Source: https://eur-lex.europa.eu/legal-content/RO/TXT/HTML/?uri=CELEX:32013D0488&from=RO
Timestamp: 2019-10-19 04:46:23+00:00
Document Index: 3220705

Matched Legal Cases: ['articolul 15', 'articolul 10', 'articolul 13', 'articolul 13', 'articolul 7', 'articolul 13', 'articolul 13', 'articolul 9', 'articolul 16', 'articolul 13', 'articolul 16', 'articolul 10', 'articolul 6', 'articolul 13']

L_2013274RO.01000101.xml
(2013/488/UE)
În vederea desfășurării activităților Consiliului în toate domeniile care necesită gestionarea informațiilor clasificate, se impune instituirea unui sistem de securitate cuprinzător pentru protecția informațiilor clasificate, care să includă Consiliul, Secretariatul General al Consiliului și statele membre.
Statele membre ar trebui, în conformitate cu actele cu putere de lege și reglementările naționale și în măsura necesară pentru funcționarea Consiliului, să respecte prezenta decizie în cazurile în care autoritățile competente, personalul sau contractanții acestora gestionează IUEC, astfel încât fiecare dintre ele să aibă garanția acordării unui nivel echivalent de protecție a IUEC.
Consiliul, Comisia și Serviciul European de Acțiune Externă (SEAE) își asumă angajamentul de a aplica standarde echivalente de securitate pentru protecția IUEC.
Consiliul subliniază importanța asocierii, dacă este cazul, a Parlamentului European și a altor instituții, organisme, oficii sau agenții ale Uniunii la principiile, standardele și normele pentru protecția informațiilor clasificate necesare pentru protejarea intereselor Uniunii și ale statelor sale membre.
Consiliul ar trebui să stabilească cadrul corespunzător pentru partajarea IUEC deținute de Consiliu cu alte instituții, organisme, oficii sau agenții ale Uniunii, după caz, în conformitate cu prezenta decizie și cu acordurile inter-instituționale în vigoare.
Organismele și agențiile Uniunii instituite în temeiul titlului V capitolul 2 din Tratatul privind Uniunea Europeană (TUE), Europol și Eurojust ar trebui să aplice, în cadrul organizării lor interne, principiile de bază și standardele minime stabilite în prezenta decizie pentru protecția IUEC, în cazul în care actul de înființare a acestora prevede astfel.
Operațiile de gestionare a crizelor instituite în temeiul titlului V capitolul 2 din TUE și personalul operațiilor în cauză ar trebui să aplice normele de securitate pentru protecția IUEC adoptate de Consiliu în cazul în care actul Consiliului de înființare a acestora prevede astfel.
Reprezentanții Speciali ai UE și membrii echipelor acestora ar trebui să aplice normele de securitate adoptate de Consiliu pentru protecția IUEC în cazul în care actul relevant al Consiliului prevede astfel.
Prezenta decizie se adoptă fără a aduce atingere practicilor existente în interiorul statelor membre cu privire la informarea parlamentelor lor naționale despre activitățile Uniunii.
Pentru a asigura aplicarea normelor de securitate pentru protecția IUEC în timp util din perspectiva aderării Republicii Croația la Uniunea Europeană, prezenta decizie ar trebui să intre în vigoare la data publicării,
(2) Aceste principii de bază și standarde minime de securitate se aplică Consiliului și SGC și sunt respectate de statele membre, în conformitate cu actele cu putere de lege și reglementările naționale ale acestora, astfel încât fiecare dintre acestea să aibă garanția utilizării unui nivel echivalent de protecție a IUEC.
(1) „Informații UE clasificate” (IUEC) înseamnă orice informații sau materiale desemnate ca atare printr-o clasificare de securitate a UE a căror divulgare neautorizată ar cauza prejudicii de diferite grade intereselor Uniunii Europene sau ale unora sau mai multor state membre.
TRÈS SECRET UE/EU TOP SECRET: acest nivel de clasificare se aplică numai acelor informații și materiale a căror divulgare neautorizată poate aduce prejudicii deosebit de grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
SECRET UE/EU SECRET: informații și materiale a căror divulgare neautorizată poate aduce prejudicii grave intereselor esențiale ale Uniunii Europene sau ale unuia sau mai multor state membre.
CONFIDENTIEL UE/EU CONFIDENTIAL: informații și materiale a căror divulgare neautorizată poate aduce prejudicii intereselor esențiale ale Uniunii Europene sau ale unuia ori mai multor state membre.
RESTREINT UE/EU RESTRICTED: informații și materiale a căror divulgare neautorizată poate fi în defavoarea intereselor Uniunii Europene sau ale unuia sau mai multor state membre.
(2) Deținătorul oricărei IUEC este responsabil de protecția acesteia, în conformitate cu prezenta decizie.
(3) În cazul în care statele membre introduc informații clasificate care conțin un marcaj național de clasificare de securitate în structurile sau rețelele Uniunii, Consiliul și SGC protejează informațiile respective în conformitate cu cerințele aplicabile IUEC de nivel echivalent, astfel cum se precizează în tabelul de echivalență a clasificărilor de securitate din apendicele B.
(4) Un volum total de IUEC poate justifica un nivel de protecție corespunzător unei clasificări superioare celei a elementelor sale individuale.
(1) Riscul la adresa IUEC este gestionat ca proces. Acest proces urmărește determinarea riscurilor de securitate cunoscute, definirea măsurilor de securitate destinate reducerii acestor riscuri la un nivel acceptabil în conformitate cu principiile de bază și standardele minime de securitate stabilite în prezenta decizie și aplicarea măsurilor respective în conformitate cu conceptul apărării în profunzime așa cum este definit în apendicele A. Eficacitatea acestor măsuri este evaluată permanent.
au primit autorizare de securitate pentru nivelul corespunzător, dacă este cazul; și
(2) Sunt elaborate proceduri privind autorizarea de securitate a personalului, pentru a stabili dacă o persoană poate avea acces la IUEC, ținându-se seama de loialitatea și onestitatea acesteia și de încrederea pe care o inspiră.
(3) Întregul personal al SGC, ale cărui atribuții necesită accesul la IUEC de nivel CONFIDENTIEL UE/EU CONFIDENTIAL sau superior ori gestionarea acestora, primește autorizare de securitate pentru nivelul corespunzător înainte de a i se acorda acces la respectivele IUEC. Persoanelor respective trebuie să le fie autorizat, de către autoritatea responsabilă cu numirile din cadrul SGC, accesul la IUEC până la un nivel precizat și până la o dată precisă.
(4) Personalul statelor membre menționat la articolul 15 alineatul (3), ale cărui atribuții pot necesita accesul la IUEC de nivel CONFIDENTIEL UE/EU CONFIDENTIAL sau superior, trebuie să dețină autorizare de securitate pentru nivelul corespunzător sau să fie autorizat în alt mod prin natura funcțiilor deținute, în conformitate cu actele cu putere de lege și reglementările naționale, înainte de acordarea accesului la respectivele IUEC.
(5) Înainte de a se acorda acces la IUEC și, ulterior, la intervale periodice, întregul personal este informat și ia cunoștință de responsabilitățile care îi revin cu privire la protecția IUEC, în conformitate cu prezenta decizie.
(1) Managementul informațiilor clasificate reprezintă aplicarea unor măsuri administrative pentru a controla IUEC pe durata ciclului lor de viață, în vederea completării măsurilor prevăzute la articolele 7, 8 și 10, contribuind astfel la descurajarea și detectarea compromiterii sau pierderii deliberate sau accidentale a informațiilor. Măsurile respective se referă, în special, la crearea, înregistrarea, copierea, traducerea, reducerea nivelului de clasificare, declasificarea, transportul și distrugerea IUEC.
pe suport electronic (de exemplu, chei USB, CD-uri, hard diskuri) protejat prin intermediul unor produse criptografice aprobate în conformitate cu articolul 10 alineatul (6); sau
în toate celelalte cazuri, conform indicațiilor primite de la autoritatea de securitate competentă, în conformitate cu măsurile de protecție prevăzute în anexa III.
(5) Anexele III și IV cuprind dispoziții pentru punerea în aplicare a prezentului articol.
(2) „Sistemul informatic și de comunicații” (SIC) reprezintă un sistem care permite gestionarea informațiilor clasificate în format electronic. SIC cuprinde toate activele necesare pentru a funcționa, inclusiv infrastructura, organizarea, personalul și resursele informaționale. Prezenta decizie se aplică SIC care gestionează IUEC.
(5) Se pun în aplicare măsuri de securitate în domeniul informațiilor pentru a proteja sistemele de comunicații și informații care tratează informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL și la un nivel superior împotriva compromiterii acestor informații prin emisii electromagnetice accidentale („măsuri de securitate TEMPEST”). Măsurile de securitate respective sunt proporționale cu riscul de exploatare și nivelul de clasificare a informațiilor.
confidențialitatea informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau RESTREINT UE/EU RESTRICTED este protejată prin produse criptografice aprobate de Secretarul General al Consiliului („Secretarul General”) în calitate de AAC, la recomandarea Comitetului de securitate.
o autoritate de distribuire a materialului criptografic (ADMC).
(2) SGC poate încredința prin contract sarcini care implică sau determină accesul la IUEC sau gestionarea sau păstrarea acestora de entități industriale sau de altă natură înregistrate într-un stat membru sau într-un stat terț care a încheiat un acord sau un acord administrativ în conformitate cu articolul 13 alineatul (2) litera (a) sau (b).
(4) Autoritatea națională de securitate (ANS), autoritatea desemnată de securitate (ADS) și oricare altă autoritate competentă din statele membre se asigură, în măsura permisă de actele cu putere de lege și reglementările naționale, că atât contractanții, cât și subcontractanții iau toate măsurile necesare pentru protecția IUEC în cursul negocierilor premergătoare contractului, precum și pe parcursul executării contractelor clasificate.
(5) ANS, ADS sau oricare altă autoritate de securitate competentă din fiecare stat membru se asigură, în conformitate cu actele cu putere de lege și reglementările naționale, că atât contractanții, cât și subcontractanții înregistrați în respectivul stat membru și care participă la contracte sau subcontracte necesitând accesul, în obiectivele lor, la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET, fie în cursul executării contractelor respective, fie în etapa precontractuală, trebuie să dețină autorizare de securitate industrială (ASI), la nivelul de clasificare necesar.
(6) Personalului contractantului sau al subcontractantului ale cărui atribuții pot necesita accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET în scopul executării unui contract clasificat i se acordă o autorizare de securitate a personalului (ASP) de către ANS/ADS corespunzătoare sau de către orice altă autoritate de securitate competentă, în conformitate cu actele cu putere de lege și reglementările naționale și cu standardele minime prevăzute în anexa I.
Partajarea IUEC
(1) Consiliul stabilește condițiile în care poate partaja IUEC pe care le deține cu alte instituții, organisme, oficii sau agenții ale Uniunii. În acest sens, se poate institui un cadru corespunzător, inclusiv prin încheierea unor acorduri interinstituționale sau a altor acorduri în cazul în care acestea sunt necesare în acest scop.
(2) Orice cadru de acest tip garantează faptul că IUEC primesc protecția corespunzătoare nivelului lor de clasificare și în conformitate cu principiile de bază și standardele minime care sunt echivalente celor prevăzute de prezenta decizie.
(2) Pentru a stabili un astfel de cadru și pentru a defini reguli reciproce pentru protejarea informațiilor clasificate care fac obiectul schimbului:
Uniunea încheie acorduri cu state terțe sau organizații internaționale privind procedurile de securitate pentru schimbul de informații clasificate și protecția acestora („acorduri privind securitatea informațiilor”); sau
Secretarul General poate încheia acorduri administrative în numele SGC, în condițiile prevăzute la punctul 17 din anexa VI, în cazul în care nivelul de clasificare a IUEC care urmează a fi comunicate nu depășește, ca regulă generală, nivelul RESTREINT UE/EU RESTRICTED.
(4) Decizia de a comunica IUEC provenite de la Consiliu către un stat terț sau o organizație internațională se ia de către Consiliu, de la caz la caz, în funcție de natura și conținutul informațiilor respective, necesitatea de a cunoaște a destinatarului lor și măsura avantajului pentru Uniune. Dacă emitentul informațiilor clasificate a căror comunicare este solicitată nu este Consiliul, SGC trebuie să solicite, mai întâi, acordul scris al emitentului. În cazul în care emitentul nu poate fi identificat, Consiliul își asumă răspunderea.
(4) În cazul în care se cunoaște sau există motive întemeiate să se presupună că IUEC au fost compromise sau pierdute, ANS sau altă autoritate competentă ia toate măsurile corespunzătoare în conformitate cu actele cu putere de lege și reglementările relevante pentru:
a evalua eventualele prejudicii aduse intereselor Uniunii sau ale statelor membre;
(5) Orice persoană responsabilă de încălcarea normelor de securitate prevăzute în prezenta decizie poate fi pasibilă de acțiuni disciplinare, în conformitate cu normele și reglementările aplicabile. Orice persoană responsabilă pentru compromiterea sau pierderea IUEC este pasibilă de acțiuni disciplinare și/sau în justiție, în conformitate cu actele cu putere de lege, normele și reglementările aplicabile.
(2) Secretarul General ia toate măsurile necesare pentru a asigura, în cazul gestionării sau păstrării IUEC sau a oricăror alte informații clasificate, aplicarea prezentei decizii în incintele utilizate de Consiliu și în cadrul SGC, de către funcționari și alți agenți ai SGC, de către personalul detașat la SGC și de către contractanții SGC.
(3) Statele membre iau măsurile corespunzătoare, în conformitate cu actele cu putere de lege și reglementările naționale, pentru a se asigura că, în momentul gestionării sau păstrării IUEC, prezenta decizie este respectată de către:
(1) În cadrul rolului care îi revine în asigurarea coerenței globale în aplicarea prezentei decizii, Consiliul aprobă:
acordurile menționate la articolul 13 alineatul (2) litera (a);
deciziile care autorizează sau aprobă comunicarea de IUEC emise sau deținute de Consiliu către state terțe și organizații internaționale, în conformitate cu principiul acordului emitentului;
un program anual de vizite de evaluare recomandat de Comitetul de securitate pentru vizite de evaluare a serviciilor și incintelor statelor membre, organismelor, agențiilor și entităților Uniunii care aplică prezenta decizie sau principiile cuprinse în aceasta și pentru vizite de evaluare în state terțe și la organizații internaționale, în scopul stabilirii eficienței măsurilor puse în aplicare pentru protecția IUEC; și
acordă funcționarilor SGC, altor agenți și experților naționali detașați autorizația de acces la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior în conformitate cu articolul 7 alineatul (3);
după caz, dispune efectuarea de investigații cu privire la orice compromitere sau pierdere, reală sau prezumată, de informații clasificate deținute sau elaborate de Consiliu și solicită autorităților de securitate competente să contribuie la astfel de investigații;
efectuează vizite periodice de evaluare a măsurilor de securitate destinate protecției IUEC din cadrul organismelor, agențiilor și entităților Uniunii care aplică prezenta decizie sau principiile cuprinse în aceasta;
efectuează, împreună și de comun acord cu ANS interesate, evaluări periodice ale măsurilor de securitate pentru protecția IUEC din cadrul serviciilor și incintelor aparținând statelor membre;
se asigură că măsurile de securitate sunt coordonate după necesități împreună cu autoritățile competente ale statelor membre care sunt responsabile cu protecția informațiilor clasificate și, după caz, ale statelor terțe sau ale organizațiilor internaționale, inclusiv în ceea ce privește natura amenințărilor la adresa securității IUEC și mijloacele de protecție împotriva acestora; și
încheie acordurile administrative menționate la articolul 13 alineatul (2) litera (b).
(3) În sensul punerii în aplicare a articolului 15 alineatul (3), statele membre ar trebui:
să desemneze o ANS, dintre cele enumerate în apendicele C, care este responsabilă cu măsurile de securitate pentru protecția IUEC, astfel încât:
măsurile de securitate pentru protecția IUEC să fie inspectate sau evaluate periodic;
întregul personal angajat în cadrul unei administrații naționale sau de către un contractant și căruia îi poate fi acordat accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior să dețină o autorizare de securitate adecvată sau să fie autorizat în alt mod în temeiul funcțiilor deținute, în conformitate cu actele cu putere de lege și reglementările naționale;
să fie instituite programe de securitate în funcție de necesități pentru a reduce la minimum riscul de pierdere sau de compromitere a IUEC;
să se răspundă cererilor corespunzătoare de autorizare de securitate, în special din partea oricăror organisme, agenții, entități, operații ale UE înființate în temeiul titlului V capitolul 2 din TUE, și a Reprezentanților Speciali ai UE (RSUE), precum și a echipelor acestora care aplică prezenta decizie sau principiile cuprinse în aceasta;
(2) Comitetul de securitate este compus din reprezentanți ai ANS ale statelor membre, iar un reprezentant al Comisiei și un reprezentant al SEAE participă la lucrările sale. Comitetul este prezidat de Secretarul General sau de către delegatul desemnat al acestuia. Comitetul se reunește la indicația Consiliului sau la cererea Secretarului General sau a unei ANS.
La reuniunile acestuia pot fi invitați să asiste și reprezentanți ai organismelor, agențiilor și entităților Uniunii care aplică prezenta decizie sau principiile cuprinse în aceasta, atunci când chestiunile dezbătute le privesc.
(1) Prezenta decizie abrogă și înlocuiește Decizia 2011/292/UE a Consiliului (2).
(2) Toate IUEC clasificate în conformitate cu Decizia 2001/264/CE a Consiliului (3) și cu Decizia 2011/292/UE continuă să fie protejate în conformitate cu dispozițiile corespunzătoare ale prezentei decizii.
Adoptată la Bruxelles, 23 septembrie 2013.
(2) Decizia 2011/292/UE a Consiliului din 31 martie 2011 privind normele de securitate pentru protecția informațiilor UE clasificate (JO L 141, 27.5.2011, p. 17).
(3) Decizia 2001/264/CE a Consiliului din 19 martie 2001 de adoptare a normelor de securitate ale Consiliului (JO L 101, 11.4.2001, p. 1).
Prezenta anexă stabilește dispozițiile pentru punerea în aplicare a articolului 7. Aceasta stabilește criteriile pentru a determina dacă o persoană poate primi autorizație de acces la IUEC, ținându-se seama de loialitatea și onestitatea acesteia și de încrederea pe care o inspiră, precum și procedurile administrative și de investigare care trebuie urmate în acest sens.
II. ACORDAREA ACCESULUI LA IUEC
Unei persoane i se acordă accesul la informații clasificate numai după parcurgerea următoarelor etape:
persoana fost instruită cu privire la normele și procedurile de securitate pentru protecția IUEC și și-a asumat responsabilitățile cu privire la protecția informațiilor respective; și
în cazul informațiilor clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior:
persoanei i s-a acordat o ASP de nivel corespunzător sau este autorizată în alt mod prin natura funcțiilor deținute, în conformitate cu actele cu putere de lege și reglementările naționale; sau
în cazul funcționarilor și al altor agenți ai SGC sau al experților naționali detașați, persoana a primit autorizația de acces la IUEC din partea autorității responsabile cu numirile din cadrul SGC în conformitate cu punctele 16-25 până la un nivel precizat și până la o dată precisă.
Fiecare stat membru și SGC identifică pozițiile din structurile lor care necesită accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior și care, prin urmare, necesită o autorizare de securitate de nivel corespunzător.
III. CERINȚE PRIVIND AUTORIZAREA DE SECURITATE A PERSONALULUI
După ce au primit o cerere autorizată corespunzător, ANS sau alte autorități naționale competente sunt responsabile pentru a asigura că cetățenii lor, cărora trebuie să li se acorde accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior, sunt supuși investigațiilor de securitate. Standardele de investigație respectă actele cu putere de lege și reglementările naționale, în vederea emiterii unei ASP sau a furnizării unei asigurări în scopul acordării autorizației de acces la IUEC persoanei în cauză, după caz.
În cazul în care persoana respectivă are reședința pe teritoriul unui alt stat membru sau al unui stat terț, autoritățile naționale competente solicită asistența autorității competente din statul de reședință, în conformitate cu actele cu putere de lege și reglementările naționale. Statele membre se sprijină reciproc în efectuarea investigațiilor de securitate, în conformitate cu actele cu putere de lege și reglementările naționale.
În cazul în care actele cu putere de lege și reglementările naționale o permit, ANS sau alte autorități naționale competente pot efectua investigații de securitate privind neresortisanții care solicită accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior. Standardele de investigație respectă actele cu putere de lege și reglementările naționale.
Loialitatea, onestitatea și încrederea inspirată de o persoană în scopul autorizării de securitate pentru accesul la informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior sunt stabilite prin intermediul unei investigații de securitate. Autoritatea națională competentă efectuează o evaluare generală pe baza rezultatelor unei astfel de investigații de securitate. Principalele criterii utilizate în acest scop includ, în măsura permisă de actele cu putere de lege și reglementările naționale, observația dacă persoana respectivă:
este sau a fost asociată cu spioni, teroriști, sabotori sau persoane suspectate, pe baza unor motive întemeiate, de a fi fost asociate reprezentanților unor organizații ale altor state, inclusiv ai serviciilor secrete, care pot amenința securitatea Uniunii și/sau a statelor membre, cu excepția cazurilor în care astfel de asocieri au fost autorizate pentru îndeplinirea unor atribuții oficiale;
este sau a fost membră a unei organizații care încearcă, prin mijloace violente, subversive sau alte mijloace ilegale, inter alia, să înlăture guvernul unui stat membru, să schimbe ordinea constituțională a unui stat membru sau să schimbe forma sau politicile de guvernare ale unui stat membru;
a încălcat în mod grav sau repetat regulamentele de securitate; sau a încercat sau a reușit să desfășoare o activitate neautorizată legată de sistemele informatice și de comunicații; și
poate fi expus la presiuni (de exemplu, în virtutea deținerii uneia sau mai multor cetățenii ale unor state care nu sunt membre UE sau prin intermediul unor rude sau asociați apropiați care ar putea fi vulnerabili față de servicii secrete străine, grupări teroriste sau alte organizații sau persoane subversive, ale căror scopuri pot amenința interesele de securitate ale Uniunii și/sau ale statelor membre).
După caz și în conformitate cu actele cu putere de lege și reglementările naționale, situația financiară și medicală a unei persoane poate fi, de asemenea, considerată relevantă în cadrul investigației de securitate.
După caz și în conformitate cu actele cu putere de lege și reglementările naționale, comportamentul și situația soțului/soției, partenerului/partenerei sau ale unui membru apropiat al familiei pot fi, de asemenea, considerate relevante în cadrul investigației de securitate.
Autorizarea de securitate inițială
Autorizarea de securitate inițială pentru accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL și SECRET UE/EU SECRET se bazează pe o investigație de securitate care acoperă cel puțin ultimii cinci ani sau perioada cuprinsă între împlinirea vârstei de 18 ani și până în prezent, în funcție de care dintre aceste perioade este mai scurtă și cuprinde:
Autorizarea de securitate inițială pentru accesul la informații clasificate TRÈS SECRET UE/EU TOP SECRET se bazează pe o investigație de securitate care acoperă cel puțin ultimii zece ani sau perioada cuprinsă între împlinirea vârstei de 18 ani și prezent, în funcție de care dintre aceste perioade este mai scurtă. Dacă interviurile descrise la litera (e) au loc, investigațiile acoperă cel puțin ultimii șapte ani sau perioada cuprinsă între împlinirea vârstei de 18 ani și prezent, în funcție de care dintre aceste perioade este mai scurtă. În plus față de criteriile indicate la punctul 7, sunt investigate următoarele elemente, în măsura permisă de actele cu putere de lege și reglementările naționale, înaintea acordării unei ASP TRÈS SECRET UE/EU TOP SECRET; acestea pot fi investigate și înaintea acordării unei ASP CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET, dacă acest lucru este necesar în temeiul actelor cu putere de lege și a reglementărilor naționale:
situația financiară – se caută informații privind finanțele persoanei, pentru a evalua orice vulnerabilitate la presiuni străine sau naționale cauzate de dificultăți financiare grave sau pentru a descoperi orice formă de prosperitate neexplicată;
În cazul în care este necesar și în conformitate cu actele cu putere de lege și reglementările naționale, pot avea loc investigații suplimentare pentru a colecta toate informațiile relevante disponibile cu privire la persoana în cauză și pentru a dovedi sau infirma informațiile adverse.
Revalidarea autorizării de securitate
După acordarea inițială a autorizării de securitate și dacă persoana a lucrat neîntrerupt în cadrul unei administrații naționale sau în cadrul SGC și necesită accesul permanent la IUEC, autorizarea de securitate este reexaminată în vederea revalidării la intervale de maximum cinci ani pentru autorizarea TRÈS SECRET UE/EU TOP SECRET, respectiv zece ani pentru autorizarea SECRET UE/EU SECRET și CONFIDENTIEL UE/EU CONFIDENTIAL, cu începere de la data comunicării rezultatului ultimei investigații de securitate pe care s-au bazat. Toate investigațiile de securitate destinate revalidării unei autorizări de securitate acoperă perioada scursă de la investigația anterioară.
Pentru revalidarea autorizării de securitate se investighează elementele menționate la punctele 10 și 11.
Cererile de revalidare se depun în timp util, ținându-se seama de perioada necesară pentru investigațiile de securitate. Cu toate acestea, în cazul în care ANS competentă sau o altă autoritate națională competentă a primit solicitarea relevantă privind revalidarea și chestionarul aferent privind securitatea personalului înainte de expirarea autorizării de securitate, iar investigația de securitate necesară nu a fost finalizată, autoritatea națională competentă poate, dacă acest lucru este permis de actele cu putere de lege și reglementările naționale, prelungi validitatea autorizării de securitate existent cu maximum 12 luni. Dacă, la sfârșitul acestei perioade de 12 luni, investigația de securitate nu a fost încă finalizată, persoanei îi sunt încredințate atribuții care nu necesită autorizare de securitate.
Procedurile de autorizare în cadrul SGC
În cazul în care SGC intră în posesia unor informații relevante pentru o investigație de securitate referitoare la o persoană care a solicitat autorizare de securitate pentru acces la IUEC, SGC, acționând în conformitate cu actele cu putere de lege și reglementările relevante, notifică ANS competentă.
În cazul în care investigația de securitate stabilește cu certitudine că nu se cunosc fapte adverse care să pună la îndoială loialitatea, onestitatea și încrederea inspirate de respectiva persoană, autoritatea împuternicită să facă numiri din cadrul SGC poate acorda persoanei în cauză autorizație de acces la IUEC până la nivelul relevant și până la o dată precisă.
În cazul în care investigația de securitate nu are drept rezultat o astfel de garanție, autoritatea împuternicită să facă numiri din cadrul SGC anunță persoana vizată, care poate solicita să fie audiată de către autoritatea împuternicită să facă numiri. Aceasta din urmă îi poate solicita ANS competente orice clarificare suplimentară posibilă, în conformitate cu actele cu putere de lege și reglementările naționale ale acesteia. Dacă rezultatul este confirmat, nu se acordă autorizația de acces la IUEC.
Investigația de securitate și rezultatele obținute sunt supuse actelor cu putere de lege și reglementările relevante în vigoare în statul membru în cauză, inclusiv celor privind căile de atac. Deciziile autorității împuternicite să facă numiri din cadrul SGC pot face obiectul unor căi de atac, în conformitate cu Statutul funcționarilor Uniunii Europene și Regimul aplicabil celorlalți agenți ai Uniunii Europene, stabilite în Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului (1) („Statutul funcționarilor și Regimul aplicabil celorlalți agenți”).
Experții naționali detașați în cadrul SGC într-o poziție care necesită accesul la IUEC clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior prezintă autorității de securitate a SGC, înainte de a-și prelua funcția, o certificare a autorizării de securitate a personalului (CASP) valabilă, pe baza căruia autoritatea împuternicită să facă numiri emite o autorizație de acces la IUEC.
SGC va accepta autorizația de acces la IUEC acordată de orice altă instituție, alt organism sau altă agenție a Uniunii, cu condiția să rămână valabilă. Autorizația va acoperi orice funcție deținută de persoana în cauză în cadrul SGC. Instituția, organismul sau agenția Uniunii în care își preia funcția persoana respectivă va informa ANS relevantă cu privire la schimbarea angajatorului.
Dacă o persoană nu își începe activitatea în termen de 12 luni de la notificarea rezultatului investigației de securitate autorității împuternicite să facă numiri din cadrul SGC sau dacă intervine o pauză de 12 luni în exercitarea atribuțiilor sale, timp în care persoana în cauză nu a fost angajată în cadrul SGC sau într-o poziție în cadrul administrației naționale a unui stat membru, rezultatul respectiv este prezentat ANS competente, pentru a se confirma menținerea valabilității și oportunității acestuia.
În cazul în care SGC intră în posesia unor informații privind un risc de securitate reprezentat de o persoană care are autorizație de acces la IUEC, SGC, acționând în conformitate cu normele și reglementările relevante, informează ANS competentă cu privire la aceasta și poate suspenda accesul la IUEC sau retrage autorizația de acces la IUEC.
În cazul în care o ANS notifică SGC retragerea unei garanții acordate în conformitate cu punctul 18 litera (a) pentru o persoană care are autorizație de acces la IUEC, autoritatea împuternicită să facă numiri din cadrul SGC poate solicita ANS orice clarificare pe care aceasta o poate furniza, în conformitate cu actele cu putere de lege și reglementările naționale ale acesteia. În cazul în care informațiile adverse sunt confirmate, persoanei i se retrage autorizația și i se refuză accesul la IUEC și la pozițiile care permit accesul la acestea sau din care ar putea compromite securitatea.
Orice decizie de retragere sau suspendare a unei autorizații de acces la IUEC pentru un funcționar sau a unui alt agent al SGC și, după caz, motivele care stau la baza acesteia sunt comunicate persoanei în cauză, care poate solicita să fie audiată de către autoritatea împuternicită să facă numiri. Informațiile furnizate de o ANS sunt supuse actelor cu putere de lege și reglementărilor relevante în vigoare în statul membru în cauză, inclusiv celor privind căile de atac. Deciziile autorității împuternicite să facă numiri din cadrul SGC pot face obiectul unor căi de atac, în conformitate cu Statutul funcționarilor și Regimul aplicabil celorlalți agenți.
Evidența autorizărilor de securitate și a autorizațiilor
Fiecare stat membru și SGC țin o evidență a autorizărilor de securitate și, respectiv, a autorizațiilor de acces la informațiile clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior acordate. Evidențele respective conțin cel puțin detalii cu privire la nivelul IUEC la care este permis accesul persoanei, data acordării autorizării de securitate și durata valabilității acesteia.
Autoritatea de securitate competentă poate elibera o CASP care indică nivelul IUEC la care este permis accesul persoanei respective (CONFIDENTIEL UE/EU CONFIDENTIAL sau superior), durata valabilității ASP pentru acces la IUEC sau a autorizației de acces la IUEC și data expirării certificării în cauză.
Scutiri de la obligația de a deține ASP
Accesul la IUEC al unor persoane din statele membre, autorizate în temeiul funcțiilor deținute, este stabilit în conformitate cu actele cu putere de lege și reglementările naționale; astfel de persoane sunt informate cu privire la obligațiile de securitate privind protecția IUEC.
Toate persoanele cărora li s-a acordat o autorizare de securitate confirmă în scris faptul că își înțeleg obligațiile cu privire la protecția IUEC, precum și consecințele compromiterii IUEC. Statele membre și SGC, după caz, țin evidența acestor confirmări scrise.
În cazul în care actele cu putere de lege și reglementările naționale permit aceasta, o autorizare de securitate acordată de o autoritate națională competentă a unui stat membru pentru accesul la informații clasificate naționale poate, pentru o perioadă temporară, până la acordarea unei autorizări de securitate pentru accesul la IUEC, permite accesul funcționarilor naționali la IUEC până la nivelul echivalent celui stabilit în tabelul de echivalențe din apendicele B, în cazul în care un astfel de acces temporar este necesar în interesul Uniunii. ANS informează Comitetul de securitate cu privire la cazurile în care actele cu putere de lege și reglementările naționale nu permit un astfel de acces temporar la IUEC.
Din motive de urgență, în cazuri de interes de serviciu justificate corespunzător și în așteptarea finalizării unei investigații de securitate complete, autoritatea împuternicită să facă numiri din cadrul SGC poate acorda o autorizație temporară funcționarilor și altor agenți ai SGC pentru accesul la IUEC pentru o funcție specifică, după consultarea ANS a statului membru a cărui cetățenie este deținută de persoana respectivă și cu condiția ca rezultatul verificărilor preliminare să ateste că nu se cunosc informații adverse. Astfel de autorizații temporare sunt valabile maximum șase luni și nu permit accesul la informații clasificate TRÈS SECRET UE/EU TOP SECRET. Toate persoanele cărora li s-a acordat o autorizație temporară confirmă în scris faptul că își înțeleg obligațiile cu privire la protecția IUEC, precum și consecințele compromiterii IUEC. SGC ține evidența acestei confirmări scrise.
În cazul în care o persoană urmează să fie numită într-o poziție care necesită o autorizare de securitate la nivelul superior celui deținut în prezent de persoana în cauză, numirea se poate face provizoriu, cu condiția ca:
accesul să fie limitat la anumite informații IUEC clasificate, în sprijinul numirii;
persoana să dețină o ASP sau o autorizație valabile pentru accesul la IUEC;
Procedura de mai sus este utilizată pentru accesul unic la IUEC la nivelul superior următor celui pentru care persoana deține o autorizare de securitate. Nu se recurge în mod repetat la această procedură.
În împrejurări absolut excepționale, precum misiunile în medii ostile sau în perioade de tensiune internațională crescândă, când măsurile de urgență o impun, în special în scopul salvării de vieți, statele membre și Secretarul General pot acorda, dacă este posibil în scris, accesul la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET unor persoane care nu deține autorizarea de securitate necesară, cu condiția ca permisiunea în acest sens să fie absolut necesară și să nu existe suspiciuni întemeiate cu privire la loialitatea, onestitatea și încrederea inspirată de persoana respectivă. Permisiunea se consemnează, cu descrierea informațiilor la care s-a aprobat accesul.
În cazul informațiilor clasificate TRÈS SECRET UE/EU TOP SECRET, accesul de urgență este limitat la cetățeni ai statelor membre care beneficiază de acces autorizat fie la nivelul național echivalent al TRÈS SECRET UE/EU TOP SECRET, fie la informații clasificate SECRET UE/EU SECRET.
În cazul în care actele cu putere de lege și reglementările naționale ale unui stat membru cuprind norme mai stricte cu privire la autorizațiile temporare, numirile provizorii, accesul unic sau la accesul de urgență al persoanelor la informații clasificate, procedurile prevăzute în prezenta secțiune se aplică numai în cadrul limitelor stabilite de actele cu putere de lege și reglementările naționale relevante.
Sub rezerva punctului 28, persoanele desemnate să participe la reuniunile Consiliului sau ale grupurilor sale de pregătire, în cadrul cărora se discută informații clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau la un nivel superior, pot participa numai după ce se confirmă că dețin o autorizare de securitate. În cazul delegaților, CCSP sau o altă dovadă a autorizării de securitate este trimisă de autoritățile competente Oficiului de securitate al SGC sau, în cazuri excepționale, este prezentată de către delegatul în cauză. După caz, se poate folosi o listă centralizată de nume, cuprinzând dovada relevantă a autorizării de securitate.
În cazul în care, din motive de securitate, ASP pentru accesul la IUEC îi este retrasă unei persoane ale cărei atribuții necesită participarea la reuniuni ale Consiliului sau ale grupurilor de pregătire ale acestuia, autoritatea competentă informează SGC.
Curierii, gardienii și escortele dețin autorizare de securitate de nivel corespunzător sau fac obiectul unor investigații adecvate în conformitate cu actele cu putere de lege și reglementările naționale, sunt informați cu privire la procedurile de securitate pentru protecția IUEC și sunt instruiți asupra obligațiilor de protecție a acestor informații care le sunt încredințate.
(1) Regulamentul (CEE, Euratom, CECO) nr. 259/68 al Consiliului din 29 februarie 1968 de instituire a regulamentului privind Statutul funcționarilor Comunităților Europene și Regimul aplicabil celorlalți agenți ai Comunităților Europene și de instituire a unor măsuri temporare aplicabile funcționarilor Comisiei (JO L 56, 4.3.1968, p. 1).
Prezenta anexă stabilește dispozițiile pentru punerea în aplicare a articolului 8. Aceasta stabilește cerințele minime pentru protecția fizică a incintelor, clădirilor, birourilor, încăperilor și a altor zone în care se gestionează și se păstrează IUEC, inclusiv a zonelor care adăpostesc SIC.
să permită separarea personalului din punctul de vedere al accesului la IUEC, pe baza principiului necesității de a cunoaște și, după caz, a autorizării de securitate;
forma și volumul IUEC, ținând seama de faptul că, pentru cumularea sau compilarea de IUEC, poate fi necesară aplicarea unor măsuri de protecție mai stricte;
evaluarea amenințării reprezentate de către serviciile secrete care au drept țintă Uniunea sau statele sale membre și de sabotaje, acte teroriste, subversive sau alte activități criminale.
personalul de securitate: poate fi angajat personal de securitate format, supravegheat și care deține, dacă este necesar, autorizarea de securitate corespunzătoare pentru, inter alia, a descuraja anumite persoane să plănuiască intrarea clandestină;
iluminatul de securitate: iluminatul de securitate poate fi utilizat pentru a descuraja un intrus potențial, precum și pentru a asigura lumina necesară pentru supravegherea directă, de către personalul de securitate, sau indirectă, printr-un sistem TVCI; și
orice alte persoane sunt însoțite în permanență sau sunt supuse unor controale echivalente.
accesul neînsoțit este permis numai persoanelor care dețin o autorizare de securitate și aprobarea specifică de a intra în zona respectivă, acordate pe baza necesității de a cunoaște a acestora; și
toți vizitatorii au nevoie de o autorizație specială pentru a intra în zona respectivă, sunt însoțiți în permanență și sunt verificați din punctul de vedere al securității în mod corespunzător, cu excepția cazului în care sunt instituite măsuri care fac imposibil orice acces la IUEC.
persoanele autorizate să aibă acces neînsoțit la zona respectivă pe baza necesității de a cunoaște și a autorizării de securitate;
acolo unde este cazul, procedurile pentru escortări sau pentru protecția IUEC în cazul autorizării accesului oricăror altor persoane la zona respectivă; și
în afara unei zone securizate sau a unei zone administrative, cu condiția ca deținătorul să transporte IUEC în condițiile prevăzute în anexa III punctele 28-41 și să se angajeze să respecte măsurile compensatorii stabilite în instrucțiunile de securitate emise de autoritatea de securitate competentă pentru a se asigura că IUEC sunt protejate împotriva accesului persoanelor neautorizate.
să transporte IUEC în condițiile prevăzute în anexa III punctele 28-41;
IUEC clasificate CONFIDENTIEL UE/EU CONFIDENTIAL și SECRET UE/EU SECRET sunt păstrate într-o zonă securizată, fie într-un container de securitate, fie într-o cameră tezaur.
într-un container de securitate conform dispozițiilor punctului 8, beneficiind de cel puțin unul dintre următoarele controale suplimentare:
protecție continuă sau controale efectuate de personalul de securitate sau de serviciu care deține o autorizare de securitate;
la primirea unui nou container;
Prezenta anexă stabilește dispozițiile pentru punerea în aplicare a articolului 9. Anexa stabilește măsurile administrative pentru controlul IUEC pe durata ciclului lor de viață, în scopul de a contribui la împiedicarea și detectarea compromiterii sau pierderii deliberate sau accidentale a informațiilor de acest tip.
Emitentul IUEC are responsabilitatea de a stabili nivelul de clasificare de securitate, în conformitate cu liniile directoare de clasificare relevante, și de a efectua diseminarea inițială a informațiilor.
Anumite părți dintr-un document (și anume pagini, paragrafe, secțiuni, anexe, apendice, documente însoțitoare sau atașate) pot necesita atribuirea unor niveluri diferite de clasificare și trebuie marcate corespunzător, inclusiv în cazul în care sunt păstrate în format electronic.
marcaje de comunicare; sau
Pentru a indica nivelul de clasificare al anumitor paragrafe din text, pot fi utilizate marcaje de clasificare abreviate standardizate. Abrevierile nu înlocuiesc marcajele de clasificare complete.
documentul este datat; și
Reducerea nivelului de clasificare și declasificarea IUEC
În momentul elaborării documentului, emitentul indică, atunci când este posibil și în special pentru informații clasificate RESTREINT UE/EU RESTRICTED, dacă informațiilor UE clasificate le poate fi redus nivelul de clasificare sau dacă pot fi declasificate la o anumită dată sau în urma unui anumit eveniment.
SGC reexaminează IUEC pe care le deține în mod periodic, pentru a evalua necesitatea menținerii nivelului de clasificare. SGC stabilește un sistem de revizuire, cel puțin o dată la cinci ani, a nivelului de clasificare al IUEC pe care le-a emis. O astfel de reexaminare nu este necesară în cazul în care emitentul a indicat de la început că informațiilor trebuie să li se reducă nivelul de clasificare sau că trebuie declasificată automat, iar informațiile au fost marcate în consecință.
În sensul prezentei decizii, înregistrarea din motive de securitate („înregistrarea”) înseamnă aplicarea unor proceduri care înregistrează ciclul de viață al materialului, inclusiv diseminarea și distrugerea acestuia.
Documentele TRÈS SECRET UE/EU TOP SECRET nu pot fi copiate sau traduse decât cu acordul scris prealabil al emitentului.
Transportul IUEC respectă măsurile de protecție prevăzute la punctele 30-41. În cazul în care IUEC sunt transportate pe suporturi electronice și fără a aduce atingere articolului 9 alineatul (4), măsurile de protecție prevăzute mai jos pot fi suplimentate prin contramăsuri tehnice adecvate conform dispozițiilor autorității de securitate competente, astfel încât riscul pierderii sau compromiterii lor să fie redus la minimum.
Transportul informațiilor clasificate până la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET pe teritoriul Uniunii se efectuează prin următoarele mijloace:
persoanele să fie informate cu privire la responsabilitățile care le revin în materie de securitate; și
să fie aprobate de ANS relevante în conformitate cu actele cu putere de lege și reglementările naționale; și
În cazul transportului dintr-un stat membru în alt stat membru, dispozițiile de la litera (c) se aplică numai informațiilor clasificate la nivelul CONFIDENTIEL UE/EU CONFIDENTIAL.
Informațiile clasificate RESTREINT UE/EU RESTRICTED pot fi, de asemenea, transportate prin intermediul serviciilor poștale sau al serviciilor de curierat comercial. Nu este necesar un certificat de curier pentru transportul unor astfel de informații.
Din Uniune către teritoriul unui stat terț
IUEC transportate din Uniune către teritoriul unui stat terț sunt ambalate, astfel încât să fie protejate împotriva divulgării neautorizate.
Transportul informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL și SECRET UE/EU SECRET din Uniune către teritoriul unui stat terț se efectuează prin următoarele mijloace:
Transportul informațiilor clasificate CONFIDENTIEL UE/EU CONFIDENTIAL și SECRET UE/EU SECRET comunicate de Uniune unui stat terț sau unei organizații internaționale respectă dispozițiile relevante prevăzute de un acord privind securitatea informațiilor sau de un acord administrativ încheiat în conformitate cu articolul 13 alineatul (2) litera (a) sau (b).
Transportul informațiilor clasificate TRÈS SECRET UE/EU TOP SECRET din Uniune către teritoriul unui stat terț se efectuează prin curier militar sau diplomatic.
În ceea ce privește documentele clasificate SECRET UE/EU SECRET sau TRÈS SECRET UE/EU TOP SECRET, distrugerea are loc în prezența unui martor, care deține o autorizare de securitate de nivel cel puțin echivalent nivelului documentului distrus.
Documentele clasificate, inclusiv cele clasificate RESTREINT UE/EU RESTRICTED, sunt distruse prin metode care îndeplinesc standardele relevante ale Uniunii sau standarde echivalente sau care au fost aprobate de statele membre în conformitate cu standardele tehnice naționale astfel încât să se împiedice reconstituirea lor totală sau parțială.
Distrugerea suporturilor informatice de stocare utilizate pentru IUEC se realizează în condițiile prevăzute la punctul 37 din anexa IV.
În cazul unei urgențe, dacă există un risc iminent de divulgare neautorizată, IUEC sunt distruse de către deținător astfel încât să nu poată fi reconstituite în întregime sau parțial. Emitentul și registrul emitent sunt informate cu privire la distrugerea de urgență a IUEC înregistrate.
VII. VIZITE DE EVALUARE
Termenul „vizite de evaluare” este folosit în continuare pentru a desemna orice:
inspecție sau vizită de evaluare în conformitate cu articolul 9 alineatul (3) și cu articolul 16 alineatul (2) literele (e), (f) și (g); sau
vizită de evaluare în conformitate cu articolul 13 alineatul (5),
Vizitele de evaluare urmăresc, inter alia:
Înainte de sfârșitul fiecărui an calendaristic, Consiliul adoptă programul de vizite de evaluare prevăzut la articolul 16 alineatul (1) litera (c) pentru anul următor. Datele efective ale fiecărei vizite de evaluare se stabilesc de comun acord cu organismul sau agenția Uniunii, statul membru, statul terț sau organizația internațională interesată.
Desfășurarea vizitele de evaluare
Vizitele de evaluare sunt efectuate pentru a verifica normele, regulamentele și procedurile relevante ale entității vizitate și a se asigura că practicile entității respectă principiile de bază și standardele minime stabilite în prezenta decizie și în dispozițiile care reglementează schimbul de informații clasificate cu entitatea respectivă.
Vizitele de evaluare se desfășoară în două faze. Înaintea vizitei propriu-zise se organizează o reuniune pregătitoare, dacă este necesar, cu entitatea în cauză. După această reuniune pregătitoare, echipa de evaluare stabilește, împreună cu entitatea în cauză, un program de vizită detaliat care acoperă toate domeniile de securitate. Echipa care efectuează vizita de evaluare ar trebui să aibă acces la toate locațiile în care se gestionează IUEC, în special la registre și la SIC.
Vizitele de evaluare la administrațiile naționale ale statelor membre, în statele terțe și în organizațiile internaționale se desfășoară în deplină cooperare cu funcționarii entității, statului terț sau organizației internaționale vizitate.
Vizitele de evaluare la organismele, agențiile și entitățile Uniunii care aplică prezenta decizie sau principiile cuprinse în aceasta se desfășoară cu asistența experților ANS pe teritoriul căreia este situată agenția sau organismul.
În cazul vizitelor de evaluare la organisme, agenții și entități ale Uniunii care aplică prezenta decizie sau principiile cuprinse în aceasta, precum și în state terțe și organizații internaționale, pot fi solicitate asistența și contribuțiile experților ANS, în conformitate cu măsurile detaliate care vor fi convenite de Comitetul de securitate.
La sfârșitul vizitei de evaluare, entității vizitate i se prezintă principalele concluzii și recomandări. Ulterior se redactează un raport privind vizita de evaluare. În cazurile în care s-au propus măsuri de remediere și recomandări, raportul cuprinde suficiente detalii pentru a sprijini concluziile obținute. Raportul este înaintat autorității competente din cadrul entității vizitate.
Pentru vizitele de evaluare derulate în cadrul administrațiilor naționale ale statelor membre:
proiectul raportului de evaluare este înaintat ANS interesate, pentru a i se verifica corectitudinea factuală și faptul că nu conține informații cu un nivel de clasificare superior față de RESTREINT UE/EU RESTRICTED; și
cu excepția cazului în care ANS a statului membru în cauză solicită împiedicarea distribuției generale, rapoartele de evaluare sunt trimise Comitetului de securitate; raportul este clasificat la nivelul RESTREINT UE/EU RESTRICTED.
Sub responsabilitatea autorității de securitate a SGC (Oficiul de securitate) se elaborează un raport periodic care ilustrează principalele concluzii desprinse în urma vizitelor de evaluare desfășurate în statele membre într-o perioadă specificată și care este analizat de Comitetul de securitate.
În cazul vizitelor de evaluare în statele terțe și în cadrul organizațiilor internaționale, raportul este distribuit Comitetului de securitate. Raportul este clasificat cel puțin la nivelul RESTREINT UE/EU RESTRICTED. Orice măsură de remediere este verificată în cursul unei vizite de monitorizare și raportată Comitetului de securitate.
În cazul vizitelor de evaluare la orice organism, agenție și entitate a Uniunii care aplică prezenta decizie sau principiile cuprinse în aceasta, rapoartele privind vizitele de evaluare sunt distribuite Comitetului de securitate. Proiectul raportului privind vizita de evaluare este înaintat agenției sau organismului vizate, pentru a i se verifica corectitudinea factuală și faptul că nu conține informații cu un nivel de clasificare superior față de RESTREINT UE/EU RESTRICTED. Orice măsură de remediere este verificată în cursul unei vizite de monitorizare și raportată Comitetului de securitate.
Autoritatea de securitate a SGC desfășoară inspecții periodice ale entităților organizaționale ale SGC în scopurile enunțate la punctul 50.
Autoritatea de securitate a SGC (Oficiul de securitate) elaborează și actualizează o listă de control, cuprinzând aspectele care urmează să fie verificate în cursul unei vizite de evaluare. Lista de control respectivă este înaintată Comitetului de securitate.
Informațiile necesare pentru completarea listei de control sunt obținute în special în timpul vizitei de la personalul de conducere responsabil cu securitatea al entității inspectate. Odată completată cu răspunsurile detaliate, lista de control este clasificată în acord cu entitatea inspectată. Aceasta nu face parte din raportul de inspecție.
garanția faptului că informațiile sunt originale și provin de la surse de bună credință.
calitatea de a fi accesibile și utilizabile la cerere de către o entitate autorizată.
proprietatea de a nu divulga informații persoanelor, entităților sau proceselor neautorizate.
proprietatea de a proteja acuratețea și caracterul complet al informațiilor și al activelor.
Cerințele specifice, scara și gradul de detaliere stabilite de AAS competentă pentru acreditarea unui SIC este proporțională cu riscul evaluat, ținând seama de toți factorii relevanți, inclusiv nivelul de clasificare a IUEC gestionate în cadrul SIC. Acreditarea implică o declarație formală privind riscul rezidual și acceptarea riscului rezidual de către o autoritate responsabilă.
ANS sau altă autoritate competentă se asigură că:
sunt puse în aplicare capacități de apărare informatică pentru a reacționa la amenințări care pot depăși frontierele organizațiilor și ale statelor; și
reacțiile sunt coordonate și informațiile cu privire la astfel de amenințări, incidente și riscuri conexe sunt partajate (capacități informatizate de reacție în situații de urgență).
Dacă acest lucru este justificat de motive operaționale specifice, Consiliul sau Secretarul General pot, după caz, la recomandarea Comitetului de securitate, să acorde derogări de la cerința prevăzută la punctul 25 sau 26 din prezenta anexă și să acorde o aprobare provizorie pentru o anumită perioadă în conformitate cu procedura prevăzută la articolul 10 alineatul (6).
Acționând la recomandarea Comitetului de securitate, Consiliul poate accepta procesul de evaluare, selecție și aprobare a produselor criptografice ale unui stat terț sau ale unei organizații internaționale și, în consecință, poate considera aceste produse criptografice aprobate pentru protecția IUEC emise către statul terț respectiv sau organizația internațională respectivă.
Transmiterea în cadrul zonelor securizate și al zonelor administrative
Fără a aduce atingere dispozițiilor prezentei decizii, în cazul în care transmiterea IUEC este limitată la zone securizate sau zone administrative, transmiterea necriptată sau criptarea la nivel inferior pot fi folosite, pe baza rezultatului unui proces de gestionare a riscurilor și cu condiția aprobării AAS.
sunt puse în aplicare servicii de protecție a limitelor (SPL) în perimetrul tuturor SIC.
Nu se realizează interconectări între un SIC acreditat și o rețea neprotejată sau publică, cu excepția cazurilor în care SIC a aprobat instalarea SPL în acest scop între SIC și rețeaua neprotejată sau publică. Măsurile de securitate pentru astfel de interconectări sunt reexaminate de AAI competentă și sunt aprobate de AAS competentă.
Suporturilor informatice de stocare li se reduce nivelul de clasificare sau sunt reutilizate sau declasificate în conformitate cu liniile directoare de securitate care urmează a fi instituite în conformitate cu articolul 6 alineatul (2).
Informațiile clasificate transmise în împrejurările enunțate la punctul 39 nu poartă niciun marcaj sau indicație care să le distingă de orice informații neclasificate sau care pot fi protejate cu ajutorul unui produs de criptare disponibil. Destinatarilor le este notificat fără întârziere nivelul de clasificare, prin alte mijloace.
Dacă se acționează în temeiul dispozițiilor de la punctul 39, se înaintează un raport ulterior autorității competente și Comitetului de securitate.
În statele membre și la SGC se stabilesc următoarele funcții aferente AI. Aceste funcții nu necesită entități organizaționale unice. Acestora le revin mandate separate. Cu toate acestea, aceste funcții și responsabilitățile care le corespund pot fi grupate sau integrate în aceeași entitate organizațională sau distribuite în entități organizaționale diferite, cu condiția să fie evitate conflictele interne de interese sau de sarcini.
protecția și gestionarea informațiilor tehnice privind produsele criptografice;
examinarea și aprobarea documentației de securitate, inclusiv a declarațiilor privind managementul riscului și riscul rezidual, a declarațiilor privind cerințele de securitate specifice sistemului („DCSS”), a documentației de verificare a aplicării securității și procedurilor operaționale de securitate (denumite în continuare „SecOP”) și asigurarea conformității acestora cu normele și politicile de securitate ale Consiliului;
definirea cerințelor de securitate (precum nivelul autorizărilor pentru personal) pentru pozițiile sensibile în relație cu SIC;
elaborarea unei documentații de securitate, în conformitate cu politicile de securitate și liniile directoare de securitate, în special a DCSS, inclusiv a declarației privind riscul rezidual, a SecOP și a planului criptografic în cadrul procesului de acreditare a SIC;
participarea la selectarea măsurilor de securitate și a dispozitivelor TEMPEST, dacă sunt necesare în cadrul DCSS, și garantarea instalării și întreținerii lor securizate în cooperare cu AT;
Consiliul aprobă orientări privind securitatea industrială descriind în special cerințe detaliate referitoare la ASI, anexa de securitate (AS), vizite, transmiterea și transportul IUEC.
nivelul general de clasificare a contractului nu poate să fie mai redus decât cel mai înalt nivel de clasificare a oricăruia dintre elementele sale; și
Cerințele de securitate specifice contractului sunt descrise într-o AS. AS cuprinde, atunci când este cazul, GCS și constituie o parte integrantă a contractului sau a subcontractului clasificat.
III. AUTORIZARE DE SECURITATE INDUSTRIALĂ (ASI)
ASI se acordă de către ANS/ADS sau de către orice altă autoritate de securitate competentă a unui stat membru pentru a atesta că, în conformitate cu actele cu putere de lege și reglementările naționale, o entitate industrială sau de altă natură poate proteja IUEC la nivelul de clasificare adecvat (CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET) în interiorul obiectivelor sale. CSI trebuie prezentat SGC, în calitate de autoritate contractantă, înainte ca unui contractant sau subcontractant, sau unui potențial contractant sau subcontractant, să îi poată fi furnizat sau acordat accesul la IUEC.
La eliberarea unui ASI, ANS sau ADS relevantă asigură cel puțin:
verificarea faptului că statutul în ceea ce privește securitatea a fost stabilit pentru personalul de conducere, proprietarii și angajații care necesită acces la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET, în conformitate cu cerințele prevăzute de prezenta decizie; și
După caz, SGC, în calitate de autoritate contractantă, înștiințează ANS/ADS adecvată sau orice altă autoritate de securitate competentă că este necesar o ASI, fie în etapa precontractuală, fie pentru executarea contractului. Este necesar o ASI sau o ASP în etapa precontractuală în cazul în care trebuie furnizate IUEC clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET pe parcursul procesului de licitare.
Autoritatea contractantă nu atribuie un contract clasificat unui ofertant selectat înainte de a fi primit confirmarea eliberării unei ASI corespunzătoare, dacă este necesar, din partea ANS/ADS sau a oricărei alte autorități de securitate competente a statului membru în care este înregistrat contractantul sau subcontractantul respectiv.
ANS/ADS sau orice altă autoritate de securitate competentă care a eliberat o ASI notifică SGC, în calitate de autoritate contractantă, în legătură cu orice modificări care afectează ASI. În cazul subcontractelor, ANS/ADS sau orice altă autoritate de securitate competentă este informată în mod corespunzător.
Retragerea unei ASI de către ANS/ADS sau de către orice altă autoritate de securitate competentă constituie temei suficient pentru SGC, în calitate de autoritate contractantă, să înceteze un contract clasificat sau să excludă un ofertant din competiție.
Un contractant obține permisiunea SGC, în calitate de autoritate contractantă, înainte de a subcontracta părți ale unui contract clasificat. Nu se atribuie subcontracte entităților industriale sau de altă natură înregistrate într-un stat care nu este membru al UE care nu a încheiat cu Uniunea un acord privind securitatea informațiilor.
În cazul în care personalul SGC, al contractanților sau al subcontractanților necesită acces la informații clasificate CONFIDENTIEL UE/EU CONFIDENTIAL sau SECRET UE/EU SECRET în incintele celeilalte părți în scopul executării unui contract clasificat, vizitele sunt organizate în colaborare cu ANS/ADS sau cu orice altă autoritate de securitate competentă implicată. Cu toate acestea, în contextul unor proiecte specifice, ANS/ADS pot conveni, de asemenea, o procedură prin care astfel de vizite să poată fi organizate în mod direct.
Accesul vizitatorilor la IUEC legate de contractul SGC se acordă pe baza deținerii unui ASP corespunzător și a respectării principiului necesității de a cunoaște.
În ceea ce privește transportul IUEC, se aplică dispozițiile relevante din anexa III, în conformitate cu actele cu putere de lege și reglementările naționale.
societățile de transport obțin un ASI de nivel corespunzător. În astfel de cazuri, personalul care se ocupă de transportul respectiv deține autorizare de securitate, în conformitate cu anexa I;
călătoriile sunt directe ori de câte ori este posibil și sunt finalizate cât mai repede, în funcție de împrejurări; și
VIII. INFORMAȚII CLASIFICATE LA NIVELUL RESTREINT UE/EU RESTRICTED
SGC, în calitate de autoritate contractantă, ținând legătura, după caz cu ANS/ADS a statului membru, are dreptul să efectueze inspecții ale incintelor contractanților/subcontractanților în temeiul clauzelor contractuale, în scopul de a verifica dacă s-au aplicat măsurile de securitate relevante pentru protecția IUEC la nivelul RESTREINT UE/EU RESTRICTED în conformitate cu cerințele contractului.
În măsura în care este necesar în temeiul actelor cu putere de lege și reglementărilor naționale, ASN/ADS sau orice altă autoritate de securitate competentă este înștiințată de SGC, în calitatea sa de autoritate contractantă, cu privire la contractele sau subcontractele care conțin informații clasificate RESTREINT UE/EU RESTRICTED.
Pentru contractele încheiate de SGC care conțin informații clasificate RESTREINT UE/EU RESTRICTED nu se solicită ASI sau ASP contractanților sau subcontractanților și personalului acestora.
SGC, în calitate de autoritate contractantă, analizează răspunsurile la invitațiile de participare la procedurile de ofertare pentru contractele care necesită accesul la informații clasificate RESTREINT UE/EU RESTRICTED, fără a aduce atingere niciunei cerințe referitoare la ASI sau la ASP care poate exista în temeiul actelor cu putere de lege și reglementărilor naționale.
Atunci când contractul necesită gestionarea informațiilor clasificate RESTREINT UE/EU RESTRICTED într-un SIC gestionat de un contractant, SGC, în calitatea sa de autoritate contractantă, se asigură că în contract sau în eventuale subcontracte se specifică cerințele tehnice și administrative necesare în ceea ce privește acreditarea SIC, proporționale cu riscul evaluat, luându-se în considerare toți factorii relevanți. Domeniul de acreditare al unui astfel de SIC este convenit de autoritatea contractantă cu ANS/ADS competentă.
Prezenta anexă stabilește dispozițiile pentru punerea în aplicare a articolului 13.
în conformitate cu articolul 13 alineatul (2) și cu secțiunile III și IV și pe baza unei recomandări a Comitetului de securitate.
În cazul în care IUEC generate pentru o operație PSAC urmează să fie puse la dispoziția unor state terțe sau organizații internaționale care participă la respectiva operație și nu există niciun cadru dintre cele prevăzute la punctul 2, schimbul de IUEC cu statul terț sau organizația internațională participantă este reglementat, în conformitate cu secțiunea V, de:
un acord de participare ad-hoc; sau
în absența oricăruia dintre acordurile de mai sus, un acord administrativ ad-hoc.
În lipsa unuia dintre cadrele menționate la punctele 2 și 3 și în cazul în care se adoptă o decizie privind comunicarea IUEC unui stat terț sau unei organizații internaționale pe bază excepțională ad-hoc, în conformitate cu secțiunea VI, statului terț sau organizației internaționale respective i se solicită garanții scrise pentru a se asigura că protejează orice IUEC care i-au fost comunicate, în conformitate cu principiile de bază și standardele minime stabilite în prezenta decizie.
Acordurile privind securitatea informațiilor stabilesc principiile de bază și standardele minime care reglementează schimbul de informații clasificate între Uniune și un stat terț sau o organizație internațională.
Acordurile privind securitatea informațiilor prevăd măsuri tehnice de punere în aplicare care urmează a fi convenite între autoritățile de securitate competente ale instituțiilor și organismelor relevante ale Uniunii și autoritatea de securitate competentă a statului terț sau a organizației internaționale în cauză. Aceste măsuri țin seama în mod corespunzător de nivelul de protecție prevăzut de regulamentele de securitate, structurile și procedurile existente în statul terț sau organizația internațională în cauză. Aceste măsuri se aprobă de către Comitetul de securitate.
IUEC sunt schimbate în temeiul unui acord privind securitatea informațiilor prin mijloace electronice numai atunci când acest lucru este autorizat în mod explicit în acord sau în măsurile tehnice de punere în aplicare aferente.
Pentru a evalua eficiența regulamentelor, a structurilor și a procedurilor de securitate din statul terț sau din organizația internațională în cauză, sunt organizate vizite de evaluare, de comun acord cu statul terț sau cu organizația internațională în cauză. Aceste vizite de evaluare se desfășoară în conformitate cu dispozițiile relevante din anexa III și evaluează:
procedurile privind autorizarea de securitate pentru nivelul de clasificare al IUEC care urmează să fie comunicate.
Echipa care desfășoară o vizită de evaluare în numele Uniunii evaluează dacă regulamentele și procedurile de securitate ale statului terț sau ale organizației internaționale în cauză sunt adecvate pentru protecția IUEC la un anumit nivel.
Raportul privind vizita de evaluare sau, în absența acestui raport, raportul menționat la punctul 12 este transmis Comitetului de securitate și considerat satisfăcător de către acesta înainte ca IUEC să fie comunicate efectiv statului terț sau organizației internaționale în cauză.
Autoritățile de securitate competente ale instituțiilor și organismelor Uniunii transmit statului terț sau organizației internaționale data de la care Uniunea este în măsură să comunice IUEC în temeiul acordului, precum și nivelul maxim al IUEC care pot fi schimbate în format tipărit sau electronic.
Dacă este necesar, se desfășoară vizite de evaluare cu rol de monitorizare, în special dacă:
este necesar ca nivelul de comunicare a IUEC să fie ridicat; sau
Uniunea a fost informată cu privire la schimbări fundamentale în măsurile de securitate ale statului terț sau organizației internaționale care ar putea avea un impact asupra modului în care aceasta protejează IUEC; sau
a existat un incident grav implicând divulgarea neautorizată de IUEC.
În cazul în care există o necesitate pe termen lung de schimb de informații clasificate, ca regulă generală, cel mult la nivelul RESTREINT UE/EU RESTRICTED, cu un stat terț sau o organizație internațională, dar Comitetul de securitate a stabilit că partea în cauză nu deține un sistem de securitate suficient de dezvoltat pentru a permite încheierea unui acord privind securitatea informațiilor, Secretarul General poate, sub rezerva aprobării de către Consiliu, să încheie un acord administrativ în numele SGC cu autoritățile competente ale statului terț sau ale organizației internaționale în cauză.
Se efectuează vizita de evaluare menționată la punctul 9, iar raportul sau, în absența acestui raport, raportul menționat la punctul 12 este transmis Comitetului de securitate și considerat satisfăcător de către acesta înainte ca IUEC să fie comunicate efectiv statului terț sau organizației internaționale în cauză.
IUEC nu sunt schimbate în temeiul unui acord administrativ prin mijloace electronice decât în cazul în care acest lucru este prevăzut în mod explicit în acord.
Acordurile de participare ad-hoc încheiate pentru o anumită operație PSAC includ dispoziții privind comunicarea IUEC generate pentru această operație statului terț sau organizației internaționale contribuitoare. Nivelul maxim de clasificare al IUEC care pot fi schimbate este RESTREINT UE/EU RESTRICTED pentru operații civile PSAC și CONFIDENTIEL UE/EU CONFIDENTIAL pentru operații militare PSAC, cu excepția situațiilor în care se prevede altfel în decizia de instituire a fiecărei operații PSAC.
În lipsa unui acord privind securitatea informațiilor și în așteptarea încheierii unui acord de participare, comunicarea IUEC generate în scopul operației către un stat terț sau o organizație internațională care participă la operație este reglementată de un acord administrativ care trebuie să fie încheiat de Înaltul Reprezentant sau să facă obiectul unei decizii privind comunicarea ad-hoc în conformitate cu secțiunea VI. Schimbul de IUEC în temeiul acestui acord are loc numai atât timp cât participarea statului terț sau a organizației internaționale este încă preconizată. Nivelul maxim de clasificare al IUEC care pot face obiectul schimbului este RESTREINT UE/EU RESTRICTED pentru operații civile PSAC și CONFIDENTIEL UE/EU CONFIDENTIAL pentru operații militare PSAC, cu excepția situațiilor în care se prevede altfel în decizia de instituire a fiecărei operații PSAC.
Dispozițiile privind informațiile clasificate care urmează să fie incluse în acordurile-cadru de participare, acordurile de participare ad-hoc și acordurile administrative ad-hoc menționate la punctele 22-24 prevăd că statul terț sau organizația internațională în cauză se asigură că personalul său, detașat în cadrul oricărei operații, va proteja IUEC în conformitate cu normele de securitate ale Consiliului și cu îndrumările suplimentare elaborate de autoritățile competente, inclusiv de lanțul de comandă al operației.
Dacă un stat terț sau o organizație internațională participante încheie ulterior cu Uniunea un acord privind securitatea informațiilor, acesta prevalează asupra dispozițiilor privind schimbul de informații clasificate prevăzute în orice acord-cadru de participare, acord de participare ad-hoc sau acord administrativ ad-hoc, din punctul de vedere al schimbului și al gestionării IUEC.
Schimbul de IUEC prin mijloace electronice este permis în cadrul unui acord-cadru de participare, al unui acord de participare ad-hoc sau al unui acord administrativ ad-hoc cu un stat terț sau o organizație internațională numai dacă acest lucru este prevăzut explicit în acordul în cauză.
IUEC generate pentru o operație PSAC pot fi divulgate personalului detașat în cadrul respectivei operații de către statele terțe sau organizațiile internaționale în condițiile prevăzute la punctele 22-27. În cadrul autorizării accesului personalului menționat la IUEC în incintele sau în SIC ale unei operații PSAC, sunt luate măsuri (inclusiv înregistrarea IUEC divulgate) pentru a se reduce riscul pierderii sau al compromiterii. Măsurile de acest fel sunt definite în documentele relevante de planificare sau în documentele de misiune.
În lipsa unui acord privind securitatea informațiilor, comunicarea IUEC, în cazul unei nevoi operaționale specifice și imediate, către statul-gazdă pe teritoriul căruia se desfășoară o operație PSAC poate fi reglementată de un acord administrativ care trebuie să fie încheiat de Înaltul Reprezentant. Această posibilitate este prevăzută în decizia de instituire a operației PSAC. IUEC comunicate în astfel de împrejurări se limitează la cele generate în scopurile operației PSAC și clasificate cel mult la nivelul RESTREINT UE/EU RESTRICTED, cu excepția cazului în care un nivel de clasificare superior este prevăzut în decizia de instituire a operației PSAC. În temeiul unui astfel de acord administrativ, statul-gazdă este obligat să se angajeze să protejeze IUEC în conformitate cu standarde minime cel puțin la fel de stricte precum cele stabilite prin prezenta decizie.
În lipsa unui acord privind securitatea informațiilor, comunicarea IUEC către state terțe și organizații internaționale relevante, în afara celor care participă la o operație PSAC, poate fi reglementată de un acord administrativ care trebuie să fie încheiat de Înaltul Reprezentant. După caz, această posibilitate, precum și orice condiție aferentă acesteia sunt prevăzute în decizia de instituire a operației PSAC. IUEC comunicate în astfel de împrejurări se limitează la cele generate în scopurile operației PSAC și clasificate cel mult la nivelul RESTREINT UE/EU RESTRICTED, cu excepția cazului în care un nivel de clasificare superior este prevăzut în decizia de instituire a operației PSAC. În temeiul unui astfel de acord administrativ, statul terț sau organizația internațională în cauză este obligat(ă) să se angajeze să protejeze IUEC în conformitate cu standarde minime cel puțin la fel de stricte precum cele stabilite prin prezenta decizie.
VI. COMUNICAREA AD-HOC EXCEPȚIONALĂ A IUEC
în măsura posibilului, verifică împreună cu autoritățile de securitate ale statului terț sau ale organizației internaționale în cauză dacă regulamentele, structurile și procedurile de securitate ale acestora garantează faptul că IUEC comunicate vor fi protejate la standarde la fel de stricte precum cele stabilite de prezenta decizie; și
Atunci când acest lucru este considerat oportun și sub rezerva acordului scris prealabil al emitentului, Coreper poate decide ca informațiile clasificate să fie comunicate numai parțial sau numai după ce au fost declasificate sau li s-a redus nivelul de clasificare, sau ca informațiile care urmează să fie comunicate să fie pregătite fără a face trimitere la sursă sau la nivelul UE de clasificare inițial.
În cazul în care există un cadru, în conformitate cu punctul 2, pentru schimbul de informații clasificate cu un stat terț sau o organizație internațională, Consiliul adoptă o decizie de autorizare a Secretarului General să comunice IUEC, în conformitate cu principiul acordului emitentului, către statul terț sau organizația internațională în cauză. Secretarul General poate delega această autorizare înalților funcționari ai SGC.
În cazul în care există un acord privind securitatea informațiilor în conformitate cu punctul 2 prima liniuță, Consiliul poate lua o decizie de autorizare a Înaltului Reprezentant să comunice statului terț sau organizației internaționale în cauză IUEC generate în cadrul Consiliului în domeniul politicii externe și de securitate comune, după ce a obținut acordul emitentului oricărui material sursă cuprins în acesta. Înaltul Reprezentant poate delega această autorizare înalților funcționari ai SEAE sau RSUE.
În cazul în care există un cadru, în conformitate cu punctul 2 sau 3, pentru schimbul de informații clasificate cu un stat terț sau o organizație internațională, Înaltul Reprezentant este autorizat să comunice IUEC, în conformitate cu decizia de instituire a operației PSAC și cu principiul acordului emitentului. Înaltul Reprezentant poate delega această autorizare înalților funcționari ai SEAE, comandanților operației, forței sau misiunii UE sau șefilor misiunilor UE.
„Acreditare” reprezintă procesul care duce la o declarație formală a autorității de acreditare în materie de securitate (AAS), potrivit căreia un sistem deține aprobarea de a funcționa cu un nivel de clasificare definit, într-un anumit mod de securitate, în mediul său operațional și la un nivel de risc acceptabil, pe baza premisei că a fost pus în aplicare un set aprobat de măsuri de securitate de ordin tehnic, fizic, organizațional și procedural.
„Autorizație de acces la IUEC” înseamnă o decizie a autorității împuternicite să facă numiri din cadrul SGC luată pe baza unei asigurări date de o autoritate competentă a unui stat membru conform căreia unui funcționar, unui alt agent al SGC sau unui expert național detașat, odată ce a fost stabilită necesitatea de a cunoaște în cazul său și cu condiția ca acesta să fi fost informat corespunzător cu privire la responsabilitățile sale, îi poate fi acordat accesul la IUEC până la un nivel specificat (CONFIDENTIEL UE/EU CONFIDENTIAL sau superior) până la o anumită dată.
„Produs criptografic” înseamnă un produs a cărui funcție principală este furnizarea de servicii de securitate (confidențialitate, integritate, disponibilitate, autenticitate, nerepudiere) prin intermediul unuia sau mai multor mecanisme criptografice.
„Reducerea nivelului de securitate” înseamnă atribuirea unui nivel de clasificare inferior.
„Autorizare de securitate industrială” (ASI) înseamnă o decizie administrativă a ANS sau ADS conform căreia, în ceea ce privește securitatea, un obiectiv poate oferi un nivel de protecție adecvat IUEC clasificate cu un anumit nivel de clasificare a securității.
„Gestionarea” IUEC înseamnă toate acțiunile posibile al căror obiect îl pot face IUEC de-a lungul ciclului lor de viață. Aceasta cuprinde crearea, prelucrarea, transportul, reducerea nivelului de clasificare, declasificarea și distrugerea. În relație cu SIC, aceasta cuprinde, de asemenea, colectarea, afișarea și păstrarea.
„Interconectare” – a se vedea anexa IV punctul 32.
„Materiale” reprezintă orice document, suport de date sau obiect de tip mașină sau echipament, fabricat sau în proces de fabricație.
„Emitent” înseamnă instituția, organismul sau agenția Uniunii, statul membru, statul terț sau organizația internațională sub a cărei autoritate s-au creat și/sau introdus în structurile Uniunii informațiile clasificate.
„Autorizare de securitate al personalului” (ASP) înseamnă o declarație a unei autorități competente a unui stat membru, dată după încheierea unei investigații de securitate efectuate de autoritățile competente ale unui stat membru și care garantează faptul că unei persoane îi poate fi acordat accesul la IUEC până la un nivel precizat (CONFIDENTIEL UE/EU CONFIDENTIAL sau superior) până la o dată precisă.
„Certificarea autorizării de securitate a personalului” (CCSP) înseamnă un certificat eliberat de o autoritate competentă care stabilește că o persoană face obiectul autorizării de securitate și deține o certificare a autorizării de securitate sau o autorizație de acces la IUEC valabile din partea autorității împuternicite să facă numiri și care indică nivelul IUEC la care este permis accesul persoanei respective (CONFIDENTIEL UE/EU CONFIDENTIAL sau superior), perioada de valabilitate a ASP respectiv și data expirării confirmării în cauză.
„Înregistrare” – a se vedea anexa III punctul 18.
„Risc” reprezintă posibilitatea ca o anumită amenințare să exploateze vulnerabilitățile interne și externe ale unei organizații sau ale oricăruia dintre sistemele pe care aceasta le utilizează și, în consecință, să cauzeze un prejudiciu organizației sau activelor sale corporale sau necorporale. Riscul se măsoară sub forma combinației dintre probabilitatea materializării amenințărilor și impactul acestora:
„acceptarea riscului” reprezintă decizia, după tratarea riscului, de a accepta existența în continuare a unui risc rezidual;
„evaluarea riscului” constă în identificarea amenințărilor și a vulnerabilităților și în desfășurarea unei analize de risc aferente, de exemplu analiza probabilității și a impactului;
„Anexa de securitate” (AS) înseamnă un set de condiții contractuale speciale, emis de autoritatea contractantă, care este parte integrantă din orice contract clasificat care implică accesul la IUEC sau crearea de IUEC și care identifică cerințele de securitate sau elementele din cadrul contractului care necesită protecție de securitate.
„Ghidul clasificărilor de securitate” (GCS) înseamnă un document care descrie elementele unui program sau ale unui contract clasificat, precizând nivelurile aplicabile de protecție a informațiilor. GCS poate fi extins pe toată durata programului sau a contractului respectiv, iar informațiile pot fi reclasificate sau le poate fi redus nivelul de clasificare; în cazul în care există un GCS, acesta face parte din AS.
„Investigație de securitate” înseamnă procedurile de investigare derulate de autoritatea competentă a unui stat membru, în conformitate cu actele cu putere de lege și reglementările naționale din statul membru în cauză, pentru a garanta că nu se cunosc fapte adverse care să împiedice o persoană să beneficieze de o ASP sau de o autorizație de acces la IUEC până la un nivel precizat (CONFIDENTIEL UE/EU CONFIDENTIAL sau superior).
„mod compartimentat” înseamnă un mod de operare în care toate persoanele care au acces la SIC dețin un certificat pentru cel mai înalt nivel de clasificare a informațiilor gestionate în cadrul SIC, dar nu toate persoanele care au acces la SIC au o autorizație formală de acces la toate informațiile gestionate în cadrul SIC; autorizația formală se bazează pe gestionarea formală la nivel central a controlului accesului, și nu pe voința unei persoane de a acorda accesul;
(1) Diffusion restreinte/Beperkte Verspreiding nu reprezintă o clasificare de securitate în Belgia. Belgia gestionează și protejează informațiile clasificate ca „RESTREINT UE/EU RESTRICTED” într-un mod nu mai puțin strict decât standardele și procedurile descrise în normele de securitate ale Consiliului Uniunii Europene.
(4) Marcajele în malteză și în engleză pentru Malta pot fi utilizate în mod alternativ.
(5) Suedia: marcajele clasificărilor de securitate din rândul de sus sunt utilizate de autoritățile de apărare, iar marcajele din rândul de jos de celelalte autorități.
Tel. +372 7170019, +372 7170117
Site internet: www.dksi.bg
Site internet: www.nbu.cz
Φαξ +30 2106536279
Site internet: www.nbf.hu
Tel. +370 70666701, +370 70666702
Fax +370 70666700
Site internet: www.abw.gov.pl
Site internet: www.nbusr.sk
Site internet: www.orniss.ro
autoritate de distribuire a materialului criptografic
autorizare de securitate industrială
autorizare de securitate a personalului