Document ID: 32013D0488

DECYZJA RADY
z dnia 23 września 2013 r.
w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE
(2013/488/UE)
RADA UNII EUROPEJSKIEJ,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 240 ust. 3,
uwzględniając decyzję Rady 2009/937/UE z dnia 1 grudnia 2009 r. dotyczącą przyjęcia regulaminu wewnętrznego Rady (1), w szczególności jej art. 24,
mając na uwadze, co następuje:
(1)
Aby rozwinąć działania Rady we wszystkich dziedzinach wymagających wykorzystywania informacji niejawnych, właściwe jest utworzenie kompleksowego systemu bezpieczeństwa służącego ochronie informacji niejawnych, który obejmie Radę, jej Sekretariat Generalny oraz państwa członkowskie.
(2)
Niniejsza decyzja powinna mieć zastosowanie do przypadków, gdy Rada, jej organy przygotowawcze oraz Sekretariat Generalny Rady (SGR) wykorzystują informacje niejawne UE (EUCI).
(3)
Zgodnie z krajowymi przepisami ustawowymi i wykonawczymi i w zakresie, jaki jest niezbędny do funkcjonowania Rady, w przypadkach gdy właściwe organy, pracownicy lub wykonawcy z państw członkowskich wykorzystują EUCI, państwa członkowskie powinny przestrzegać przepisów niniejszej decyzji, tak aby każda ze stron mogła mieć pewność, że zagwarantowany został równoważny poziom ochrony EUCI.
(4)
Rada, Komisja i Europejska Służba Działań Zewnętrznych (ESDZ) są zdecydowane stosować równoważne normy bezpieczeństwa w celu ochrony EUCI.
(5)
Rada podkreśla znaczenie włączania się, w stosownych przypadkach, Parlamentu Europejskiego i innych instytucji, organów lub jednostek organizacyjnych Unii w przestrzeganie zasad, norm i przepisów dotyczących ochrony informacji niejawnych, które są niezbędne do ochrony interesów Unii i jej państw członkowskich.
(6)
Rada powinna określić odpowiednie ramy wymiany EUCI będących w posiadaniu Rady z innymi instytucjami, organami lub jednostkami organizacyjnymi Unii, w stosownych przypadkach, zgodnie z niniejszą decyzją i obowiązującymi ustaleniami międzyinstytucjonalnymi.
(7)
Organy i agencje Unii utworzone na mocy tytułu V rozdział 2 Traktatu o Unii Europejskiej (TUE), Europol i Eurojust powinny stosować w ramach swoich struktur wewnętrznych podstawowe zasady i minimalne normy określone w niniejszej decyzji w celu ochrony EUCI, jeżeli przewiduje to akt, na mocy którego zostały ustanowione.
(8)
Do operacji zarządzania kryzysowego ustanawianych na mocy tytułu V rozdział 2 TUE oraz do personelu biorącego w nich udział powinny mieć zastosowanie przepisy bezpieczeństwa przyjęte przez Radę w celu ochrony EUCI, jeżeli przewiduje to akt Rady, na mocy którego zostały ustanowione.
(9)
Specjalni przedstawiciele UE i członkowie ich zespołów powinni stosować przepisy bezpieczeństwa przyjęte przez Radę w celu ochrony EUCI, jeżeli przewiduje to stosowny akt Rady.
(10)
Niniejsza decyzja jest przyjmowana bez uszczerbku dla art. 15 i 16 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) oraz aktów prawnych służących wykonaniu tych artykułów.
(11)
Niniejsza decyzja jest przyjmowana bez uszczerbku dla istniejących w państwach członkowskich praktyk w zakresie powiadamiania parlamentów krajowych o działaniach Unii.
(12)
Aby zapewnić terminowe rozpoczęcie stosowania przepisów bezpieczeństwa w celu ochrony EUCI w związku z przystąpieniem do Unii Europejskiej Republiki Chorwacji, niniejsza decyzja powinna wejść w życie z dniem jej opublikowania,
PRZYJMUJE NINIEJSZĄ DECYZJĘ:
Artykuł 1
Cel, zakres stosowania i definicje
1. Niniejsza decyzja określa podstawowe zasady i minimalne normy bezpieczeństwa służące ochronie EUCI.
2. Te podstawowe zasady i minimalne normy bezpieczeństwa mają zastosowanie do Rady i SGR oraz przestrzegane są przez państwa członkowskie zgodnie z ich krajowymi przepisami ustawowymi i wykonawczymi, tak aby każda ze stron mogła mieć pewność, że zagwarantowany został równoważny poziom ochrony EUCI.
3. Do celów niniejszej decyzji zastosowanie mają definicje zamieszczone w dodatku A.
Artykuł 2
Definicja EUCI, klauzule tajności i oznaczenia
1. „Informacje niejawne UE” (EUCI) oznaczają wszelkie informacje lub materiały objęte klauzulą tajności UE, których nieuprawnione ujawnienie mogłoby w różnym stopniu wyrządzić szkodę interesom Unii Europejskiej lub interesom co najmniej jednego państwa członkowskiego.
2. EUCI otrzymują jedną z następujących klauzul tajności:
a)
TRÈS SECRET UE/EU TOP SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby wyrządzić wyjątkowo poważną szkodę podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;
b)
SECRET UE/EU SECRET: informacje i materiały, których nieuprawnione ujawnienie mogłoby poważnie zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;
c)
CONFIDENTIEL UE/EU CONFIDENTIAL: informacje i materiały, których nieuprawnione ujawnienie mogłoby zaszkodzić podstawowym interesom Unii Europejskiej lub co najmniej jednego państwa członkowskiego;
d)
RESTREINT UE/EU RESTRICTED: informacje i materiały, których nieuprawnione ujawnienie mogłoby być niekorzystne dla interesów Unii Europejskiej lub co najmniej jednego państwa członkowskiego.
3. EUCI nadaje się klauzulę tajności zgodnie z ust. 2. Można nadać im dodatkowe oznaczenie wskazujące na dziedzinę działalności, do której się odnoszą, na wytwórcę, ograniczenia dystrybucji, ograniczenia wykorzystania lub możliwość ujawnienia.
Artykuł 3
Oznaczanie klauzulami tajności
1. Właściwe organy zapewniają, by EUCI nadawano odpowiednie klauzule tajności, by informacje takie były wyraźnie oznaczone jako informacje niejawne, a także by były one objęte danym poziomem klauzuli tajności nie dłużej, niż jest to konieczne.
2. Do obniżenia lub zniesienia klauzuli tajności nadanej EUCI oraz do zmiany lub usunięcia oznaczeń, o których mowa w art. 2 ust. 3, potrzebna jest uprzednia pisemna zgoda wytwórcy.
3. Rada zatwierdza politykę bezpieczeństwa w zakresie wytwarzania EUCI, która obejmuje praktyczny przewodnik nadawania klauzul tajności.
Artykuł 4
Ochrona informacji niejawnych
1. EUCI są chronione zgodnie z niniejszą decyzją.
2. Posiadacz jakichkolwiek EUCI jest odpowiedzialny za ich ochronę zgodnie z niniejszą decyzją.
3. Jeżeli państwa członkowskie wprowadzają do struktur lub sieci Unii informacje niejawne, którym nadano krajową klauzulę tajności, Rada i SGR obejmują te informacje ochroną zgodnie z wymogami, które mają zastosowanie do EUCI o równorzędnej klauzuli tajności - zgodnie z tabelą równorzędności klauzul tajności zamieszczoną w dodatku B.
4. Uzasadnione może być objęcie zagregowanych EUCI ochroną na poziomie właściwym dla wyższej klauzuli tajności niż klauzula nadana poszczególnym składnikom tego zbioru.
Artykuł 5
Zarządzanie ryzykiem dla bezpieczeństwa
1. Zarządzanie ryzykiem naruszenia EUCI przebiega w ramach określonego procesu. Proces ten jest ukierunkowany na określenie znanych rodzajów ryzyka naruszenia zasad bezpieczeństwa, środków bezpieczeństwa służących zmniejszeniu tego ryzyka do akceptowalnego poziomu zgodnie z podstawowymi zasadami i minimalnymi normami bezpieczeństwa przedstawionymi w niniejszej decyzji oraz na zastosowanie tych środków zgodnie z koncepcją ochrony w głąb, zdefiniowaną w dodatku A. Skuteczność takich środków jest stale oceniana.
2. Środki bezpieczeństwa służące ochronie EUCI na wszystkich etapach ich cyklu życia są proporcjonalne w szczególności do ich klauzuli tajności, formy, ilości informacji lub materiałów, lokalizacji i konstrukcji obiektów, w których się znajdują, oraz oceny zagrożenia wystąpieniem w tym miejscu działań realizowanych w złych zamiarach lub działalności przestępczej, takiej jak działalność szpiegowska, sabotażowa lub terrorystyczna.
3. Plany awaryjne uwzględniają potrzebę ochrony EUCI podczas sytuacji nadzwyczajnych w celu zapobieżenia nieuprawnionemu dostępowi do informacji, ich ujawnieniu lub utracie ich integralności lub dostępności.
4. W planach ciągłości działania zamieszczane są środki zapobiegawcze i naprawcze służące zminimalizowaniu skutków poważnych niedopatrzeń lub incydentów związanych z wykorzystywaniem EUCI oraz z ich przechowywaniem.
Artykuł 6
Wykonanie niniejszej decyzji
1. Jeżeli to konieczne, Rada na zalecenie Komitetu ds. Bezpieczeństwa zatwierdza polityki bezpieczeństwa przewidujące środki służące wykonaniu niniejszej decyzji.
2. Komitet ds. Bezpieczeństwa może na swoim poziomie uzgodnić wytyczne dotyczące bezpieczeństwa, które będą uzupełniać lub wspierać niniejszą decyzję i wszelkie polityki bezpieczeństwa zatwierdzone przez Radę.
Artykuł 7
Bezpieczeństwo osobowe
1. Bezpieczeństwo osobowe oznacza stosowanie środków zapewniających, aby dostęp do EUCI był przyznawany tylko osobom, które:
-
spełniają zasadę ograniczonego dostępu,
-
w stosownych przypadkach zostały odpowiednio sprawdzone do celów dostępu do informacji o odpowiedniej klauzuli tajności, oraz
-
zostały poinformowane o swoich obowiązkach.
2. Procedury prowadzenia postępowań sprawdzających mają na celu stwierdzenie, czy daną osobę, ze względu na jej lojalność, wiarygodność i rzetelność, można uprawnić do dostępu do EUCI.
3. Wszystkie osoby pracujące w SGR, których obowiązki wymagają dostępu do EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej lub też wymagają posługiwania się takimi EUCI, są przed uzyskaniem dostępu do takich EUCI odpowiednio sprawdzane do tych celów. Osoby takie muszą uzyskać zgodę organu powołującego SGR na dostęp do EUCI do określonego poziomu klauzuli tajności i do określonej daty.
4. Pracownicy państw członkowskich, o których mowa w art. 15 ust. 3, których obowiązki mogą wymagać dostępu do EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, są przed uzyskaniem dostępu do takich EUCI odpowiednio sprawdzani do celów dostępu do informacji o odpowiedniej klauzuli tajności lub otrzymują inne odpowiednie upoważnienie ze względu na pełnione przez siebie funkcje, zgodnie z krajowymi przepisami ustawowymi i wykonawczymi.
5. Przed uzyskaniem dostępu do EUCI, a następnie w regularnych odstępach czasu wszystkie osoby informowane są o obowiązku ochrony tych informacji zgodnie z niniejszą decyzją i potwierdzają znajomość tego obowiązku.
6. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku I.
Artykuł 8
Bezpieczeństwo fizyczne
1. Bezpieczeństwo fizyczne oznacza stosowanie fizycznych i technicznych środków ochrony, aby zapobiec nieuprawnionemu dostępowi do EUCI.
2. Środki bezpieczeństwa fizycznego mają na celu zapobieżenie wtargnięciu osoby nieupoważnionej, w sposób niezauważony lub z użyciem siły, powstrzymanie od podjęcia nieuprawnionych działań, udaremnienie ich i wykrycie oraz umożliwienie podziału pracowników pod względem dostępu do EUCI zgodnie z zasadą ograniczonego dostępu. Środki te określane są na podstawie procesu zarządzania ryzykiem.
3. Środkami bezpieczeństwa fizycznego obejmuje się wszystkie obiekty, budynki, biura, pomieszczenia i inne strefy, w których są wykorzystywane lub przechowywane EUCI, w tym strefy, w których znajdują się systemy teleinformatyczne określone w art. 10 ust. 2.
4. Strefy, w których przechowywane są EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, ustanawiane są strefami bezpieczeństwa zgodnie z załącznikiem II; strefy takie zatwierdza właściwy organ bezpieczeństwa.
5. Do ochrony EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej stosuje się wyłącznie zatwierdzony sprzęt lub zatwierdzone urządzenia.
6. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku II.
Artykuł 9
Zarządzanie informacjami niejawnymi
1. Zarządzanie informacjami niejawnymi polega na stosowaniu środków administracyjnych służących kontroli EUCI na wszystkich etapach ich cyklu życia w uzupełnieniu środków przewidzianych w art. 7, 8 i 10, co ma pomóc w powstrzymywaniu od zamierzonego lub przypadkowego narażenia na szwank bezpieczeństwa tych informacji lub ich utraty i w wykrywaniu takich przypadków. Środki takie dotyczą w szczególności wytwarzania, rejestracji, kopiowania, tłumaczenia, obniżania klauzuli tajności i znoszenia tej klauzuli, przemieszczania i niszczenia EUCI.
2. Informacje niejawne o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej są ze względów bezpieczeństwa rejestrowane przed dystrybucją i w momencie wpłynięcia. Właściwe organy SGR i państw członkowskich ustanawiają do tego celu system kancelarii tajnych. Informacje niejawne o klauzuli tajności TRÈS SECRET UE/EU TOP SECRET rejestruje się w wyznaczonych kancelariach tajnych.
3. Jednostki organizacyjne i obiekty, w których są wykorzystywane lub przechowywane EUCI, poddawane są regularnym inspekcjom przeprowadzanym przez właściwy organ bezpieczeństwa.
4. Poza strefami chronionymi fizycznie EUCI są przekazywane między jednostkami organizacyjnymi i obiektami w sposób następujący:
a)
z reguły EUCI są przekazywane drogą elektroniczną chronioną przy użyciu produktów kryptograficznych zatwierdzonych zgodnie z art. 10 ust. 6;
b)
gdy sposób, o którym mowa w lit. a), nie jest wykorzystywany, EUCI są przekazywane:
(i)
za pomocą środków elektronicznych (jak np. nośniki pamięci USB, płyty kompaktowe, dyski twarde) chronionych przy użyciu produktów kryptograficznych zatwierdzonych zgodnie z art. 10 ust. 6; lub
(ii)
we wszystkich pozostałych przypadkach, zgodnie z wytycznymi właściwego organu bezpieczeństwa wydanymi zgodnie z odpowiednimi środkami ochrony określonymi w załączniku III.
5. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załącznikach III i IV.
Artykuł 10
Ochrona EUCI przetwarzanych w systemach teleinformatycznych
1. Zabezpieczanie informacji w ramach systemów teleinformatycznych oznacza pewność, że systemy te będą chronić informacje, które są w nich przetwarzane, i będą działać zgodnie z przeznaczeniem, w razie potrzeby pod kontrolą uprawnionych użytkowników. Skuteczne zabezpieczanie informacji gwarantuje odpowiedni poziom poufności, integralności, dostępności, niezaprzeczalności i autentyczności. Zabezpieczanie informacji opiera się na procesie zarządzania ryzykiem.
2. „System teleinformatyczny” (CIS) oznacza system umożliwiający przetwarzanie informacji w formie elektronicznej. CIS obejmuje wszystkie zasoby niezbędne do jego funkcjonowania, w tym infrastrukturę, organizację, personel oraz zasoby informatyczne. Niniejsza decyzja ma zastosowanie do (CIS) przetwarzających EUCI.
3. CIS przetwarza EUCI zgodnie z koncepcją zabezpieczania informacji.
4. Wszystkie CIS poddawane są procedurze akredytacji. Celem akredytacji jest upewnienie się, że zastosowano wszystkie odpowiednie środki bezpieczeństwa i że osiągnięto wystarczający poziom ochrony EUCI i CIS zgodnie z niniejszą decyzją. W świadectwie akredytacji określa się najwyższą klauzulę tajności informacji, które mogą być przetwarzane w ramach danego CIS, oraz odpowiednie warunki.
5. Stosowane są specjalne środki bezpieczeństwa w celu ochrony CIS przetwarzającego informacje niejawne o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL i wyższej przed narażeniem tych informacji na szwank z powodu niezamierzonych emisji elektromagnetycznych (tzw. „środki bezpieczeństwa TEMPEST”). Takie środki bezpieczeństwa są proporcjonalne do ryzyka wykorzystania informacji niejawnych i do poziomu klauzuli tajności.
6. Jeżeli EUCI podlegają ochronie przy użyciu produktów kryptograficznych, produkty te są zatwierdzane w sposób następujący:
a)
poufność informacji niejawnych o klauzuli tajności SECRET UE/EU SECRET i wyższej podlega ochronie przy użyciu produktów kryptograficznych zatwierdzonych - na podstawie zalecenia Komitetu ds. Bezpieczeństwa - przez Radę działającą jako organ ds. zatwierdzania produktów kryptograficznych (CAA);
b)
poufność informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub RESTREINT UE/EU RESTRICTED podlega ochronie przy użyciu produktów kryptograficznych zatwierdzonych - na podstawie zalecenia Komitetu ds. Bezpieczeństwa - przez Sekretarza Generalnego Rady (zwanego dalej „Sekretarzem Generalnym”) działającego jako CAA.
Niezależnie od przepisów lit. b) w obrębie krajowych systemów państw członkowskich poufność EUCI o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub RESTREINT UE/EU RESTRICTED może być chroniona przy użyciu produktów kryptograficznych zatwierdzonych przez CAA danego państwa członkowskiego.
7. Podczas transmisji EUCI drogą elektroniczną stosuje się zatwierdzone produkty kryptograficzne. Niezależnie od tego wymogu w wyjątkowych okolicznościach mogą mieć zastosowanie szczególne procedury lub szczególne konfiguracje techniczne określone w załączniku IV.
8. Właściwe organy, odpowiednio, SGR i państw członkowskich ustanawiają następujące organy zajmujące się zabezpieczaniem informacji:
a)
organ ds. zabezpieczania informacji (IAA);
b)
organ ds. TEMPEST (TA);
c)
organ ds. zatwierdzania produktów kryptograficznych (CAA);
d)
organ ds. dystrybucji produktów kryptograficznych (CDA).
9. W odniesieniu do każdego systemu właściwe organy, odpowiednio, SGR i państw członkowskich ustanawiają:
a)
organ ds. akredytacji bezpieczeństwa (SAA);
b)
organ operacyjny ds. zabezpieczania informacji.
10. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku IV.
Artykuł 11
Bezpieczeństwo przemysłowe
1. Bezpieczeństwo przemysłowe oznacza stosowanie środków mających zapewnić ochronę EUCI przez wykonawców lub podwykonawców podczas negocjacji poprzedzających zawarcie umów i na wszystkich etapach cyklu życia umów niejawnych. Umowy takie nie obejmują dostępu do informacji niejawnych o klauzuli tajności TRÈS SECRET UE/EU TOP SECRET.
2. SGR może na podstawie umowy powierzyć zadania obejmujące EUCI lub wiążące się z dostępem do tych informacji, ich wykorzystywaniem lub przechowywaniem przez podmioty prowadzące działalność gospodarczą lub inną, zarejestrowane w państwie członkowskim lub w państwie trzecim, które zawarło umowę lub porozumienie administracyjne zgodnie z art. 13 ust. 2 lit. a) lub b).
3. Jako instytucja zamawiająca SGR zapewnia, by w przypadku zawierania umów niejawnych z podmiotami prowadzącymi działalność gospodarczą lub inną spełnione były minimalne normy bezpieczeństwa przemysłowego określone w niniejszej decyzji i te, o których mowa w danej umowie.
4. Krajowa władza bezpieczeństwa (KWB), wyznaczona władza bezpieczeństwa (WWB) lub jakikolwiek inny właściwy organ bezpieczeństwa każdego państwa członkowskiego zapewniają - w zakresie, w jakim umożliwiają to krajowe przepisy ustawowe i wykonawcze - by wykonawcy i podwykonawcy zarejestrowani na ich terytorium stosowali wszelkie odpowiednie środki mające chronić EUCI podczas negocjacji poprzedzających zawarcie umowy i podczas wykonywania umowy niejawnej.
5. KWB, WWB lub jakikolwiek inny właściwy organ bezpieczeństwa każdego państwa członkowskiego zapewniają, zgodnie z krajowymi przepisami ustawowymi i wykonawczymi, by wykonawcy lub podwykonawcy zarejestrowani w tym państwie członkowskim, będący stronami umów niejawnych lub niejawnych umów o podwykonawstwo i którym niezbędny jest dostęp w ich obiektach do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub SECRET UE/EU SECRET podczas wykonywania takich umów lub na etapie poprzedzającym ich zawarcie, posiadali świadectwo bezpieczeństwa przemysłowego (SBP) na odpowiednim poziomie klauzuli tajności.
6. Odpowiednia KWB, WWB lub jakikolwiek inny właściwy organ bezpieczeństwa wydaje pracownikom wykonawcy lub podwykonawcy, którym przy wykonywaniu umowy niejawnej niezbędny jest dostęp do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub SECRET UE/EU SECRET, poświadczenie bezpieczeństwa osobowego (PBO) zgodnie z krajowymi przepisami ustawowymi i wykonawczymi oraz minimalnymi normami bezpieczeństwa określonymi w załączniku I.
7. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku V.
Artykuł 12
Wymiana EUCI
1. Rada określa warunki, na jakich może wymieniać EUCI znajdujące się w jej posiadaniu z innymi instytucjami, organami lub jednostkami organizacyjnymi Unii. W tym celu można przewidzieć właściwe ramy, w tym poprzez przystępowanie, w razie potrzeby, do międzyinstytucjonalnych umów lub innych ustaleń temu służących.
2. Wszelkie takie ramy zapewniają, aby EUCI były chronione stosownie do ich klauzuli tajności i zgodnie z podstawowymi zasadami i minimalnymi normami, które są równoważne do tych określonych w niniejszej decyzji.
Artykuł 13
Wymiana informacji niejawnych z państwami trzecimi i organizacjami międzynarodowymi
1. Jeżeli Rada stwierdza, że zachodzi konieczność wymiany EUCI z państwem trzecim lub organizacją międzynarodową, ustanowione zostają odpowiednie ramy takiej wymiany.
2. Aby ustanowić takie ramy i określić wzajemnie obowiązujące zasady ochrony wymienianych informacji niejawnych:
a)
Unia zawiera z państwami trzecimi lub organizacjami międzynarodowymi umowy dotyczące procedur bezpieczeństwa na potrzeby wymiany i ochrony informacji niejawnych (zwane dalej „umowami o bezpieczeństwie informacji”); lub
b)
Sekretarz Generalny może zgodnie z pkt 17 załącznika VI zawierać w imieniu SGR porozumienia administracyjne, o ile poziom klauzuli tajności nadanej EUCI, które mają zostać udostępnione, nie jest - co do zasady - wyższy niż RESTREINT UE/EU RESTRICTED.
3. Umowy o bezpieczeństwie informacji lub porozumienia administracyjne, o których mowa w ust. 2, zawierają postanowienia mające służyć temu, by w przypadku gdy państwa trzecie lub organizacje międzynarodowe otrzymają EUCI, informacje te były chronione w sposób odpowiadający ich klauzuli tajności i zgodny z minimalnymi normami, które nie mogą być mniej rygorystyczne niż normy określone w niniejszej decyzji.
4. Decyzja o udostępnieniu państwu trzeciemu lub organizacji międzynarodowej EUCI wytworzonych w Radzie podejmowana jest przez Radę dla każdego przypadku z osobna, w zależności od charakteru i treści takich informacji, od tego, czy odbiorca spełnia zasadę ograniczonego dostępu, i od tego, w jakim stopniu jest to korzystne dla Unii. Jeżeli wytwórcą informacji niejawnych, o których udostępnienie wystąpiono, nie jest Rada, SGR najpierw zwraca się o pisemną zgodę wytwórcy na ich udostępnienie. Jeżeli nie można ustalić, kto jest wytwórcą, Rada przejmuje jego odpowiedzialność.
5. Aby stwierdzić skuteczność środków bezpieczeństwa stosowanych w państwie trzecim lub organizacji międzynarodowej w celu ochrony EUCI, które zostały im przekazane jednostronnie lub w ramach wymiany, przeprowadzane są wizyty oceniające.
6. Przepisy dotyczące wykonania niniejszego artykułu znajdują się w załączniku VI.
Artykuł 14
Naruszenie i narażenie na szwank bezpieczeństwa EUCI
1. Naruszenie zasad bezpieczeństwa następuje w wyniku działania określonej osoby lub zaniechania przez nią działania w sposób sprzeczny z zasadami bezpieczeństwa określonymi w niniejszej decyzji.
2. Narażenie na szwank bezpieczeństwa EUCI ma miejsce, gdy w wyniku naruszenia zasad bezpieczeństwa takie informacje w całości lub w części zostają ujawnione osobom nieupoważnionym.
3. O wszelkich podejrzeniach lub przypadkach naruszenia zasad bezpieczeństwa powiadamia się niezwłocznie właściwy organ bezpieczeństwa.
4. Jeżeli jest wiadome lub jeżeli istnieją uzasadnione przesłanki, by przypuszczać, że bezpieczeństwo EUCI zostało narażone na szwank lub że informacje takie zostały utracone, KWB lub inny właściwy organ podejmuje - zgodnie z odpowiednimi przepisami ustawowymi i wykonawczymi - wszelkie stosowne działania w celu:
a)
poinformowania wytwórcy informacji;
b)
zapewnienia zbadania tego przypadku przez personel niezwiązany bezpośrednio z tym naruszeniem w celu ustalenia przebiegu wydarzeń;
c)
oceny potencjalnych szkód dla interesów Unii lub państw członkowskich;
d)
podjęcia właściwych środków, aby zapobiec powtórzeniu się podobnego przypadku; oraz
e)
powiadomienia właściwych organów o podjętych działaniach.
5. Każda osoba odpowiedzialna za naruszenie przepisów bezpieczeństwa określonych w niniejszej decyzji może podlegać postępowaniu dyscyplinarnemu zgodnie z mającymi zastosowanie zasadami i przepisami wykonawczymi. Każda osoba odpowiedzialna za narażenie na szwank bezpieczeństwa EUCI lub za ich utratę podlega postępowaniu dyscyplinarnemu lub sądowemu zgodnie z mającymi zastosowanie przepisami ustawowymi, zasadami i przepisami wykonawczymi.
Artykuł 15
Odpowiedzialność za wykonanie decyzji
1. Rada podejmuje wszelkie niezbędne działania w celu zapewnienia ogólnej spójności w stosowaniu niniejszej decyzji.
2. Sekretarz Generalny podejmuje wszelkie niezbędne działania w celu zapewnienia stosowania niniejszej decyzji przez urzędników i innych pracowników SGR, personel oddelegowany do SGR i wykonawców zatrudnionych przez SGR, przy wykorzystywaniu lub przechowywaniu EUCI lub jakichkolwiek innych informacji niejawnych, w obiektach, z których korzysta Rada, oraz w obrębie SGR.
3. Państwa członkowskie podejmują - zgodnie ze swoimi przepisami ustawowymi i wykonawczymi - wszelkie stosowne działania w celu zapewnienia przestrzegania niniejszej decyzji, podczas wykorzystywania lub przechowywania EUCI, przez:
a)
pracowników stałych przedstawicielstw państw członkowskich przy Unii Europejskiej, a także delegatów krajowych uczestniczących w posiedzeniach Rady lub jej organów przygotowawczych lub biorących udział w innych działaniach Rady;
b)
innych pracowników administracji krajowej państw członkowskich, w tym pracowników oddelegowanych do pracy w tej administracji, gdy pełnią oni obowiązki na terytorium państw członkowskich lub poza ich granicami;
c)
inne osoby w państwach członkowskich, które ze względu na pełnione funkcje posiadają odpowiednie upoważnienie do dostępu do EUCI; oraz
d)
wykonawców zatrudnionych przez państwa członkowskie na terytorium państw członkowskich lub poza ich granicami.
Artykuł 16
Organizacja bezpieczeństwa w Radzie
1. W ramach zapewniania ogólnej spójności w stosowaniu niniejszej decyzji Rada zatwierdza:
a)
umowy, o których mowa w art. 13 ust. 2 lit. a);
b)
decyzje upoważniające do udostępnienia EUCI wytworzonych przez Radę lub znajdujących się w jej posiadaniu państwom trzecim lub organizacjom międzynarodowym lub zezwalające na takie udostępnianie, zgodnie z zasadą uzyskania zgody wytwórcy;
c)
roczny program wizyt oceniających zalecany przez Komitet ds. Bezpieczeństwa; program ten dotyczy wizyt służących ocenie jednostek organizacyjnych i obiektów w państwach członkowskich oraz organów, agencji i podmiotów Unii, które stosują niniejszą decyzję lub przewidziane w niej zasady, oraz wizyt oceniających przeprowadzanych w państwach trzecich i w organizacjach międzynarodowych w celu sprawdzenia skuteczności środków wprowadzonych, by chronić EUCI; oraz
d)
polityki bezpieczeństwa przewidziane w art. 6 ust. 1.
2. Organem bezpieczeństwa SGR jest Sekretarz Generalny. Pełniąc tę funkcję, Sekretarz Generalny:
a)
wdraża politykę bezpieczeństwa opracowaną przez Radę i dokonuje jej przeglądu;
b)
koordynuje z KWB państw członkowskich wszystkie kwestie bezpieczeństwa dotyczące ochrony informacji niejawnych mających związek z działaniami Rady;
c)
wydaje urzędnikom i innym pracownikom SGR oraz oddelegowanym ekspertom krajowym, zgodnie z art. 7 ust. 3, upoważnienie dotyczące dostępu do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej;
d)
w stosownych przypadkach zleca wszczęcie postępowania wyjaśniającego w sprawie każdego zaistniałego lub domniemanego przypadku narażenia na szwank bezpieczeństwa informacji niejawnych znajdujących się w posiadaniu Rady lub wytworzonych przez Radę lub utraty takich informacji oraz zwraca się do właściwych organów bezpieczeństwa o pomoc w takim postępowaniu wyjaśniającym;
e)
przeprowadza okresowe inspekcje zabezpieczeń służących ochronie informacji niejawnych w obiektach SGR;
f)
przeprowadza okresowe wizyty mające na celu ocenę zabezpieczeń służących ochronie EUCI w organach, agencjach i podmiotach Unii, które stosują niniejszą decyzję lub przewidziane w niej zasady;
g)
przeprowadza, wspólnie i w porozumieniu z zainteresowanymi KWB, okresowe oceny zabezpieczeń służących ochronie EUCI w jednostkach organizacyjnych i obiektach w państwach członkowskich;
h)
zapewnia konieczną koordynację środków bezpieczeństwa z właściwymi organami państw członkowskich odpowiedzialnymi za ochronę informacji niejawnych oraz, w stosownych przypadkach, z państwami trzecimi lub organizacjami międzynarodowymi, w tym w zakresie charakteru zagrożeń dla bezpieczeństwa EUCI oraz środków ochrony przed tymi zagrożeniami; oraz
i)
zawiera porozumienia administracyjne, o których mowa w art. 13 ust. 2 lit. b).
Biuro ds. Bezpieczeństwa SGR pozostaje do dyspozycji Sekretarza Generalnego i pomaga mu w wypełnianiu wyżej opisanych obowiązków.
3. W celu wykonania art. 15 ust. 3 państwa członkowskie powinny:
a)
wyznaczyć KWB, jak wskazano w wykazie znajdującym się w dodatku C, odpowiedzialną za zabezpieczenia służące ochronie EUCI, tak aby:
(i)
EUCI znajdujące się w posiadaniu jakiegokolwiek podmiotu krajowego: departamentu, organu lub agencji, bez względu na to, czy jest to podmiot publiczny, czy prywatny i czy znajduje się w kraju, czy za granicą, były chronione zgodnie z niniejszą decyzją;
(ii)
zabezpieczenia służące ochronie EUCI były poddawane okresowym inspekcjom lub ocenom;
(iii)
wszystkie osoby, które są zatrudnione w administracji krajowej lub przez wykonawcę i które mogą uzyskać dostęp do informacji niejawnych o klauzuli tajności CONFIDENTIEL UE/EU CONFIDENTIAL lub wyższej, były odpowiednio sprawdzane lub by przyznano tym osobom ze względu na pełnione przez nie funkcje inne odpowiednie upoważnienie zgodnie z krajowymi przepisami ustawowymi i wykonawczymi;
(iv)
aby w razie konieczności opracowywane były programy bezpieczeństwa mające za zadanie zminimalizować ryzyko narażenia bezpieczeństwa EUCI na szwank lub ich utraty;
(v)
kwestie bezpieczeństwa związane z ochroną EUCI były koordynowane z innymi właściwymi organami krajowymi, w tym z organami, o których mowa w niniejszej decyzji; oraz
(vi)
rozpatrywane były odpowiednie wnioski o wydanie poświadczenia bezpieczeństwa składane w szczególności przez wszelkie organy, agencje i podmioty Unii utworzone na mocy tytułu V rozdział 2 TUE oraz przez specjalnych przedstawicieli UE (SPUE) i ich zespoły, które stosują niniejszą decyzję lub przewidziane w niej zasady;
b)
zapewnić, aby ich właściwe organy dostarczały informacje i doradzały rządowi, a za jego pośrednictwem - Radzie co do charakteru zagrożeń dla bezpieczeństwa EUCI i środków ochrony przed tymi zagrożeniami.
Artykuł 17
Komitet ds. Bezpieczeństwa
1. Niniejszym ustanawia się Komitet ds. Bezpieczeństwa. Komitet analizuje i ocenia wszelkie kwestie bezpieczeństwa, które wchodzą w zakres stosowania niniejszej decyzji, oraz przedstawia Radzie odpowiednie zalecenia.
2. Komitet ds. Bezpieczeństwa składa się z przedstawicieli KWB państw członkowskich, a w jego obradach uczestniczy przedstawiciel Komisji i ESDZ. Przewodniczy mu Sekretarz Generalny lub wyznaczona przez niego osoba. Komitet ten zbiera się na polecenie Rady lub na wniosek Sekretarza Generalnego lub KWB.
Do uczestnictwa w pracach Komitetu mogą zostać zaproszeni przedstawiciele organów, agencji i podmiotów Unii, które stosują niniejszą decyzję lub przewidziane w niej zasady, jeżeli omawiane są kwestie, które ich dotyczą.
3. Komitet ds. Bezpieczeństwa organizuje swoją działalność w taki sposób, aby móc przedstawiać zalecenia w konkretnych dziedzinach dotyczących bezpieczeństwa. Powołuje on podgrupę ekspercką zajmującą się kwestiami zabezpieczania informacji oraz inne podgrupy eksperckie, zależnie od konieczności. Wyznacza on zakres zadań takich podgrup eksperckich i otrzymuje od nich sprawozdania z działalności, w tym - w zależności od sytuacji - zalecenia dla Rady.
Artykuł 18
Zastąpienie poprzedniej decyzji
1. Niniejsza decyzja uchyla i zastępuje decyzję Rady 2011/292/UE (2).
2. Wszystkie EUCI opatrzone klauzulą tajności zgodnie z decyzją Rady 2001/264/WE (3) i z decyzją 2011/292/UE podlegają dalszej ochronie zgodnie z właściwymi przepisami niniejszej decyzji.
Artykuł 19
Wejście w życie
Niniejsza decyzja wchodzi w życie z dniem jej opublikowania w Dzienniku Urzędowym Unii Europejskiej.
Sporządzono w Brukseli dnia 23 września 2013 r.

Labels: 12
11
15