Document ID: 32011D0292

DECISÃO DO CONSELHO
de 31 de Março de 2011
relativa às regras de segurança aplicáveis à protecção das informações classificadas da UE
(2011/292/UE)
O CONSELHO DA UNIÃO EUROPEIA,
Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o n.o 3 do artigo 240.o,
Tendo em conta a Decisão 2009/937/UE do Conselho, de 1 de Dezembro de 2009, que aprova o Regulamento Interno do Conselho (1), nomeadamente o artigo 24.o,
Considerando o seguinte:
(1)
A fim de desenvolver actividades do Conselho em todas as áreas que exijam o manuseamento de informações classificadas, é necessário criar um sistema geral de segurança para protecção dessas informações que abranja o Conselho, o seu Secretariado-Geral e os Estados-Membros.
(2)
O disposto na presente decisão deverá aplicar-se sempre que o Conselho, as suas instâncias preparatórias e o Secretariado-Geral do Conselho (SGC) manuseiem informações classificadas da UE (ICUE).
(3)
Nos termos das disposições legislativas e regulamentares nacionais e na medida do necessário para assegurar o funcionamento do Conselho, os Estados-Membros deverão respeitar a presente decisão sempre que as autoridades competentes, o pessoal ou os contratantes respectivos manuseiem ICUE, de forma a que cada um possa estar certo de que é concedido um nível de protecção equivalente às mesmas.
(4)
O Conselho e a Comissão estão empenhados em aplicar normas de segurança equivalentes para protecção das ICUE.
(5)
O Conselho sublinha a importância de associar, quando tal se justifique, o Parlamento Europeu e as outras instituições, agências, organismos ou serviços da UE aos princípios, normas e regras de protecção das informações classificadas que são necessários para proteger os interesses da União e seus Estados-Membros.
(6)
As agências e os organismos da UE instituídos ao abrigo do Capítulo 2 do Título V do Tratado da União Europeia, Europol e Eurojust aplicam, na respectiva organização interna, os princípios básicos e as normas mínimas estabelecidos na presente decisão para protecção das ICUE, tal como previsto nos actos que os instituem.
(7)
As operações de gestão de crises estabelecidas ao abrigo do Capítulo 2 do Título V do TUE e o respectivo pessoal aplicam as regras de segurança aprovadas pelo Conselho para protecção das ICUE.
(8)
Os Representantes Especiais da UE e os membros das respectivas equipas aplicam as regras de segurança aprovadas pelo Conselho para protecção das ICUE.
(9)
A presente decisão é aprovada sem prejuízo dos artigos 15.o e 16.o do Tratado sobre o Funcionamento da União Europeia (TFUE) e dos instrumentos que lhes dão execução.
(10)
A presente decisão é aprovada sem prejuízo das práticas seguidas nos Estados-Membros em matéria de informação dos Parlamentos nacionais acerca das actividades da União,
APROVOU A PRESENTE DECISÃO:
Artigo 1.o
Objecto, âmbito de aplicação e definições
1. A presente decisão estabelece os princípios básicos e as normas mínimas de segurança aplicáveis à protecção das ICUE.
2. Esses princípios básicos e normas mínimas são aplicáveis ao Conselho e ao SGC e devem ser respeitados pelos Estados-Membros, nos termos das respectivas disposições legislativas e regulamentares nacionais, de forma a que cada um possa estar certo de que é concedido um nível de protecção equivalente às ICUE.
3. Para efeitos da presente decisão, são aplicáveis as definições estabelecidas no Apêndice A.
Artigo 2.o
Definição de ICUE, classificações e marcas de segurança
1. Entende-se por «informações classificadas da UE» (ICUE) quaisquer informações ou material designado por uma classificação de segurança da UE cuja divulgação não autorizada possa causar prejuízos de vária ordem aos interesses da União Europeia ou de um ou mais Estados-Membros.
2. As ICUE serão classificadas num dos seguintes níveis:
a) TRÈS SECRET UE/EU TOP SECRET: informações e material cuja divulgação não autorizada possa prejudicar de forma excepcionalmente grave os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
b) SECRET UE/EU SECRET: informações e material cuja divulgação não autorizada possa prejudicar seriamente os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
c) CONFIDENTIEL UE/EU CONFIDENTIAL: informações e material cuja divulgação não autorizada possa prejudicar os interesses essenciais da União Europeia ou de um ou mais Estados-Membros;
d) RESTREINT UE/EU RESTRICTED: informações e material cuja divulgação não autorizada possa ser desfavorável aos interesses da União Europeia ou de um ou mais Estados-Membros.
3. As ICUE ostentam uma marca de classificação de segurança nos termos do disposto no n.o 2, podendo além disso ostentar marcas que designem o domínio de actividade a que se referem, identifiquem a entidade de origem, limitem a distribuição, restrinjam a utilização ou indiquem a comunicabilidade.
Artigo 3.o
Gestão das classificações
1. As autoridades competentes garantem que as ICUE sejam devidamente classificadas e claramente identificadas como informações classificadas, e mantenham o seu nível de classificação durante o tempo necessário.
2. As ICUE não podem ser desgraduadas nem desclassificadas e nenhuma das marcas a que se refere o artigo 2.o, n.o 3, pode ser alterada ou suprimida sem o consentimento prévio, por escrito, da entidade de origem.
3. O Conselho aprova uma política de segurança para a produção de ICUE, que compreende um guia prático de classificação.
Artigo 4.o
Protecção das informações classificadas
1. As ICUE são protegidas nos termos da presente decisão.
2. Cabe ao detentor de quaisquer ICUE a responsabilidade pela sua protecção nos termos da presente decisão.
3. Quando os Estados-Membros introduzirem nas estruturas ou redes da União Europeia informações classificadas que ostentem uma marca de classificação de segurança nacional, o Conselho e o SGC protegem essas informações nos termos dos requisitos aplicáveis às ICUE de nível equivalente, de acordo com a tabela de equivalências das classificações de segurança constante do Apêndice B.
4. As grandes quantidades ou o acervo de ICUE podem justificar um nível de protecção correspondente a uma classificação mais elevada.
Artigo 5.o
Gestão dos riscos de segurança
1. Os riscos a que as ICUE estão expostas são sujeitos a um processo de gestão. Esse processo terá por objectivo determinar os riscos de segurança conhecidos, definir as medidas de segurança destinadas a reduzir esses riscos para um nível aceitável nos termos dos princípios básicos e normas mínimas estabelecidos na presente decisão e aplicar tais medidas de acordo com o conceito de defesa em profundidade como definido no Apêndice A. A eficácia das medidas será sujeita a avaliação contínua.
2. As medidas de segurança para protecção das ICUE ao longo do seu ciclo de vida devem ser proporcionais, designadamente, à classificação de segurança, à forma e ao volume das informações ou do material, à localização e construção das instalações que albergam as ICUE e à avaliação local da ameaça de actos mal-intencionados e/ou actividades criminosas, nomeadamente de espionagem, sabotagem e terrorismo.
3. Os planos de emergência têm em conta a necessidade de proteger as ICUE em situações de emergência, a fim de evitar o acesso ou a divulgação não autorizados ou a perda de integridade ou disponibilidade.
4. Os planos de continuidade das actividades incluem medidas de prevenção e recuperação destinadas a minimizar o impacto de quaisquer falhas ou incidentes graves sobre o manuseamento e armazenamento das ICUE.
Artigo 6.o
Execução da presente decisão
1. Se necessário, o Conselho, por recomendação do Comité de Segurança, aprovará políticas de segurança que estabeleçam medidas de execução da presente decisão.
2. O Comité de Segurança pode definir, ao seu nível, directrizes de segurança para apoio ou complemento da presente decisão e das políticas de segurança aprovadas pelo Conselho.
Artigo 7.o
Requisitos de segurança do pessoal
1. A segurança do pessoal consiste na aplicação de medidas que se destinam a garantir que o acesso às ICUE só seja concedido a quem:
-
tenha necessidade de tomar conhecimento,
-
possua a credenciação de segurança para o nível adequado, consoante as necessidades, e
-
tenha sido informado das responsabilidades que lhe cabem.
2. São definidos procedimentos de credenciação de segurança do pessoal que permitam verificar se determinada pessoa pode ter acesso a ICUE, tendo em conta as suas lealdade, idoneidade e fiabilidade.
3. Todo o pessoal do SGC que, no exercício das suas funções, possa ter de aceder a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deve receber a credenciação de segurança para o nível adequado antes de lhe ser facultado o acesso às referidas ICUE. No Anexo I é estabelecido o procedimento de credenciação de segurança do pessoal aplicável aos funcionários e outros agentes do SGC.
4. O pessoal dos Estados-Membros a que se refere o artigo 14.o, n.o 3, que, no exercício das suas funções, possa ter de aceder a ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior deve possuir a credenciação de segurança para o nível adequado ou outra autorização devidamente emitida em virtude das funções que exerce, nos termos das disposições legislativas e regulamentares nacionais antes de lhe ser facultado o acesso às referidas ICUE.
5. Antes de lhes ser facultado o acesso a ICUE e, posteriormente, a intervalos regulares, todas as pessoas são informadas das suas responsabilidades no que respeita à protecção das ICUE nos termos da presente decisão e reconhecem essas mesmas responsabilidades.
6. As regras de execução do presente artigo são estabelecidas no Anexo I.
Artigo 8.o
Segurança física
1. A segurança física consiste na aplicação de medidas físicas e técnicas de protecção destinadas a impedir o acesso não autorizado a ICUE.
2. São concebidas medidas de segurança física que permitam impedir a entrada sub-reptícia ou forçada de intrusos, dissuadir, impedir e detectar acções não autorizadas e permitir uma diferenciação do pessoal no que se refere ao acesso a ICUE, segundo o princípio da necessidade de tomar conhecimento de tais informações. Essas medidas são determinadas com base num processo de gestão de risco.
3. São aplicadas medidas de segurança física em todas as instalações, edifícios, gabinetes, salas e outras zonas onde sejam manuseadas ou armazenadas ICUE, nomeadamente zonas em que se encontrem sistemas de comunicação e de informação, tal como definidos no artigo 10.o, n.o 2.
4. As zonas onde sejam armazenadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são instituídas como zonas de segurança, nos termos do Anexo II, e aprovadas pela autoridade de segurança competente.
5. Só são utilizados equipamentos ou dispositivos aprovados para proteger as ICUE de nível CONFIDENTIEL UE/EU CONFIDENTIAL ou superior.
6. As regras de execução do presente artigo são estabelecidas no Anexo II.
Artigo 9.o
Gestão das informações classificadas
1. A gestão das informações classificadas consiste na aplicação de medidas administrativas de controlo das ICUE ao longo do seu ciclo de vida que visam complementar as medidas previstas nos artigos 7.o, 8.o e 10.o e contribuir, deste modo, para dissuadir e detectar a perda ou o comprometimento deliberados ou acidentais de informações e para recuperar essas informações em caso de perda ou comprometimento. Estas medidas dizem respeito, nomeadamente, à produção, registo, cópia, tradução, transporte e destruição de ICUE.
2. As informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são registadas, para fins de segurança, antes da distribuição e no momento da recepção. Para o efeito, as autoridades competentes do SGC e dos Estados-Membros criam um sistema de registo. As informações com classificação TRÈS SECRET UE/EU TOP SECRET são inscritas em registos próprios.
3. Os serviços e instalações onde se proceda ao manuseamento ou armazenamento de ICUE são periodicamente inspeccionados pela autoridade de segurança competente.
4. A ICUE são transmitidas entre diferentes serviços e instalações fora do perímetro das zonas fisicamente protegidas de acordo com as regras a seguir enunciadas:
a)
As ICUE são, regra geral, transmitidas por meios electrónicos protegidos por produtos criptográficos aprovados nos termos do artigo 10.o, n.o 6;
b)
Se não se utilizarem os meios referidos na alínea a), as ICUE são transportadas:
i)
em suporte electrónico (chaves USB, CD, discos rígidos) protegido por produtos criptográficos aprovados nos termos do artigo 10.o, n.o 6,
ii)
ou, em todos os demais casos, nas condições estipuladas pela autoridade de segurança competente, de acordo com as medidas de protecção pertinentes estabelecidas no Anexo III.
5. As regras de execução do presente artigo são estabelecidas no Anexo III.
Artigo 10.o
Protecção das ICUE manuseadas nos sistemas de comunicação e informação
1. A garantia da informação (GI) no domínio dos sistemas de comunicação e informação consiste na confiança em que esses sistemas protegem as informações neles manuseadas e funcionam como for necessário, quando for necessário, sob o controlo de utilizadores legítimos. Uma GI eficaz deve assegurar níveis adequados de confidencialidade, integridade, disponibilidade, não rejeição e autenticidade. A GI baseia-se num processo de gestão de risco.
2. Um sistema de comunicação e informação consiste num sistema que permita o manuseamento automatizado de informações. Um sistema de comunicação e informação compreende todos os activos necessários ao seu funcionamento, designadamente infra-estrutura, organização, pessoal e recursos em matéria de informação. A presente decisão é aplicável aos sistemas de comunicação e de informação em que sejam manuseadas ICUE (SCI).
3. As ICUE são manuseados pelos SCI de acordo com o conceito de GI.
4. Todos os SCI são submetidos a um processo de acreditação. A acreditação visa obter a garantia de que foram tomadas todas as medidas de segurança adequadas e de que foi alcançado um nível suficiente de protecção das ICUE e do próprio SCI, nos termos da presente decisão. A declaração de acreditação determina o nível máximo de classificação das informações que podem ser manuseadas pelo SCI e os termos e condições correspondentes.
5. Os SCI em que sejam manuseadas informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior são protegidos de forma a impedir o comprometimento das informações devido a emanações electromagnéticas não intencionais («medidas de segurança TEMPEST»).
6. Quando a protecção das ICUE for assegurada por produtos criptográficos, estes são aprovados de acordo com o seguinte procedimento:
a)
A confidencialidade das informações com classificação SECRET UE/EU SECRET ou superior é protegida por produtos criptográficos aprovados pelo Conselho, na qualidade de Autoridade de Aprovação Criptográfica (AAC), por recomendação do Comité de Segurança;
b)
A confidencialidade das informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou RESTREINT UE/EU RESTRICTED é protegida por produtos criptográficos aprovados pelo Secretário-Geral do Conselho (a seguir designado por «Secretário-Geral»), na qualidade de AAC, por recomendação do Comité de Segurança.
Não obstante o disposto na alínea b), as ICUE com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou RESTREINT UE/EU RESTRICTED podem ser protegidas dentro dos sistemas nacionais dos Estados-Membros por produtos criptográficos aprovados pelas AAC dos próprios Estados-Membros.
7. Durante a transmissão de ICUE por via electrónica, são utilizados produtos criptográficos aprovados. Não obstante este requisito, podem ser aplicados procedimentos específicos, em circunstâncias de emergência ou configurações técnicas específicas, nos termos do Anexo IV.
8. As autoridades competentes do SGC e dos Estados-Membros, respectivamente, criarão as seguintes funções em matéria de GI:
a)
Autoridade de GI (AGI);
b)
Autoridade TEMPEST (AT);
c)
Autoridade de Aprovação Criptográfica (AAC);
d)
Autoridade de Distribuição Criptográfica (ADC).
9. Para cada sistema, as autoridades competentes do SGC e dos Estados-Membros, respectivamente, criarão as seguintes entidades:
a)
Autoridade de Acreditação de Segurança (AAS);
b)
Uma Autoridade Operacional de GI.
10. As regras de execução do presente artigo são estabelecidas no Anexo IV.
Artigo 11.o
Segurança industrial
1. Entende-se por «segurança industrial» a aplicação de medidas destinadas a garantir a protecção das ICUE pelos contratantes ou subcontratantes no âmbito das negociações pré-contratuais e durante a vigência dos contratos classificados. Estes contratos não devem envolver o acesso a informações com classificação TRÈS SECRET UE/EU TOP SECRET.
2. O SGC pode confiar tarefas que envolvam ou impliquem o acesso a ICUE ou o seu manuseamento ou armazenamento a entidades industriais ou outras registadas num Estado-Membro ou num Estado terceiro que tenha celebrado um acordo ou um convénio administrativo nos termos do artigo 12.o, n.o 2, alíneas a) ou b).
3. Ao adjudicar contratos classificados a entidades industriais ou outras, o SGC, na qualidade de entidade adjudicante, garante o cumprimento das normas mínimas de segurança industrial estabelecidas na presente decisão, às quais o contrato fará referência.
4. As Autoridades Nacionais de Segurança (ANS), as Autoridades de Segurança Designadas (ASD) ou quaisquer outras autoridades competentes dos Estados-Membros garantem, na medida em que as disposições legislativas e regulamentares nacionais o permitirem, que os contratantes e subcontratantes registados nos respectivos territórios tomem todas as medidas adequadas para proteger as ICUE no âmbito das negociações pré-contratuais ou da execução dos contratos classificados.
5. As ANS, ASD ou quaisquer outras autoridades competentes dos Estados-Membros garantem, nos termos das disposições legislativas e regulamentares nacionais, que os contratantes ou subcontratantes registados nos respectivos Estados-Membros que participem na execução de contratos ou subcontratos que exijam acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET dentro das suas próprias instalações, seja na execução do contrato, seja na fase pré-contratual, possuam uma Credenciação de Segurança de Empresa (CSE) para o nível de classificação adequado.
6. É concedida ao pessoal do contratante ou subcontratante que tenha de aceder a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou SECRET UE/EU SECRET para a execução de contratos classificados uma Certificação de Segurança do Pessoal (CSP), emitida pela respectiva ANS, ASD ou por qualquer outra autoridade de segurança competente nos termos das disposições legislativas e regulamentares nacionais e das normas mínimas estabelecidas no Anexo I.
7. As regras de execução do presente artigo são estabelecidas no Anexo V.
Artigo 12.o
Intercâmbio de informações classificadas com Estados terceiros e organizações internacionais
1. Quando o Conselho determinar que é necessário proceder ao intercâmbio de ICUE com um Estado terceiro ou uma organização internacional, é estabelecido um quadro adequado para esse efeito.
2. Para estabelecer esse quadro e definir regras recíprocas em matéria de protecção das informações classificadas trocadas,
a)
O Conselho celebra acordos sobre os procedimentos de segurança para o intercâmbio e a protecção de informações classificadas (a seguir designados por «acordos de segurança das informações»); ou
b)
O Secretário-Geral pode celebrar convénios administrativos nos termos do ponto 17 do Anexo VI sempre que o nível de classificação das ICUE a comunicar não seja, regra geral, superior a RESTREINT UE/EU RESTRICTED.
3. Os acordos de segurança das informações ou os convénios administrativos a que se refere o n.o 2 contêm disposições destinadas a assegurar que, ao receberem ICUE, os Estados terceiros e as organizações internacionais concedam a essas informações uma protecção que seja adequada ao respectivo nível de classificação e obedeça a normas mínimas não menos rigorosas do que as estabelecidas na presente decisão.
4. A decisão de comunicar ICUE emanadas do Conselho a um Estado terceiro ou organização internacional é tomada caso a caso pelo Conselho, em função da natureza e do teor dessas informações, da necessidade que o destinatário tenha de tomar conhecimento das mesmas, e das vantagens que daí advenham para a UE. Se as informações classificadas cuja comunicação se pretende não emanarem do Conselho, o SGC solicita à entidade de origem que dê, por escrito, o consentimento prévio para a sua comunicação. Se não for possível identificar a entidade de origem, o Conselho assume a responsabilidade em seu lugar.
5. São organizadas visitas de avaliação para avaliar a eficácia das medidas de segurança aplicadas num Estado terceiro ou organização internacional para protecção das ICUE facultadas ou trocadas.
6. As regras de execução do presente artigo são estabelecidas no Anexo VI.
Artigo 13.o
Quebras de segurança e comprometimento de ICUE
1. As quebras de segurança resultam de actos ou omissões de uma pessoa que são contrários às regras de segurança estabelecidas na presente decisão.
2. O comprometimento de ICUE ocorre quando, em consequência de uma quebra de segurança, estas são, no todo ou em parte, divulgadas a pessoas não autorizadas.
3. As quebras de segurança de que haja conhecimento ou suspeita devem ser imediatamente comunicadas à autoridade de segurança competente.
4. Sempre que haja conhecimento ou motivos razoáveis para presumir que houve comprometimento ou perda de ICUE, a autoridade de segurança competente toma todas as medidas adequadas, nos termos das disposições legislativas e regulamentares pertinentes, para:
a)
Informar a entidade de origem;
b)
Garantir que o caso seja investigado por elementos do pessoal não directamente envolvidos na quebra de segurança, a fim de determinar os factos ocorridos;
c)
Avaliar os danos eventualmente causados aos interesses da UE ou dos Estados-Membros;
d)
Tomar as medidas adequadas para impedir novas ocorrências; e
e)
Notificar as autoridades competentes das medidas que tiverem sido tomadas.
5. Quem for responsável pela violação das regras de segurança estabelecidas na presente decisão pode ser passível de acção disciplinar nos termos das disposições regulamentares aplicáveis. Quem for responsável pelo comprometimento ou pela perda de ICUE é passível de acção disciplinar e/ou judicial nos termos das disposições legislativas e regulamentares aplicáveis.
Artigo 14.o
Responsabilidade pela execução
1. O Conselho toma todas as medidas necessárias para assegurar a coerência global da aplicação da presente decisão.
2. O Secretário-Geral toma todas as medidas necessárias para assegurar que, no manuseamento ou armazenamento de ICUE ou de quaisquer outras informações classificadas, a presente decisão é cumprida pelos funcionários e outros agentes do SGC, pelo pessoal destacado para o SGC e pelas entidades a que o SGC tenha adjudicado contratos, tanto nas instalações utilizadas pelo Conselho como no interior do SGC, incluindo os seus gabinetes de ligação em países terceiros.
3. Os Estados-Membros tomam todas as medidas necessárias, nos termos das respectivas disposições legislativas e regulamentares nacionais, para assegurar que, quando forem manuseadas ou armazenadas informações confidenciais da UE, a presente decisão é respeitada:
a)
Pelo pessoal das Representações Permanentes dos Estados-Membros junto da União Europeia, bem como pelos delegados nacionais que participem em reuniões do Conselho ou das suas instâncias preparatórias, ou que tomem parte noutras actividades do Conselho;
b)
Por outros elementos do pessoal das administrações nacionais dos Estados-Membros, incluindo o pessoal destacado para essas administrações, quer exerçam a sua actividade no território do respectivo Estado-Membro, quer no estrangeiro;
c)
Por quaisquer outras pessoas nos Estados-Membros que, em virtude das funções que exercem, estejam devidamente autorizadas a aceder às ICUE; e
d)
Pelas entidades a que os Estados-Membros tenham adjudicado contratos, quer no território dos Estados-Membros, quer no estrangeiro.
Artigo 15.o
Organização da segurança no Conselho
1. No âmbito da sua missão de assegurar a coerência global da aplicação da presente decisão, o Conselho aprova:
a)
Os acordos a que se refere o artigo 12.o, n.o 2, alínea a);
b)
As decisões que autorizem a comunicação de ICUE a Estados terceiros e organizações internacionais;
c)
Um programa anual de inspecções, proposto pelo Secretário-Geral e recomendado pelo Comité de Segurança, para a realização de inspecções aos serviços e instalações dos Estados-Membros e às agências e organismos da UE criados ao abrigo do Capítulo 2 do Título V do TUE, Europol e Eurojust, bem como de visitas de avaliação a Estados terceiros e organizações internacionais a fim de avaliar da eficácia das medidas aplicadas para protecção das ICUE; e
d)
Políticas de segurança, tal como previsto no artigo 6.o, n.o 1.
2. O Secretário-Geral é a Autoridade de Segurança do SGC, cabendo-lhe nessa qualidade:
a)
Executar a política de segurança do Conselho e proceder regularmente à sua reapreciação;
b)
Estabelecer a coordenação com as ANS dos Estados-Membros em todas as questões de segurança relacionadas com a protecção das informações classificadas relevantes para as actividades do Conselho;
c)
Conceder a CSP UE aos funcionários e outros agentes do SGC, nos termos do artigo 7.o, n.o 3, antes de lhes ser facultado o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL ou superior;
d)
Se necessário, ordenar a investigação de casos concretos ou de suspeitas de comprometimento ou perda de informações classificadas detidas pelo Conselho ou emanadas do Conselho, e solicitar às autoridades de segurança competentes que prestem assistência nessas investigações;
e)
Proceder à inspecção periódica dos mecanismos de segurança destinados a proteger as informações classificadas nas instalações do SGC;
f)
Proceder à inspecção periódica dos mecanismos de segurança destinados a proteger as ICUE nas agências e nos organismos da UE criados ao abrigo do Capítulo 2 do Título V do TUE, Europol, Eurojust, bem como nas operações de gestão de crises estabelecidas ao abrigo do Capítulo 2 do TUE e junto dos Representantes Especiais da UE (REUE) e membros das respectivas equipas;
g)
Proceder, em conjunto e de comum acordo com a ANS competente, à inspecção periódica dos mecanismos de segurança destinados a proteger as ICUE nos serviços e instalações dos Estados-Membros;
h)
Coordenar as medidas de segurança com as autoridades competentes dos Estados-Membros responsáveis pela protecção das informações classificadas e, se necessário, com Estados terceiros ou organizações internacionais, no que respeita, designadamente, à natureza das ameaças à segurança das ICUE e aos meios de protecção contra essas ameaças;
i)
Celebrar os convénios administrativos a que se refere o artigo 12.o, n.o 2, alínea b); e
j)
Proceder a visitas de avaliação iniciais e periódicas a Estados terceiros e organizações internacionais, a fim de avaliar a eficácia das medidas aplicadas para protecção das ICUE facultadas ou trocadas.
O Gabinete de Segurança do SGC está à disposição do Secretário-Geral para o assistir no desempenho destas funções.
3. Para efeitos da execução do artigo 14.o, n.o 3, cabe aos Estados-Membros:
a)
Designar uma ANS responsável pelos mecanismos de segurança destinados a proteger as ICUE, de modo a que:
i)
as ICUE detidas por qualquer serviço, organismo ou agência nacional, público ou privado, quer dentro, quer fora do país, sejam protegidas nos termos da presente decisão,
ii)
os mecanismos de segurança destinados a proteger as ICUE sejam periodicamente inspeccionados,
iii)
todas as pessoas empregadas pelas administrações nacionais ou por um contratante a quem seja facultado o acesso a informações com classificação CONFIDENTIEL UE/EU CONFIDENTIAL, ou superior, possuam a credenciação de segurança adequada ou outra autorização devidamente emitida, em virtude das funções que exercem, nos termos das disposições legislativas e regulamentares nacionais,
iv)
sejam criados os programas de segurança necessários para minimizar o risco de perda ou comprometimento das ICUE,
v)
as questões de segurança relacionadas com a protecção das ICUE sejam tratadas em coordenação com as outras autoridades nacionais competentes, nomeadamente aquelas a que se refere a presente decisão, e
vi)
seja dada resposta aos pedidos de credenciação de segurança adequada apresentados pelas agências e organismos da UE criados ao abrigo do Capítulo 2 do Título V do TUE, Europol, Eurojust, bem como pelas operações de gestão de crises estabelecidas ao abrigo do Capítulo 2 do Título V do TUE e pelos REUE e respectivas equipas.
A lista das ANS consta do Apêndice C;
b)
Assegurar que as suas autoridades competentes prestem informações e aconselhamento ao respectivo Governo, e através dele ao Conselho, sobre a natureza das ameaças à segurança das ICUE e os meios de as proteger dessas ameaças.
Artigo 16.o
Comité de Segurança
1. É criado um Comité de Segurança, que fica incumbido de analisar e avaliar todas as questões de segurança abrangidas pela presente decisão e de dirigir recomendações ao Conselho, consoante as necessidades.
2. O Comité de Segurança será composto por representantes das ANS dos Estados-Membros, nele participando um representante da Comissão e do Serviço Europeu para a Acção Externa. Será presidido pelo Secretário-Geral ou pelo delegado que este designar. Reunir-se-á conforme as instruções do Conselho, ou a pedido do Secretário-Geral ou de uma ANS.
Os representantes das agências e organismos da UE criados ao abrigo do Capítulo 2 do Título V do TUE, Europol e Eurojust podem ser convidados a participar nas reuniões quando forem tratadas questões que lhes digam respeito.
3. O Comité de Segurança organiza as suas actividades de forma a poder formular recomendações sobre domínios de segurança específicos. O Comité cria uma subformação especializada para as questões de GI, para além de outras subformações especializadas, consoante as necessidades. O Comité define os mandatos dessas subformações especializadas, as quais lhe apresentam relatórios das suas actividades e, se necessário, eventuais recomendações a dirigir ao Conselho.
Artigo 17.o
Substituição de anteriores decisões
1. A presente decisão revoga e substitui a Decisão 2001/264/CE do Conselho, de 19 de Março de 2001, que aprova as regras de segurança do Conselho (2).
2. Todas as ICUE classificadas nos termos da Decisão 2001/264/CE continuam a ser protegidas nos termos das disposições pertinentes da presente decisão.
Artigo 18.o
Entrada em vigor
A presente decisão entra em vigor na data da sua publicação no Jornal Oficial da União Europeia.
Feito em Bruxelas, em 31 de Março de 2011.

Labels: 7
12