Document ID: 32011D0292

BESLUIT VAN DE RAAD
van 31 maart 2011
betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie
(2011/292/EU)
DE RAAD VAN DE EUROPESE UNIE,
Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 240, lid 3,
Gezien Besluit 2009/937/EU van de Raad van 1 december 2009 houdende vaststelling van zijn reglement van orde (1), en met name artikel 24,
Overwegende hetgeen volgt:
(1)
Teneinde de werkzaamheden van de Raad op alle gebieden die de verwerking van geclassificeerde/gerubriceerde informatie (hierna: „gerubriceerde informatie”) vereisen, verder tot ontplooiing te brengen, is het passend een integraal beveiligingssysteem voor de bescherming van gerubriceerde informatie op te zetten dat de Raad, het secretariaat-generaal daarvan en de lidstaten bestrijkt.
(2)
Dit besluit moet worden toegepast telkens als de Raad, zijn voorbereidende instanties en het secretariaat-generaal van de Raad (hierna: „SGR”) gerubriceerde EU-informatie (hierna: „EUCI”) verwerken.
(3)
In overeenstemming met de nationale wet- en regelgeving en in de mate die voor het functioneren van de Raad vereist is, moeten de lidstaten, wanneer hun bevoegde autoriteiten, personeel of contractanten EUCI verwerken, voldoen aan dit besluit, zodat ieder ervan verzekerd is dat EUCI een gelijkwaardig beschermingsniveau krijgt.
(4)
De Raad en de Commissie zijn gehouden gelijkwaardige beveiligingsnormen toe te passen voor de bescherming van EUCI.
(5)
De Raad onderstreept het belang om, waar passend, het Europees Parlement en andere instellingen, organen of instanties van de Europese Unie te betrekken bij de beginselen, normen en regels voor de bescherming van gerubriceerde informatie die noodzakelijk zijn voor de bescherming van de belangen van de Unie en haar lidstaten.
(6)
De uit hoofde van titel V, hoofdstuk 2, van het Verdrag betreffende de Europese Unie (VEU) opgerichte organen en instanties van de Europese Unie, Europol en Eurojust passen in het kader van hun interne organisatie de in dit besluit vervatte basisbeginselen en minimumnormen voor de bescherming van EUCI toe, en zij doen dit in overeenstemming met de besluiten waarbij zij zijn opgericht.
(7)
De door de Raad vastgestelde beveiligingsvoorschriften voor de bescherming van EUCI worden bij crisisbeheersingsoperaties uit hoofde van titel V, hoofdstuk 2, VEU en door het daarbij betrokken personeel toegepast.
(8)
De speciale vertegenwoordigers van de Europese Unie en de leden van hun teams passen de door de Raad aangenomen beveiligingsvoorschriften voor de bescherming van EUCI toe.
(9)
Dit besluit laat de artikelen 15 en 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU) en de instrumenten ter uitvoering daarvan onverlet.
(10)
Dit besluit laat de bestaande werkwijzen van de lidstaten inzake het informeren van hun nationale parlementen over de werkzaamheden van de Unie onverlet,
HEEFT HET VOLGENDE BESLUIT VASTGESTELD:
Artikel 1
Doel, toepassingsgebied en definities
1. Bij dit besluit worden de grondbeginselen en minimumnormen voor beveiliging vastgesteld ten behoeve van de bescherming van EUCI.
2. Deze grondbeginselen en minimumnormen gelden voor de Raad en het SGR en moeten door de lidstaten, in overeenstemming met hun respectieve nationale wet- en regelgeving, worden nageleefd opdat ieder ervan verzekerd kan zijn, dat een gelijkwaardig niveau van bescherming voor EUCI wordt geboden.
3. Voor de toepassing van dit besluit gelden de definities in aanhangsel A.
Artikel 2
Definitie van EUCI, rubriceringen en merkingen
1. „Gerubriceerde EU-informatie” (EUCI): informatie of materiaal met een bepaalde EU-rubricering, waarvan openbaarmaking zonder machtiging de belangen van de Europese Unie of van een of meer van haar lidstaten in meerdere of mindere mate kan schaden.
2. Voor EUCI worden de volgende rubriceringen gehanteerd:
a) TRÈS SECRET UE/EU TOP SECRET: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van één of meer van haar lidstaten uitzonderlijk ernstig kan schaden;
b) SECRET UE/EU SECRET: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van één of meer van haar lidstaten ernstig kan schaden;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informatie en materiaal waarvan de openbaarmaking zonder machtiging de wezenlijke belangen van de Europese Unie of van één of meer van haar lidstaten kan schaden;
d) RESTREINT UE/EU RESTRICTED: informatie en materiaal waarvan de openbaarmaking zonder machtiging nadelig kan zijn voor de belangen van de Europese Unie of van één of meer van haar lidstaten.
3. EUCI krijgt een rubricering overeenkomstig lid 2. Daarnaast kan zij merkingen krijgen om de gebieden waarop zij betrekking heeft aan te duiden, de opsteller te identificeren, de verspreiding of het gebruik te beperken of de geschiktheid voor vrijgave aan te geven.
Artikel 3
Het beheer van het rubriceren
1. De bevoegde autoriteiten zorgen ervoor dat EUCI naar behoren wordt gerubriceerd en duidelijk als gerubriceerde informatie wordt aangemerkt, en dat de rubriceringsgraad ervan slechts zolang als nodig wordt behouden.
2. EUCI wordt niet lager gerubriceerd of gederubriceerd en de in artikel 2, lid 3, bedoelde merkingen worden niet gewijzigd of verwijderd zonder voorafgaande schriftelijke toestemming van de opsteller.
3. De Raad stelt een beveiligingsbeleid inzake het genereren van EUCI vast, met inbegrip van een praktische rubriceringsgids.
Artikel 4
Bescherming van gerubriceerde informatie
1. EUCI wordt beschermd in overeenstemming met dit besluit.
2. De houder van eender welke EUCI is verantwoordelijk voor de bescherming ervan in overeenstemming met dit besluit.
3. Wanneer lidstaten gerubriceerde informatie met een nationale rubricering in de structuren of netwerken van de Europese Unie invoeren, beschermen de Raad en het SGR die informatie in overeenstemming met de voorschriften voor EUCI op het beschermingsniveau dat volgens de in aanhangsel B vervatte concordantietabel van rubriceringen overeenstemt met het nationale niveau.
4. Het is mogelijk dat grote hoeveelheden of een compilatie van EUCI een beschermingsniveau vereisen dat met een hogere rubriceringsgraad overeenstemt.
Artikel 5
Het beheer van veiligheidsrisico's
1. Risico's voor EUCI worden beheerd als een proces. Dit proces wordt gericht op het bepalen van de bekende veiligheidsrisico's, het vaststellen van beveiligingsmaatregelen om deze risico's tot een aanvaardbaar niveau te beperken conform de grondbeginselen en minimumnormen van dit besluit en op toepassing van deze maatregelen in overeenstemming met het begrip „verdediging in de diepte” (hierna: „defense in depth”) zoals omschreven in aanhangsel A. De doeltreffendheid van deze maatregelen wordt voortdurend geëvalueerd.
2. De beveiligingsmaatregelen ter bescherming van EUCI gedurende haar gehele levenscyclus zijn evenredig met de rubricering, de vorm en de omvang van de informatie of het materiaal, de locatie en constructie van faciliteiten waar de EUCI in is ondergebracht en de lokaal beoordeelde dreiging of kwaadwillige en/of criminele activiteiten, met inbegrip van spionage, sabotage en terrorisme.
3. In de rampenplannen wordt rekening gehouden met de noodzaak om EUCI in noodsituaties te beschermen, teneinde toegang en openbaarmaking zonder machtiging of aantasting van de integriteit of beschikbaarheid te voorkomen.
4. In de bedrijfscontinuïteitsplannen worden preventie- en herstelmaatregelen opgenomen om de gevolgen van ernstige storingen of incidenten voor de verwerking en opslag van EUCI zo gering mogelijk te houden.
Artikel 6
Uitvoering van dit besluit
1. Indien nodig keurt de Raad, op aanbeveling van het Beveiligingscomité, een beveiligingsbeleid goed dat maatregelen voor de uitvoering van dit besluit omvat.
2. Het Beveiligingscomité kan op zijn niveau beveiligingsrichtlijnen aannemen ter aanvulling of ondersteuning van dit besluit en het door de Raad goedgekeurde beveiligingsbeleid.
Artikel 7
Persoonsgerelateerde beveiliging
1. Persoonsgerelateerde beveiliging is de toepassing van maatregelen die ervoor moeten zorgen dat toegang tot EUCI uitsluitend wordt verleend aan personen die:
-
een „noodzaak tot kennisname” hebben,
-
in voorkomend geval op het vereiste veiligheidsniveau zijn onderzocht, en
-
zijn geïnstrueerd over hun verantwoordelijkheden.
2. De procedures inzake veiligheidsmachtigingen voor personen zijn van dien aard dat kan worden bepaald of een persoon, gelet op diens loyaliteit en betrouwbaarheid, toegang kan worden verleend tot EUCI.
3. Alle personen bij het SGR die op grond van hun taken toegang tot EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger moeten hebben, dienen een veiligheidsmachtiging van het vereiste niveau te verkrijgen alvorens hun toegang tot die EUCI kan worden verleend. De procedure inzake veiligheidsmachtiging voor ambtenaren en andere personeelsleden van het SGR is beschreven in bijlage I.
4. Het in artikel 14, lid 3, bedoelde personeel van de lidstaten dat op grond van zijn taken toegang tot EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger moet hebben, dient een veiligheidsmachtiging op het vereiste niveau te verkrijgen of anderszins uit hoofde van zijn functie daartoe naar behoren te zijn gemachtigd, in overeenstemming met de nationale wet- en regelgeving, alvorens het toegang tot die EUCI mag worden verleend.
5. Voordat hun toegang tot EUCI wordt verleend, en vervolgens met regelmatige tussenpozen, worden alle personen geïnstrueerd over hun verantwoordelijkheden ter bescherming van EUCI overeenkomstig dit besluit, en dienen zij deze verantwoordelijkheden te bevestigen.
6. De bepalingen ter uitvoering van dit artikel staan in bijlage I.
Artikel 8
Fysieke beveiliging
1. Fysieke beveiliging is de toepassing van fysieke en technische beschermingsmaatregelen om toegang zonder machtiging tot EUCI te voorkomen.
2. Met de fysieke beveiligingsmaatregelen wordt beoogd het binnendringen met list of geweld te verhinderen, acties waarvoor geen toestemming is verleend af te schrikken, tegen te houden en op te sporen en op basis van het „noodzaak tot kennisname”-beginsel een onderscheid tussen personeelsleden mogelijk te maken wat betreft de toegang tot EUCI. Deze maatregelen worden op een risicobeheerproces gebaseerd.
3. Fysieke beveiligingsmaatregelen worden ingesteld voor alle locaties, gebouwen, bureaus, ruimten, andere zones waarin EUCI wordt verwerkt of opgeslagen, alsmede zones waar communicatie- en informatiesystemen, zoals gedefinieerd in artikel 10, lid 2, zijn ondergebracht.
4. Zones waar EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger wordt opgeslagen, worden overeenkomstig bijlage II als beveiligde zones vastgesteld en door de bevoegde beveiligingsautoriteit goedgekeurd.
5. Er worden alleen goedgekeurde apparatuur en voorzieningen gebruikt voor de bescherming van EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger.
6. De bepalingen ter uitvoering van dit artikel staan in bijlage II.
Artikel 9
Beheer van gerubriceerde informatie
1. Het beheer van gerubriceerde informatie is het toepassen van administratieve maatregelen voor het controleren van EUCI gedurende haar gehele levenscyclus teneinde de in de artikelen 7, 8 en 10 bedoelde maatregelen aan te vullen, en daarbij het al dan niet opzettelijk compromitteren of verliezen van die informatie te helpen voorkomen, opsporen en herstellen. Die maatregelen hebben met name betrekking op het genereren, registreren, kopiëren, vertalen, vervoeren en vernietigen van EUCI.
2. Informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger worden vóór verspreiding en bij ontvangst geregistreerd voor beveiligingsdoeleinden. De bevoegde autoriteiten in het SGR en in de lidstaten zetten voor dit doel een registratiesysteem op. Informatie met rubricering TRÈS SECRET UE/EU TOP SECRET worden in speciaal daarvoor bestemde registers geregistreerd.
3. De diensten en werkruimten waar EUCI wordt verwerkt of opgeslagen, worden regelmatig geïnspecteerd door de bevoegde beveiligingsautoriteit.
4. EUCI wordt als volgt tussen de diensten en werkruimten buiten fysiek beveiligde zones overgebracht:
a)
EUCI wordt over het algemeen overgedragen met elektronische middelen, beschermd door encryptieproducten die overeenkomstig artikel 10, lid 6, zijn goedgekeurd;
b)
wanneer geen gebruik wordt gemaakt van de onder a) genoemde middelen, wordt EUCI vervoerd:
i)
op elektronische dragers (zoals usb-sticks, cd's, harde schijven) beschermd door encryptieproducten die overeenkomstig artikel 10, lid 6, zijn goedgekeurd; of
ii)
in alle overige gevallen, op de wijze die door de bevoegde beveiligingsautoriteit is voorgeschreven in overeenstemming met de desbetreffende beschermingsmaatregelen in bijlage III.
5. De bepalingen ter uitvoering van dit artikel staan in bijlage III.
Artikel 10
Bescherming van EUCI die wordt verwerkt in communicatie- en informatiesystemen
1. Informatieborging (hierna: „Information Assurance - IA”) op het gebied van communicatie- en informatiesystemen is het vertrouwen dat die systemen de erin opgenomen informatie zullen beschermen en zullen functioneren zoals nodig en wanneer nodig, onder de controle van legitieme gebruikers. Doeltreffende IA waarborgt passende niveaus van vertrouwelijkheid, integriteit, beschikbaarheid, onweerlegbaarheid en authenticiteit. IA is op een risicobeheerproces gebaseerd.
2. „Communicatie- en informatiesystemen” zijn systemen waarmee informatie in elektronische vorm kan worden verwerkt. Een communicatie- en informatiesysteem omvat alle functionele bestanddelen die voor het functioneren ervan vereist zijn, waaronder infrastructuur, organisatie, personeel en informatiebronnen. Dit besluit geldt voor communicatie- en informatiesystemen die EUCI verwerken (hierna: „CIS”).
3. CIS verwerken EUCI overeenkomstig het concept van IA.
4. Alle CIS worden aan een homologatieprocedure onderworpen. Met de homologatie wordt beoogd de verzekering te verkrijgen dat alle toepasselijke beveiligingsmaatregelen zijn getroffen en dat het niveau van bescherming van de EUCI en van het CIS overeenkomstig dit besluit voldoende wordt geacht. In de homologatieverklaring worden de maximaal toegelaten rubriceringsgraad van de informatie die door een CIS mag worden verwerkt, en de voorwaarden daarvoor vastgesteld.
5. CIS die informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL en hoger verwerken, worden zodanig beschermd dat de gerubriceerde informatie niet kunnen worden gecompromitteerd door onopzettelijke elektromagnetische emissies (hierna: „Tempest-beveiligingsmaatregelen”).
6. Wanneer EUCI door encryptieproducten wordt beschermd, worden deze producten als volgt goedgekeurd:
a)
de vertrouwelijkheid van informatie met rubricering SECRET UE/EU SECRET en hoger wordt beschermd door encryptieproducten die door de Raad, als overheid voor de goedkeuring van encryptieproducten (hierna: „Crypto Approval Authority - CAA”), op voorstel van het Beveiligingscomité zijn goedgekeurd;
b)
de vertrouwelijkheid van informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of RESTREINT UE/EU RESTRICTED wordt beschermd door encryptieproducten die door de secretaris-generaal van de Raad (hierna: „de secretaris-generaal”), als CAA, op voorstel van het Beveiligingscomité zijn goedgekeurd.
Niettegenstaande punt b), kan de vertrouwelijkheid van EUCI met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of RESTREINT UE/EU RESTRICTED binnen nationale systemen van de lidstaten worden beschermd door encryptieproducten die door de CAA van een lidstaat zijn goedgekeurd.
7. Tijdens de overdracht van EUCI met elektronische middelen moeten goedgekeurde encryptieproducten worden gebruikt. Niettegenstaande deze eis kunnen specifieke procedures worden toegepast in noodgevallen of in geval van specifieke technische configuraties als bepaald in bijlage IV.
8. De bevoegde instanties van het SGR en van de lidstaten stellen respectievelijk de volgende IA-functies in:
a)
een IA-overheid (hierna: „IAA”);
b)
een Tempest-overheid (hierna: „TA”);
c)
een CAA (hierna: „CAA”);
d)
een overheid voor de verdeling van encryptieproducten (hierna: „CDA - Crypto Distribution Authority”).
9. Voor ieder systeem stellen de bevoegde instanties van het SGR en van de lidstaten respectievelijk de volgende functies in:
a)
een homologatieoverheid;
b)
een operationele IAA.
10. De bepalingen ter uitvoering van dit artikel staan in bijlage IV.
Artikel 11
Industriële beveiliging
1. Industriële beveiliging is de toepassing van maatregelen om de bescherming van EUCI door contractanten of subcontractanten tijdens precontractuele onderhandelingen en tijdens de volledige looptijd van gerubriceerde opdrachten te waarborgen. In het kader van dergelijke opdrachten mag geen toegang worden verleend tot informatie met rubricering TRÈS SECRET UE/EU TOP SECRET.
2. Het SGR kan opdrachten plaatsen voor taken die toegang tot of verwerking of opslag van EUCI behelzen of vereisen door industriële of andere entiteiten die zijn ingeschreven in een lidstaat of in een derde staat die een overeenkomst heeft gesloten of een administratieve regeling heeft getroffen overeenkomstig artikel 12, lid 2, onder a) of b).
3. Het SGR zorgt er als aanbestedende overheid voor dat aan de in dit besluit en in de gerubriceerde opdrachten vervatte minimumnormen voor industriële beveiliging is voldaan bij het plaatsen van gerubriceerde opdrachten bij industriële of andere entiteiten.
4. De nationale veiligheidsautoriteit (National Security Authority, hierna: „NSA”), de aangewezen veiligheidsautoriteit (Designated Security Authority, hierna: „DSA”) of een andere bevoegde overheidsinstantie van elke lidstaat draagt er, in de mate dat zulks mogelijk is volgens de nationale wet- en regelgeving, zorg voor dat contractanten en subcontractanten die op hun grondgebied zijn geregistreerd, alle maatregelen nemen die nodig zijn voor de bescherming van EUCI tijdens precontractuele onderhandelingen en de uitvoering van een gerubriceerde opdracht.
5. De NSA, de DSA of een andere bevoegde overheidsinstantie van iedere lidstaat zorgt er, overeenkomstig de nationale wet- en regelgeving, voor dat in de lidstaat in kwestie geregistreerde contractanten of subcontractanten die deelnemen aan gerubriceerde opdrachten of onderaanneming waarvoor toegang vereist is tot informatie met de rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET binnen hun gebouwen, tijdens de uitvoering van de opdrachten of in de precontractuele fase beschikken over een veiligheidsmachtiging voor een vestiging (Facility Security Clearance, hierna: „FSC”) in overeenstemming met de dienovereenkomstige rubricering.
6. Personeel van contractanten of subcontractanten dat voor de uitvoering van een gerubriceerde opdracht toegang moet hebben tot als CONFIDENTIEL UE/EU CONFIDENTIAL of SECRET UE/EU SECRET gerubriceerde informatie krijgt van de NSA/DSA of een andere bevoegde overheidsinstantie een veiligheidsmachtiging (VM) overeenkomstig de nationale wet- en regelgeving en de minimumbeveiligingsvoorschriften van bijlage I.
7. De bepalingen ter uitvoering van dit artikel staan in bijlage V.
Artikel 12
Uitwisseling van gerubriceerde informatie met derde staten en internationale organisaties
1. Wanneer de Raad bepaalt dat het noodzakelijk is EUCI uit te wisselen met een derde staat of een internationale organisatie, wordt daartoe een adequaat kader opgezet.
2. Om dat kader tot stand te brengen en wederzijdse voorschriften voor de bescherming van de uitgewisselde gerubriceerde informatie vast te stellen,
a)
sluit de Raad overeenkomsten betreffende beveiligingsprocedures voor de uitwisseling en bescherming van gerubriceerde informatie (hierna: „overeenkomsten voor de beveiliging van informatie”); of
b)
kan de secretaris-generaal administratieve regelingen treffen overeenkomstig punt 17 van bijlage VI wanneer de rubriceringsgraad van vrij te geven EUCI in het algemeen niet hoger is dan RESTREINT UE/EU RESTRICTED.
3. De in lid 2 bedoelde overeenkomsten voor de beveiliging van informatie of administratieve regelingen bevatten bepalingen om ervoor te zorgen dat, wanneer derde staten of internationale organisaties EUCI ontvangen, die informatie wordt beschermd in overeenstemming met hun rubriceringsgraad en volgens minimumnormen die niet minder streng zijn dan die welke in dit besluit zijn vastgesteld.
4. Het besluit tot vrijgave van EUCI, afkomstig van de Raad, aan een derde staat of een internationale organisatie wordt per geval door de Raad genomen, naargelang van de aard en de inhoud van die informatie, de noodzaak dat de ontvanger er kennis van neemt en de baat die de Europese Unie bij de vrijgave heeft. Indien de gerubriceerde informatie waarvan de vrijgave gewenst wordt, niet afkomstig zijn van de Raad, vraagt het SGR vóór vrijgave schriftelijke toestemming aan de opsteller. Indien de opsteller niet kan worden vastgesteld, neemt de Raad de verantwoordelijkheid over.
5. Er worden evaluatiebezoeken geregeld om de doeltreffendheid van de door een derde staat of een internationale organisatie genomen maatregelen ter beveiliging van de verstrekte of uitgewisselde EUCI te verifiëren.
6. De bepalingen ter uitvoering van dit artikel staan in bijlage VI.
Artikel 13
Inbreuken op de beveiligingvoorschriften en compromitteren van EUCI
1. Een inbreuk op de beveiligingsvoorschriften is het resultaat van iemands handeling of nalatigheid, in strijd met de beveiligingsvoorschriften van dit besluit.
2. Compromitteren van EUCI doet zich voor wanneer, tengevolge van een inbreuk op de beveiligingsvoorschriften, zulke informatie geheel of gedeeltelijk zijn bekendgemaakt aan onbevoegden.
3. Inbreuken of vermoedelijke inbreuken op de beveiligingsvoorschriften worden onmiddellijk aan de bevoegde veiligheidsautoriteit gemeld.
4. Wanneer bekend is of er redenen zijn om aan te nemen dat EUCI gecompromitteerd is of verloren is gegaan, doet de bevoegde veiligheidsautoriteit overeenkomstig de desbetreffende wetten en voorschriften het nodige om:
a)
de opsteller daarvan in kennis te stellen;
b)
ervoor te zorgen dat de zaak wordt onderzocht door personeel dat niet rechtstreeks met de inbreuk te maken heeft, teneinde de feiten vast te stellen;
c)
de eventuele schade te beoordelen die aan de belangen van de Europese Unie of van de lidstaten is berokkend;
d)
herhaling te voorkomen; en
e)
de bevoegde instanties in kennis te stellen van de stappen die zijn ondernomen.
5. Eenieder die verantwoordelijk is voor een inbreuk op de beveiligingsvoorschriften van dit besluit, stelt zich bloot aan disciplinaire maatregelen, overeenkomstig de geldende regels en voorschriften. Eenieder die verantwoordelijk is voor het compromitteren of verliezen van EUCI, stelt zich bloot aan disciplinaire maatregelen en/of strafvervolging, in overeenstemming met de geldende wetten, regels en voorschriften.
Artikel 14
Verantwoordelijkheid voor de uitvoering
1. De Raad neemt de nodige maatregelen om de algehele samenhang bij de toepassing van dit besluit te verzekeren.
2. De secretaris-generaal neemt de nodige maatregelen om ervoor te zorgen dat bij de verwerking of de opslag van EUCI en andere gerubriceerde informatie dit besluit in de werkruimten van de Raad en binnen het SGR, inclusief zijn verbindingsbureaus in derde staten, wordt toegepast door de ambtenaren en andere personeelsleden van het SGR, het bij het SGR gedetacheerd personeel en de contractanten van het SGR.
3. De lidstaten nemen in overeenstemming met hun respectieve nationale wet- en regelgeving alle passende maatregelen om ervoor te zorgen dat bij de verwerking of de opslag van EUCI dit besluit wordt nageleefd door:
a)
het personeel van de permanente vertegenwoordigingen van de lidstaten bij de Europese Unie, en de leden van de nationale delegaties die bijeenkomsten van de Raad of zijn voorbereidende instanties bijwonen, of deelnemen aan andere werkzaamheden van de Raad;
b)
ander personeel van de nationale overheden van de lidstaten, met inbegrip van bij die overheden gedetacheerd personeel, hetzij op het grondgebied van de lidstaten hetzij daarbuiten;
c)
andere personen in de lidstaten die uit hoofde van hun functie naar behoren gemachtigd zijn en dus toegang hebben tot EUCI; en
d)
contractanten van de lidstaten, hetzij op het grondgebied van de betrokken lidstaat, hetzij daarbuiten.
Artikel 15
Organisatie van de beveiliging binnen de Raad
1. In het kader van zijn rol bij het waarborgen van de algehele samenhang bij de toepassing van dit besluit, hecht de Raad zijn goedkeuring aan:
a)
de in artikel 12, lid 2, onder a), bedoelde overeenkomsten;
b)
besluiten houdende toestemming tot vrijgave van EUCI aan derde staten en internationale organisaties;
c)
een door de secretaris-generaal voorgesteld en door het Beveiligingscomité aanbevolen jaarlijks inspectieprogramma voor de diensten en werkruimten van de lidstaten en van de uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie alsmede van Europol en Eurojust, en evaluatiebezoeken aan derde staten en internationale organisaties om de doeltreffendheid van de ter bescherming van EUCI genomen maatregelen te verifiëren; en
d)
het in artikel 6, lid 1, bedoelde beveiligingsbeleid.
2. De secretaris-generaal is de veiligheidsautoriteit van het SGR. In die hoedanigheid doet de secretaris-generaal het volgende:
a)
het beveiligingsbeleid van de Raad uitvoeren en bewaken;
b)
met de NSA's van de lidstaten samenwerken op het gebied van alle beveiligingskwesties met betrekking tot de bescherming van gerubriceerde informatie die relevant zijn voor de werkzaamheden van de Raad;
c)
de ambtenaren en andere personeelsleden van het SGR EU-PVM's verstrekken overeenkomstig artikel 7, lid 3, alvorens hun toegang kan worden verleend tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger;
d)
in voorkomend geval, onderzoek gelasten naar werkelijk of vermoedelijk compromitteren of verlies van gerubriceerde informatie die in het bezit of afkomstig van de Raad zijn, en de bevoegde veiligheidsautoriteiten om hulp te verzoeken bij die onderzoeken;
e)
periodieke inspecties verrichten van de regelingen inzake beveiliging ter bescherming van gerubriceerde informatie in de werkruimten van het SGR;
f)
periodieke inspecties verrichten van de regelingen inzake beveiliging ter bescherming van EUCI bij de uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie alsmede Europol en Eurojust, alsmede bij crisisbeheersingsoperaties uit hoofde van titel V, hoofdstuk 2, VEU en door de speciale vertegenwoordigers van de Europese Unie (hierna: „SVEU's”) en de leden van hun teams;
g)
gezamenlijk en in overeenstemming met de betrokken NSA periodieke inspecties verrichten van de regelingen inzake beveiliging ter bescherming van EUCI in de diensten en werkruimten van de lidstaten;
h)
beveiligingsmaatregelen coördineren met de bevoegde autoriteiten van de lidstaten die verantwoordelijk zijn voor de bescherming van gerubriceerde informatie en, waar van toepassing, derde staten of internationale organisaties, onder meer met betrekking tot de aard van de bedreigingen voor de veiligheid van EUCI en de middelen om zich daartegen te beschermen;
i)
de in artikel 12, lid 2, onder b), bedoelde administratieve regelingen treffen; en
j)
initiële en periodieke evaluatiebezoeken aan derde staten of internationale organisaties afleggen om de doeltreffendheid te verifiëren van de maatregelen die ter bescherming van de aan hen verstrekte of met hen uitgewisselde EUCI zijn genomen.
De Dienst beveiliging van het SGR staat ter beschikking van de SG/HV om te helpen bij het vervullen van deze verantwoordelijkheden.
3. Voor de toepassing van artikel 14, lid 3, moeten de lidstaten:
a)
een NSA aanwijzen die verantwoordelijk is voor de regelingen inzake beveiliging ter bescherming van EUCI opdat:
i)
EUCI die in het bezit is van nationale departementen, entiteiten of organisaties, hetzij publiek hetzij particulier, in het binnenland of het buitenland, overeenkomstig dit besluit beschermd zijn;
ii)
de regelingen inzake beveiliging ter bescherming van EUCI periodiek worden geïnspecteerd;
iii)
alle personen die in dienst zijn van een nationale overheid of van een contractant waaraan toegang kan worden verleend tot informatie met rubricering CONFIDENTIEL UE/EU CONFIDENTIAL of hoger, passend zijn gescreend of anderszins uit hoofde van hun functie naar behoren zijn gemachtigd in overeenstemming met de nationale wet- en regelgeving;
iv)
de beveiligingsprogramma's worden opgezet die noodzakelijk zijn om het risico dat EUCI wordt gecompromitteerd of verloren raakt, tot een minimum te beperken;
v)
beveiligingskwesties met betrekking tot EUCI worden gecoördineerd met andere bevoegde nationale instanties, zoals de in dit besluit genoemde instanties; en
vi)
antwoorden worden gegeven op passende verzoeken om een veiligheidsonderzoek van uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie, alsmede in het kader van crisisbeheersingsoperaties uit hoofde van titel V, hoofdstuk 2, VEU en van de SVEU's en hun teams.
De NSA's zijn opgenomen in aanhangsel C;
b)
ervoor zorgen dat hun bevoegde autoriteiten aan hun regering, en via deze aan de Raad, informatie en advies verstrekken over de aard van de bedreigingen voor de beveiliging van EUCI en de middelen om zich daartegen te beschermen.
Artikel 16
Het Beveiligingscomité
1. Hierbij wordt een Beveiligingscomité ingesteld. Het onderzoekt en beoordeelt alle beveiligingskwesties die binnen het toepassingsgebied van dit besluit vallen, en doet in voorkomend geval aanbevelingen aan de Raad.
2. Het Beveiligingscomité bestaat uit vertegenwoordigers van de NSA's van de lidstaten en de vergaderingen worden bijgewoond door een vertegenwoordiger van de Commissie en van de Europese dienst voor extern optreden. Het wordt voorgezeten door de secretaris-generaal of diens aangewezen vertegenwoordiger. Het komt volgens instructies van de Raad bijeen, of op verzoek van de secretaris-generaal of van een NSA.
Vertegenwoordigers van uit hoofde van titel V, hoofdstuk 2, VEU opgerichte organen en instanties van de Europese Unie, alsmede van Europol en Eurojust kunnen worden uitgenodigd wanneer kwesties die hen betreffen op de agenda staan.
3. Het Beveiligingscomité organiseert zijn werkzaamheden zodanig dat het aanbevelingen over specifieke beveiligingsgebieden kan verstrekken. Het stelt een deelgebied in voor deskundigen in IA-kwesties en in voorkomend geval andere deskundigendeelgebieden. Het stelt mandaten voor deze deskundigendeelgebieden vast en ontvangt verslagen over de activiteiten daarvan met, waar nodig, aanbevelingen aan de Raad.
Artikel 17
Vervanging van voorgaande besluiten
1. Besluit 2001/264/EG van de Raad van 19 maart 2001 tot vaststelling van beveiligingsvoorschriften van de Raad (2) wordt ingetrokken en vervangen door dit besluit.
2. Alle in overeenstemming het Besluit 2001/264/EG gerubriceerde EUCI blijft beschermd overeenkomstig de bepalingen dienaangaande in onderhavig besluit.
Artikel 18
Inwerkingtreding
Dit besluit treedt in werking op de dag van de bekendmaking ervan in het Publicatieblad van de Europese Unie.
Gedaan te Brussel, 31 maart 2011.

Labels: 7
12