información»: cualquier dato en formato verbal, visual, electrónico, magnético o documental, o en forma de material, equipos o tecnología, incluidas reproducciones, traducciones y material en proceso de desarrollo; 
            
            
               b)«seguridad de la información»: garantía de la autenticidad, disponibilidad, confidencialidad, integridad y no rechazo de la información;
            
            
               c)«tratamiento»: toda posible intervención a la que la información pueda estar sujeta a lo largo de su ciclo de vida; comprende su creación, recogida, registro, asignación de un nivel de confidencialidad, tratamiento, visualización, consulta, transporte, transmisión, rebaja del nivel de clasificación, desclasificación, archivo y destrucción;
            
         
         
            
               d)«almacenamiento»: hecho de conservar la información en cualquier medio para garantizar su disponibilidad para su uso futuro;
            
            
               e)«instituciones y órganos de la Unión»: las instituciones, órganos y organismos de la Unión creados por el Tratado de la Unión Europea, el Tratado de Funcionamiento de la Unión Europea, el Tratado constitutivo de la Comunidad Europea de la Energía Atómica o un acto legislativo, o en virtud de dichos Tratados o actos;
            
            
               f)«información clasificada de Euratom»: información en el sentido del Reglamento n.º 3/1958 del Consejo de la Comunidad Europea de la Energía Atómica;
            
            
               g)«autoridad de seguridad»: función de seguridad de cada institución y órgano de la Unión, designada de conformidad con su reglamento interno o su acto constitutivo;
            
            
               h)«proceso de gestión del riesgo de seguridad de la información»: integridad del proceso de determinación, control y minimización de acontecimientos inciertos que puedan afectar a la seguridad de una organización o de cualquiera de los sistemas que utiliza; abarca todas las actividades relacionadas con los riesgos, incluida la evaluación, el tratamiento, la aceptación y la comunicación;
            
            
               i)«activo»: todo lo que tenga valor para una institución u órgano de la Unión, su funcionamiento y continuidad, incluidos los recursos de información disponibles para llevar a cabo su misión;
            
            
               j)«procedimientos operativos de seguridad»: conjunto de procedimientos documentados a que se refiere el anexo III para el funcionamiento de una zona de acceso restringido, un sistema de información y comunicación u otros activos o servicios relacionados con la seguridad para garantizar su eficacia;
            
            
               k)«sistema de información y comunicación» o «SIC»: todo sistema que permita el tratamiento y almacenamiento de información en formato electrónico, incluyendo todos los activos necesarios para su funcionamiento;
            
            
               l)«garantía de la información»: certeza de que los sistemas de comunicación e información protegerán la información que tratan y almacenan y de que funcionarán adecuadamente cuando se necesite, bajo el control de usuarios legítimos, garantizando al mismo tiempo unos niveles adecuados de autenticidad, disponibilidad, confidencialidad, integridad y no rechazo;
            
            
               m)«acreditación»: autorización oficial de la Autoridad de Acreditación de Seguridad para que un sistema de información y comunicación procese o para que una zona de seguridad almacene un grado predefinido de ICUE;
            
            
               n)«proceso de acreditación»: etapas y tareas requeridas antes de la acreditación;
            
            
               o)«medidas de seguridad TEMPEST»: medidas para proteger cualquier SIC que trate y almacene información clasificada de nivel CONFIDENTIEL UE/EU CONFIDENTIAL o superior frente al peligro de que dicha información pueda verse puesta en peligro por emanaciones electromagnéticas no intencionadas;
            
            
               p)«CERT-UE»: Centro de Ciberseguridad de las instituciones y órganos de la Unión en el sentido del Reglamento (UE) [...] del Parlamento Europeo y del Consejo, por el que se establecen medidas destinadas a garantizar un alto nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión;
            
            
               q)«incidente relativo a la seguridad de la información»: cualquier acontecimiento que pueda comprometer la autenticidad, disponibilidad, confidencialidad, integridad o no rechazo de la información almacenada, transmitida o tratada;
            
            
               r)«necesidad de conocer»: necesidad de que una persona acceda a información específica tratada o almacenada por una institución u órgano de la Unión para desempeñar las funciones de esa institución u órgano de la Unión en particular;
            
            
               s)«confianza cero»: modelo de seguridad, conjunto de principios de diseño del sistema y estrategia coordinada de ciberseguridad y gestión del sistema basada en el reconocimiento de la existencia de amenazas dentro y fuera de las fronteras tradicionales de la red;
            
            
               t)«marca»: etiqueta que se añade a la información para garantizar que se aplican las medidas de seguridad adecuadas;
            
            
               u)«marca de seguridad»: marca que indica el nivel de confidencialidad de la información;
            
            
               v)«marca de distribución»: marca que indica los destinatarios de la información en la institución u órgano de la Unión de origen;
            
            
               w)«marca de posibilidad de cesión»: marca que indica los destinatarios autorizados fuera de la institución u órgano de la Unión de origen;
            
         
         
            
               x)«propietario del sistema»: persona responsable de la contratación general, el desarrollo, la integración, la modificación, el funcionamiento, el mantenimiento y la retirada de un sistema de comunicación e información;
            
            
               y)«amenaza para la seguridad de la información»: suceso o agente del que quepa esperar razonablemente que afectará negativamente a la seguridad de la información si no se adoptan medidas ni se controla; 
            
            
               z)«vulnerabilidad»: debilidad, susceptibilidad o defecto de un activo, sistema, proceso o control que pueda ser aprovechado por una o varias amenazas;
            
            
               aa)«riesgo»: efecto adverso potencial de una amenaza determinada, que pueda aprovechar las vulnerabilidades internas y externas de una institución u órgano de la Unión o de los sistemas que utilice y cause un perjuicio a los intereses públicos y privados legítimos, medido como una combinación de la probabilidad de que se produzcan amenazas y de sus repercusiones;
            
            
               ab)«riesgo residual»: riesgo que persiste tras la aplicación de las medidas de seguridad;
            
            
               ac)«evaluación del riesgo»: determinación de las amenazas y las vulnerabilidades, y realización del correspondiente análisis del riesgo, es decir, el análisis de la probabilidad y las repercusiones;
            
            
               ad)«tratamiento del riesgo»: atenuación, supresión, reducción del riesgo (adoptando una combinación adecuada de medidas técnicas, físicas, de gestión o de procedimiento), transferencia del riesgo o seguimiento del mismo;
            
            
               ae)«certificado europeo de ciberseguridad»: certificado en el sentido del artículo 2, punto 11, del Reglamento (UE) 2019/881
                  28
               ;
            
            
               af)«poseedor»: persona debidamente autorizada con una probada necesidad de conocer la información, que esté en posesión de cualquier información que requiera protección y, por tanto, responsable de su protección;
            
            
               ag)«material»: todo documento, soporte de datos, máquina o equipo, producido o en proceso de producción;
            
            
               ah)«información clasificada de la UE» o «ICUE»: toda información o material a los que se haya asignado una clasificación de seguridad de la UE cuya revelación no autorizada pueda causar perjuicio en distintos grados a los intereses de la Unión o de uno o varios Estados miembros;
            
            
               ai)«autorización de acceso a ICUE»: decisión de una autoridad de seguridad según la cual un funcionario, otro agente o experto nacional en comisión de servicios de una institución u órgano de la Unión puede tener acceso a ICUE hasta un determinado nivel durante un período determinado;
            
            
               aj)«autoridad nacional de seguridad» o «ANS»: autoridad de un Estado miembro responsable en última instancia de la seguridad de la información clasificada en dicho Estado miembro;
            
            
               ak)«autoridad de seguridad designada» o «ASD»: autoridad de un Estado miembro (ANS o cualquier otra autoridad competente) responsable de facilitar orientaciones y asistencia en la aplicación de la seguridad industrial o en los procedimientos de habilitación, o ambos;
            
            
               al)«investigación de seguridad»: procedimiento de investigación efectuado por la autoridad competente de un Estado miembro con arreglo a las disposiciones legales y reglamentarias nacionales vigentes con el fin de obtener la garantía de que no se conocen datos desfavorables que impidan conceder a una persona determinada una habilitación de seguridad para acceder a ICUE de un determinado nivel (CONFIDENTIEL UE/EU CONFIDENTIAL o superior);
            
            
               am)«seguridad física»: aplicación de medidas físicas, técnicas y organizativas a los locales, edificios, salas, oficinas o instalaciones de una institución u órgano de la Unión que requieran protección contra el acceso no autorizado a la información tratada, almacenada o debatida en ellos;
            
            
               an)«emplazamientos»: locales, edificios, salas, oficinas o instalaciones de una institución u órgano de la Unión;
            
            
               ao)«defensa en profundidad»: tipo de seguridad que utiliza varios niveles independientes de controles de seguridad para garantizar que cuando uno falle otro se aplique;
            
            
               ap)«material criptográfico»: algoritmos criptográficos, módulos de programas informáticos y equipos y productos criptográficos, incluida la información sobre su uso, la documentación pertinente y los datos de las claves criptográficas;
            
            
               aq)«producto criptográfico»: producto que tiene como función primordial y principal la prestación de servicios de seguridad (autenticidad, disponibilidad, confidencialidad, integridad y no rechazo) mediante uno o varios mecanismos criptográficos;
            
         
         
            
               ar)«expedidor»: institución u órgano de la Unión, Estado miembro, país tercero u organización internacional bajo cuya autoridad se ha producido información clasificada o se ha introducido en las estructuras de la Unión;
            
            
               as)«documento»: todo contenido, sea cual sea su soporte (papel, electrónico, magnético u otro), escrito o grabación visual o audiovisual;
            
            
               at)«registro a efectos de seguridad»: aplicación de procedimientos que registren el ciclo de vida del material de que se trate, incluida su difusión y destrucción;
            
            
               au)«desclasificación»: supresión de toda clasificación de seguridad;
            
            
               av)«rebaja del grado de clasificación»: reducción del grado de clasificación de seguridad;
            
            
               aw)«contrato clasificado»: contrato marco o contrato a que se refiere el Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, celebrado por una institución u órgano de la Unión con un contratista para el suministro de bienes muebles o inmuebles, la ejecución de obras o la prestación de servicios cuya ejecución requiera o implique el tratamiento, incluida la creación, o el almacenamiento de ICUE;
            
            
               ax)«acuerdo de subvención clasificado»: acuerdo en virtud del cual la Comisión concede una subvención, tal como se indica en el título VIII del Reglamento (UE, Euratom) 2018/1046, cuya ejecución requiera o implique el tratamiento, incluida la creación, o el almacenamiento de ICUE;
            
            
               ay)«subcontrato clasificado»: contrato celebrado por un contratista o beneficiario de una institución u órgano de la Unión, con un subcontratista para el suministro de bienes muebles o inmuebles, la ejecución de obras o la prestación de servicios cuya ejecución exija o implique el tratamiento, incluida la creación, o el almacenamiento de ICUE;
            
            
               az)«instrucciones de seguridad de un programa o proyecto»: lista de procedimientos de seguridad aplicables a un programa o proyecto específico para normalizar los procedimientos de seguridad;
            
            
               ba)«cláusula sobre aspectos de la seguridad»: conjunto de condiciones contractuales especiales impuestas por el órgano de contratación o la autoridad que concede la subvención y que forman parte integrante de un contrato clasificado que conlleve el acceso a ICUE o la creación de ese tipo de información; en ella se enumeran los requisitos de seguridad o los elementos del contrato o subvención que requieren protección de seguridad;
            
            
               bb)«Guía de Clasificación de Seguridad»: documento que describe los elementos de un programa, proyecto, contrato o acuerdo de subvención que están clasificados, con especificación de los grados de clasificación de seguridad aplicables.
            
            
               Artículo 4
            
            
               Principios generales 
            
            
               1.Cada institución y órgano de la Unión será responsable de la aplicación de las disposiciones del presente Reglamento en su organización, teniendo en cuenta su propio proceso de gestión del riesgo para la seguridad de la información.
            
            
               2.
                     El incumplimiento del presente Reglamento, en particular la divulgación no autorizada de información con los niveles de confidencialidad a que se refiere el artículo 2, apartado 2, excepto la información para uso público, será objeto de investigación y podrá dar lugar a la responsabilidad del personal de conformidad con los Tratados o con sus reglas del personal pertinentes.
            
            
               3.Las instituciones y órganos de la Unión evaluarán toda la información que traten y almacenen para clasificarla con arreglo a los niveles de confidencialidad a que se refiere el artículo 2, apartado 2.
            
            
               4.Las instituciones y órganos de la Unión determinarán las necesidades de seguridad de toda la información que traten y almacenen teniendo en cuenta los siguientes aspectos: 
            
            
               a)autenticidad: garantía de que la información es verídica y procede de fuentes de buena fe;
            
            
               b)disponibilidad: accesibilidad y posibilidad de ser utilizada en el momento que lo requiera una entidad autorizada;
            
            
               c)confidencialidad: no revelación de información a personas, entidades o procesos no autorizados;
            
         
         
            
               d)integridad: hecho de que la información sea completa, exhaustiva y que no haya sido alterada;
            
            
               e)no rechazo: capacidad de demostrar que un acto o suceso ha ocurrido efectivamente, de modo que no pueda ser desmentido posteriormente.
            
            
               5.Para cada sistema de comunicación e información bajo su responsabilidad, las instituciones y órganos de la Unión determinarán el nivel de confidencialidad más elevado que dicho sistema de comunicación e información pueda tratar y almacenar, llevarán a cabo una evaluación del riesgo para la seguridad de la información y supervisarán periódicamente las necesidades de seguridad y la correcta aplicación de las medidas de protección identificadas. 
            
            
               6.Todas las instituciones y órganos de la Unión llevarán a cabo actividades de formación y sensibilización sobre cómo tratar y almacenar información no clasificada e ICUE. 
            
            
               Las instituciones y órganos de la Unión que traten y almacenen ICUE organizarán una formación obligatoria al menos una vez cada cinco años para todas las personas autorizadas a acceder a ICUE. Las instituciones y órganos de la Unión interesadas organizarán una formación específica para los cargos específicos a los que se encomiendan tareas de seguridad de la información.
            
            
               Una institución u órgano de la Unión podrá coordinar dichas actividades de formación y sensibilización con otras instituciones y órganos de la Unión.
            
            
               Artículo 5
            
            
               Proceso de gestión del riesgo para la seguridad de la información
            
            
               1.Cada institución y órgano de la Unión establecerá un proceso de gestión del riesgo para la seguridad de la información para la protección de la información que trate y almacene.
            
            
               2.El proceso de gestión del riesgo para la seguridad de la información incluirá las siguientes etapas:
            
            
               a)identificación de amenazas y vulnerabilidades;
            
            
               b)evaluación del riesgo;
            
            
               c)tratamiento del riesgo;
            
            
               d)aceptación del riesgo;
            
            
               e)comunicación del riesgo.
            
            
               3.El proceso de gestión del riesgo para la seguridad de la información tendrá en cuenta todos los factores pertinentes para la institución u órgano de que se trate, en particular:
            
            
               a)el nivel de confidencialidad de la información y las obligaciones jurídicas conexas;
            
            
               b)la forma y cantidad de la información y las instalaciones o los SIC en los que se trate y almacene información;
            
            
               c)las personas que accedan a la información en los emplazamientos o a distancia;
            
            
               d)el entorno y la estructura de los edificios o zonas donde se almacene la información; 
            
         
         
            
               e)las amenazas contra la Unión, las instituciones y órganos de la Unión o los Estados miembros derivadas de ciberataques, ataques a la cadena de suministro, espionaje, sabotaje, actividades terroristas o subversivas u otras actividades delictivas;
            
            
               f)la continuidad de las actividades y la recuperación en caso de catástrofe;
            
            
               g)los resultados de las inspecciones, auditorías o visitas de evaluación, cuando proceda.
            
            
               Capítulo 2 
                  Gobernanza y organización de la seguridad
            
            
               Artículo 6
            
            
               Grupo de Coordinación Interinstitucional de la Seguridad de la Información
            
            
               1.Se crea un Grupo de Coordinación Institucional de la Seguridad de la Información (en lo sucesivo, «Grupo de Coordinación»).
            
            
               Estará compuesto por todas las autoridades de seguridad de las instituciones y órganos de la Unión y tendrá un mandato para definir la política común de estos en el ámbito de la seguridad de la información.
            
            
               2.Actuando por consenso y en interés común de todas las instituciones y órganos de la Unión, el Grupo de Coordinación:
            
            
               a)adoptará su reglamento interno y sus prioridades y objetivos comunes anuales;
            
            
               b)adoptará decisiones sobre la creación de subgrupos temáticos y su mandato;
            
            
               c)elaborará documentos de orientación sobre la aplicación del presente Reglamento, en cooperación con el Consejo Interinstitucional de Ciberseguridad a que se refiere el artículo 9 del Reglamento UE [...] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión, cuando proceda; 
            
            
               d)creará plataformas específicas para compartir mejores prácticas y conocimientos sobre temas comunes pertinentes para la seguridad de la información, así como para prestar asistencia en caso de incidentes de seguridad de la información;
            
            
               e)velará por que las medidas de seguridad se coordinen según sea necesario con las autoridades nacionales de seguridad competentes a efectos de la protección de la ICUE.
            
            
               3.El Grupo de Coordinación designará un presidente y dos vicepresidentes de entre sus miembros, por un período de tres años.
            
            
               4.El Grupo de Coordinación se reunirá al menos cuatro veces al año a iniciativa de su presidente o a petición de una institución u órgano.
            
            
               5.El Grupo de Coordinación contará con el apoyo administrativo de una secretaría permanente facilitada por la Comisión.
            
            
               6.Cada institución u órgano de la Unión estará debidamente representado en el Grupo de Coordinación y, en su caso, en los subgrupos temáticos.
            
            
               7.Las instituciones y órganos de la Unión pondrán en conocimiento del Grupo de Coordinación cualquier evolución significativa de la política de seguridad de la información en su organización.
            
            
               8.En el desempeño de las tareas a que se refiere el apartado 2, letra e), el Grupo de Coordinación estará asistido por un Comité de Seguridad de la Información. Dicho Comité estará compuesto por un representante de cada autoridad nacional de seguridad y presidido por la Secretaría del Grupo de Coordinación a que se refiere el apartado 5. El Comité de Seguridad de la Información tendrá una función consultiva.
            
         
         
            
               Artículo 7
            
            
               Subgrupos temáticos
            
            
               1.El Grupo de Coordinación creará los siguientes subgrupos temáticos permanentes para facilitar la aplicación del presente Reglamento:
            
            
               a)subgrupo de garantía de la información;
            
            
               b)subgrupo de información no clasificada;
            
            
               c)subgrupo de seguridad física;
            
            
               d)subgrupo de acreditación de sistemas de información y comunicación que tratan y almacenan ICUE;
            
            
               e)subgrupo de puesta en común de ICUE e intercambio de información clasificada.
            
            
               2.En caso necesario, el Grupo de Coordinación podrá crear subgrupos ad hoc para una tarea específica y con una duración limitada.
            
            
               3.Salvo disposición en contrario en su mandato, los subgrupos se basarán en una composición abierta que represente a la institución u órgano de la Unión de que se trate. Los miembros de los subgrupos serán expertos en el ámbito de competencia respectivo.
            
            
               4.La Secretaría del Grupo de Coordinación a que se refiere el artículo 5, apartado 5, apoyará el trabajo de todos los subgrupos y garantizará la comunicación entre sus miembros. 
            
            
               Artículo 8
            
            
               Organización de la seguridad
            
            
               1.Cada institución y órgano de la Unión designará una autoridad de seguridad que asumirá las responsabilidades asignadas por el presente Reglamento y, en su caso, por sus normas de seguridad internas. En el desempeño de sus funciones, cada autoridad de seguridad contará con el apoyo del servicio o del funcionario encargado de las tareas de seguridad de la información.
            
            
               2.Cuando sea necesario, la autoridad de seguridad de cada institución y órgano de la Unión adoptará normas internas de aplicación para la protección de la información, de conformidad con la misión específica que le encomiende la legislación de la UE y sobre la base de su autonomía institucional.
            
            
               3.Cuando proceda, cada autoridad de seguridad asumirá también las siguientes funciones:
            
            
               a)Autoridad de Garantía de la Información, encargada de establecer políticas de garantía de la seguridad de la información y directrices de seguridad, así como de supervisar su eficacia y pertinencia.
            
            
               b)Autoridad Operativa de Garantía de la Información, responsable de elaborar la documentación de seguridad, en particular los procedimientos operativos de seguridad y el plan criptográfico dentro del proceso de acreditación de los sistemas de comunicación e información.
            
            
               c)Autoridad de Acreditación de Seguridad, encargada de acreditar las zonas de acceso restringido y los SIC que tratan y almacenan ICUE.
            
            
               d)Autoridad TEMPEST, responsable de aprobar las medidas adoptadas para proteger contra la puesta en peligro de ICUE a través de emanaciones electrónicas no intencionadas.
            
         
         
            
               e)Autoridad de Certificación Criptográfica responsable de aprobar el uso de tecnologías de cifrado sobre la base de una solicitud del propietario del sistema.
            
            
               f)Autoridad de Distribución Criptográfica, responsable de la distribución a los usuarios afectados de materiales criptográficos utilizados para la protección de la ICUE (equipos de cifrado, claves criptográficas, certificados y autenticadores conexos).
            
            
               4.Las responsabilidades de una o varias de las funciones a que se refiere el apartado 3 podrán delegarse en otra institución u órgano de la Unión siempre que la prestación descentralizada de la seguridad ofrezca un ahorro significativo de eficiencia, recursos o tiempo.
            
            
               Capítulo 3 
                  Garantía de la información y sistemas de comunicación e información (SIC)
            
            
               Artículo 9
            
            
               Principios de garantía de la información
            
            
               1.La evaluación de las necesidades de seguridad de la información se tendrá en cuenta desde el inicio de la creación o en la fase de contratación por lo que respecta a todos los SIC, incluidos los SIC internos, externalizados e híbridos.
            
            
               2.Todo SIC que trate y almacene ICUE estará acreditado de conformidad con el capítulo 5, sección 5. Todo SIC que trate y almacene información sensible no clasificada cumplirá los requisitos mínimos aplicables a la información sensible no clasificada en los SIC establecidos en el capítulo 4.
            
            
               Artículo 10
            
            
               Subgrupo de garantía de la información
            
            
               1.El subgrupo de garantía de la información a que se refiere el artículo 7, apartado 1, letra a), tendrá las siguientes funciones y responsabilidades:
            
            
               a)facilitar orientación y mejores prácticas sobre el marcado, el tratamiento y el almacenamiento en los SIC en estrecha cooperación con el Consejo Interinstitucional de Ciberseguridad a que se refiere el artículo 9 del Reglamento UE [XXX] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión;
            
            
               b)establecer un sistema de metadatos para las marcas y toda la información técnica necesaria para contribuir a un intercambio de información interoperable y sin fisuras entre las instituciones y órganos de la Unión, al interconectar sus respectivos SIC;
            
            
               c)contribuir a la coherencia entre las normas sobre información de la seguridad y el código básico de ciberseguridad en todas las instituciones y órganos de la Unión, a que se refiere el artículo 5 del Reglamento UE [XXX] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión.
            
            
               Artículo 11
            
            
               Requisitos de los sistemas de comunicación e información
            
            
               1.Las instituciones y órganos de la Unión informarán a los usuarios sobre los niveles de confidencialidad de la información que puede tratarse y almacenarse en un SIC. Cuando un SIC trate y almacene múltiples niveles de confidencialidad, se utilizarán metadatos y marcas visuales para garantizar que puedan distinguirse los distintos niveles.
            
            
               2.Las instituciones y órganos de la Unión identificarán a los usuarios de los SIC antes de concederles acceso a niveles de confidencialidad distintos del uso público. Los usuarios deberán autenticarse con un nivel de garantía adecuado al nivel de confidencialidad. Cuando proceda, se utilizará un sistema común de identificación seguro.
            
            
               3.A fin de garantizar investigaciones rápidas en caso de infracciones o filtraciones de información, se mantendrán registros de seguridad adecuados para todos los SIC. Dichos registros se conservarán durante un período establecido en la evaluación del impacto en la gestión o en las políticas de seguridad pertinentes, de manera no rechazable. 
            
            
               Cuando un SIC trate y almacene ICUE, los registros relacionados con la necesidad de conocer la información y el acceso a la misma se conservarán hasta que se desclasifique la información. La autoridad de seguridad deberá poder realizar búsquedas y acceder a los registros de seguridad.
            
         
         
            
               4.Las instituciones y órganos de la Unión adoptarán normas internas sobre la seguridad de los SIC para especificar las medidas de seguridad adecuadas en función de las necesidades de seguridad de la información que deba tratarse y almacenarse, y teniendo en cuenta las jurisdicciones en las que se almacene, transmita y trate la información. Cuando proceda, dichas medidas incluirán:
            
            
               a)restricciones a la localización geográfica;
            
            
               b)la consideración de posibles conflictos de intereses, boicots o sanciones en relación con los contratistas;
            
            
               c)disposiciones contractuales para garantizar la seguridad de la información;
            
            
               d)cifrado de la información en reposo y en tránsito;
            
            
               e)restricciones a la accesibilidad de la información de las instituciones y órganos de la Unión por parte del personal del contratista;
            
            
               f)protección de los datos personales de conformidad con la legislación aplicable en materia de protección de datos. 
            
            
               5.Las instituciones y órganos de la Unión gestionarán sus SIC de conformidad con los siguientes principios: 
            
            
               a)cada SIC tendrá un propietario del sistema o una Autoridad Operativa de Garantía de la Información responsable de su seguridad;
            
            
               b)se llevará a cabo un proceso de gestión del riesgo para la seguridad de la información que abarque los aspectos de seguridad de la información;
            
            
               c)los requisitos de seguridad y los procedimientos operativos de seguridad se definirán, aplicarán, controlarán y revisarán formalmente;
            
            
               d)los incidentes de seguridad de la información se registrarán oficialmente y serán objeto de seguimiento, de conformidad con el Reglamento UE [XXX] por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, órganos y organismos de la Unión.
            
            
               Capítulo 4 
                  Información no clasificada
            
            
               Artículo 12
            
            
               Información destinada al uso público
            
            
               1.La información destinada al uso público o a su publicación oficial o ya divulgada, que pueda compartirse sin restricciones dentro o fuera de las instituciones y órganos de la Unión, se clasificará, tratará y almacenará como información destinada al público.
            
            
               2.Las instituciones y órganos de la Unión podrán marcar con «PUBLIC USE» la información a que se refiere el apartado 1.
            
            
               3.Todas las instituciones y órganos de la Unión garantizarán la integridad y disponibilidad de la información destinada al público a través de medidas adecuadas basadas en sus necesidades de seguridad.
            
            
               Artículo 13
            
            
               Información normal
            
         
         
            
               1.La información destinada a ser utilizada por una institución u órgano de la Unión en el ejercicio de sus funciones y que no sea sensible no clasificada ni esté destinada al uso público se clasificará, tratará y almacenará como información normal. Esta categoría abarca toda la información normal utilizada y necesaria para el trabajo de la institución u órgano de la Unión de que se trate.
            
            
               2.La información normal podrá marcarse visualmente o en metadatos cuando sea necesario para garantizar su protección, en particular cuando se comparta fuera de las instituciones y órganos de la Unión. En ese caso se utilizará la marca «EU NORMAL» o «[nombre o acrónimo de la institución u órgano de la Unión] NORMAL» (ajustado caso por caso).
            
            
               3.Las instituciones y órganos de la Unión definirán medidas de protección normalizadas para la información normal teniendo en cuenta las orientaciones del subgrupo sobre información no clasificada y cualquier riesgo específico relacionado con sus tareas y actividades.
            
            
               4.La información normal se intercambiará fuera de las instituciones y órganos de la Unión únicamente con personas físicas o jurídicas que tengan necesidad de conocer. 
            
            
               Artículo 14
            
            
               Información sensible no clasificada
            
            
               1.Las instituciones y órganos de la Unión clasificarán, tratarán y almacenarán como sensible no clasificada toda la información que no esté clasificada, pero que deban proteger debido a obligaciones jurídicas o al perjuicio que por su divulgación no autorizada pueda causarse a los intereses públicos y privados legítimos, incluidos los de las instituciones y órganos de la Unión, los Estados miembros o las personas físicas.
            
            
               2.Cada institución y órgano de la Unión identificará la información sensible no clasificada mediante una marca de seguridad visible y definirá las instrucciones de tratamiento correspondientes de conformidad con el anexo I.
            
            
               3.Las instituciones y órganos de la Unión protegerán la información sensible no clasificada aplicando las medidas adecuadas en relación con su tratamiento y almacenamiento. Dicha información solo podrá ponerse a disposición de las personas con necesidad de conocer en el interior de las instituciones y órganos de la Unión para el cumplimiento de sus tareas.
            
            
               4.La información sensible no clasificada se intercambiará fuera de las instituciones y órganos de la Unión únicamente con personas físicas y jurídicas que tengan necesidad de conocer, respetando al mismo tiempo las instrucciones de tratamiento que acompañan a la información. Se informará a todas las partes implicadas sobre las instrucciones de tratamiento adecuadas.
            
            
               Artículo 15
            
            
               Protección de la información no clasificada e interoperabilidad
            
            
               1.Las instituciones y órganos de la Unión establecerán procedimientos para la notificación y gestión de cualquier incidente o sospecha de incidente que pueda poner en peligro la seguridad de la información no clasificada.
            
            
               2.Cuando sea necesario, las instituciones y órganos de la Unión utilizarán las marcas previstas en los artículos 12, 13 y 14. Excepcionalmente, podrán utilizarse otras marcas equivalentes a nivel interno y en relación con sus homólogos particulares de otras instituciones y órganos de la Unión o de los Estados miembros, cuando todas las partes estén de acuerdo. Esta excepción se notificará al subgrupo de información no clasificada a que se refiere el artículo 7, apartado 1, letra b).
            
            
               3.Se establecerán salvaguardias contractuales para garantizar la protección de la información normal y sensible no clasificada tratada por servicios externalizados. Las salvaguardias estarán concebidas para garantizar al menos un nivel de protección equivalente al previsto en el presente Reglamento, e incluirán compromisos de confidencialidad y no divulgación que firmarán todos los proveedores de servicios pertinentes que participen en la prestación de los sistemas externalizados.
            
            
               Artículo 16
            
            
               Subgrupo de información no clasificada 
            
            
               1.El subgrupo de información no clasificada a que se refiere el artículo 7, apartado 1, letra b), tendrá las siguientes funciones y responsabilidades:
            
            
               a)racionalizar los procedimientos relativos al tratamiento y almacenamiento de la información no clasificada y preparar las orientaciones pertinentes;
            
            
               b)coordinarse con el subgrupo sobre garantía de la información a que se refiere el artículo 7, apartado 1, letra a), sobre cuestiones relacionadas con los sistemas de tratamiento y almacenamiento de información no clasificada;
            
         
         
            
               c)preparar instrucciones de tratamiento para los diferentes niveles de confidencialidad de la información no clasificada;
            
            
               d)ayudar a las instituciones y órganos de la Unión a establecer la equivalencia entre sus categorías particulares de información no clasificada y las previstas en los artículos 12, 13 y 14;
            
            
               e)facilitar el intercambio de información no clasificada entre las instituciones y órganos de la Unión, facilitando asistencia y orientación.
            
            
               Artículo 17
            
            
               Tratamiento y almacenamiento de información sensible no clasificada en los SIC
            
            
               1.Las instituciones y órganos de la Unión velarán por que los SIC cumplan los siguientes requisitos mínimos al tratar y almacenar información sensible no clasificada:
            
            
               a)se aplicará una autenticación fuerte para acceder a la información sensible no clasificada, que se cifrará para su transmisión y almacenamiento;
            
            
               b)las claves de cifrado utilizadas para el almacenamiento estarán bajo la responsabilidad de la institución u órgano de la Unión responsable del funcionamiento del SIC;
            
            
               c)la información sensible no clasificada se almacenará y tratará en la Unión;
            
            
               d)en todos los contratos de externalización se incluirán disposiciones contractuales relativas a la seguridad del personal, los activos y la información;
            
            
               e)se utilizarán metadatos interoperables para registrar el nivel de confidencialidad de los documentos electrónicos y facilitar la automatización de las medidas de seguridad;
            
            
               f)las instituciones y órganos de la Unión aplicarán medidas para prevenir y detectar filtraciones de datos con el fin de proteger la información sensible no clasificada;
            
            
               g)se utilizarán equipos de seguridad provistos de un certificado europeo de ciberseguridad, cuando estén disponibles;
            
            
               h)se aplicarán medidas de seguridad basadas en los principios de necesidad de conocer y de confianza cero para minimizar el acceso a información sensible no clasificada por parte de los proveedores de servicios y contratistas.
            
            
               2.Toda excepción a los requisitos mínimos establecidos en el apartado 1 estará sujeta a la aprobación del nivel adecuado de los responsables de la institución u órgano de la Unión de que se trate, sobre la base de una evaluación de riesgos que cubra los riesgos jurídicos y técnicos para la seguridad de la información sensible no clasificada.
            
            
               3.La Autoridad de Garantía de la Información de la institución u órgano de la Unión de que se trate podrá comprobar el cumplimiento de los principios establecidos en el apartado 1 en cualquier momento durante el ciclo de vida de un SIC.
            
            
               Capítulo 5 
                  EUCI
            
            
               Sección 1 
                  Disposiciones generales
            
            
               Artículo 18
            
            
               Clasificaciones y marcas de seguridad
            
         
         
            
               1.La ICUE se clasificará en uno de los grados siguientes y se marcará de la siguiente forma:
            
            
               a)TRES SECRET UE/EU TOP SECRET: información y material cuya revelación no autorizada pueda causar un perjuicio excepcionalmente grave a los intereses esenciales de la Unión o de uno o varios Estados miembros;
            
            
               b)SECRET UE/EU SECRET: información y material cuya revelación no autorizada pueda causar un perjuicio grave a los intereses esenciales de la Unión o de uno o varios Estados miembros;
            
            
               c)CONFIDENTIEL UE/UE CONFIDENTIAL: información y material cuya revelación no autorizada pueda causar un perjuicio a los intereses esenciales de la Unión o de uno o varios Estados miembros;
            
            
               d)RESTREINT UE/EU RESTRICTED: información y material cuya revelación no autorizada pueda resultar desfavorable para los intereses de la Unión o de uno o varios Estados miembros.
            
            
               2.El Grupo de Coordinación adoptará documentos de orientación sobre la creación y clasificación de ICUE.
            
            
               Artículo 19
            
            
               Idoneidad para tratar y almacenar ICUE
            
            
               1.Cualquier institución y órgano de la Unión podrá tratar y almacenar ICUE cuando cumpla las siguientes condiciones:
            
            
               a)haber establecido normas y procedimientos de conformidad con el presente Reglamento que garanticen la protección de la información para un determinado nivel de clasificación; y
            
            
               b)haber sido objeto de una visita de evaluación de conformidad con el artículo 53 y haberse certificado posteriormente que puede proteger la ICUE de conformidad con el presente Reglamento y, en su caso, con cualesquiera otras normas y procedimientos pertinentes.
            
            
               2.Se considerará que los miembros del subgrupo de puesta en común de ICUE e intercambio de información clasificada a que se refiere el artículo 7, apartado 1, letra e), cumplen por defecto las condiciones establecidas en el apartado 1.
            
            
               Artículo 20
            
            
               Protección de la ICUE
            
            
               1.El poseedor de cualquier ICUE tendrá la responsabilidad de protegerla.
            
            
               2.Cuando un Estado miembro introduzca información clasificada que lleve una marca nacional de clasificación de seguridad en las estructuras o redes de una institución u órgano de la Unión, dicha institución u órgano protegerá dicha información de conformidad con el marcado de clasificación correspondiente establecido en el Acuerdo entre los Estados miembros de la Unión Europea, reunidos en el seno del Consejo, sobre la protección de la información clasificada intercambiada en interés de la Unión Europea
                  29
               . El cuadro de equivalencias correspondiente figura en el anexo VI del presente Reglamento.
            
            
               3.Un agregado de ICUE podrá justificar un grado de protección que corresponda a una clasificación más elevada que la asignada a cada uno de sus componentes.
            
            
               Artículo 21
            
            
               Proceso de gestión del riesgo para la seguridad ICUE
            
            
               1.La autoridad de seguridad de cada institución y órgano de la Unión aprobará las medidas de seguridad para la protección de la ICUE a lo largo de todo su ciclo de vida, de conformidad con el resultado de una evaluación del riesgo realizada por la institución u órgano de la Unión correspondiente.
            
         
         
            
               2.Las medidas de seguridad adoptadas por cada institución y órgano de la Unión serán proporcionales al nivel de clasificación de la información tratada y almacenada, su forma y volumen, la ubicación y las características de protección de las instalaciones en las que se trate y almacene la ICUE y la amenaza de actividades malintencionadas o delictivas evaluada localmente.
            
            
               3.Todas las instituciones y órganos de la Unión establecerán:
            
            
               a)planes de contingencia para garantizar la seguridad de la ICUE durante las emergencias;
            
            
               b)planes de continuidad de la actividad que incluyan medidas preventivas y de recuperación para reducir al máximo las repercusiones de fallos o incidentes graves en el tratamiento y almacenamiento de ICUE. 
            
            
               Artículo 22
            
            
               Fallos de seguridad y puesta en peligro de la ICUE
            
            
               1.Un acto u omisión de una institución u órgano de la Unión o de un individuo, que suponga un incumplimiento de las disposiciones del presente Reglamento, será considerado un fallo de seguridad. 
            
            
               2.Se considerará que la ICUE se ha puesto en peligro cuando, como consecuencia de una infracción, haya sido revelada, total o parcialmente, a una o varias personas que no estén autorizadas a acceder a ella.
            
            
               3.Cualquier puesta en peligro o sospecha de puesta en peligro de ICUE se comunicará inmediatamente a la autoridad de seguridad de la institución u órgano de la Unión pertinente, que llevará a cabo una investigación de seguridad y adoptará al menos las siguientes medidas:
            
            
               a)informar al expedidor de la información;
            
            
               b)asegurarse de que el personal que investiga el caso con el fin de esclarecer los hechos no esté directamente implicado en el fallo de seguridad;
            
            
               c)evaluar el posible perjuicio causado a los intereses de la Unión o de los Estados miembros;
            
            
               d)tomar medidas adecuadas a fin de impedir que se repitan esos hechos;
            
            
               e)notificar a las autoridades pertinentes los efectos de la puesta en peligro, real o potencial, y las medidas adoptadas. 
            
            
               Sección 2 
                  Seguridad en el personal 
            
            
               Artículo 23
            
            
               Principios fundamentales
            
            
               1.La autoridad de seguridad de una institución u órgano de la Unión podrá conceder a determinadas personas acceso a ICUE cuando se cumplan todas las condiciones siguientes:
            
            
               a)tengan necesidad de conocerla;
            
            
               b)hayan sido instruidas sobre las normas y procedimientos de seguridad para la protección de la ICUE, y hayan aceptado por escrito sus responsabilidades en lo que respecta a la protección de dicha información;
            
         
         
            
               c)en el caso de la información clasificada CONFIDENTIEL UE/EU CONFIDENTIAL o superior, que hayan obtenido una habilitación de seguridad y hayan sido autorizadas al grado pertinente.
            
            
               2.Las instituciones y órganos de la Unión tendrán en cuenta la lealtad, honradez y fiabilidad de una persona determinada mediante una investigación de seguridad llevada a cabo por las autoridades competentes del Estado miembro del que el solicitante sea ciudadano o nacional. 
            
            
               3.Las instituciones y órganos de la Unión podrán aceptar habilitaciones de seguridad de terceros países y organizaciones internacionales con las que la Unión tenga un acuerdo sobre seguridad de la información.
            
            
               4.Las instituciones y órganos de la Unión podrán gestionar los procesos de habilitación de forma autónoma o solicitar un acuerdo de nivel de servicio con la Comisión a efectos de habilitación de seguridad.
            
            
               Cuando se celebre un acuerdo de nivel de servicio, la autoridad de seguridad de la Comisión será el punto de contacto entre las oficinas de seguridad de la institución u órgano de la Unión de que se trate y las autoridades nacionales competentes de los Estados miembros a efectos de las cuestiones de habilitación de seguridad. 
            
            
               5.La autoridad de seguridad de cada institución y órgano de la Unión llevará un registro de sus habilitaciones de seguridad, sesiones informativas, reconocimientos escritos y autorizaciones de acceso a ICUE.
            
            
               6.Las instituciones y órganos de la Unión que celebren un acuerdo de nivel de servicio con la Comisión pondrán a disposición de la autoridad de seguridad de la Comisión los registros pertinentes relativos, como mínimo, al nivel de ICUE al que puede concederse acceso a la persona, la fecha de expedición de la autorización de acceso a la ICUE y su período de validez. Podrán acceder a dichos registros otras instituciones y órganos de la Unión con un acuerdo de nivel de servicio, cuando esté justificado.
            
            
               Artículo 24
            
            
               Autorización de acceso a ICUE
            
            
               1.Cada institución y órgano de la Unión identificará los cargos de su organización que requieran acceso a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior para que el poseedor pueda desempeñar sus funciones.
            
            
               2.Cuando deba autorizarse a una persona a acceder a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior, la institución u órgano de que se trate informará de ello a la autoridad de seguridad competente, que llevará a cabo las formalidades exigidas en el punto 1 del anexo II.
            
            
               3.La autoridad de seguridad de cada institución y órgano de la Unión será responsable de conceder, suspender, retirar y renovar las autorizaciones de acceso a ICUE para su personal.
            
            
               4.En circunstancias excepcionales, cuando esté debidamente justificado en interés del servicio y a la espera de la conclusión de una investigación de seguridad completa, la autoridad de seguridad de una institución u órgano de la Unión podrá conceder una autorización temporal a personas que ocupen un cargo concreto para acceder a ICUE, sin perjuicio de las disposiciones relativas a la renovación de la autorización de acceso a ICUE y previa verificación de la autoridad nacional de seguridad correspondiente.
            
            
               5.Las instituciones y órganos de la Unión seguirán los procedimientos para gestionar la autorización de acceso a ICUE establecidos en el anexo II. 
            
            
               Artículo 25
            
            
               Autorización de acceso a ICUE
            
            
               1.La autorización de acceso a ICUE hasta el nivel especificado será válida en cualquier institución u órgano de la Unión en el que esté destinada la persona.
            
            
               2.Las instituciones y órganos de la Unión aceptarán las autorizaciones de acceso a ICUE concedidas por otras instituciones u órganos de la Unión. 
            
            
               3.Cuando el poseedor de una autorización de acceso a ICUE pase a ocupar un puesto de trabajo en otra institución u órgano de la Unión, dicha institución u órgano notificará al acuerdo de nivel de servicio competente el cambio de empleador, a través de la autoridad de seguridad competente.
            
            
               Artículo 26
            
         
         
            
               Sesiones informativas sobre la ICUE
            
            
               1.La autoridad de seguridad de una institución u órgano de la Unión informará a todas las personas que necesiten acceder a ICUE sobre cualquier amenaza para la seguridad y sobre su obligación de notificar cualquier actividad sospechosa. La sesión informativa tendrá lugar antes de que se conceda el acceso a ICUE y, posteriormente, al menos cada cinco años. 
            
            
               2.Antes de recibir la autorización de acceso a ICUE, todas las personas reconocerán en una declaración escrita que han entendido sus obligaciones respecto a la protección de la ICUE y las consecuencias del comprometimiento de esta información.
            
            
               3.La sesión informativa a que se refiere el apartado 1 contendrá la información siguiente:
            
            
               a)la persona que sea responsable de un incumplimiento de las normas de seguridad establecidas en el presente Reglamento podrá ser objeto de medidas disciplinarias de conformidad con las disposiciones legales y reglamentarias aplicables; 
            
            
               b)la persona que sea responsable de la puesta en peligro comprometimiento o pérdida de ICUE podrá ser objeto de medidas disciplinarias o de una acción judicial de conformidad con las disposiciones legales y reglamentarias aplicables.
            
            
               4.Cuando las personas a las que se hayan concedido autorizaciones para acceder a ICUE dejen de necesitar dicho acceso, las instituciones y órganos de la Unión velarán por que dichas personas conozcan y, en su caso, reconozcan por escrito sus obligaciones en relación con la continuidad de la protección de la ICUE.
            
            
               5.Las instituciones y órganos de la Unión podrán compartir la tarea de crear y gestionar las sesiones informativas sobre la ICUE, siempre que se tengan en cuenta sus requisitos específicos. 
            
            
               Sección 3 
                  Seguridad física
            
            
               Artículo 27
            
            
               Principios fundamentales
            
            
               1.Cada institución y órgano de la Unión determinará las medidas de seguridad física adecuadas a sus emplazamientos, de conformidad con el anexo III y el principio de defensa en profundidad, sobre la base de una evaluación de riesgos realizada por su autoridad de seguridad. Las medidas deberán garantizar los objetivos siguientes:
            
            
               a)denegar o impedir el acceso por la fuerza a ICUE;
            
            
               b)disuadir, impedir y detectar acciones no autorizadas y responder a los incidentes de seguridad lo antes posible;
            
            
               c)permitir la separación del personal en su acceso a ICUE en función de su necesidad de conocer y, en su caso, de su habilitación de seguridad. 
            
            
               2.Las instituciones y órganos de la Unión establecerán medidas de seguridad física para todos los emplazamientos en los que se debata, almacene o trate ICUE, incluidas las zonas que alberguen los sistemas de información y comunicación a que se refiere la sección 5 del presente capítulo.
            
            
               3.Solo se utilizará el equipo de seguridad aprobado por la autoridad de seguridad de una institución u órgano de la Unión para la protección física de información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior.
            
            
               4.Las instituciones y órganos de la Unión podrán compartir las zonas de acceso restringido a que se refiere el anexo III para el tratamiento y almacenamiento de ICUE, previa celebración de un acuerdo.
            
            
               Artículo 28
            
            
               Subgrupo de seguridad física
            
         
         
            
               1.El subgrupo de seguridad física a que se refiere el artículo 7, apartado 1, letra c), tendrá las siguientes funciones y responsabilidades:
            
            
               a)preparar documentos de orientación relativos a cuestiones de seguridad física;
            
            
               b)definir los criterios generales de seguridad para la adquisición de equipos tales como contenedores de seguridad, trituradoras, cerraduras de puertas, sistemas electrónicos de control de acceso, sistemas de detección de intrusiones y sistemas de alarma para la protección física de la ICUE;
            
            
               c)asistir a las instituciones y órganos de la Unión en la determinación de las medidas de seguridad adecuadas para sus emplazamientos;
            
            
               d)proponer medidas compensatorias para la protección de la ICUE cuando esta se trate fuera de las zonas físicamente protegidas de una institución u órgano de la Unión. 
            
            
               Artículo 29
            
            
               Protección física de la ICUE
            
            
               1.Para garantizar la protección física de la ICUE, las instituciones y órganos de la Unión establecerán las siguientes zonas físicamente protegidas:
            
            
               a)las zonas administrativas a que se refiere el anexo III;
            
            
               b)en su caso, zonas de acceso restringido, incluidas las zonas de clase I y clase II y las zonas técnicas de acceso restringido contempladas en el anexo III.
            
            
               2.La autoridad de seguridad de la institución u órgano de la Unión de que se trate realizará una inspección interna para verificar si se cumplen las condiciones para que una zona se establezca como zona administrativa o zona de acceso restringido, tal como se establece en el anexo III. Cuando el informe de inspección indique que se cumplen las condiciones, la autoridad de seguridad podrá expedir una acreditación relativa a la zona protegida para proteger la ICUE hasta el nivel establecido por un período no superior a cinco años.
            
            
               La autoridad de seguridad de la institución u órgano de la Unión de que se trate será responsable de llevar a cabo el proceso de reacreditación de sus zonas de acceso restringido, antes de que expire la acreditación o siempre que se hayan introducido cambios en la zona acreditada. 
            
            
               3.Cada institución y órgano de la Unión adoptará procedimientos para gestionar las claves y los ajustes combinados de oficinas, salas, cámaras acorazadas y contenedores de seguridad para el nivel CONFIDENTIEL UE/EU-CONFIDENTIAL y para los grados superiores.
            
            
               4.La autoridad de seguridad podrá autorizar la realización, en las entradas y salidas, registros que disuadan de todo intento no autorizado de introducir material en los emplazamientos o de sacar ICUE de ellos.
            
            
               5.Las instituciones y órganos de la Unión establecerán las medidas para la protección física de la ICUE de conformidad con el anexo III. 
            
            
               Sección 4 
                  Gestión de la ICUE
            
            
               Artículo 30
            
            
               Principios fundamentales
            
            
               1.Las instituciones y órganos de la Unión registrarán, archivarán, conservarán y, en último término, eliminarán o transferirán, íntegramente o en forma de muestras, sus documentos que contengan ICUE a los archivos pertinentes, de conformidad con la política de conservación y las normas específicas de los expedientes de cada institución y órgano de la Unión. 
            
            
               2.Toda institución y órgano de la Unión que sea el expedidor de ICUE determinará la clasificación de seguridad de dicha información en el momento de su creación y de conformidad con el artículo 18, apartado 1.
            
         
         
            
               3.Las instituciones y órganos de la Unión comunicarán claramente el nivel de clasificación a los destinatarios, bien mediante una marca de clasificación, bien mediante un anuncio, cuando la información se entregue oralmente.
            
            
               4.Las medidas de seguridad aplicables a los documentos originales serán aplicables a sus borradores, copias y traducciones.
            
            
               5.Las instituciones y órganos de la Unión establecerán las medidas para la protección física de la ICUE de conformidad con el anexo IV. 
            
            
               Artículo 31
            
            
               Producción de ICUE
            
            
               2. Las instituciones y órganos de la Unión bajo cuya autoridad se cree ICUE velarán por que se cumplan los siguientes requisitos:
            
            
               a)se marcará claramente cada página con el grado de clasificación;
            
            
               b)se numerarán todas las páginas;
            
            
               c)el documento deberá llevar un número de referencia, un número de registro y una indicación del asunto, que en sí misma no constituirá ICUE, salvo si se marca como tal;
            
            
               d)el documento incluirá su fecha de creación;
            
            
               e)todos los anexos y documentos adjuntos se enumerarán, siempre que sea posible, en la primera página;
            
            
               f)los documentos con clasificación SECRET UE/EU SECRET o superior llevarán un número de ejemplar en cada página cuando hayan de distribuirse en varios ejemplares. Las copias electrónicas que se distribuyan fuera del sistema de explotación llevarán un identificador único basado en una firma electrónica.
            
            
               Artículo 32
            
            
               Control del autor
            
            
               1.La institución u órgano de la Unión bajo cuya autoridad se haya creado un documento que contenga ICUE tendrá el control como expedidor sobre dicho documento. El expedidor determinará el nivel de clasificación del documento y será responsable de su difusión inicial. Sin perjuicio de lo dispuesto en el Reglamento 1049/2001, el consentimiento previo por escrito del expedidor se obtendrá antes de que la información sea:
            
            
               a)desclasificada u objeto de una rebaja del nivel de clasificación;
            
            
               b)utilizada con fines distintos de los determinados por el expedidor;
            
            
               c)transmitida a cualquier entidad ajena a la institución u órgano de la Unión que posea la información, incluidos un tercer país u organización internacional, otra institución u órgano de la Unión, Estados miembros, un contratista o posible contratista, un beneficiario o posible beneficiario;
            
            
               d)copiada y traducida en el caso de información de grado TRES SECRET-UE/EU-TOP SECRET.
            
            
               2.Cuando no pueda identificarse al expedidor de un documento que contenga ICUE, la institución u órgano de la Unión que posea dicha información clasificada ejercerá el control como expedidor.
            
         
         
            
               3.Los expedidores de cualquier documento que contenga ICUE llevarán un registro de las fuentes clasificadas utilizadas para la elaboración de documentos clasificados, incluidos los datos de las fuentes originarias de Estados miembros, organizaciones internacionales o terceros países. Cuando así proceda, la información clasificada agregada se marcará de una forma que preserve la identificación de los expedidores de los materiales originales clasificados que se hayan utilizado.
            
            
               Artículo 33
            
            
               Marcas de clasificación
            
            
               1.Cuando proceda, además de uno de las marcas de clasificación de seguridad, los documentos que contengan ICUE podrán llevar marcas adicionales, como marcas de distribución o de posibilidad de cesión, o indicar el expedidor.
            
            
               2.Las distintas partes de un documento que contengan ICUE podrán requerir clasificaciones diferentes y se marcarán en consecuencia. El grado general de clasificación de un documento o archivo deberá ser al menos tan alto como el de su componente con mayor grado de clasificación.
            
            
               3.Los documentos que contengan partes con distintos niveles de clasificación se estructurarán de tal modo que las partes con un grado de clasificación diferente puedan ser fácilmente reconocidas y separadas, si fuera necesario.
            
            
               Artículo 34
            
            
               Sistema de registro de ICUE
            
            
               1.Todas las instituciones y órganos de la Unión que traten y almacenen información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIEL o superior establecerán uno o más registros de ICUE para garantizar su registro a efectos de seguridad cuando lleguen a una institución u órgano de la Unión o salgan de ella.
            
            
               2.Todos los registros de ICUE se establecerán en zonas seguras, tal como se especifica en el anexo III.
            
            
               3.Las instituciones y órganos de la Unión asignarán un controlador del registro («RCO», por sus siglas en inglés) para gestionar cada registro de ICUE. El RCO dispondrá de la habilitación de seguridad adecuada y estará autorizado de conformidad con el artículo 24. Las instituciones y órganos de la Unión impartirán una formación adecuada a su RCO.
            
            
               Artículo 35
            
            
               Rebaja del grado de clasificación y desclasificación
            
            
               1.La información solo permanecerá clasificada mientras requiera protección. La ICUE que ya no necesite la clasificación original se rebajará a un grado inferior. La ICUE que ya no deba considerarse clasificada se desclasificará.
            
            
               2.En el momento de producir la información, el expedidor indicará, cuando sea posible, y en especial si se trata de información clasificada de grado RESTREINT UE/EU RESTRICTED, si el grado de clasificación de la ICUE puede ser rebajado o desclasificado a partir de una determinada fecha o tras un acontecimiento concreto.
            
            
               3.La institución u órgano de la Unión expedidor será responsable de decidir si puede rebajarse el grado de clasificación de un documento que contenga ICUE o si puede desclasificarse. Revisará la información y evaluará los riesgos regularmente y cada cinco años como mínimo para determinar si el grado de clasificación original sigue siendo apropiado.
            
            
               4.Las instituciones y órganos de la Unión que posean ICUE de la que no sean expedidores no rebajarán el grado de clasificación ni desclasificarán dicho documento, ni modificarán o retirarán ninguna de las marcas a que se refiere el artículo 18, apartado 1, sin el consentimiento previo por escrito del expedidor.
            
            
               5.Las instituciones y órganos de la Unión podrán rebajar el grado de clasificación o desclasificar parcialmente la ICUE que creen. En tal caso, se elaborará un resumen en el que la información se haya desclasificado o cuya clasificación haya sido rebajada.
            
            
               6.Las instituciones y órganos de la Unión informarán a la organización receptora de la ICUE de su rebaja de grado de clasificación o desclasificación.
            
            
               Artículo 36
            
         
         
            
               Marcas en documentos con rebaja del grado de clasificación y desclasificados
            
            
               1.Cuando las instituciones y órganos de la Unión decidan desclasificar un documento que contenga ICUE, se estudiará si va a llevar una marca de distribución de información sensible no clasificada.
            
            
               2.La marca de clasificación original en la parte superior e inferior de cada página deberá tacharse de forma visible mediante la función «tachado», en el caso de los formatos electrónicos, o de forma manual, en los documentos impresos. No se retirará la marca de clasificación original.
            
            
               3.La primera página (cubierta) deberá llevar un sello que indique que el documento ha sido objeto de una rebaja del grado de clasificación o desclasificado y completarse con los datos de la autoridad responsable de la rebaja de clasificación o la desclasificación y la fecha correspondiente. La rebaja del grado de reclasificación o desclasificación de los documentos electrónicos de la ICUE se demostrará mediante una firma electrónica bajo la autoridad del expedidor.
            
            
               Artículo 37
            
            
               Destrucción y supresión de ICUE
            
            
               1.Las instituciones y órganos de la Unión revisarán la ICUE, tanto en papel como en los SIC, al menos cada cinco años para determinar si deben destruirse o suprimirse. Cuando se destruya o elimine ICUE, se darán instrucciones a cualquier persona que haya recibido previamente dicha ICUE.
            
            
               2.Las instituciones y órganos de la Unión podrán destruir duplicados de ICUE que ya no sean necesarios, teniendo en cuenta las normas pertinentes sobre gestión de los originales.
            
            
               3.Solo el RCO de las instituciones y órganos de la Unión podrá destruir cualquier copia impresa de información CONFIDENTIEL UE/EU CONFIDENTIAL o superior. El RCO actualizará en consecuencia los registros y otra información de registro, conservando los metadatos esenciales del documento destruido.
            
            
               Cuando se trate de documentos clasificados de grado SECRET UE/EU SECRET o superior, el RCO solo podrá destruirlos en presencia de un testigo, que deberá estar habilitado como mínimo para el grado de clasificación del documento que se vaya a destruir.
            
            
               4.El RCO y, en su caso, el testigo firmarán un certificado de destrucción, que se archivará en el registro. El certificado se conservará durante al menos cinco años en el caso de la información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU-SECRET, y durante al menos 10 años en el caso de la información clasificada de grado TRES SECRET-UE/EU-TOP SECRET.
            
            
               Artículo 38
            
            
               Evacuación y destrucción de ICUE en caso de emergencia
            
            
               1.Cada institución y órgano de la Unión elaborará planes de evacuación y destrucción de emergencia basados en las condiciones locales para salvaguardar la ICUE que corra un riesgo significativo de caer en manos no autorizadas.
            
            
               A su vez, los detalles operativos de los planes de evacuación y destrucción de emergencia se clasificarán como RESTREINT UE/EU RESTRICTED.
            
            
               2.En caso de emergencia, cuando exista un riesgo inminente de divulgación no autorizada de ICUE, las instituciones y órganos de la Unión evacuarán la ICUE. 
            
            
               Cuando no sea posible la evacuación, la ICUE se destruirá de forma que no pueda reconstruirse total o parcialmente.
            
            
               3.Se informará al expedidor y al registro de origen de la destrucción de emergencia de la ICUE registrada.
            
            
               4.Cuando se hayan activado planes de emergencia, se dará prioridad a evacuar o destruir primero los grados superiores de ICUE, incluido el equipo de cifrado. 
            
            
               Artículo 39
            
         
         
            
               Archivo
            
            
               1.Las instituciones y órganos de la Unión decidirán si y cuándo archivan ICUE, así como las medidas prácticas correspondientes, de conformidad con su política en materia de gestión de documentos.
            
            
               2.Los documentos que contengan ICUE no se transferirán a los Archivos Históricos de la Unión Europea.
            
            
               Sección 5 
                  Protección de la ICUE en los sistemas de información y comunicación (SIC)
            
            
               Artículo 40
            
            
               Subgrupo sobre acreditación de sistemas de información y comunicación que traten y almacenen ICUE
            
            
               El subgrupo de garantía de la información a que se refiere el artículo 7, apartado 1, letra d), tendrá las siguientes funciones y responsabilidades:
            
            
               a)asistir a las instituciones y órganos de la Unión en sus procesos de acreditación;
            
            
               b)recomendar una norma de acreditación que deberán seguir todas las instituciones y órganos de la Unión;
            
            
               c)difundir y compartir las mejores prácticas y orientaciones relativas a la acreditación de los SIC.
            
            
               Artículo 41
            
            
               Sistemas de información y comunicación
            
            
               Las instituciones y órganos de la Unión cumplirán los siguientes requisitos en relación con el tratamiento y almacenamiento de ICUE en relación con los SIC:
            
            
               a)el propietario del sistema o la Autoridad Operativa de Garantía de la Información consultará a la Autoridad de Acreditación de Seguridad antes de desarrollar, adquirir o permitir que un SIC trate y almacene ICUE a fin de determinar los requisitos de acreditación;
            
            
               b)los principios clave de seguridad para el diseño de SIC de tratamiento y almacenamiento de ICUE se aplicarán al inicio del proyecto, como parte del proceso de gestión del riesgo para la seguridad de la información y teniendo en cuenta la necesidad de conocer, la funcionalidad mínima, la defensa en profundidad, el principio de mínimo privilegio, la separación de funciones y el principio de la presencia de dos personas;
            
            
               c)los componentes de almacenamiento, tratamiento central y gestión de la red de un SIC que trate y almacene ICUE se instalarán en una zona de acceso restringido, tal como se contempla en el anexo III;
            
            
               d)la aplicación de medidas de seguridad TEMPEST, que serán proporcionadas al riesgo de explotación de la información y al nivel de clasificación de esta.
            
            
               e)todo el personal que utilice un SIC que trate y almacene ICUE notificará a la autoridad de seguridad y al propietario pertinente del sistema o a la Autoridad Operativa de Garantía de la Información cualquier posible deficiencia, incidente, fallo de seguridad o puesta en peligro del sistema que pueda afectar a la protección del SIC o de la ICUE que contenga;
            
            
               f)cuando proceda, la autoridad de seguridad notificará a las autoridades de seguridad de cualesquiera otras instituciones y órganos de la Unión afectados las posibles deficiencias o incidentes de seguridad que puedan afectar al tratamiento y almacenamiento de ICUE por parte de sus SIC.
            
            
               Artículo 42
            
         
         
            
               Productos criptográficos
            
            
               1.Para la transmisión y almacenamiento de ICUE por medios electrónicos se utilizarán productos criptográficos aprobados. El Consejo mantendrá la lista de productos criptográficos aprobados, sobre la base de las aportaciones de las autoridades nacionales de seguridad.
            
            
               2.Cuando la lista a que se refiere el apartado 1 no incluya ningún producto adecuado para la finalidad prevista, la Autoridad de Certificación Criptográfica de la institución u órgano de la Unión de que se trate solicitará una aprobación provisional del Consejo. Siempre que sea posible, se seleccionará un producto criptográfico aprobado por la autoridad nacional de seguridad de un Estado miembro.
            
            
               El Consejo adoptará las medidas necesarias para que se añada a la lista un producto adecuado.
            
            
               3.Las aprobaciones de productos criptográficos tendrán una validez máxima de cinco años y se revisarán anualmente a partir de ese momento.
            
            
               4.El Consejo suprimirá de la lista de productos criptográficos aprobados todo producto criptográfico cuya aprobación nacional haya sido retirada o haya expirado.
            
            
               5.El Grupo de Coordinación informará anualmente al Consejo de cualquier producto criptográfico que recomiende para su evaluación por parte de una Autoridad de Certificación Criptográfica de un Estado miembro sobre la base de una encuesta realizada en las instituciones y órganos de la Unión.
            
            
               Artículo 43
            
            
               Acreditación de los SIC que tratan y almacenan ICUE
            
            
               1.Al acreditar a los SIC para tratar y almacenar ICUE, las instituciones y órganos de la Unión confirmarán que se han aplicado todas las medidas de seguridad oportunas y se ha logrado un grado de protección suficiente de la ICUE y de los SIC, de conformidad con el presente Reglamento.
            
            
               2.El propietario del SIC o la Autoridad Operativa de Garantía de la Información será responsable de la preparación de los expedientes y la documentación de acreditación, incluidos manuales para los diferentes tipos de usuarios.
            
            
               3.La Autoridad de Acreditación de Seguridad de cada institución y órgano de la Unión será responsable de establecer un proceso de acreditación con condiciones claras que requieran aprobación para todos los SIC bajo su autoridad.
            
            
               4.Cuando un SIC que trate y almacene ICUE implique tanto a instituciones y órganos de la Unión como a autoridades nacionales de seguridad, las instituciones y órganos de la Unión de que se trate establecerán, mediante nuevas normas de aplicación adoptadas de conformidad con el artículo 8, apartado 2, un Consejo de Acreditación de Seguridad conjunto encargado de la acreditación del sistema. Dicho Consejo estará compuesto por representantes de la Autoridad de Acreditación de Seguridad de las partes implicadas y presidido por la Autoridad de Acreditación de Seguridad de la institución u órgano de la Unión que sea propietario del SIC.
            
            
               Artículo 44
            
            
               Proceso de acreditación de los SIC que traten y almacenen ICUE
            
            
               1.Todos los SIC que traten y almacenen ICUE se someterán a un proceso de acreditación, basado en los principios de garantía de la información, cuyo nivel de detalle será proporcional al nivel de protección requerido.
            
            
               2.El proceso de acreditación dará lugar a una declaración de acreditación que determinará el grado máximo de clasificación de la información que pueda tratarse y almacenarse mediante un SIC, así como las condiciones correspondientes. La declaración de acreditación se basará en la validación formal de la evaluación del riesgo y de las medidas de seguridad aplicadas al SIC de que se trate, aportando garantías sobre los siguientes elementos:
            
            
               a)ejecución correcta del proceso de gestión del riesgo para la seguridad de la información;
            
            
               b)asunción consciente por el propietario del sistema del riesgo residual; 
            
            
               c)logro de un nivel de protección suficiente del SIC y de la ICUE tratada en él, de conformidad con el presente Reglamento.
            
         
         
            
               3.La Autoridad de Acreditación de Seguridad de una institución u órgano de la Unión validará oficialmente la declaración de acreditación. Una vez efectuada la acreditación, la Autoridad de Acreditación de Seguridad expedirá una declaración de acreditación que determinará el grado máximo de clasificación de la ICUE que pueda tratarse en el SIC, así como las condiciones correspondientes para el tratamiento. La autorización se expedirá por un período determinado. Cuando no se apliquen una o varias de las medidas de seguridad requeridas, pero ello no afecte significativamente a la seguridad general, podrá expedirse una autorización provisional para operar, especificando los puntos que deben ser corregidos.
            
            
               4.En cualquier momento del ciclo de vida de un SIC, la Autoridad de Acreditación de Seguridad de la institución u órgano de la Unión de que se trate podrá adoptar las siguientes medidas:
            
            
               a)aplicar un proceso de acreditación;
            
            
               b)auditar o inspeccionar el SIC;
            
            
               c)cuando dejen de cumplirse las condiciones de explotación, por ejemplo cuando un incidente de seguridad haya puesto de manifiesto una vulnerabilidad significativa en el SIC, se requerirá el establecimiento y la aplicación efectiva de un plan de mejora de la seguridad en un plazo bien definido, retirando potencialmente la autorización de funcionamiento del SIC hasta que se cumplan las condiciones de funcionamiento.
            
            
               5.El propietario del sistema o la Autoridad Operativa de Garantía de la Información presentará anualmente un informe oficial a la Autoridad de Acreditación de Seguridad durante el período de validez de la aprobación de funcionamiento, que incluirá un resumen de cualquier incidente, cambio y factor de riesgo significativos.
            
            
               Artículo 45
            
            
               Circunstancias de emergencia
            
            
               1.Las instituciones y órganos de la Unión podrán aplicar procedimientos específicos para transmitir o almacenar ICUE clasificada en una emergencia, por ejemplo, durante crisis, conflictos o situaciones de guerra inminentes o reales, o en circunstancias operativas excepcionales, previa aprobación de su Autoridad de Certificación Criptográfica.
            
            
               2.En las circunstancias establecidas en el apartado 1, la ICUE podrá transmitirse utilizando productos criptográficos que hayan sido certificados para un grado de clasificación inferior o sin encriptado con el consentimiento de la autoridad competente, si resulta evidente que un retraso podría causar un daño manifiestamente superior al que acarrea la revelación del material clasificado, y siempre que se cumplan las condiciones siguientes:
            
            
               a)el emisor y el receptor carezcan de los medios de encriptado requeridos; y 
            
            
               b)el material clasificado no pueda transmitirse a tiempo por otros medios.
            
            
               3.En las circunstancias expuestas en el apartado 2, la información clasificada transmitida no llevará ninguna marca ni indicación que la distinga de la información no clasificada o que pueda protegerse mediante un producto criptográfico disponible. Se notificará sin demora a los receptores el grado de clasificación, recurriendo a otros medios.
            
            
               4.Se presentará a la autoridad de seguridad pertinente un informe posterior sobre la transmisión de ICUE en las circunstancias a que se refiere el apartado 1.
            
            
               Sección 6 
                  Seguridad industrial
            
            
               Artículo 46
            
            
               Principios fundamentales
            
            
               1.Cada institución u órgano de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, velará por que las normas mínimas sobre seguridad industrial establecidas en la presente sección y las condiciones para la protección de la ICUE en los contratos y acuerdos de subvención clasificados que figuran en el anexo V se mencionen o incorporen en los contratos o acuerdos de subvención y se cumplan cuando se adjudiquen contratos o acuerdos de subvención clasificados.
            
            
               2.La seguridad industrial es la aplicación de medidas para garantizar la protección de la ICUE por parte de las siguientes personas o entidades:
            
            
               a)mediante gestión directa
                  30
               , en el marco de los contratos clasificados, por:
            
         
         
            
               i)los candidatos o licitadores durante todo el procedimiento de licitación y contratación;
            
            
               ii)los contratistas o subcontratistas durante toda la vigencia de los contratos clasificados;
            
            
               b)mediante gestión directa
                  31
               , en el marco de los contratos clasificados, por:
            
            
               i)los solicitantes durante los procedimientos de concesión de subvenciones;
            
            
               ii)los beneficiarios o subcontratistas durante toda la vigencia de los acuerdos de subvención;
            
            
               c)en régimen de gestión indirecta, en el marco de los acuerdos marco de colaboración financiera y de los correspondientes acuerdos de contribución de las entidades encargadas a lo largo de todo el ciclo de vida de dichos acuerdos.
            
            
               3.Como entidad delegante, la institución u órgano de la Unión describirá los requisitos de seguridad específicos para la entidad encargada en el capítulo de seguridad del acuerdo marco de colaboración financiera y los acuerdos de contribución correspondientes. Estos requisitos se basarán en los principios y disposiciones de seguridad establecidos en el presente Reglamento en relación con los contratos y acuerdos de subvención clasificados, que se aplicarán mutatis mutandis.
            
            
               4.Los contratos clasificados y los acuerdos de subvención clasificados no podrán suponer el acceso a información clasificada de grado TRÈS SECRET UE/EU TOP SECRET.
            
            
               5.Las disposiciones del presente capítulo relativas a contratos o contratistas clasificados, o a subvenciones o beneficiarios clasificados, se aplicarán también a los subcontratos o subcontratistas clasificados en el sentido, respectivamente, de los contratos o subvenciones clasificados.
            
            
               6.Las instituciones y órganos de la Unión, en su calidad de órgano de contratación o de autoridad que concede la subvención, cooperarán estrechamente con las autoridades de seguridad o con cualquier otra autoridad competente del país en cuyo territorio esté registrada la parte contractual o el beneficiario de la subvención, así como con la autoridad de seguridad o cualquier otra autoridad competente de la organización internacional a la que se haya otorgado el contrato o subvención.
            
            
               7.Las instituciones y órganos de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, se comunicarán con las autoridades de seguridad o con cualquier otra autoridad competente a través de sus autoridades de seguridad.
            
            
               8.Las instituciones y órganos de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, lo notificarán a las autoridades a que se refiere el apartado 6, a través de su autoridad de seguridad, siempre que se haya firmado un contrato o acuerdo de subvención clasificado.
            
            
               La notificación incluirá datos pertinentes, como los nombres del contratista o de los beneficiarios, la duración del contrato o acuerdo de subvención clasificado y el nivel máximo de clasificación.
            
            
               Las instituciones y órganos de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, también notificarán a las autoridades a que se refiere el apartado 6 los contratos o convenios de subvención clasificados que se resuelvan prematuramente.
            
            
               9.Las instituciones y órganos de la Unión, como órgano de contratación o autoridad que concede la subvención, solo podrán adjudicar contratos clasificados o partes clasificadas de subvenciones a entidades registradas en los terceros países o establecidas por organizaciones internacionales que hayan celebrado un acuerdo sobre seguridad de la información con la Unión. Cuando la ICUE de que se trate contenga datos personales, toda transferencia de estos a un tercer país u organización internacional se efectuará de conformidad con el Reglamento (UE) 2018/1725.
            
            
               Artículo 47
            
            
               Elementos de seguridad en un contrato o acuerdo de subvención clasificado
            
            
               1.Los contratos o acuerdos de subvención clasificados incluirán los siguientes elementos de seguridad:
            
            
               a)guía de clasificación de seguridad;
            
            
               b)cláusula sobre aspectos de la seguridad.
            
         
         
            
               2.Los contratos o acuerdos de subvención clasificados podrán incluir instrucciones de seguridad del programa o proyecto.
            
            
               Artículo 48
            
            
               Guía de Clasificación de Seguridad 
            
            
               1.Antes de firmar un contrato o acuerdo de subvención clasificado, la institución u órgano de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, determinará la clasificación de seguridad de toda información que deban crear los contratistas o beneficiarios, o sus subcontratistas. A tal efecto, elaborará una Guía de Clasificación de Seguridad que se utilizará para la ejecución del contrato o acuerdo de subvención clasificado.
            
            
               2.La Guía de Clasificación de Seguridad podrá modificarse durante toda la vigencia del programa o proyecto (como se establece en el artículo 50), contrato o acuerdo de subvención, y los elementos de información podrán reclasificarse o rebajarse su grado de clasificación. 
            
            
               3.Para determinar la clasificación de seguridad de los diversos elementos de un contrato o acuerdo de subvención clasificado se aplicarán los principios siguientes:
            
            
               a)al elaborar una Guía de Clasificación de Seguridad, la institución u órgano de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, tendrá en cuenta todos los aspectos de seguridad pertinentes, incluida la clasificación de seguridad atribuida a la información que se facilite y apruebe para ser utilizada en el contrato o acuerdo de concesión clasificado en cuestión por el expedidor de la información;
            
            
               b)el grado general de clasificación del contrato o acuerdo de subvención clasificado no podrá ser inferior al grado más alto de clasificación de cualquiera de sus elementos; 
            
            
               c)cuando proceda, la institución u órgano de la Unión de que se trate, en su calidad de órgano de contratación o autoridad que concede la subvención, se pondrá en contacto, a través de su autoridad de seguridad, con las autoridades de seguridad o con cualquier otra autoridad competente del país de que se trate, en caso de introducir cambios en la Guía de Clasificación de Seguridad.
            
            
               Artículo 49
            
            
               Clausula sobre aspectos de la seguridad
            
            
               1.Cada institución u órgano de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, describirá los requisitos específicos de seguridad del contrato o de la subvención clasificados en una cláusula sobre aspectos de la seguridad. Dicha cláusula incluirá la Guía de la Clasificación de Seguridad y formará parte integrante de un contrato, acuerdo de subvención o subcontrato clasificado.
            
            
               2.La cláusula sobre aspectos de la seguridad contendrá disposiciones que obliguen al contratista o beneficiario, así como a sus subcontratistas, a cumplir las disposiciones establecidas en el presente Reglamento y cualesquiera otras normas de desarrollo adoptadas de conformidad con el artículo 8, apartado 2, en relación con la seguridad industrial. La cláusula sobre aspectos de la seguridad indicará claramente que el incumplimiento de dichas disposiciones puede constituir motivo suficiente para la resolución del contrato o acuerdo de subvención clasificado.
            
            
               Artículo 50
            
            
               Instrucciones de seguridad de un programa o proyecto 
            
            
               1.Las instituciones y órganos de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, podrán elaborar instrucciones de seguridad de un programa o proyecto, en estrecha cooperación con sus autoridades de seguridad, en particular para los programas y proyectos caracterizados por su considerable alcance, escala o complejidad, o por la multitud o diversidad de contratistas, beneficiarios y otros socios y partes interesadas implicados.
            
            
               2.La autoridad de seguridad de cada institución u órgano de la Unión, en su calidad de órgano de contratación o autoridad que concede la subvención, presentará las instrucciones de seguridad del programa o proyecto específico para su asesoramiento al organismo consultivo de seguridad del Estado miembro correspondiente compuesto por sus autoridades nacionales de seguridad o autoridades de seguridad designadas.
            
            
               Cuando una institución u órgano de la Unión no disponga de tal órgano consultivo, las instrucciones de seguridad del programa o proyecto se presentarán al Comité de Seguridad de la Información a que se refiere el artículo 6, apartado 8.
            
            
               Sección 7 
                  Puesta en común de ICUE e intercambio de información clasificada
            
            
               Artículo 51
            
         
         
            
               Principios fundamentales
            
            
               1.Todas las instituciones y órganos de la Unión podrán compartir ICUE con otras instituciones u órganos de la Unión en las condiciones establecidas en el artículo 54.
            
            
               2.Las instituciones y órganos de la Unión podrán compartir ICUE con los Estados miembros y la Comunidad Europea de la Energía Atómica siempre que estos protejan dicha información de conformidad con el marcado de clasificación correspondiente establecido en el Acuerdo entre los Estados miembros de la Unión, reunidos en el seno del Consejo, sobre la protección de la información clasificada intercambiada en interés de la Unión y con el cuadro correspondiente que figura en el anexo VI del presente Reglamento. 
            
            
               3.Las instituciones y órganos de la Unión solo intercambiarán información clasificada con terceros países u organizaciones internacionales con los que se haya celebrado un acuerdo sobre seguridad de la información o un acuerdo administrativo de conformidad con los artículos 55 y 56.
            
            
               Dichos acuerdos y disposiciones contendrán disposiciones que garanticen que los terceros países o las organizaciones internacionales que reciban ICUE protegerán dicha información de manera acorde con su grado de clasificación y conforme a normas mínimas que no sean menos estrictas que las que establece el presente Reglamento.
            
            
               4.Cuando no exista un acuerdo sobre seguridad de la información o un acuerdo administrativo, una institución u órgano de la Unión podrá, en circunstancias excepcionales, ceder ICUE a otra institución u órgano de la Unión, a un tercer país o a una organización internacional de conformidad con el artículo 58.
            
            
               5.Las instituciones y órganos de la Unión designarán los registros que servirán como principales puntos de entrada y salida de ICUE compartida con otras instituciones u órganos de la Unión o la información clasificada intercambiada con terceros países y organizaciones internacionales. 
            
            
               Artículo 52
            
            
               Subgrupo de puesta en común de ICUE e intercambio información clasificada
            
            
               1.El subgrupo de puesta en común de ICUE e intercambio de información clasificada a que se refiere el artículo 7, apartado 1, letra e), tendrá las siguientes funciones y responsabilidades:
            
            
               a)organización de visitas de evaluación a instituciones y órganos de la Unión, terceros países y organizaciones internacionales, y adopción del programa anual de visitas;
            
            
               b)preparación y realización de las visitas de evaluación;
            
            
               c)elaboración de un informe sobre los resultados de las visitas a que se refiere la letra a), 
            
            
               excepto en los casos a que se refiere el artículo 56, apartado 2.
            
            
               2.El subgrupo de puesta en común de ICUE e intercambio de información clasificada estará compuesto por representantes de la Comisión, del Consejo y del Servicio Europeo de Acción Exterior y actuará por consenso. 
            
            
               Artículo 53
            
            
               Visitas de evaluación relacionadas con la puesta en común de ICUE
            
            
               1.El subgrupo de puesta en común de ICUE e intercambio de información clasificada llevará a cabo visitas de evaluación en plena cooperación con los funcionarios de la institución u órgano de la Unión visitado. Podrá solicitar la asistencia de la ANS en cuyo territorio esté situada la institución u órgano de la Unión.
            
            
               2.Las visitas de evaluación a las instituciones y órganos de la Unión de que se trate tendrán los siguientes objetivos:
            
            
               a)comprobar si se cumplen los requisitos para la protección de la ICUE establecidos en el presente Reglamento y, por tanto, si las medidas aplicadas son eficaces;
            
         
         
            
               b)destacar la importancia de la seguridad y de una efectiva gestión del riesgo en la organización visitada;
            
            
               c)recomendar contramedidas que permitan paliar los efectos específicos de la pérdida de disponibilidad, confidencialidad o integridad de la información clasificada; 
            
            
               d)reforzar los programas de formación y sensibilización en materia de seguridad que ya realicen las autoridades de seguridad.
            
            
               3.Al término de la visita de evaluación, el subgrupo de puesta en común de ICUE e intercambio de información clasificada llevará a cabo las siguientes tareas:
            
            
               a)elaborar un informe con las principales conclusiones de la evaluación;
            
            
               b)recabar el dictamen del Comité de Seguridad de la Información a que se refiere el artículo 6, apartado 8, sobre el informe;
            
            
               c)enviar el informe para su seguimiento a la autoridad de seguridad de la institución u órgano de la Unión visitado.
            
            
               4.Cuando el informe proponga medidas correctoras o formule recomendaciones, se organizará una visita de seguimiento con el fin de verificar si se han tomado dichas medidas o se han seguido las recomendaciones.
            
            
               Artículo 54
            
            
               Puesta en común de ICUE
            
            
               1.Una institución u órgano de la Unión podrá compartir ICUE con otra institución u órgano de la Unión cuando se cumplan las siguientes condiciones:
            
            
               a)exista una necesidad demostrada de puesta en común;
            
            
               b)se haya realizado una visita de evaluación a la institución u órgano de la Unión de que se trate, de conformidad con el artículo 53, cuyo resultado certifique la capacidad de dicha institución u órgano para tratar y almacenar ICUE de un determinado grado;
            
            
               c)la autoridad de seguridad de la institución u órgano de la Unión de que se trate decida que puede compartir información clasificada hasta un determinado grado con otras instituciones y órganos certificados de la Unión.
            
            
               2.La Secretaría del Grupo de Coordinación establecerá una lista de los grados de ICUE que podrá tratar y almacenar cada institución y órgano de la Unión que cumpla las condiciones establecidas en el apartado 1, letras b) y c). Dicha lista se actualizará regularmente. 
            
            
               Artículo 55
            
            
               Acuerdos sobre seguridad de la información
            
            
               1.Cuando sea necesario intercambiar durante mucho tiempo información clasificada con un tercer país o una organización internacional, la institución u órgano competente tratará de negociar y celebrar un acuerdo sobre seguridad de la información, de conformidad con el artículo 218 del Tratado de Funcionamiento de la Unión Europea.
            
            
               2.El acuerdo sobre seguridad de la información establecerá los principios básicos y las normas mínimas aplicables al intercambio de información clasificada entre la Unión y un tercer Estado u organización internacional.
            
            
               3.Los acuerdos sobre seguridad de la información establecerán las disposiciones técnicas de aplicación que deban convenirse entre las autoridades de seguridad competentes de las instituciones y órganos pertinentes de la Unión y la autoridad de seguridad competente del tercer Estado u organización internacional de que se trate.
            
         
         
            
               4.Antes de la aprobación de las disposiciones técnicas de aplicación a que se refiere el apartado 3, el subgrupo de puesta en común de ICUE e intercambio de información clasificada realizará una visita de evaluación de conformidad con el artículo 57.
            
            
               Artículo 56
            
            
               Acuerdos administrativos con terceros países y organizaciones internacionales
            
            
               1.Cuando su reglamento interno o sus actos fundacionales prevean tal posibilidad, las instituciones y órganos de la Unión podrán celebrar un acuerdo administrativo con sus homólogos de un tercer país u organización internacional, tras informar al subgrupo de puesta en común de ICUE e intercambio de información clasificada, y siempre que se cumplan las siguientes condiciones:
            
            
               a)la institución u órgano de la Unión de que se trate tenga que intercambiar durante un largo período información clasificada, como norma general, en un grado no superior a RESTREINT UE/EU RESTRICTED con su homólogo de un tercer país u organización internacional;
            
            
               b)la institución u órgano de la Unión de que se trate cumpla las condiciones establecidas en el artículo 54, apartado 1;
            
            
               c)el informe de la visita de evaluación a que se refiere el artículo 57 certifique que el homólogo pertinente del tercer país u organización internacional de que se trate tenga capacidad para tratar y almacenar ICUE de un determinado grado.
            
            
               2.Antes de celebrar un acuerdo administrativo, se llevará a cabo una visita de evaluación de conformidad con los principios establecidos en el artículo 57. La institución u órgano de la Unión que solicite el acuerdo administrativo podrá solicitar al subgrupo sobre puesta en común de ICUE que lleve a cabo la visita de evaluación en su nombre o que participe en la visita. 
            
            
               3.La autoridad de seguridad de la institución u órgano de la Unión que solicite el acuerdo administrativo decidirá sobre las condiciones específicas que rigen el intercambio, así como sobre el grado máximo de ICUE que podrá intercambiarse. Dicho grado no será superior al establecido para compartir ICUE con otras instituciones y órganos de la Unión, de conformidad con el artículo 54, y, en su caso, no será superior al establecido en virtud de un acuerdo sobre seguridad de la información con el mismo tercer país u organización internacional. 
            
            
               Artículo 57
            
            
               Visitas de evaluación para el intercambio de información clasificada con terceros países y organizaciones internacionales
            
            
               1.Se realizará una visita de evaluación a un tercer país u organización internacional para determinar si una institución u órgano de la Unión puede intercambiar información clasificada con el tercer país u organización internacional de que se trate.
            
            
               2.El objetivo de la visita será evaluar la eficacia de las normas y procedimientos de seguridad del tercer país u organización internacional de que se trate en lo que respecta a la protección de la ICUE de un determinado grado. La visita de evaluación se llevará a cabo de común acuerdo con el tercer país u organización internacional de que se trate.
            
            
               3.La visita de evaluación deberá evaluar al menos los elementos siguientes:
            
            
               a)el marco reglamentario aplicable a la protección de la información clasificada y su adecuación para la protección de la ICUE de un determinado grado;
            
            
               b)las características propias de la política de seguridad y la forma en que se organiza la seguridad en el tercer país u organización internacional, que pueden influir en el grado de la información clasificada que pueda intercambiarse;
            
            
               c)las medidas y procedimientos de seguridad que se aplican efectivamente; 
            
            
               d)los procedimientos de habilitación de seguridad relativos al grado de ICUE que vaya a cederse.
            
            
               4.El Comité de Seguridad de la Información a que se refiere el artículo 6, apartado 8, recibirá un informe sobre los resultados de dichas visitas antes de que la ICUE se ceda efectivamente al tercer país u organización internacional de que se trate. Cuando proceda, el informe también se compartirá con la institución u órgano de la Unión de que se trate.
            
            
               5.Las autoridades de seguridad competentes de la institución u órgano de la Unión de que se trate comunicarán al tercer Estado u organización internacional la fecha a partir de la cual la Unión estará en condiciones de ceder ICUE, así como el máximo grado de ICUE que pueda intercambiarse en soporte de papel o por medios electrónicos.
            
         
         
            
               6.Se organizarán visitas de seguimiento cuando se cumplan las condiciones siguientes:
            
            
               a)sea necesario elevar el grado de ICUE que puede intercambiarse;
            
            
               b)se hayan notificado a la institución u órgano de la Unión de que se trate cambios fundamentales en las disposiciones de seguridad del tercer país u organización internacional que puedan afectar a la forma en que se protege la ICUE; 
            
            
               c)se haya producido un incidente grave de seguridad que implique revelación no autorizada de ICUE. 
            
            
               Artículo 58
            
            
               Cesión ad hoc de ICUE con carácter excepcional 
            
            
               1.En ausencia de un acuerdo sobre seguridad de la información o de un acuerdo administrativo, cuando una institución u órgano de la Unión determine que existe una necesidad excepcional de ceder ICUE a otra institución u órgano de la Unión o a un tercer país u organización internacional, o
            
            
               cuando se haya celebrado un acuerdo sobre seguridad de la información o un acuerdo administrativo y una institución u órgano de la Unión determine que existe una necesidad excepcional de ceder ICUE de un grado superior al ya estipulado en el acuerdo o en las disposiciones, la institución u órgano de la Unión que facilite ICUE adoptará las medidas siguientes:
            
            
               a)en la medida de lo posible, verificar con las autoridades de seguridad del tercer país, la organización internacional o la institución u órgano receptor de la Unión que sus normas, estructuras y procedimientos de seguridad pueden garantizar la protección de la ICUE cedida con arreglo a normas no menos estrictas que las establecidas en el presente Reglamento;
            
            
               b)recabar el dictamen del Comité de Seguridad de la Información a que se refiere el artículo 6, apartado 8, sobre la base de la verificación realizada con arreglo a la letra a), salvo que las circunstancias operativas exijan una cesión ad hoc inmediata, en cuyo caso se informará posteriormente a dicho Comité.
            
            
               2.Todos los documentos cedidos de conformidad con el presente artículo llevarán una marca de posibilidad de cesión que indique el tercer país, la organización internacional o la institución u órgano de la Unión al que se hayan cedido.
            
            
               3.Antes o en el momento de la cesión efectiva, la institución u órgano de la Unión que facilite ICUE solicitará a la parte receptora que se comprometa por escrito a proteger la ICUE que reciba. Cuando proceda, se le pedirá que se comprometa a proteger la ICUE de conformidad con los principios básicos y las normas mínimas establecidas en el presente Reglamento.
            
            
               Capítulo 6 
                  Disposiciones finales
            
            
               Artículo 59
            
            
               Aplicación
            
            
               1.El Grupo de Coordinación establecerá orientaciones en materia de seguridad de la información para la aplicación del presente Reglamento.
            
            
               2.En función de sus necesidades específicas, las instituciones y órganos de la Unión podrán adoptar normas internas a efectos de la aplicación del presente Reglamento, de conformidad con el artículo 8, apartado 2.
            
            
               Artículo 60
            
            
               Disposiciones transitorias
            
            
               1.Las normas internas sobre seguridad de la información adoptadas por cada institución u órgano de la Unión antes del [dd.mm.aaaa, fecha de aplicación] se revisarán a más tardar el [tres años después de la entrada en vigor del presente Reglamento].
            
         
         
            
               2.Se considerará que todas las instituciones y órganos de la Unión cumplen las condiciones a que se refiere el artículo 19, apartado 1, si han sido evaluados por la Comisión, el Consejo o el SEAE antes del [dd.mm.aaaa, fecha de aplicabilidad] como adecuados para tratar y almacenar ICUE.
            
            
               3.Todo acuerdo administrativo celebrado por las instituciones y órganos de la Unión con terceros países y organizaciones internacionales antes del [dd.mm.aaaa, fecha de aplicación] seguirá siendo válido.
            
            
               4.Cuando los Estados miembros en cuyo territorio los beneficiarios del acuerdo de subvención de la Comisión en el marco del Programa Europeo de Desarrollo Industrial en materia de Defensa hayan decidido disponer de un marco de seguridad específico para la protección y el tratamiento de la información clasificada a nivel nacional en relación con el acuerdo de subvención de que se trate, la Comisión, al aplicar los procedimientos de seguridad industrial contenidos en el presente Reglamento, respetará dicho marco de seguridad hasta el final del ciclo de vida del acuerdo de subvención.
            
            
               Artículo 61
            
            
               Supervisión y evaluación
            
            
               1.A más tardar el [dd.mm.aaaa, tres años después de la fecha de aplicación], la Comisión presentará al Parlamento Europeo y al Consejo un informe sobre la aplicación del presente Reglamento.
            
            
               2.No antes de [cinco años después de la fecha de aplicación] y posteriormente cada cinco años, la Comisión realizará una evaluación del presente Reglamento y presentará un informe sobre las principales conclusiones al Parlamento Europeo y al Consejo.
            
            
               Artículo 62
            
            
               Entrada en vigor y aplicación
            
            
               1.El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.
            
            
               2.Será aplicable desde el [fecha: primer día del mes siguiente al período de dos años después de la fecha de entrada en vigor].
            
            
               El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
            
            
               Hecho en Bruselas, el
            
            
               
                  Por el Parlamento Europeo
                        Por el Consejo
               
               
                  La Presidenta
                        El Presidente
               
               
                  [...]
                        [...]
               
            
            
               FICHA FINANCIERA LEGISLATIVA
            
            
               1.MARCO DE LA PROPUESTA/INICIATIVA
            
            
               1.1.Denominación de la propuesta/iniciativa
            
            
               1.2.Política(s) afectada(s)
            
         
         
            
               1.3.Propuesta/iniciativa relativa a:
            
            
               1.4.Objetivo(s)
            
            
               1.4.1.Objetivo(s) general(es)
            
            
               1.4.2.Objetivo(s) específico(s)
            
            
               1.4.3.Resultado(s) e incidencia esperados
            
            
               1.4.4.Indicadores de rendimiento
            
            
               1.5.Justificación de la propuesta/iniciativa
            
            
               1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la aplicación de la iniciativa
            
            
               1.5.2.Valor añadido de la intervención de la Unión (puede derivarse de distintos factores, como mejor coordinación, seguridad jurídica, mejora de la eficacia o complementariedades). A efectos del presente punto, se entenderá por «valor añadido de la intervención de la Unión» el valor resultante de una intervención de la Unión que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.
            
            
               1.5.3.Principales conclusiones extraídas de experiencias similares anteriores
            
            
               1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados
            
            
               1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de reasignación
            
            
               1.6.Duración e incidencia financiera de la propuesta/iniciativa
            
            
               1.7.Modo(s) de gestión previsto(s)
            
            
               2.MEDIDAS DE GESTIÓN
            
            
               2.1.Normas en materia de seguimiento e informes
            
            
               2.2.Sistema(s) de gestión y de control
            
            
               2.2.1.Justificación del modo / de los modo(s) de gestión, el/los mecanismo(s) de aplicación de la financiación, de las modalidades de pago y de la estrategia de control propuestos
            
            
               2.2.2.Información relativa a los riesgos identificados y al /a los sistema(s) de control interno establecidos para atenuarlos
            
            
               2.2.3.Estimación y justificación de la relación coste/beneficio de los controles (ratio «gastos de control ÷ valor de los correspondientes fondos gestionados»), y evaluación del nivel esperado de riesgo de error (al pago y al cierre)
            
         
         
            
               2.3.Medidas de prevención del fraude y de las irregularidades
            
            
               3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA
            
            
               3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s)
            
            
               3.2.Incidencia financiera estimada de la propuesta en los créditos
            
            
               3.2.1.Resumen de la incidencia estimada en los créditos de operaciones
            
            
               3.2.2.Resultados estimados financiados con créditos de operaciones
            
            
               3.2.3.Resumen de la incidencia estimada en los créditos administrativos
            
            
               3.2.4.Compatibilidad con el marco financiero plurianual vigente
            
            
               3.2.5.Contribución de terceros
            
            
               3.3.Incidencia estimada en los ingresos
            
            
               FICHA FINANCIERA LEGISLATIVA
            
            
               1.MARCO DE LA PROPUESTA/INICIATIVA 
            
            
               1.1.Denominación de la propuesta/iniciativa
            
            
               
                  Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
               
            
            
               1.2.Políticas afectadas 
            
            
               
                  Administración pública europea
               
               
                  Las normas sobre seguridad de la información de las instituciones y órganos de la Unión deben constituir conjuntamente un marco general y coherente dentro de la Administración europea para la protección de la información, y garantizar la equivalencia de los principios básicos y las normas mínimas. El grado de protección concedido a la información también debe ser equivalente en todas las instituciones y órganos de la Unión.
               
            
            
               1.3.La propuesta/iniciativa se refiere a: 
            
            
               una acción nueva 
            
            
               ◻ una acción nueva a raíz de un proyecto piloto / una acción preparatoria
                  32
                
            
         
         
            
               ◻ la prolongación de una acción existente 
            
            
               ◻ una fusión o reorientación de una o más acciones hacia otra/una nueva acción 
            
            
               1.4.Objetivo(s)
            
            
               1.4.1.Objetivo(s) general(es)
            
            
               
                  El objetivo general de la iniciativa es crear normas sobre seguridad de la información para todas las instituciones y órganos de la Unión con el fin de garantizar una protección reforzada y coherente contra la evolución de las amenazas a su información. 
               
            
            
               1.4.2.Objetivo(s) específico(s)
            
            
               
                  • Objetivo específico 1: Establecer categorías de información armonizadas y exhaustivas, así como requisitos comunes de tratamiento de toda la información tratada por la Administración europea, y facilitar el intercambio seguro de información entre las instituciones y órganos de la Unión, minimizando al mismo tiempo el impacto en los Estados miembros.
               
               
                  • Objetivo específico 2: Garantizar que todas las instituciones y órganos de la Unión detecten cualquier laguna en materia de seguridad en sus procesos y apliquen las medidas necesarias para garantizar la igualdad de condiciones en materia de seguridad de la información.
               
               
                  • Objetivo específico 3: Establecer un sistema sencillo de cooperación en materia de seguridad de la información entre las instituciones y órganos de la Unión capaz de fomentar una cultura coherente de la seguridad de la información en toda la Administración europea.
               
               
                  • Objetivo específico 4: Modernizar las políticas de seguridad de la información en todos los grados de clasificación y categorización, para todas las instituciones y órganos de la Unión, teniendo en cuenta la transformación digital y el desarrollo del teletrabajo como práctica estructural. 
               
            
            
               1.4.3.Resultado(s) e incidencia esperados
            
            
               Especifíquense los efectos que la propuesta/iniciativa debería tener sobre los beneficiarios/la población destinataria.
            
            
               
                  La propuesta tendrá los siguientes efectos en las instituciones y órganos de la Unión:
               
            
            
               –Revisión de sus normas y procedimientos internos con el fin de adaptarse al Reglamento.
            
            
               –Categorización de toda la información tratada de acuerdo con el sistema previsto en el Reglamento.
            
            
               –Garantía de que sus sistemas de comunicación e información sean conformes a los requisitos establecidos en el Reglamento.
            
            
               –Participación en el Grupo de Coordinación Interinstitucional de la Seguridad de la Información («Grupo de Coordinación»).
            
            
               
                  Los Estados miembros se beneficiarán del presente Reglamento, ya que la cooperación con las instituciones y órganos de la Unión en todos los ámbitos pertinentes (seguridad en el personal, seguridad industrial o puesta en común de información) se basaría en los mismos conceptos, normas y procedimientos. 
               
            
            
               1.4.4.Indicadores de rendimiento
            
            
               Precisar los indicadores para hacer un seguimiento de los avances y logros
            
         
         
            
               
                  Indicadores relevantes para el objetivo específico n.º 1
               
            
            
               –Adopción de directrices adecuadas 
            
            
               –Aplicación de nuevas marcas
            
            
               –Publicación de instrucciones de tratamiento actualizadas para todas las categorías de información
            
            
               –Aplicación de sistemas comunes para el tratamiento de información sensible no clasificada y de ICUE
            
            
               
                  Indicadores relevantes para el objetivo específico n.º 2
               
            
            
               –Número de recomendaciones formuladas y aplicadas
            
            
               –Número de filtraciones de información entre instituciones y órganos 
            
            
               
                  Indicadores relevantes para el objetivo específico n.º 3
               
            
            
               –Estadísticas sobre contratación centralizada frente a contratación local
            
            
               –Informes de inspección
            
            
               –Número de consultas tramitadas por la Secretaría del Grupo de Coordinación de la Seguridad de la Información
            
            
               
                  Indicadores relevantes para el objetivo específico n.º 4
               
            
            
               –Número de usuarios en formación
            
            
               –Nivel de sensibilización del personal con respecto a las normas de seguridad de la información
            
            
               –Porcentaje de personal habilitado para trabajar con equipos de teletrabajo seguros 
            
            
               1.5.Justificación de la propuesta/iniciativa 
            
            
               1.5.1.Necesidad(es) que debe(n) satisfacerse a corto o largo plazo, incluido un calendario detallado de la aplicación de la iniciativa
            
            
               
                  La aplicación de esta iniciativa seguirá un enfoque gradual, de acuerdo con el calendario siguiente:
               
            
            
               –2022/2023: adopción del Reglamento, entrada en vigor
            
         
         
            
               –2024/2025: revisión por parte de todas las instituciones y órganos de la Unión de sus normas internas sobre seguridad de la información con el fin de adaptarlas al Reglamento
            
            
               –2025: trabajo organizativo para la creación del Grupo de Coordinación y su Secretaría, así como de los subgrupos técnicos
            
            
               –2024/2025: inicio de la aplicación del Reglamento
            
            
               –2025/2026: aprobación del reglamento interno del Grupo de Coordinación y de los subgrupos técnicos
            
            
               –2026/2028: trabajo sobre documentos de orientación como apoyo a la aplicación del Reglamento, intercambio de mejores prácticas entre instituciones y órganos 
            
            
               –2029/2030: preparación de la primera evaluación del Reglamento (cada cinco años a partir de la fecha de aplicación)
            
            
               –2030: primera evaluación del Reglamento 
            
            
               1.5.2.Valor añadido de la intervención de la Unión (puede derivarse de distintos factores, como mejor coordinación, seguridad jurídica, mejora de la eficacia o complementariedades). A efectos del presente punto, se entenderá por «valor añadido de la intervención de la Unión» el valor resultante de una intervención de la Unión que viene a sumarse al valor que se habría generado de haber actuado los Estados miembros de forma aislada.
            
            
               
                  La iniciativa contribuye a garantizar que las instituciones y órganos de la Unión estén asistidos en su misión por una Administración abierta, eficaz e independiente.
               
               
                  Se suma a los esfuerzos nacionales generales de los Estados miembros en el ámbito de la seguridad de la UE, protegiendo a las instituciones y órganos frente a interferencias externas y actividades de espionaje.
               
            
            
               1.5.3.Principales conclusiones extraídas de experiencias similares anteriores
            
            
               
                  No aplicable.
               
            
            
               1.5.4.Compatibilidad con el marco financiero plurianual y posibles sinergias con otros instrumentos adecuados
            
            
               
                  El proyecto requiere la reasignación/asignación de 2 ETC para la Secretaría del Grupo de Coordinación de la Seguridad de la Información.
               
               
                  Otros proyectos, como el desarrollo de herramientas comunes y la centralización de algunas actividades, ya están parcialmente en curso y están cubiertos por las autoridades nacionales de seguridad y por contratos marco.
               
            
            
               1.5.5.Evaluación de las diferentes opciones de financiación disponibles, incluidas las posibilidades de reasignación
            
            
               
                  Véase la sección anterior.
               
            
            
            
               1.6.Duración e incidencia financiera de la propuesta/iniciativa
            
            
               ◻ duración limitada 
            
         
         
            
               –◻
                     en vigor desde el [DD/MM]YYYY hasta el [DD/MM]YYYY 
            
            
               –◻
                     incidencia financiera desde AAAA hasta AAAA para los créditos de compromiso y desde AAAA hasta AAAA para los créditos de pago. 
            
            
               – duración ilimitada
            
            
               1.7.Modo(s) de gestión previsto(s)
                  33
               
            
            
                 Gestión directa por la Comisión y cada institución y órgano de la Unión
            
            
               –
                     por sus servicios, incluido su personal en las Delegaciones de la Unión 
            
            
               –◻
                     por las agencias ejecutivas 
            
            
               ◻ Gestión compartida con los Estados miembros 
            
            
               ◻ Gestión indirecta mediante delegación de tareas de ejecución presupuestaria en:
            
            
               –◻ terceros países o los organismos que estos hayan designado;
            
            
               –◻ organizaciones internacionales y sus agencias (especifíquense);
            
            
               –◻ el BEI y el Fondo Europeo de Inversiones;
            
            
               –◻ los organismos a que se hace referencia en los artículos 70 y 71 del Reglamento Financiero;
            
            
               –◻
                     organismos de Derecho público;
            
            
               –◻
                     organismos de Derecho privado investidos de una misión de servicio público, en la medida en que presenten garantías financieras suficientes;
            
            
               –◻ organismos de Derecho privado de un Estado miembro a los que se haya encomendado la ejecución de una colaboración público-privada y que presenten garantías financieras suficientes;
            
            
               –◻ personas a quienes se haya encomendado la ejecución de acciones específicas en el marco de la PESC, de conformidad con el título V del Tratado de la Unión Europea, y que estén identificadas en el acto de base correspondiente.
            
            
               –Si se indica más de un modo de gestión, facilítense los detalles en el recuadro de observaciones.
            
            
               Observaciones 
            
            
               2.MEDIDAS DE GESTIÓN 
            
         
         
            
               2.1.Normas en materia de seguimiento e informes 
            
            
               Especifique la frecuencia y las condiciones.
            
            
               
                  Cada cinco años se evaluará el Reglamento y la Comisión informará de sus conclusiones al Consejo y al Parlamento Europeo.
               
            
            
               2.2.Sistema(s) de gestión y de control 
            
            
               2.2.1.Justificación del modo / de los modo(s) de gestión, el/los mecanismo(s) de aplicación de la financiación, de las modalidades de pago y de la estrategia de control propuestos
            
            
               
                  El Reglamento establece normas de seguridad de la información para todas las instituciones y órganos de la Unión. El seguimiento de su correcta aplicación se llevará a cabo a través de un grupo de coordinación en el que participarán todas las autoridades de seguridad de las instituciones y órganos. 
               
               
                  La plena responsabilidad de la seguridad sigue incumbiendo a la autoridad de seguridad de cada institución u órgano, y sin perjuicio del marco de control interno existente de cada institución u órgano.
               
            
            
               2.2.2.Información relativa a los riesgos identificados y al /a los sistema(s) de control interno establecidos para atenuarlos
            
            
               
                  El Reglamento creará una base de referencia para las normas de seguridad de la información y garantizará la transparencia de las medidas de seguridad para los intercambios de información entre las instituciones y órganos de la Unión, reduciendo así los riesgos relacionados con la seguridad de la información en todos los ámbitos.
               
               
                  El Reglamento cumple las normas de control interno e incluye un enfoque basado en el riesgo para la elaboración de políticas.
               
            
            
               2.2.3.Estimación y justificación de la relación coste/beneficio de los controles (ratio «gastos de control ÷ valor de los correspondientes fondos gestionados»), y evaluación del nivel esperado de riesgo de error (al pago y al cierre) 
            
            
               
                  Se aplicarán los mecanismos de control existentes para las instituciones y órganos. El cumplimiento del Reglamento y los riesgos relacionados con la seguridad de la información deben comunicarse en la información anual sobre riesgos de las entidades y órganos.
               
            
            
               2.3.Medidas de prevención del fraude y de las irregularidades 
            
            
               Especifíquense las medidas de prevención y protección existentes o previstas, por ejemplo, la estrategia contra el fraude.
            
            
               
                  No aplicable
               
            
            
               3.INCIDENCIA FINANCIERA ESTIMADA DE LA PROPUESTA/INICIATIVA 
            
            
               3.1.Rúbrica(s) del marco financiero plurianual y línea(s) presupuestaria(s) de gastos afectada(s) 
            
            
               ·Líneas presupuestarias existentes 
            
            
               En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.
            
            
                     
                        Rúbrica del marco financiero plurianual
                     
                  
                  
                     
                        Línea presupuestaria
                     
                  
                  
                     
                        Tipo de gasto
                     
                  
                  
                     
                        Contribución 
                     
                  
               
                     
                  
                  
                     
                        Número
                        
                  
                  
                     
                        CD/CND
                           34
                        
                     
                  
                  
                     
                        de países de la AELC
                           35
                        
                     
                     
                  
                  
                     
                        de países candidatos
                           36
                        
                     
                     
                  
                  
                     
                        de terceros países
                     
                  
                  
                     
                        en el sentido del artículo 21, apartado 2, letra b), del Reglamento Financiero 
                     
                  
               
                     
                        H7
                     
                  
                  
                     
                        20 01 02 01
                     
                  
                  
                     
                        CND
                     
                  
                  
                     
                        NO
                     
                  
                  
                     
                        NO
                     
                  
                  
                     
                        NO
                     
                  
                  
                     
                        NO
                     
                  
               
         
            
               ·Nuevas líneas presupuestarias solicitadas 
            
            
               En el orden de las rúbricas del marco financiero plurianual y las líneas presupuestarias.
            
            
                     
                        Rúbrica del marco financiero plurianual
                     
                  
                  
                     
                        Línea presupuestaria
                     
                  
                  
                     
                        Tipo de 
                        gasto
                     
                  
                  
                     
                        Contribución 
                     
                  
               
                     
                  
                  
                     
                        Número
                        
                  
                  
                     
                        CD/CND
                     
                  
                  
                     
                        de países de la AELC
                     
                  
                  
                     
                        de países candidatos
                     
                  
                  
                     
                        de terceros países
                     
                  
                  
                     
                        en el sentido del artículo 21, apartado 2, letra b), del Reglamento Financiero 
                     
                  
               
                     
                  
                  
                     
                        Ninguna
                     
                     
                  
                  
                     
                  
                  
                     
                        SÍ/NO
                     
                  
                  
                     
                        SÍ/NO
                     
                  
                  
                     
                        SÍ/NO
                     
                  
                  
                     
                        SÍ/NO
                     
                  
               
               3.2.Incidencia financiera estimada de la propuesta en los créditos 
            
            
               3.2.1.Resumen de la incidencia estimada en los créditos de operaciones 
            
            
               –
                     La propuesta/iniciativa no exige la utilización de créditos de operaciones. 
            
            
               –
                     
                     La propuesta/iniciativa exige la utilización de créditos de operaciones, tal como se explica a continuación:
            
            
               En millones EUR (al tercer decimal)
            
            
                     
                        Rúbrica del marco financiero 
                        plurianual 
                     
                  
                  
                     
                        Número
                     
                  
                  
                     
                  
               
            
                     
                        DG: <…….>
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Año 
                        N
                           37
                        
                     
                  
                  
                     
                        Año 
                        N+1
                     
                  
                  
                     
                        Año 
                        N+2
                     
                  
                  
                     
                        Año 
                        N+3
                     
                  
                  
                     
                        Insértense tantos años como sea necesario para reflejar la duración de la incidencia (véase el punto 1.6)
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                        •
                              Créditos de operaciones 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Línea presupuestaria
                           38
                        
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        (1a)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        (2 a)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Línea presupuestaria
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        (1b)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        (2b)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Créditos de carácter administrativo financiados mediante la dotación de programas específicos
                           39
                         
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Línea presupuestaria
                     
                  
                  
                     
                  
                  
                     
                        3.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL de los créditos 
                        en el caso de la DG <…….>
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        =1a+1b +3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        =2a+2b
                     
                     
                        +3
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                
               
            
                     
                        •
                              Total de los créditos de operaciones 
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        4.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        5.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        •
                              TOTAL de los créditos de carácter administrativo financiados mediante la dotación de programas específicos 
                     
                  
                  
                     
                        6.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL de los créditos correspondientes a la RÚBRICA <….> del marco financiero plurianual
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        =4+ 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        =5+ 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
               Si la propuesta/iniciativa afecta a más de una línea operativa, repetir la sección anterior:
            
            
                     
                        •TOTAL de los créditos de operaciones (todas las líneas operativas)
                              
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        4.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        5.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         TOTAL de los créditos de carácter administrativo financiados mediante la dotación de programas específicos (todas las líneas operativas)
                     
                  
                  
                     
                     
                        6.
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL de los créditos para las RÚBRICAS 1 a 6 
                        del marco financiero plurianual 
                        (Importe de referencia)
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        =4+ 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        =5+ 6
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
            
               
            
                     
                        Rúbrica del marco financiero 
                        plurianual 
                     
                  
                  
                     
                        7
                     
                  
                  
                     
                        «Gastos administrativos»
                     
                  
               
               Esta sección debe rellenarse mediante «los datos presupuestarios de carácter administrativo» introducidos primeramente en el 
               
                  anexo de la ficha de financiación legislativa
               
                (anexo V de las normas internas), que se carga en DECIDE a efectos de consulta entre servicios.
            
            
               En millones EUR (al tercer decimal)
            
         
         
            
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Año 
                        2023
                     
                  
                  
                     
                        Año 
                        2024
                     
                  
                  
                     
                        Año 
                        2025
                     
                  
                  
                     
                        Año 
                        2026
                     
                  
                  
                     
                        Año 
                        2027
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                        DG: HR
                     
                  
               
                     
                        • Recursos humanos 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                        •
                              Otros gastos administrativos 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL para la DG <…>
                     
                  
                  
                     
                        Créditos 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
                     
                        TOTAL de los créditos 
                        para la RÚBRICA 7 
                        del marco financiero plurianual 
                     
                  
                  
                     
                        (Total compromisos = Total pagos)
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
               EUR (al tercer decimal)
            
            
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Año 
                        2023
                     
                  
                  
                     
                        Año 
                        2024
                     
                  
                  
                     
                        Año 
                        2025
                     
                  
                  
                     
                        Año 
                        2026
                     
                  
                  
                     
                        Año 
                        2027
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                        TOTAL de los créditos para las RÚBRICAS 1 a 7 
                        del marco financiero plurianual 
                     
                  
                  
                     
                        Compromisos
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                  
                  
                     
                        Pagos
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
            
               3.2.2.Resultados estimados financiados con créditos de operaciones 
            
            
               Créditos de compromiso en millones EUR (al tercer decimal)
            
            
                     
                        Indíquense los objetivos y los resultados 
                     
                     
                     
                        ⇩
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                        Año 
                        N
                     
                  
                  
                     
                        Año 
                        N+1
                     
                  
                  
                     
                        Año 
                        N+2
                     
                  
                  
                     
                        Año 
                        N+3
                     
                  
                  
                     
                        Insértense tantos años como sea necesario para reflejar la duración de la incidencia (véase el punto 1.6)
                     
                  
                  
                     
                        TOTAL
                     
                  
               
                     
                  
                  
                     
                        REALIZACIONES
                     
                  
               
                     
                  
                  
                     
                        Tipo
                           40
                        
                     
                     
                  
                  
                     
                        Coste medio
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        No
                     
                  
                  
                     
                        Coste
                     
                  
                  
                     
                        Total n.º
                     
                  
                  
                     
                        Coste total
                     
                  
               
                     
                        OBJETIVO ESPECÍFICO N.º 1
                           41
                        …
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Resultado
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Resultado
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Resultado
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal del objetivo específico n.º 1
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        OBJETIVO ESPECÍFICO N.º 2 ...
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        - Resultado
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal del objetivo específico n.º 2
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTALES
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
               3.2.3.Resumen de la incidencia estimada en los créditos administrativos 
            
            
               –◻ La propuesta/iniciativa no exige la utilización de créditos administrativos. 
            
            
               – La propuesta/iniciativa exige la utilización de créditos administrativos, tal como se explica a continuación:
            
            
               En millones EUR (al tercer decimal)
            
            
                     
                  
                  
                     
                        Año 
                        2023
                     
                  
                  
                     
                        Año 
                        2024
                     
                  
                  
                     
                        Año 
                        2025
                     
                  
                  
                     
                        Año 
                        2026
                     
                  
                  
                     
                        Año 
                        2027
                     
                  
                  
                     
                        TOTAL
                     
                  
               
            
                     
                        RÚBRICA 7 
                        del marco financiero plurianual
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Recursos humanos 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
                     
                        Otros gastos administrativos 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal para la RÚBRICA 7 
                        del marco financiero plurianual 
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
            
                     
                        Al margen de la RÚBRICA 7
                           42
                         
                        del marco financiero plurianual 
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Recursos humanos 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Otros gastos de naturaleza administrativa
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Subtotal 
                        al margen de la RÚBRICA 7 
                        del marco financiero plurianual 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
         
         
            
                     
                        TOTAL
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        0,314
                     
                  
                  
                     
                        1,570
                     
                  
               
               Los créditos necesarios para recursos humanos y otros gastos de carácter administrativo se cubrirán mediante créditos de la DG ya asignados a la gestión de la acción y/o reasignados dentro de la DG, que se complementarán, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.
            
            
               3.2.3.1.Necesidades estimadas en recursos humanos 
            
            
               –◻ La propuesta/iniciativa no exige la utilización de recursos humanos. 
            
            
               –La propuesta/iniciativa exige la utilización de recursos humanos, tal como se explica a continuación:
            
            
               Estimación que debe expresarse en equivalencia a tiempo completo
            
            
                     
                  
                  
                     
                        Año 
                        2023
                     
                  
                  
                     
                        Año 
                        2024
                     
                  
                  
                     
                        Año 
                     
                     
                        2025
                     
                  
                  
                     
                        Ejercicio 2026
                     
                  
                  
                     
                        Ejercicio 2027
                     
                  
               
                     
                        20 01 02 01 (Sede y Oficinas de Representación de la Comisión)
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
               
                     
                        20 01 02 03 (Delegaciones)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        01 01 01 01 (Investigación indirecta)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         01 01 01 11 (Investigación directa)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Otras líneas presupuestarias (especifíquense)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        20 02 01 (AC, ENCS, INT de la dotación global)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        20 02 03 (AC, AL, ENCS, INT y JPD en las delegaciones)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        XX 01  xx yy zz  
                           43
                        
                     
                     
                  
                  
                     
                        - en la Sede
                     
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                  
                  
                     
                        - en las Delegaciones 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        01 01 01 02 (AC, ENCS e INT)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                         01 01 01 12 (AC, INT, ENCS; investigación directa)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        Otras líneas presupuestarias (especifíquense)
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
                  
                     
                        2
                     
                  
               
               XX es la política o título en cuestión.
            
            
               Las necesidades en materia de recursos humanos las cubrirá el personal de la DG ya destinado a la gestión de la acción y/o reasignado dentro de la DG, que se complementará, en caso necesario, con cualquier dotación adicional que pudiera asignarse a la DG gestora en el marco del procedimiento de asignación anual y a la luz de los imperativos presupuestarios existentes.
            
            
               Descripción de las tareas a efectuar:
            
            
                     
                        Funcionarios y agentes temporales
                     
                  
                  
                     
                        Secretaría del Grupo de Coordinación de la Seguridad de la Información: 1 funcionario AD + 1 funcionario AST
                     
                  
               
                     
                        Personal externo
                     
                  
                  
                     
                  
               
               3.2.4.Compatibilidad con el marco financiero plurianual vigente 
            
            
               La propuesta/iniciativa:
            
            
               –puede ser financiada en su totalidad mediante una redistribución dentro de la rúbrica correspondiente del marco financiero plurianual (MFP).
            
            
               
                  La propuesta requiere la asignación de dos personas a la secretaría permanente del Grupo de Coordinación Interinstitucional, con sede en la HR.DS. 
               
            
            
               –◻ requiere el uso del margen no asignado con cargo a la rúbrica pertinente del MFP o el uso de los instrumentos especiales tal como se define en el Reglamento del MFP.
            
            
               
                  Explicar qué es lo que se requiere, precisando las rúbricas y líneas presupuestarias afectadas, los importes correspondientes y los instrumentos propuestos que van a usarse.
               
            
            
               –◻
                     requiere una revisión del MFP.
            
            
               
                  Explicar qué es lo que se requiere, precisando las rúbricas y líneas presupuestarias afectadas y los importes correspondientes.
               
            
            
               3.2.5.Contribución de terceros 
            
         
         
            
               La propuesta/iniciativa:
            
            
               –
                     no prevé la cofinanciación por terceros
            
            
               –◻ prevé la cofinanciación por terceros que se estima a continuación:
            
            
               Créditos en millones EUR (al tercer decimal)
            
            
                     
                  
                  
                     
                        Año 
                        N
                           44
                        
                     
                  
                  
                     
                        Año 
                        N+1
                     
                  
                  
                     
                        Año 
                        N+2
                     
                  
                  
                     
                        Año 
                        N+3
                     
                  
                  
                     
                        Total
                     
                  
               
                     
                        Especifíquese el organismo de cofinanciación 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                     
                        TOTAL créditos cofinanciados 
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
                  
                     
                  
               
                
                  Observación: la propuesta intensificará las actuales cooperaciones en materia de seguridad de la información a través de las autoridades nacionales de seguridad.
            
            
               3.3.Incidencia estimada en los ingresos 
            
            
               –La propuesta/iniciativa no tiene incidencia financiera en los ingresos.
            
            
               –◻ La propuesta/iniciativa tiene la incidencia financiera que se indica a continuación:
            
            
               en los recursos propios 
            
            
               en otros ingresos
            
            
               indíquese si los ingresos se asignan a las líneas de gasto 
            
            
                  
                      En millones EUR (al tercer decimal)
            
            
                     
                        Línea presupuestaria de ingresos:
                     
                  
                  
                     
                        Créditos disponibles para el ejercicio actual
                     
                  
                  
                     
                        Impacto de la propuesta/iniciativa
                           45
                        
                     
                  
               
                     
                  
                  
                     
                  
                  
                     
                        Año 
                        N
                     
                  
                  
                     
                        Año 
                        N+1
                     
                  
                  
                     
                        Año 
                        N+2
                     
                  
                  
                     
                        Año 
                        N+3
                     
                  
               
               En el caso de los ingresos afectados, especificar la línea o líneas presupuestarias de gasto en la (s) que repercutan.
            
            
               
            
            
               Otras observaciones (por ejemplo, método/fórmula utilizada para calcular la incidencia en los ingresos o cualquier otra información).
            
            
               
            
         
         
            
                  
                     (1)
                  
                        Comunicación sobre la Estrategia de la UE para una Unión de la Seguridad, COM(2020) 605 de 24 de julio de 2020 (prioridad estratégica «Un entorno de seguridad con garantías de futuro»).
               
               
                  
                     (2)
                  
                        EUCO 9/19.
               
               
                  
                     (3)
                  
                        14972/19.
               
               
                  
                     (4)
                  
                        WK 10563/2018 INIT sección 9.
               
               
                  
                     (5)
                  
                        Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión (DO L 194 de 19.7.2016, p. 1).
               
               
                  
                     (6)
                  
                        C(2020)605.
               
               
                  
                     (7)
                  
                        Estrategia de Ciberseguridad para la Década Digital | Configurar el futuro digital de Europa (europa.eu), incluida una Comunicación con el Alto Representante de la Unión para Asuntos Exteriores y Política de Seguridad [JOIN(2020) 18] y también una Directiva revisada sobre Seguridad de las Redes y de la Información [COM(2020) 823].
               
               
                  
                     (8)
                  
                        Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos y por el que se deroga el Reglamento (CE) n.º 45/2001 y la Decisión 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
               
               
                  
                     (9)
                  
                        Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43). 
               
               
                  
                     (10)
                  
                        Carta de los Derechos Fundamentales de la Unión Europea, DO C 326 de 26.10.2012, p. 391.
               
               
                  
                     (11)
                  
                        Artículo 41 de la Carta de los Derechos Fundamentales de la Unión Europea. 
               
               
                  
                     (12)
                  
                        Artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea.
               
               
                  
                     (13)
                  
                        Artículo 42 de la Carta de los Derechos Fundamentales de la Unión Europea.
               
               
                  
                     (14)
                  
                        Artículo 17 de la Carta de los Derechos Fundamentales de la Unión Europea.
               
               
                  
                     (15)
                  
                        Directiva 2001/29/CE del Parlamento Europeo y del Consejo, de 22 de mayo de 2001, relativa a la armonización de determinados aspectos de los derechos de autor y derechos afines a los derechos de autor en la sociedad de la información (DO L 167 de 22.6.2001, p. 10).
               
               
                  
                     (16)
                  
                        Artículo 11 de la Carta de los Derechos Fundamentales de la Unión Europea.
               
               
                  
                     (17)
                  
                        Reglamento (Euratom) n.º 3 relativo a la aplicación del artículo 24 del Tratado constitutivo de la Comunidad Europea de la Energía Atómica (DO 17 de 6.10.1958, p. 406).
               
               
                  
                     (18)
                  
                        DO 45 de 14.6.1962, p. 1385.
               
               
                  
                     (19)
                  
                        Reglamento (CE) n.º 1049/2001 del Parlamento Europeo y del Consejo, de 30 de mayo de 2001, relativo al acceso del público a los documentos del Parlamento Europeo, del Consejo y de la Comisión (DO L 145 de 31.5.2001, p. 43).
               
               
                  
                     (20)
                  
                        Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de estos datos, y por el que se deroga el Reglamento (CE) n.º 45/2001 y la Decisión 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
               
               
                  
                     (21)
                  
                        Reglamento (CEE, Euratom) n.º 354/83 del Consejo, de 1 de febrero de 1983, relativo a la apertura al público de los archivos históricos de la Comunidad Económica Europea y de la Comunidad Europea de la Energía Atómica (DO L 43 de 15.2.1983, p. 1).
               
               
                  
                     (22)
                  
                        Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo, de 18 de julio de 2018, sobre las normas financieras aplicables al presupuesto general de la Unión, por el que se modifican los Reglamentos (UE) n.º 1296/2013, (UE) n.º 1301/2013, (UE) n.º 1303/2013, (UE) n.º 1304/2013, (UE) n.º 1309/2013, (UE) n.º 1316/2013, (UE) n.º 223/2014 y (UE) n.º 283/2014 y la Decisión n.º 541/2014/UE y por el que se deroga el Reglamento (UE, Euratom) n.º 966/2012 (DO L 193 de 30.7.2018, p. 1).
               
               
                  
                     (23)
                  
                        Reglamento (UE) 2021/697 del Parlamento Europeo y del Consejo, de 29 de abril de 2021, por el que se establece el Fondo Europeo de Defensa y por el que se deroga el Reglamento (UE) 2018/1092 (DO L 170 de 12.5.2021, p. 149).
               
               
                  
                     (24)
                  
                        Reglamento [...] del Parlamento Europeo y del Consejo por el que se establecen medidas destinadas a garantizar un elevado nivel común de ciberseguridad en las instituciones, los órganos y los organismos de la Unión.
               
               
                  
                     (25)
                  
                        Consejo CEEA: Reglamento n.º 3 relativo a la aplicación del artículo 24 del Tratado constitutivo de la Comunidad Europea de la Energía Atómica (DO 17 de 6.10.1958, p. 406).
               
               
                  
                     (26)
                  
                        Acuerdo interinstitucional entre el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea sobre la mejora de la legislación (DO L 123 de 12.5.2016, p. 1).
               
               
                  
                     (27)
                  
                        Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión y a la libre circulación de estos datos y por el que se deroga el Reglamento (CE) n.º 45/2001 y la Decisión 1247/2002/CE (DO L 295 de 21.11.2018, p. 39).
               
               
                  
                     (28)
                  
                        Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n.º 526/2013 («Reglamento sobre la Ciberseguridad») (DO L 151 de 7.6.2019, p. 15).
               
               
                  
                     (29)
                  
                        DO C 202 de 8.7.2011, p. 13.
               
               
                  
                     (30)
                  
                        Reglamento (UE, Euratom) 2018/1046 del Parlamento Europeo y del Consejo.
               
               
                  
                     (31)
                  
                        Ídem.
               
               
                  
                     (32)
                  
                        Tal como se contempla en el artículo 58, apartado 2, letra a) o b), del Reglamento Financiero.
               
               
                  
                     (33)
                  
                        Los detalles de los modos de gestión y las referencias al Reglamento Financiero pueden consultarse en el sitio BudgWeb: 
                  https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx
                   
               
               
                  
                     (34)
                  
                        CD = créditos disociados / CND = créditos no disociados.
               
               
                  
                     (35)
                  
                        AELC: Asociación Europea de Libre Comercio. 
               
               
                  
                     (36)
                  
                        Países candidatos y, cuando proceda, países candidatos potenciales de los Balcanes Occidentales.
               
               
                  
                     (37)
                  
                        El año N es el año de comienzo de la ejecución de la propuesta/iniciativa. Sustitúyase «N» por el primer año de aplicación previsto (por ejemplo: 2021). Igual para los años siguientes.
               
               
                  
                     (38)
                  
                        Según la nomenclatura presupuestaria oficial.
               
               
                  
                     (39)
                  
                        Asistencia técnica o administrativa y gastos de apoyo a la ejecución de programas o acciones de la UE (antiguas líneas «BA»), investigación indirecta, investigación directa.
               
               
                  
                     (40)
                  
                        Los resultados son los productos y servicios que van a suministrarse (por ejemplo, número de intercambios de estudiantes financiados, kilómetros de carreteras construidos, etc.).
               
               
                  
                     (41)
                  
                        Tal como se describe en el punto 1.4.2. «Objetivo(s) específico(s)…» 
               
               
                  
                     (42)
                  
                        Asistencia técnica o administrativa y gastos de apoyo a la ejecución de programas o acciones de la UE (antiguas líneas «BA»), investigación indirecta, investigación directa.
               
               
                  
                     (43)
                  
                        Sublímite para el personal externo con cargo a créditos de operaciones (antiguas líneas «BA»).
               
               
                  
                     (44)
                  
                        El año N es el año de comienzo de la ejecución de la propuesta/iniciativa. Sustitúyase «N» por el primer año de aplicación previsto (por ejemplo: 2021). Igual para los años siguientes.
               
               
                  
                     (45)
                  
                        Por lo que se refiere a los recursos propios tradicionales (derechos de aduana, cotizaciones sobre el azúcar), los importes indicados deben ser importes netos, es decir, importes brutos tras la deducción del 20 % de los gastos de recaudación.
               
            
      
    ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            de la
            Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO I
            
            
            
               Medidas de protección para el tratamiento de información sensible no clasificada 
            
            
               Marcado y tratamiento de información sensible no clasificada
            
            
               1.Los documentos que contengan información sensible no clasificada deberán marcarse con una marca de seguridad y, en su caso, una o varias marcas de difusión o marcas que especifiquen el público destinatario, según proceda. La marca de seguridad habitual será la palabra «SENSITIVE» en mayúsculas, excepto en los casos contemplados en el artículo 15, apartado 2.
            
            
               2.Los documentos que contengan información sensible no clasificada solo deberán ser accesibles a los destinatarios con necesidad de conocer para fines oficiales. Cuando se utilicen marcas de difusión, deberá solicitarse autorización a la institución u órgano de la Unión expedidor para ampliar la difusión de un documento.
            
            
               3.Todas las personas que manejen información sensible no clasificada deberán ser informadas de las instrucciones de tratamiento.
            
            
               4.La rebaja del grado de clasificación de los documentos marcados SENSITIVE a EU NORMAL o PUBLIC USE se realizará mediante la eliminación o el tachado de las marcas.
            
            
               5.Cuando las instituciones y órganos de la Unión destruyan documentos que contengan información sensible no clasificada, esto deberá hacerse de forma que no puedan reconstruirse fácilmente. Las copias en papel deberán ser trituradas y las copias electrónicas deberán estar redactadas de forma segura, destruirse físicamente o resultar irrecuperables de otro modo.
            
            
               Protección de la información sensible no clasificada cuando se trabaja fuera de las sedes de las instituciones y órganos de la Unión 
            
            
               6.La información sensible no clasificada deberá estar protegida contra escuchas y observación durante el teletrabajo y las misiones fuera de la oficina, y no deberá tratarse o almacenarse en público.
            
            
               7.Los documentos que contengan información sensible no clasificada solo deberán tratarse en equipos o aplicaciones debidamente protegidos bajo la responsabilidad de las instituciones y órganos de la Unión.
            
            
               8.Las instituciones y órganos de la Unión deberán facilitar medios para impedir que personas no autorizadas, incluidos los familiares, accedan a información sensible no clasificada tratada o almacenada mediante el equipo de una institución u órgano de la Unión que se utilice para trabajar fuera del lugar de trabajo.
            
            
               9.Las instituciones y órganos de la Unión deberán dar instrucciones a su personal para:
            
            
               a)proteger los equipos de las instituciones u órganos de la Unión que manejen información sensible no clasificada frente al robo, la pérdida y los daños, e informar inmediatamente de cualquier acontecimiento adverso de seguridad que afecte a sus dispositivos o a la información contenida en ellos;
            
            
               b)no compartir sus dispositivos con personas no autorizadas;
            
            
               c)no utilizar los equipos para actividades no relacionadas con el trabajo.
            
            
               10.Las instituciones y órganos de la Unión velarán por que, en la medida de lo posible, sus equipos o aplicaciones debidamente seguras se utilicen para manejar y almacenar cualquier documento sensible no clasificado en formato electrónico fuera de sus sitios web. Deberá evitarse la manipulación de copias físicas de documentos sensibles no clasificados fuera de la oficina.
            
            
               11.Cuando se utilicen herramientas de teleconferencia o videoconferencia, las instituciones y órganos de la Unión deberán reducir al mínimo el riesgo de que personas no autorizadas puedan ver u oír los debates mediante la identificación adecuada de los participantes y la utilización de herramientas de comunicación cifrada compatibles con el principio de la necesidad de conocer.
            
         
         
            
               12.Las instituciones y órganos de la Unión ofrecerán formación a todo el personal que trabaje a distancia sobre el tratamiento de información sensible no clasificada cuando trabaje fuera de la oficina.
            
            
               Información sensible no clasificada
            
            
               13.Los documentos que contengan información sensible no clasificada podrán compartirse entre las instituciones y órganos de la Unión sin formalidades adicionales.
            
            
               14.Las instituciones y órganos de la Unión solo deberán compartir documentos que contengan información sensible no clasificada fuera de todas las instituciones y órganos de la Unión sobre la base de un compromiso que obligue a las partes a respetar las instrucciones de tratamiento.
            
            
               15.Las instituciones y órganos de la Unión deberán notificar a los destinatarios de información sensible no clasificada la obligación de no compartir la información con partes ajenas a los destinatarios indicados por las marcas de distribución, a menos que lo permita el expedidor.
            
            
               16.Las instituciones y órganos de la Unión deberán proteger la información sensible no clasificada facilitada o compartida electrónicamente a través de medidas de seguridad adecuadas, incluido el cifrado en tránsito utilizando mecanismos criptográficos adecuados.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            de la
            Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO II
            
            
               Procedimientos para gestionar la autorización de acceso a información clasificada de la Unión Europea (ICUE)
            
            
               Definiciones
            
            
               A los efectos del presente anexo, se entenderá por:
            
            
               1) «habilitación personal de seguridad»: declaración de una autoridad competente de un Estado miembro, efectuada al término de una investigación de seguridad realizada por sus autoridades competentes, mediante la cual se acredita que una persona puede tener acceso a ICUE de un determinado grado (CONFIDENTIEL UE/EU CONFIDENTIAL o superior) durante un período determinado.
            
            
               2) «certificado de habilitación personal de seguridad» o «(CHPS)»: certificado expedido por una autoridad competente mediante el cual se establece que una persona dispone de una habilitación de seguridad válida o equivalente, o de una autorización de seguridad que indique el grado de ICUE a que puede tener acceso (CONFIDENTIEL UE/EU CONFIDENTIAL o superior), el período de validez de la habilitación o autorización y la fecha de caducidad del propio certificado.
            
            
               Concesión de una autorización para acceder a ICUE
            
            
               1.La autoridad de seguridad competente de la institución o el órgano de la Unión de que se trate deberá solicitar el consentimiento escrito de la persona para el procedimiento de habilitación de seguridad antes de enviar un cuestionario de habilitación de seguridad cumplimentado a la autoridad nacional de seguridad del Estado miembro del que sea nacional el solicitante.
            
            
               2.Cuando una institución u órgano de la Unión tenga conocimiento de información pertinente para una investigación de seguridad relativa a una persona que haya solicitado una habilitación de seguridad para acceder a ICUE, la autoridad de seguridad competente, de conformidad con el presente Reglamento, deberá notificarlo a la autoridad nacional de seguridad pertinente.
            
            
               3.Tras la notificación de la evaluación de los resultados de la investigación de seguridad realizada por la autoridad nacional de seguridad correspondiente, la autoridad de seguridad competente:
            
            
               a)podrá conceder una autorización de acceso a ICUE a la persona hasta el grado pertinente durante un período limitado, en la medida en que la investigación de seguridad haya concluido positivamente sobre la lealtad, honradez y fiabilidad de la persona;
            
            
               b)lo notificará al solicitante cuando la investigación de seguridad dé como resultado la denegación de dicha garantía, de conformidad con sus normas internas pertinentes. 
            
            
               4.Si la persona empieza a prestar servicio 12 meses o más desde la fecha de notificación del resultado de la investigación de seguridad, o cuando haya una interrupción de 12 meses en el tiempo de servicio de esa misma persona, la autoridad de seguridad competente deberá solicitar a la autoridad nacional de seguridad competente que confirme la validez de la habilitación de seguridad.
            
            
               Suspensión y retirada de la autorización
            
            
               5.Cuando la institución u órgano de la Unión de que se trate tenga conocimiento de información relativa a un riesgo para la seguridad que plantee una persona que tenga autorización para acceder a ICUE, la autoridad de seguridad de dicha institución u órgano deberá notificarlo a la autoridad nacional de seguridad correspondiente y podrá suspender el acceso de la persona a ICUE o retirar la autorización de acceso a ICUE.
            
            
               6.Cuando una autoridad nacional de seguridad notifique a la institución u órgano de la Unión pertinente que ya no hay garantías en relación con una persona que tiene acceso a ICUE, la autoridad de seguridad de la institución u órgano de la Unión de que se trate deberá revocar su autorización de seguridad y excluir a esa persona del acceso a ICUE de conformidad con sus normas internas pertinentes.
            
            
               Renovación de la autorización
            
            
               7.Tras la concesión inicial de la autorización de seguridad, y siempre que la persona haya prestado servicio ininterrumpidamente en una institución u órgano de la Unión y siga necesitando acceder a ICUE, la autorización de seguridad para acceder a ICUE deberá revisarse para su renovación antes de su expiración.
            
            
               8.La autoridad de seguridad de la Comisión podrá prorrogar la validez de la autorización de seguridad vigente por un período de hasta 12 meses, si no se ha recibido información desfavorable de la autoridad nacional de seguridad pertinente o de otra autoridad nacional competente en un plazo de dos meses a partir de la fecha de envío de la solicitud de renovación y del correspondiente cuestionario de habilitación de seguridad. 
            
         
         
            
               Cuando, al final del período de 12 meses mencionado en el párrafo primero, la investigación de seguridad aún no haya concluido, la persona no podrá ser asignada a tareas que requieran una habilitación de seguridad.
            
            
               9.La persona de que se trate deberá seguir un curso de actualización sobre el tratamiento y almacenamiento de ICUE cada vez que se renueve su habilitación de seguridad.
            
            
               Autorización temporal de seguridad excepcional
            
            
               10.La autoridad de seguridad de la institución u órgano de la Unión de que se trate podrá conceder excepcionalmente una autorización temporal para acceder a ICUE, siempre que la autoridad nacional de seguridad competente haya efectuado una comprobación preliminar, basada en el cuestionario de seguridad cumplimentado y transmitido, para verificar que no se conoce ninguna información desfavorable pertinente.
            
            
               11.La autorización temporal para acceder a ICUE podrá ser válida por un único período que no será superior a seis meses y no permitirá acceder a información clasificada de grado TRES SECRET UE/EU TOP SECRET.
            
            
               12.Tras haber sido informadas de conformidad con el artículo 26, todas las personas a las que se haya concedido una autorización temporal para acceder a ICUE deberán reconocer en una declaración escrita que han entendido sus obligaciones respecto a la protección de la ICUE y las consecuencias del comprometimiento de esta información. La autoridad de seguridad de la institución u órgano de la Unión de que se trate deberá llevar un registro del acuse de recibo por escrito.
            
            
               Expertos nacionales en comisión de servicio en las instituciones y órganos de la Unión
            
            
               13.Todas las instituciones y órganos de la Unión velarán por que los expertos nacionales enviados en comisión de servicio para un puesto que requiera una habilitación de seguridad presenten a la autoridad de seguridad competente, antes de su entrada en funciones, una habilitación personal de seguridad o un certificado de habilitación personal de seguridad válidos, de conformidad con las disposiciones legales y reglamentarias nacionales. Siempre que se cumplan los requisitos a que se refiere el artículo 23, apartado 1, la autoridad de seguridad podrá conceder una autorización de acceso a ICUE hasta el grado equivalente al indicado en la habilitación nacional de seguridad, con una validez máxima no superior a la duración de su mandato.
            
            
               Acceso a reuniones clasificadas
            
            
               14.Por lo que se refiere a la organización de reuniones en las que deba debatirse información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior, las instituciones y órganos de la Unión deberán garantizar que todos los participantes estén habilitados o que se conozca su situación de autorización de seguridad.
            
            
               15.Sobre la base de los registros de acceso a ICUE, la autoridad de seguridad competente de la institución u órgano de la Unión de que se trate podrá expedir un certificado de habilitación personal de seguridad a una persona cuando sea necesario para asistir a reuniones fuera de dicha institución u órgano. Dicho certificado deberá acreditar a qué grado de ICUE puede tener acceso la persona (CONFIDENTIEL UE/EU CONFIDENTIAL o superior), la fecha de validez de la autorización para acceder a la ICUE y la fecha de caducidad del propio certificado.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            
            ANEXOS
            de la
            Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO III
            
            
               Medidas para la protección física de la información clasificada de la Unión Europea (ICUE)
            
            
               Equipos y medidas organizativas para la protección física de la ICUE
            
            
               1.Las zonas administrativas deberán cumplir los siguientes requisitos:
            
            
               a)contar con un perímetro visiblemente definido que permita el control de las personas y, cuando sea posible, de los vehículos;
            
            
               b)garantizar que las ventanas que puedan permitir un acceso visual no autorizado a ICUE en la zona sean opacas o estén equipadas con persianas, cortinas u otros tipos de protección;
            
            
               c)el acceso no acompañado solo se concederá a las personas debidamente autorizadas por la autoridad de seguridad de la institución u órgano de la Unión de que se trate;
            
            
               d)todas las demás personas deberán ser acompañadas en todo momento o ser objeto de controles equivalentes.
            
            
               2.Además de los requisitos establecidos en el punto 1, las zonas de acceso restringido deberán cumplir los siguientes requisitos:
            
            
               a)tener un perímetro claramente definido y protegido a través del cual se controle en todo momento la entrada y la salida;
            
            
               b)no disponer de ninguna línea de comunicación, teléfono ni otro equipo de comunicaciones, ni aparatos eléctricos o electrónicos, salvo los que estén autorizados;
            
            
               c)estar equipadas con un sistema de control de acceso y un sistema de detección instantánea de intrusiones, combinado con personal de seguridad;
            
            
               d)ser inspeccionadas al final del horario normal de trabajo y a intervalos aleatorios fuera del horario normal de trabajo, cuando el personal de servicio no lo ocupe 24 horas y no exista un sistema de detección instantánea de intrusiones;
            
            
               e)estar gestionadas por personal de seguridad formado, supervisado y debidamente habilitado;
            
            
               f)contar con procedimientos operativos de seguridad que incluyan los siguientes elementos:
            
            
               i)el grado de ICUE que puede tratarse o almacenarse en la zona;
            
            
               ii)las medidas de vigilancia y protección que hayan de aplicarse;
            
            
               iii)las personas autorizadas para entrar en ella sin acompañamiento en virtud de su habilitación de seguridad para tratar ICUE y de su necesidad de conocer;
            
            
               iv)si ha lugar, los procedimientos aplicables a los acompañantes o a la protección de la ICUE cuando se autorice la entrada de otras personas en la zona;
            
         
         
            
               v)cualquier otra medida o procedimiento pertinente.
            
            
               3.Cuando la entrada en una zona de acceso restringido constituya un acceso directo a la información clasificada que contiene, la zona deberá considerarse como zona de clase I y, cuando no sea así, como zona de clase II.
            
            
               Para ambas clases de zonas de acceso restringido y además de los requisitos establecidos en el punto 2, el servicio o responsable de seguridad de la institución u órgano de la Unión de que se trate deberá indicar claramente el grado de clasificación de seguridad más alto de la información que se conserve normalmente en la zona y deberá definir claramente un perímetro que permita el control de las personas y, en la medida de lo posible, de los vehículos.
            
            
               Las instituciones y órganos de la Unión deben garantizar que las personas que accedan a una zona de acceso restringido cumplan los siguientes criterios:
            
            
               a)contar con una autorización específica para entrar en la zona;
            
            
               b)estar acompañadas en todo momento;
            
            
               c)estar debidamente habilitadas, a menos que se adopten medidas para garantizar que no sea posible acceder a ICUE.
            
            
               4.Las zonas de acceso restringido protegidas contra las escuchas pasivas y activas deberán ser designadas zonas de acceso restringido protegidas por medios técnicos y, además de los requisitos aplicables a las zonas de acceso restringido, se les aplicarán los siguientes requisitos:
            
            
               a)deberán estar equipadas con un sistema de detección instantánea de intrusiones, estar cerradas con llave cuando no estén ocupadas y ser vigiladas cuando estén ocupadas. Las llaves deberán utilizarse con arreglo al artículo 29, apartado 3;
            
            
               b)la autoridad de seguridad de la institución u órgano de la Unión de que se trate deberá inspeccionar la zona periódicamente, de forma física o técnica, o de ambas formas. Estas inspecciones también se efectuarán siempre que se haya producido o se sospeche que se ha producido una entrada no autorizada;
            
            
               c)deberá tener la adecuada protección acústica y TEMPEST.
            
            
               5.Todas las personas que entren en zonas de acceso restringido protegidas por medios técnicos deberán cumplir los requisitos establecidos en el punto 3.
            
            
               6.Se podrán establecer con carácter temporal zonas de acceso restringido y zonas de acceso restringido protegidas por medios técnicos en una zona administrativa para la celebración de una reunión clasificada u otro motivo similar.
            
            
               7.En las zonas de acceso restringido se instalarán cámaras acorazadas. Una cámara acorazada es una sala de construcción reforzada en la que la autoridad de seguridad de la institución u órgano de la Unión de que se trate apruebe los muros, suelos, techos, ventanas y puertas que puedan cerrarse con llave. Dichas salas deberán ofrecer una protección equivalente a un contenedor de seguridad aprobado para el almacenamiento de ICUE del mismo grado de clasificación.
            
            
               Medidas de protección física para el tratamiento y almacenamiento de ICUE
            
            
               8.La ICUE de grado RESTREINT UE/EU RESTRICTED deberá tratarse y almacenarse en cualquiera de los siguientes lugares:
            
            
               a)en una zona de acceso restringido; 
            
            
               b)en una zona administrativa, siempre que se impida el acceso a la ICUE a personas no autorizadas;
            
            
               c)fuera de una zona de acceso restringido o de una zona administrativa, siempre que el poseedor se haya comprometido a cumplir las medidas decididas por la autoridad de seguridad de cada institución y órgano de la Unión.
            
            
               9.La ICUE de grado RESTREINT UE/EU RESTRICTED se guardará en muebles de oficina adecuadamente cerrados con llave en las zonas administrativas o las zonas de acceso restringido. Podrá almacenarse temporalmente fuera de una zona administrativa o de una zona de acceso restringido siempre que la persona que la trate se haya comprometido a almacenar los documentos en cuestión en muebles de oficina apropiados cerrados con llave cuando no se estén leyendo o discutiendo.
            
         
         
            
               10.Las instituciones y órganos de la Unión podrán manejar y almacenar información RESTREINT UE/EU RESTRICTED fuera de sus sitios web, siempre que la información pertinente esté adecuadamente protegida. A tal fin, las instituciones y órganos de la Unión deberán cumplir las medidas previstas en el punto 8, letra c).
            
            
               11.La ICUE de grado RESTREINT UE/EU RESTRICTED deberá tratarse y almacenarse en cualquiera de los siguientes lugares:
            
            
               a)en una zona de acceso restringido; 
            
            
               b)en una zona administrativa, siempre que se impida el acceso a la ICUE a personas no autorizadas;
            
            
               c)fuera de una zona de acceso restringido o de una zona administrativa, siempre que la persona que la trate se haya comprometido a cumplir las medidas compensatorias decididas por la autoridad de seguridad de cada institución y órgano de la Unión. Además, el poseedor de ICUE deberá adoptar las siguientes medidas:
            
            
               i)notificar al registro pertinente el hecho de que los documentos clasificados se estén tratando fuera de las zonas protegidas;
            
            
               ii)mantener el documento bajo su control en todo momento.
            
            
               12.La información CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET deberá almacenarse en una zona de acceso restringido acreditada a ese grado por la autoridad competente de acreditación de seguridad de la institución u órgano de la Unión de que se trate, ya sea dentro de un contenedor de seguridad o dentro de una cámara acorazada.
            
            
               13.Los documentos clasificados CONFIDENTIEL UE/EU CONFIDENTIAL o superior solo podrán ser copiados por el registro correspondiente.
            
            
               14.La información TRES SECRET UE/EU TOP SECRET deberá tratarse y almacenarse en una zona de acceso restringido acreditada a ese grado. A tal fin, las instituciones y órganos de la Unión podrán celebrar las disposiciones necesarias para utilizar una zona de acceso restringido alojada y acreditada al grado adecuado por la autoridad de acreditación de seguridad de otra institución u órgano de la Unión.
            
            
               15.La información TRES SECRET UE/EU SECRET deberá almacenarse en una zona de acceso restringido acreditada a ese grado por la autoridad competente de acreditación de seguridad de la institución u órgano de la Unión de que se trate, respetando las siguientes condiciones:
            
            
               a)se almacenará en un contenedor de seguridad aprobado por la autoridad de seguridad de cada institución y órgano de la Unión, aplicando una de las medidas adicionales siguientes:
            
            
               i)protección continua o verificación periódica por personal de seguridad o de servicio habilitado; 
            
            
               ii)un sistema de detección instantánea de intrusiones aprobado, junto con personal de seguridad que pueda intervenir en caso de incidente;
            
            
               b)una cámara acorazada dotada de un sistema de detección instantánea de intrusiones, junto con personal de seguridad que pueda intervenir en caso de incidente.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            de la
            Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las instituciones. órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO IV
            
            
               Medidas de seguridad para la gestión de la información clasificada de la Unión Europea (ICUE)
            
            
               A efectos del presente anexo, por «servicios de mensajería comercial» se entienden los servicios postales nacionales y las empresas de mensajería que ofrecen un servicio consistente en la entrega de información a cambio de una tarifa y que se lleva a cabo, bien en forma de transporte personal en mano, bien mediante un sistema de rastreo.
            
            
               Transporte de ICUE
            
            
               1.Siempre que sea posible, las instituciones y órganos de la Unión que trasladen ICUE fuera de las zonas de acceso restringido o de las zonas administrativas deberán enviarla por medios electrónicos acreditados adecuados o protegerla mediante productos criptográficos homologados.
            
            
               2.Cuando transporten ICUE, las instituciones y órganos de la Unión deberán aplicar medidas de protección que cumplan los siguientes requisitos:
            
            
               a)ser acordes con el nivel de clasificación de la ICUE transportada;
            
            
               b)adaptarse a las condiciones específicas de su transporte, así como a la naturaleza y la forma de la ICUE transportada.
            
            
               3.Cuando se transporte físicamente a mano en forma de documentos en papel o en soportes de almacenamiento extraíbles, la ICUE deberá permanecer en posesión del portador y no deberá abrirse hasta que llegue a su destino final.
            
            
               4.Las personas o los mensajeros que transporten información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior deberán estar autorizados en materia de seguridad, instruidos sobre sus responsabilidades en materia de seguridad y, en caso necesario, deberán recibir un certificado de mensajería expedido por el registro de ICUE del servicio correspondiente.
            
            
               5.Los guardias y acompañantes deberán estar habilitados para el nivel pertinente y recibir información sobre los procedimientos de seguridad para la protección de la ICUE.
            
            
               6.Cuando se utilicen soportes de almacenamiento extraíbles, las instituciones y órganos de la Unión deberán proteger los medios mediante un producto de cifrado o cifrar los propios documentos.
            
            
               Embalaje de ICUE
            
            
               7.Por lo que se refiere al embalaje de ICUE, las instituciones y órganos de la Unión deberán garantizar que el contenido quede oculto a la vista.
            
            
               8.La información RESTREINT UE/EU RESTRICTED se transportará, como mínimo, en un embalaje opaco, como un sobre, una carpeta opaca o un maletín. La información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior deberá transportarse en dos capas de embalajes opacos.
            
            
               9.En el embalaje exterior no figurará ninguna indicación sobre la naturaleza o el grado de clasificación de su contenido. La capa interior del embalaje deberá llevar el marcado ICUE. En ambas capas se indicará el nombre del destinatario, su cargo y su dirección, así como una dirección para la devolución en caso de que no sea posible efectuar la entrega.
            
            
               Transporte por servicio de mensajería comercial
            
            
               10.Los mensajeros comerciales podrán transportar información clasificada de grado RESTREINT UE/EU RESTRICTED y CONFIDENTIEL UE/EU CONFIDENTIAL dentro de un Estado miembro y entre Estados miembros. Los mensajeros comerciales solo podrán entregar información SECRET UE/EU SECRET dentro de un Estado miembro y siempre que estén aprobados por la autoridad nacional de seguridad competente. No podrá confiarse a un servicio de mensajería comercial ICUE de nivel TRES SECRET UE/EU TOP SECRET.
            
            
               11.Los servicios de mensajería comercial solo podrán entregar envíos de información clasificada CONFIDENTIEL UE/EU CONFIDENTIAL o superior al controlador del registro, a su sustituto debidamente autorizado o al destinatario previsto. Dentro del sobre interior o la capa interior del sobre se incluirá un impreso de recibo de registro que el destinatario deberá cumplimentar y reenviar. El recibo de registro, que en sí mismo no estará clasificado, indicará el número de referencia, la fecha y el número de copias del documento, pero no el asunto.
            
         
         
            
               12.En el sobre exterior o en la capa exterior del embalaje se incluirá un recibo de entrega. El recibo de entrega, que en sí mismo no estará clasificado, indicará el número de referencia, la fecha y el número de copias del documento, pero no el asunto.
            
            
               13.El servicio de mensajería deberá obtener y facilitar al remitente una prueba de la entrega del envío en el registro de firma y recuento, u obtener recibos o los números de los paquetes.
            
            
               14.Antes del envío, el remitente deberá ponerse en contacto con el destinatario designado para convenir una fecha y una hora de entrega apropiadas.
            
            
               15.Los servicios de mensajería comercial podrán subcontratar sus servicios.
            
            
               16.Para la ICUE no se utilizarán los servicios de mensajería comercial consistentes en la transmisión electrónica de documentos de entrega certificada.
            
            
               Medidas relacionadas con las reuniones clasificadas
            
            
               17.Las instituciones y órganos de la Unión deberán advertir a los participantes de la intención de debatir temas clasificados durante una reunión, así como de las correspondientes medidas de seguridad que se aplicarán.
            
            
               18.Las instituciones y órganos de la Unión deberán comprobar que los participantes en las reuniones clasificadas tienen necesidad de conocer y, en su caso, que están habilitados o autorizados al nivel adecuado.
            
            
               19.Las instituciones y órganos de la Unión solo debatirán información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior en una sala de reuniones que haya sido acreditada al nivel adecuado o superior. Del mismo modo, solo se utilizarán equipos informáticos acreditados cuando se transmita información clasificada durante una reunión. El presidente se asegurará de que se hayan dejado fuera de la sala los dispositivos electrónicos portátiles no autorizados.
            
            
               20.Los organizadores de reuniones de las instituciones y órganos de la Unión deberán informar a su autoridad de seguridad de todos los visitantes externos que vayan a asistir a una reunión clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o superior que se celebre en emplazamientos de la institución u órgano de la Unión de que se trate.
            
            
               21.Solo podrán utilizarse los sistemas de comunicación e información acreditados de conformidad con el capítulo 5, sección 5, del presente Reglamento cuando se transmita información clasificada durante reuniones virtuales.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            de la
            Propuesta de REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las instituciones, órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO V
            
            
               Protección de la información clasificada de la Unión Europea (ICUE) en los contratos y acuerdos de subvención clasificados
            
            
               A efectos del presente anexo, además de las definiciones que figuran en los anexos II y IV, se entenderá por «habilitación de seguridad de instalación» (o «FSC», por sus siglas en inglés) la determinación administrativa de una autoridad nacional de seguridad, una autoridad de seguridad designada o cualquier otra autoridad de seguridad competente de que, desde el punto de vista de la seguridad, una instalación puede ofrecer un grado adecuado de protección de la ICUE hasta un determinado grado de clasificación de seguridad.
            
            
               Acceso a ICUE del personal de los contratistas y los beneficiarios 
            
            
               1.Cada institución u órgano de la Unión, como órgano de contratación o autoridad que concede la subvención, se asegurará de que el contrato o acuerdo de subvención clasificado incluya disposiciones que indiquen que al personal del contratista, subcontratista o beneficiario que, para la ejecución del contrato, subcontrato o acuerdo de subvención clasificado, precise el acceso a ICUE, solo se le concederá dicho acceso si:
            
            
               a)se ha comprobado que tiene necesidad de conocer la información;
            
            
               b)la autoridad nacional de seguridad o la autoridad de seguridad designada correspondiente o cualquier otra autoridad de seguridad competente le haya concedido una habilitación personal de seguridad del grado correspondiente en relación con información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET;
            
            
               c)ha sido instruido sobre las normas de seguridad aplicables para la protección de la ICUE y ha aceptado sus responsabilidades en lo que respecta a la protección de dicha información.
            
            
               2.Si un contratista o beneficiario desea emplear a un nacional de un tercer país en un puesto que requiera el acceso a ICUE de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, será responsabilidad del contratista o beneficiario iniciar el procedimiento de habilitación de seguridad de dicha persona, de conformidad con las disposiciones legales y reglamentarias nacionales aplicables en el lugar en que vaya a concederse el acceso a la ICUE.
            
            
               Habilitación de seguridad de instalación (FSC)
            
            
               3.La habilitación de seguridad de instalación será concedida por la autoridad nacional de seguridad o la autoridad de seguridad asignada o cualquier otra autoridad de seguridad competente de un Estado miembro para indicar, de conformidad con las disposiciones legales y reglamentarias nacionales, que una sociedad industrial u otro tipo de entidad puede proteger dentro de sus instalaciones la ICUE del grado de clasificación que corresponda (CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET).
            
            
               4.Una institución u órgano de la Unión, como órgano de contratación o autoridad que concede la subvención, deberá notificar, a través de su autoridad de seguridad, a la autoridad nacional de seguridad o a la autoridad de seguridad designada correspondiente o a cualquier otra autoridad de seguridad competente cuando se requiera una FSC para la ejecución del contrato o del acuerdo de subvención.
            
            
               5.Se requerirá una FSC cuando la información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET deba facilitarse a las instalaciones de los candidatos, licitadores o solicitantes durante el procedimiento de contratación o concesión de subvenciones.
            
            
               6.Una institución u órgano de la Unión, como órgano de contratación o autoridad que concede la subvención, deberá haber recibido confirmación, a través de su autoridad de seguridad, de una habilitación de seguridad de instalación para el candidato, licitador o contratista, o para el solicitante o beneficiario de la subvención, antes de concederle acceso a ICUE. 
            
            
               7.Cuando los Estados miembros no expidan FSC para determinadas instalaciones con arreglo a la legislación nacional, el órgano de contratación o la autoridad que concede la subvención deberá verificar con la autoridad nacional de seguridad o con la autoridad de seguridad designada de que se trate si dichas instalaciones pueden manejar ICUE del nivel requerido.
            
            
               8.Con excepción de los casos a que se refiere el punto 7, la institución u órgano de la Unión, en su calidad de órgano de contratación, no deberá firmar un contrato clasificado o un acuerdo de subvención clasificado antes de recibir confirmación, a través de su autoridad de seguridad, de la autoridad nacional de seguridad competente, de la autoridad de seguridad designada o de cualquier otra autoridad nacional competente, de que se ha expedido una habilitación de seguridad de instalación adecuada.
            
            
               9.La retirada de una FSC por parte de la autoridad nacional de seguridad, la autoridad de seguridad designada o cualquier otra autoridad de seguridad competente constituirá motivo suficiente para que el órgano de contratación o la autoridad que concede la subvención rescinda un contrato o acuerdo de subvención clasificado o excluya a un candidato, licitador o solicitante de la licitación.
            
            
               Disposiciones para la licitación y ejecución de contratos y convenios de subvención clasificados
            
            
               10.Cuando se facilite ICUE a un candidato, licitador o solicitante durante el procedimiento de contratación o selección, la convocatoria de licitación o la convocatoria de propuestas deberá incluir la obligación de que el candidato, licitador o solicitante que no haya sido seleccionado devuelva todos los documentos clasificados en un plazo determinado.
            
         
         
            
               11.Por regla general, el contratista o beneficiario de la subvención estará obligado a devolver cualquier ICUE que obre en su poder al órgano de contratación o a la autoridad que concede la subvención tras la resolución del contrato clasificado o el acuerdo de subvención o al término de la participación de un beneficiario de la subvención.
            
            
               12.En la cláusula sobre aspectos de la seguridad se incluirán disposiciones específicas para la eliminación de ICUE durante la ejecución del contrato o acuerdo de subvención clasificado.
            
            
               13.En caso de que el contratista o el beneficiario de la subvención esté autorizado para conservar ICUE al término de un contrato o acuerdo de subvención clasificado, las normas mínimas contenidas en la presente Decisión seguirán siendo de obligado cumplimiento y la confidencialidad de la ICUE será protegida por el titular del contrato o el beneficiario de la subvención.
            
            
               14.Las condiciones pertinentes para la protección de la ICUE con arreglo a las cuales el contratista o beneficiario podrá subcontratar deberán definirse en la convocatoria de licitación o en la convocatoria de propuestas y en el contrato o acuerdo de subvención clasificado.
            
            
               15.El contratista o beneficiario deberá obtener la autorización del órgano de contratación o la autoridad que concede la subvención antes de subcontratar cualquier parte de un contrato clasificado o partes clasificadas de un acuerdo de subvención.
            
            
               16.El contratista o beneficiario responderá de que todas las actividades subcontratadas se ejecuten de conformidad con las normas mínimas prescritas en la presente Decisión y no transmitirá ICUE a ningún subcontratista sin el previo consentimiento escrito del órgano de contratación o la autoridad que concede la subvención.
            
            
               17.Por lo que respecta a la ICUE creada por el contratista o beneficiario, la institución u órgano de la Unión, que es el órgano de contratación o la autoridad que concede la subvención, se considerará el expedidor y deberá ejercer los derechos que le correspondan.
            
            
               18.Cuando los Estados miembros exijan una FSC o una PSC para los contratos, acuerdos de subvención o subcontratos de grado RESTREINT UE/EU RESTRICTED en virtud de sus disposiciones legales y reglamentarias nacionales, las instituciones y órganos de la Unión, en su calidad de órgano contratación o autoridad que concede la subvención, no podrán utilizar dichos requisitos nacionales para imponer obligaciones adicionales a los demás Estados miembros o excluir a solicitantes, beneficiarios o subcontratistas de los Estados miembros que no dispongan de tales FSC o PSC para el acceso a información de grado RESTREINT UE/EU RESTRICTED de los contratos, acuerdos de subvención o subcontratos correspondientes o de competir por ellos.
            
            
               Visitas en relación con contratos y acuerdos de subvención clasificados
            
            
               19.Cuando las instituciones y órganos de la Unión, los contratistas, los beneficiarios o subcontratistas necesiten acceder a información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET que se halle en los emplazamientos de otra de las partes en el contexto de la ejecución de un contrato o acuerdo de subvención clasificado, se organizarán visitas, con la colaboración de las autoridades nacionales de seguridad, las autoridades designadas de seguridad o cualesquiera otras autoridades de seguridad competentes.
            
            
               20.Las visitas a que se refiere el apartado 19 estarán sujetas a los requisitos siguientes:
            
            
               a)la visita tendrá una finalidad oficial relacionada con un contrato o acuerdo de subvención clasificado;
            
            
               b)todos los visitantes deberán estar en posesión de una PSC del grado exigido y tener necesidad de conocer para acceder a ICUE utilizada o generada durante la ejecución de un contrato o acuerdo de subvención clasificado.
            
            
               c)deberá presentarse una solicitud oficial de visita a la autoridad nacional de seguridad o a la autoridad de seguridad designada de la instalación o a la autoridad de seguridad de la institución u órgano de la Unión de que se trate, al menos 15 días antes de la fecha de la visita.
            
            
               21.Cuando se trate de proyectos específicos, la autoridad nacional de seguridad o le autoridad de seguridad designada y la autoridad de seguridad de la institución u órgano de la Unión de que se trate podrán acordar un procedimiento por el que las visitas en relación con una subvención clasificada específica puedan ser organizadas directamente por el responsable de seguridad del visitante y el responsable de seguridad de la instalación que se vaya a visitar. Este procedimiento excepcional deberá figurar en la instrucción de seguridad del programa o proyecto u otras disposiciones específicas.
            
            
               22.Las visitas que impliquen el acceso a información clasificada de grado RESTREINT UE/EU RESTRICTED deberán organizarse directamente entre la entidad remitente y la receptora.
            
            
               Transmisión electrónica de ICUE en relación con contratos o acuerdos de subvención clasificados
            
            
               23.El tratamiento y la transmisión electrónicos de ICUE se llevarán a cabo de conformidad con el capítulo 5, sección 5.
            
            
               Los SIC propiedad de un contratista, beneficiario o subcontratista y utilizados para manejar y almacenar ICUE para la ejecución del contrato o del acuerdo de subvención deberán estar sujetos a la acreditación de la Autoridad de Acreditación de Seguridad del país o la organización internacional bajo cuya autoridad actúe el contratista, beneficiario o subcontratista.
            
            
               Toda transmisión electrónica de ICUE en el contexto de contratos y acuerdos de subvención clasificados deberá estar protegida por productos criptográficos aprobados de conformidad con el artículo 42.
            
         
         
            
               24.La acreditación de seguridad del SIC de los contratistas o beneficiarios que manejen ICUE de grado RESTREINT UE/EU RESTRICTED y cualquier interconexión de este podrán delegarse en el responsable de seguridad del contratista si así lo permiten las disposiciones legales y reglamentarias nacionales.
            
            
               Cuando la acreditación de seguridad sea delegada, el beneficiario será responsable de respetar los requisitos mínimos de seguridad descritos en la cláusula sobre aspectos de la seguridad al manejar información de grado RESTREINT UE/EU RESTRICTED en su SIC. Las autoridades nacionales de seguridad o las autoridades nacionales de seguridad y las autoridades de acreditación de seguridad pertinentes seguirán siendo responsables de la protección de la información de grado RESTREINT UE/EU RESTRICTED que traten o almacenen los contratistas o beneficiarios y tendrán derecho a examinar las medidas de seguridad adoptadas por el contratista o beneficiario.
            
            
               Además, el contratista o beneficiario deberá facilitar a la institución u órgano de la Unión, como órgano de contratación o autoridad que concede la subvención, y, cuando así lo exijan las disposiciones legales y reglamentarias nacionales, la Autoridad de Acreditación de Seguridad competente, una declaración de conformidad que certifique que el SIC del contratista o beneficiario y las interconexiones correspondientes han sido acreditados para el tratamiento de ICUE de grado RESTREINT UE/EU RESTRICTED.
            
            
               Transporte en mano de ICUE en relación con contratos o acuerdos de subvención clasificados
            
            
               25.El transporte en mano de información clasificada relacionada con los contratos y acuerdos de subvención clasificados deberá estar sujeto a estrictos requisitos de seguridad.
            
            
               26.La información de grado RESTREINT UE/EU RESTRICTED podrá ser transportada en mano por el personal del beneficiario dentro de la Unión siempre que se cumplan los requisitos siguientes:
            
            
               a)que el sobre o empaquetado utilizado sea opaco y no indique la clasificación de su contenido;
            
            
               b)el portador conserve en todo momento la posesión de la información clasificada;
            
            
               c)el sobre o el embalaje no se abre hasta que llegue a su destino final.
            
            
               27.En el caso de la información clasificada de grado CONFIDENTIEL UE/EU CONFIDENTIAL y SECRET UE/EU SECRET, el transporte en mano por parte del personal del beneficiario dentro de un Estado miembro será organizado por adelantado por las entidades de origen y de destino.
            
            
               La autoridad o instalación emisora informará a la autoridad o instalación receptora de los datos del envío, incluidos la referencia, la clasificación, la hora prevista de llegada y el nombre del mensajero. Este transporte en mano se permitirá siempre que se cumplan los requisitos siguientes:
            
            
               a)que la información clasificada se transporte en un sobre o empaquetado doble;
            
            
               b)que el sobre o empaquetado exterior esté protegido y no indique la clasificación de su contenido, pero que el sobre interior sí indique el grado de clasificación;
            
            
               c)que el portador conserve en todo momento la posesión de la información clasificada;
            
            
               d)el sobre o el embalaje no se abre hasta que llegue a su destino final;
            
            
               e)que el sobre o empaquetado se transporte en un maletín con cerradura o en un objeto homologado similar del mismo tamaño y peso que el portador pueda llevar consigo en todo momento;
            
            
               f)que el mensajero lleve un certificado de correo expedido por su autoridad de seguridad competente por el que se le autorice a transportar el envío clasificado así identificado.
            
            
               28.Por lo que se refiere al transporte en mano por el personal del contratista o beneficiario de información clasificada CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET de un Estado miembro a otro, además de los requisitos establecidos en el punto 27, se aplicarán las normas adicionales siguientes:
            
            
               a)el mensajero será responsable de la custodia del material clasificado hasta su entrega al destinatario;
            
            
               b)en caso de fallo de seguridad, la autoridad nacional de seguridad o la autoridad de seguridad designada del remitente podrá solicitar que las autoridades del país en que se haya producido el fallo lleven a cabo una investigación, comuniquen sus conclusiones y emprendan acciones legales o de otro tipo, según proceda;
            
         
         
            
               c)el mensajero será informado de todas las obligaciones en materia de seguridad que deban observarse durante el transporte y firmará una declaración de conocimiento de tales obligaciones;
            
            
               d)las instrucciones para el mensajero se adjuntarán al certificado de correo;
            
            
               e)el mensajero deberá disponer de una descripción del envío y un itinerario;
            
            
               f)el certificado de mensajería y los documentos asociados deberán devolverse a la autoridad nacional de seguridad o a la autoridad de seguridad designada al término del viaje o viajes, o el destinatario del certificado de mensajería deberá ponerlos a disposición a efectos de seguimiento;
            
            
               g)si las autoridades aduaneras, las autoridades de inmigración o la policía de fronteras solicitan examinar e inspeccionar el envío, se les permitirá abrir y observar suficientes partes del envío como para cerciorarse de que no contienen ningún material distinto del declarado;
            
            
               h)deberá instarse a las autoridades aduaneras a que respeten la autoridad oficial de los documentos enviados y los documentos de autorización transportados por el mensajero.
            
            
               Si las autoridades aduaneras abren un envío, deberá hacerse fuera de la vista de las personas no autorizadas y en presencia del mensajero cuando sea posible. El mensajero solicitará que se vuelva a empaquetar el envío y pedirá a las autoridades que lleven a cabo la inspección que vuelvan a precintar el envío y que confirmen por escrito que lo han abierto.
            
            
               29.El transporte en mano, por parte del personal del contratista o del beneficiario, de información clasificada hasta el nivel SECRET UE/EU SECRET a un tercer país o a una organización internacional estará sujeto a las disposiciones del acuerdo sobre seguridad de la información celebrado entre la Unión Europea y ese tercer país u organización internacional.
            
            
               Transporte de ICUE por correo comercial y como carga en relación con contratos y acuerdos de subvención clasificados
            
            
               30.El transporte de ICUE por correo comercial deberá realizarse de conformidad con las disposiciones pertinentes del anexo IV.
            
            
               31.Por lo que se refiere al transporte como carga de material clasificado, se aplicarán los siguientes principios para determinar las medidas de seguridad:
            
            
               a)la seguridad deberá estar garantizada durante todas las fases del transporte, desde el punto de origen hasta el destino final;
            
            
               b)el grado de protección concedido a un envío se determinará en función del mayor grado de clasificación del material que contenga;
            
            
               c)se obtendrá una FSC del grado adecuado para las sociedades encargadas del transporte. En tales casos, el personal que manipule el envío deberá estar habilitado de seguridad;
            
            
               d)antes de efectuarse cualquier traslado transfronterizo de material clasificado de los grados CONFIDENTIEL UE/EU CONFIDENTIAL o SECRET UE/EU SECRET, el remitente elaborará un plan de transporte que deberá ser aprobado por la autoridad nacional de seguridad, la autoridad de seguridad designada o cualquier otra autoridad de seguridad competente afectada;
            
            
               e)en la medida de lo posible, los viajes evitarán las paradas intermedias y se completarán con toda la rapidez que las circunstancias permitan;
            
            
               f)siempre que sea posible, se circulará exclusivamente a través de Estados miembros. Solo se podrán realizar rutas a través de terceros países si así lo autorizan la autoridad nacional de seguridad, la autoridad de seguridad designada o cualquier otra autoridad de seguridad competente de los Estados tanto del expedidor como del destinatario.
            
         
         
      
    ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- NA ---documentbreak--- 
      
         
               COMISIÓN EUROPEA
            Bruselas, 22.3.2022
            COM(2022) 119 final
            
            ANEXO
            de la 
            Propuesta deREGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO
            sobre la seguridad de la información en las institucions, órganos y organismos de la Unión
            {SWD(2022) 65 final} - {SWD(2022) 66 final}
            
               
         
         
            
               ANEXO VI
            
            
               Correspondencia de las clasificaciones de seguridad
            
            
               Equivalencia en la clasificación de seguridad de los Estados miembros y Euratom
            
            
                     
                        UE
                     
                  
                  
                     
                        TRES SECRET UE/EU TOP SECRET
                     
                  
                  
                     
                        SECRET UE/EU SECRET
                     
                  
                  
                     
                        CONFIDENTIEL UE/UE CONFIDENTIAL
                     
                  
                  
                     
                        RESTREINT UE/EU RESTRICTED
                     
                  
               
                     
                        EURATOM
                     
                  
                  
                     
                        EURA TOP SECRET
                     
                  
                  
                     
                        EURA SECRET
                     
                  
                  
                     
                        EURA CONFIDENTIAL
                     
                  
                  
                     
                        EURA RESTRICTED
                     
                  
               
                     
                        Bélgica
                     
                  
                  
                     
                        Très Secret (Loi 11.12.1998)
                     
                     
                        Zeer Geheim (Wet 11.12.1998)
                     
                  
                  
                     
                        Secret (Loi 11.12.1998)
                     
                     
                        Geheim (Wet 1.12.1998)
                     
                  
                  
                     
                        Confidentiel (Loi 11.12.1998)
                     
                     
                        Vertrouwelijk (Wet 11.12.1998)
                     
                  
                  
                     
                        Nota
                           1
                         infra
                     
                  
               
                     
                        Bulgaria
                     
                  
                  
                     
                        Cтpoгo ceкретно
                     
                  
                  
                     
                        Ceкретно
                     
                  
                  
                     
                        Поверително
                     
                  
                  
                     
                        За служебно ползване
                     
                  
               
                     
                        Chequia
                     
                  
                  
                     
                        Přísně tajné
                     
                  
                  
                     
                        Tajné
                     
                  
                  
                     
                        Důvěrné
                     
                  
                  
                     
                        Vyhrazené
                     
                  
               
                     
                        Dinamarca
                     
                  
                  
                     
                        YDERST HEMMELIGT 
                     
                  
                  
                     
                        HEMMELIGT 
                     
                  
                  
                     
                        FORTROLIGT 
                     
                  
                  
                     
                        TIL TJENESTEBRUG
                     
                  
               
                     
                        Alemania
                     
                  
                  
                     
                        STRENG GEHEIM
                     
                  
                  
                     
                        GEHEIM
                     
                  
                  
                     
                        VS
                           2
                         — VERTRAULICH
                     
                  
                  
                     
                        VS — NUR FÜR DEN DIENSTGEBRAUCH
                     
                  
               
                     
                        Estonia
                     
                  
                  
                     
                        Täiesti salajane
                     
                  
                  
                     
                        Salajane
                     
                  
                  
                     
                        Konfidentsiaalne
                     
                  
                  
                     
                        Piiratud
                     
                  
               
                     
                        Irlanda
                     
                  
                  
                     
                        Top Secret
                     
                  
                  
                     
                        Secret
                     
                  
                  
                     
                        Confidential
                     
                  
                  
                     
                        Restricted
                     
                  
               
                     
                        Grecia
                     
                  
                  
                     
                        Άκρως Απόρρητο
                     
                     
                        Abr: ΑΑΠ
                     
                  
                  
                     
                        Απόρρητο
                     
                     
                        Abr: (ΑΠ)
                     
                  
                  
                     
                        Εμπιστευτικό
                     
                     
                        Αbr: (ΕΜ)
                     
                  
                  
                     
                        Περιορισμένης Χρήσης
                     
                     
                        Abr: (ΠΧ)
                     
                  
               
                     
                        España
                     
                  
                  
                     
                        SECRETO
                     
                  
                  
                     
                        RESERVADO
                     
                  
                  
                     
                        CONFIDENCIAL
                     
                  
                  
                     
                        DIFUSIÓN LIMITADA
                     
                  
               
                     
                        Francia
                     
                  
                  
                     
                        TRÈS SECRET
                     
                     
                        TRÈS SECRET DÉFENSE
                           3
                        
                     
                  
                  
                     
                        SECRET
                     
                     
                        SECRET DÉFENSE(3)
                     
                  
                  
                     
                        CONFIDENTIEL DÉFENSE (3) 
                           4
                        
                     
                  
                  
                     
                        Nota
                           5
                         infra
                     
                  
               
                     
                        Croacia
                     
                  
                  
                     
                        VRLO TAJNO
                     
                  
                  
                     
                        TAJNO
                     
                  
                  
                     
                        POVJERLJIVO
                     
                  
                  
                     
                        OGRANIČENO
                     
                  
               
                     
                        Italia
                     
                  
                  
                     
                        Segretissimo
                     
                  
                  
                     
                        Segreto
                     
                  
                  
                     
                        Riservatissimo
                     
                  
                  
                     
                        Riservato
                     
                  
               
                     
                        Chipre
                     
                  
                  
                     
                        Άκρως Απόρρητο
                     
                     
                        Αbr: (ΑΑΠ)
                     
                  
                  
                     
                        Απόρρητο
                     
                     
                        Αbr: (ΑΠ)
                     
                  
                  
                     
                        Εμπιστευτικό
                     
                     
                        Αbr: (ΕΜ)
                     
                  
                  
                     
                        Περιορισμένης Χρήσης
                     
                     
                        Αbr: (ΠΧ)
                     
                  
               
                     
                        Letonia
                     
                  
                  
                     
                        Sevišķi slepeni
                     
                  
                  
                     
                        Slepeni
                     
                  
                  
                     
                        Konfidenciāli
                     
                  
                  
                     
                        Dienesta vajadzībām
                     
                  
               
                     
                        Lituania
                     
                  
                  
                     
                        Visiškai slaptai
                     
                  
                  
                     
                        Slaptai
                     
                  
                  
                     
                        Konfidencialiai
                     
                  
                  
                     
                        Riboto naudojimo
                     
                  
               
                     
                        Luxemburgo
                     
                  
                  
                     
                        Très Secret Lux
                     
                  
                  
                     
                        Secret Lux
                     
                  
                  
                     
                        Confidentiel Lux
                     
                  
                  
                     
                        Restreint Lux
                     
                  
               
                     
                        Hungría
                     
                  
                  
                     
                        Szigorúan titkos!
                     
                  
                  
                     
                        Titkos!
                     
                  
                  
                     
                        Bizalmas!
                     
                  
                  
                     
                        Korlátozott terjesztésű!
                     
                  
               
                     
                        Malta
                     
                  
                  
                     
                        L-Ghola Segretezza
                     
                     
                        Top Secret
                     
                  
                  
                     
                        Sigriet
                     
                     
                        Secret
                     
                  
                  
                     
                        Kunfidenzjali
                     
                     
                        Confidential
                     
                  
                  
                     
                        Ristrett
                     
                     
                        Restricted
                           6
                        
                     
                  
               
                     
                        Países Bajos
                     
                  
                  
                     
                        Stg. ZEER GEHEIM
                     
                  
                  
                     
                        Stg. GEHEIM
                     
                  
                  
                     
                        Stg. CONFIDENTIEEL
                     
                  
                  
                     
                        Dep. VERTROUWELIJK
                     
                  
               
                     
                        Austria
                     
                  
                  
                     
                        Streng Geheim
                     
                  
                  
                     
                        Geheim
                     
                  
                  
                     
                        Vertraulich
                     
                  
                  
                     
                        Eingeschränkt
                     
                  
               
                     
                        Polonia
                     
                  
                  
                     
                        Ściśle Tajne
                     
                  
                  
                     
                        Tajne
                     
                  
                  
                     
                        Poufne
                     
                  
                  
                     
                        Zastrzeżone
                     
                  
               
                     
                        Portugal
                     
                  
                  
                     
                        Muito Secreto
                     
                  
                  
                     
                        Secreto
                     
                  
                  
                     
                        Confidencial
                     
                  
                  
                     
                        Reservado
                     
                  
               
                     
                        Rumanía
                     
                  
                  
                     
                        Strict secret de importanță deosebită
                     
                  
                  
                     
                        Strict secret
                     
                  
                  
                     
                        Secret
                     
                  
                  
                     
                        Secreto de serviciu
                     
                  
               
                     
                        Eslovenia
                     
                  
                  
                     
                        STROGO TAJNOt
                     
                  
                  
                     
                        TAJNO
                     
                  
                  
                     
                        ZAUPNO
                     
                  
                  
                     
                        INTERNO 
                     
                  
               
                     
                        Eslovaquia
                     
                  
                  
                     
                        Přísně tajné
                     
                  
                  
                     
                        Tajné
                     
                  
                  
                     
                        Dôverné
                     
                  
                  
                     
                        Vyhradené
                     
                  
               
                     
                        Finlandia
                     
                  
                  
                     
                        ERITTÄIN SALAINEN
                     
                     
                        YTTERST HEMLIG
                     
                  
                  
                     
                        SALAINEN
                     
                     
                        HEMLIG
                     
                  
                  
                     
                        LUOTTAMUKSELLINEN
                     
                     
                        KONFIDENTIELL
                     
                  
                  
                     
                        KÄYTTÖ RAJOITETTU
                     
                     
                        BEGRÄNSAD TILLGÅNG
                     
                  
               
                     
                        Suecia 
                     
                  
                  
                     
                        Kvalificerat hemlig
                     
                  
                  
                     
                        Hemlig
                     
                  
                  
                     
                        Konfidentiell
                     
                  
                  
                     
                        Begränsat hemlig
                     
                  
               
            
         
         
            
                  
                     (1)
                  
                        Diffusion Restreinte/Beperkte Verspreiding no es una clasificación de seguridad en Bélgica. Bélgica trata y protege la información RESTREINT UE/EU RESTRICTED tal como se establece en el Acuerdo entre los Estados miembros reunidos en el seno del Consejo, relativo a la protección de la información clasificada intercambiada en interés de la UE (2011/C 202/05).
               
               
                  
                     (2)
                  
                        Alemania: VS = Verschlusssache.
               
               
                  
                     (3)
                  
                        La información generada por Francia antes del 1 de julio de 2021 con clasificación TRÈS SECRET DÉFENSE, SECRET DÉFENSE o CONFIDENTIEL DÉFENSE sigue tratándose y protegiéndose al nivel equivalente a TRÈS SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET o CONFIDENTIEL UE/EU CONFIDENTIAL, respectivamente.
               
               
                  
                     (4)
                  
                        Francia trata y protege la información clasificada CONFIDENTIEL UE/EU CONFIDENTIAL con arreglo a las medidas de protección de seguridad para la información SECRET. 
               
               
                  
                     (5)
                  
                        Francia no utiliza la clasificación RESTREINT en su sistema nacional. Francia trata y protege la información RESTREINT UE/EU RESTRICTED tal como se establece en el Acuerdo entre los Estados miembros reunidos en el seno del Consejo, relativo a la protección de la información clasificada intercambiada en interés de la UE (2011/C 202/05).
               
               
                  
                     (6)
                  
                        En Malta, las marcas en maltés e inglés pueden utilizarse indistintamente.