а)

бъде установена неговата „необходимост да знае“;

б)

получи РДП на съответното ниво или е съответно надлежно оправомощено по силата на изпълняваните от него функции в съответствие с националните законови и подзаконови актове; и

в)

бъде информирано за правилата и процедурите за сигурност за защита на КИЕС и приеме своята отговорност за защитата на такава информация.

а)

е извършило или е направило опит за извършване на шпионаж, тероризъм, саботаж, държавна измяна или противодържавна дейност, задружно с друго лице или е помогнало и подбудило друго лице към извършване им;

б)

е или е било свързано с шпиони, терористи, саботьори или лица, за които има основателни причини да се подозира, че са такива или че са свързани с представители на организации или чужди държави, включително чужди разузнавателни служби, които могат да застрашат сигурността на ЕС и/или на държавите-членки, освен ако подобни връзки не са били разрешени в рамките на официалните му задължения;

в)

е или е било член на организация, която с насилствени, подривни или други противозаконни средства се стреми, inter alia, към сваляне на правителство на държава-членка, промяна на конституционния ѝ ред или промяна на формата или политиките на нейното правителство;

г)

е или е било поддръжник на организация, описана в буква в), или е, или е било тясно свързано с членове на такива организации;

д)

умишлено е затаило, представило невярна или подправило важна информация, по-специално свързана със сигурността, или умишлено е излъгало при попълване на въпросника за проучване на надеждността на персонала или по време на събеседването при проучването за надеждност;

е)

е осъждано за извършване на престъпление или престъпления;

ж)

има доказана зависимост от алкохол, използва незаконни наркотични вещества и/или злоупотребява с разрешени от закона лекарствени средства;

з)

има или е имало поведение, което би могло да породи риск от уязвимост при изнудване или натиск;

и)

с действия или с думи е демонстрирало неискреност, нелоялност, ненадеждност или че не заслужава доверие;

й)

сериозно или многократно е нарушавало правилата за сигурност; или е правило опити да извърши или успешно е извършвало неразрешена дейност по отношение на комуникационни и информационни системи;

к)

може да бъде податливо на натиск (напр. ако има едно или повече гражданства на държави извън ЕС или е във връзка с роднини или близки сътрудници, които могат да бъдат уязвими за чужди разузнавателни служби, терористични групи или други подривни организации, или с физически лица, чиито цели могат да застрашават интересите на ЕС и/или на държавите-членки в областта на сигурността).

а)

попълване на национален въпросник за проучване на надеждността на персонала за нивото на КИЕС, за което на лицето може да е необходим достъп; след като бъде попълнен, този въпросник се изпраща на компетентния орган по сигурността;

б)

проверка на самоличността/гражданството/националността — проверяват се датата и мястото на раждане на лицето, както и неговата самоличност. Установяват се гражданството и/или националността на лицето в миналото и в настоящия момент; това включва преценка за евентуална уязвимост на натиск от чужди източници, например свързани с предходно местопребиваване или връзки в миналото; и

в)

проверка на националните и местните регистри — извършва се проверка на националните регистри по сигурността и централните регистри за съдимост, когато съществуват такива, и/или други подобни правителствени и полицейски регистри. Прави се проверка в регистрите на правоприлагащите органи, които упражняват юрисдикция на мястото, където лицето е пребивавало или работило.

а)

финансово състояние — събира се информация относно финансовото положение на физическото лице, за да се направи преценка за евентуална предразположеност към чуждестранен или вътрешен натиск поради сериозни финансови затруднения или за да се разкрие несъответствие между стандарта на живот и доходите на лицето;

б)

образование — събира се информация за проверка на образованието на лицето в училища, университети и други образователни институции, посещавани след навършване на 18-годишна възраст или по време на период, определен за подходящ от водещия проучването орган;

в)

трудова заетост — събира се информация относно настоящото и предходни работни места, като се прави справка в регистри по заетостта, доклади за качеството или ефективността на работата на лицето, както и с работодатели или преки ръководители;

г)

военна служба — когато е приложимо, се прави проверка на прослуженото време във въоръжените сили и на вида освобождаване от военна служба; и

д)

събеседвания — когато това е предвидено и е допустимо по националното право, с физическото лице се провежда събеседване или събеседвания. Провеждат се събеседвания и с лицата, които са в състояние да предоставят безпристрастна оценка на произхода, дейностите, лоялността и надеждността на лицето. Когато в съответствие с националната практика от лицето, което се проучва, се изисква да посочи лица за препоръки, с тези лица се провежда събеседване, освен в случаите, когато съществуват сериозни основания това да не се направи.

а)

Когато в резултат от проучването за надеждност се стигне до уверение, че няма неблагоприятни данни, които да поставят под въпрос лоялността и надеждността на лицето, назначаващият орган на ГСС може да предостави РДП на ЕС на съответното лице и да му разреши достъп до КИЕС на съответното ниво за определен срок.

б)

Когато проучването за надеждност не завърши с такова уверение, назначаващият орган на ГСС уведомява съответното лице, което може да поиска да бъде изслушано от назначаващия орган. Назначаващият орган на ГСС може да поиска от компетентния НОС всякакви допълнителни пояснения, които този орган може да предостави в съответствие с националните законови и подзаконови актове. Ако крайният резултат бъде потвърден, не се предоставя РДП на ЕС.

а)

належащата необходимост от достъп до КИЕС на по-високо ниво бъде обоснована писмено от ръководителя на лицето;

б)

достъпът е ограничен до конкретни елементи от КИЕС, свързани с длъжността;

в)

лицето притежава валидно национално РДП или РДП на ЕС;

г)

са предприети действия за получаване на РДП за нивото, необходимо за тази длъжност;

д)

проверките, извършени от компетентния орган, са дали удовлетворителен отговор, че лицето не е нарушавало сериозно или многократно разпоредбите по сигурността;

е)

назначаването на лицето е одобрено от компетентния орган; и

ж)

това изключение, включително описание на информацията, до която е предоставен достъп, бъде отразено в отговарящата регистратура или в отговарящата подчинена регистратура.

а)

гарантират, че работата с КИЕС и нейното съхранение се извършват по подходящ начин;

б)

дават възможност за разграничаване на служителите по отношение на достъпа до КИЕС на основание „необходимост да се знае“ и евентуално според вида на разрешението им за достъп;

в)

възпират, препятстват и разкриват неразрешени действия; и

г)

предотвратяват или забавят тайно или насилствено проникване на нарушители.

а)

нивото на класификация на КИЕС;

б)

формата и обемът на КИЕС, като се отчита, че за големи количества или масиви от КИЕС може да се наложи прилагане на по-строги защитни мерки;

в)

заобикалящата среда и конструкцията на сградите или зоните, в които се съхранява КИЕС; и

г)

оценката на заплахата, произтичаща от действия на разузнавателни служби, насочени срещу ЕС или държавите-членки, както и от саботажи, терористична, подривна или друг вид престъпна дейност.

а)

бариера по периметъра: физическа бариера, която отбранява границите на зоната, изискваща защита;

б)

системи против проникване (СПП): една система против проникване може да се използва за повишаване на нивото на сигурност, което дава бариерата по периметъра, или да се използва в помещения и сгради вместо или за подпомагане на служителите за охрана;

в)

контрол на достъпа: контрол на достъпа може да се упражнява по отношение на отделен обект, сграда или сгради в рамките на обекта, или по отношение на зони или помещения в рамките на дадена сграда. Контролът може да бъде електронен или електромеханичен, да се извършва от служители за охрана и/или пропускателен пункт, и/или с други физически способи;

г)

служители за охрана: квалифицирани служители за охрана, при съответния надзор, а при необходимост и надлежно проучени за надеждност, могат да бъдат наемани, inter alia, с цел възпиране на лица, планиращи тайно проникване;

д)

вътрешна система за видеонаблюдение (ВСВН): ВСВН може да се използва от служителите за охрана за установяване на инциденти и сигнали, постъпили от СПП, при големи обекти или по периметъра;

е)

защитно осветление: защитно осветление може да се използва за възпиране на потенциални нарушители, както и за осигуряване на необходимото осветление за ефективно наблюдение пряко от служителите за охрана или непряко, с помощта на вътрешна система за видеонаблюдение; и

ж)

всякакви други подходящи физически мерки, предназначени да възпрат или открият неразрешен достъп, или да предотвратят загуби или повреждане на КИЕС.

а)

административни зони; и

б)

зони за сигурност (включително технически зони за сигурност).

а)

се определя видимо очертан периметър, който да позволява проверка на лицата и при възможност — на превозните средства;

б)

непридружен достъп се разрешава само на лица, надлежно оправомощени от компетентния орган; и

в)

всички останали лица се придружават по всяко време или подлежат на равностойни проверки.

а)

се определя видимо очертан и защитен периметър, чрез който се контролират всички влизания и излизания чрез пропуски или система за индивидуално разпознаване;

б)

достъп без придружител се предоставя само на лица, които имат разрешение за достъп и са конкретно оправомощени да влизат в зоната на основание „необходимост да се знае“;

в)

всички останали лица се придружават по всяко време или подлежат на равностойни проверки.

а)

обозначава се ясно най-високото ниво на класификация за сигурност на информацията, която обикновено се намира в зоната;

б)

необходимо е всички посетители да имат специално разрешение за влизане в зоната, те се придружават непрекъснато и са преминали през съответното проучване за надеждност, освен ако не са взети мерки да се гарантира, че достъпът до КИЕС е невъзможен.

а)

такива зони се оборудват със системи против проникване, стоят заключени, когато не се ползват, и са под охрана, когато се ползват. Всички ключове се контролират в съответствие с раздел VI;

б)

всички лица и материали, които влизат в тези зони, се подлагат на контрол;

в)

зоните се проверяват редовно физически и/или технически съгласно изискванията на компетентния орган по сигурността. Такива проверки се извършват и след всяко неразрешено влизане или при подозрение за такова влизане; и

г)

в такива зони няма неразрешени линии за комуникации, неразрешени телефони или други неразрешени комуникационни средства и електрическо или електронно оборудване.

а)

нивото на КИЕС, с която може да се работи в зоната и която може да се съхранява там;

б)

мерките за наблюдение и защита, които да се поддържат;

в)

лицата, които имат право на непридружен достъп до зоната на основание „необходимост да се знае“ и разрешение за достъп;

г)

ако е уместно, процедури за придружаване или за защита на КИЕС, когато се разрешава достъп на други лица до зоната;

д)

всякакви други подходящи мерки и процедури.

а)

в зона за сигурност;

б)

в административна зона, при условие че КИЕС е защитена срещу достъп от страна на неоправомощени лица; или

в)

извън зона за сигурност или административна зона, при условие че притежателят пренася КИЕС в съответствие с точки 28—40 от приложение III и се е ангажирал да спазва компенсаторните мерки, установени в инструкциите за сигурност, издадени от компетентния орган по сигурността с цел да се гарантира, че КИЕС е защитена срещу достъп от страна на неоправомощени лица.

а)

в зона за сигурност;

б)

в административна зона, при условие че КИЕС е защитена срещу достъп от страна на неоправомощени лица; или

в)

извън зона за сигурност или административна зона, при условие че притежателят:

а)

в сейф, съобразно точка 8, с една или повече от следните допълнителни мерки за контрол:

или

б)

в блиндирани помещения, оборудвани със системи против проникване, в съчетание със служители за охрана и реагиране.

а)

винаги когато има смяна на служител, на когото е известна комбинацията;

б)

в случай на компрометиране или подозрение за компрометиране на информация;

в)

когато дадена ключалка е преминала през поддръжка или ремонт; и

г)

най-малко на всеки 12 месеца.

а)

знак за идентифициране на създателя на информацията;

б)

предупредително обозначение, кодови думи или акроними, уточняващи областта, до която се отнася документът, конкретното разпределение на документа на основание „необходимост да се знае“ или ограниченията за ползването му;

в)

обозначение, уточняващо условията за предоставяне;

г)

когато е приложимо, датата или конкретното събитие, след които нивото на класификация може да бъде понижено или премахното.

TRÉS SECRET UE/EU TOP SECRET

TS-UE/EU-TS

SECRET UE/EU SECRET

S-UE/EU-S

CONFIDENTIEL UE/EU CONFIDENTIAL

C-UE/EU-C

RESTREINT UE/EU RESTRICTED

R-UE/EU-R

а)

върху всяка страница се отбелязва ясно нивото на класификация;

б)

всяка страница се номерира;

в)

върху документа се отбелязват регистрационният му номер и за какво се отнася, които сами по себе си не представляват класифицирана информация, освен ако не са обозначени като такава;

г)

върху документа се поставя дата;

д)

на всяка страница на документи с ниво на класификация за сигурност SECRET UE/EU SECRET и по-високо се обозначава номерът на копието, ако документите се разпространяват в няколко екземпляра.

а)

с военен, правителствен или дипломатически куриер, в зависимост от случая;

б)

на ръка, при положение че:

в)

пощенски услуги или платени куриерски услуги, при положение че:

а)

с военен или дипломатически куриер;

б)

на ръка, при положение че:

а)

проверки в съответствие с член 9, параграф 3 и член 15, параграф 2, букви д), е) и ж); или

б)

посещения за оценка в съответствие с член 12, параграф 5,

а)

да се гарантира спазването на изискваните минимални стандарти за защита на КИЕС, установени в настоящото решение;

б)

да се подчертае значението на сигурността и ефективното управление на риска в рамките на проверяваните единици;

в)

да се препоръчат мерки за противодействие с цел намаляване на конкретните последствия при загуба на поверителност, интегритет или наличност на класифицирана информация; и

г)

да се окаже подкрепа за текущите образователни и информационни програми на органите по сигурността.

а)

проектът за доклад за проверката се изпраща на съответния национален орган по сигурността, за да се удостовери фактическата му точност, както и че не съдържа информация с ниво на класификация за сигурност, по-високо от RESTREINT UE/EU RESTRICTED;

б)

докладите за проверката се разпращат до членовете на Комитета по сигурността и до ДСЕК, освен ако съответният НОС на държавата-членка не поиска те да не се разпространяват; докладът получава ниво на класификация за сигурност RESTREINT UE/EU RESTRICTED.

Автентичност

:

гаранцията, че информацията е истинска и произтича от bona fide източници.

Достъпност

:

характеристиката на информацията да е достъпна и използваема при поискване от оправомощена единица.

Поверителност

:

характеристиката, че информацията не е разкрита на неоправомощени лица, единици или процеси.

Интегритет

:

характеристиката, че информацията и активите са запазили точността и пълнотата си.

Невъзможност за отказ

:

способността да се докаже, че дадено действие или събитие действително е настъпило, така че това действие или събитие да не може впоследствие да бъде отречено.

а)

че пропуските в сигурността могат да нанесат значителни вреди на комуникационните и информационните системи;

б)

потенциалната вреда за други системи, която може да бъде предизвикана от взаимната свързаност и взаимната зависимост; и

в)

индивидуалната си отговорност за сигурността на КИС в зависимост от конкретната си роля в рамките на системите и процесите.

а)

изискванията на дейността или оперативните изисквания за такива взаимни връзки се декларират и одобряват от компетентните органи;

б)

взаимната връзка преминава през процес на управление на риска и акредитация и се нуждае от одобрението на компетентните ОАС; и

в)

по периметъра на всички КИС се инсталират мерки за защита на периметъра.

а)

изпращачът и получателят не притежават необходимите уреди за криптиране или не притежават никакви уреди за криптиране; и

б)

класифицираният материал не може да бъде изпратен своевременно с други средства.

а)

разработване на политики и насоки за сигурност за ОИ и наблюдение на тяхната ефективност и целесъобразност;

б)

опазване и администриране на техническата информация, свързана с криптографските продукти;

в)

гарантиране, че избраните за защита на КИЕС мерки за ОИ съответстват на политиките, уреждащи тяхната пригодност и избор;

г)

гарантиране, че криптографските продукти се подбират в съответствие с политиките, уреждащи тяхната пригодност и избор;

д)

координиране на обучението и повишаване на осведомеността относно ОИ;

е)

консултиране с доставчика на системата, участниците в областта на сигурността и представители на ползвателите по отношение на политиките и насоките за сигурност за ОИ; и

ж)

гарантиране на наличието на подходящ експертен ресурс в състава на Комитета по сигурността, отговарящ за въпросите на ОИ.

а)

управление и отчитане на криптографски материали на ЕС;

б)

осигуряване прилагането на подходящи процедури и за създаване на необходимите канали за отчитане, защитена работа, съхранение и разпределение на всички криптографски материали на ЕС; и

в)

осигуряване предаването на криптографски материали на ЕС на или от лицата или службите, които ги използват.

а)

гарантиране, че КИС спазва съответните политики и насоки за сигурност, предоставяне на декларация за одобрение на КИС за работа с КИЕС до определено ниво на класификация за сигурност в съответната оперативна среда, като посочва реда и условията на акредитацията, както и критериите, по които се изисква повторно одобрение;

б)

установяване на процес за акредитация на сигурността в съответствие с разработените политики, като ясно посочва условията за одобрение на подчинената му КИС;

в)

определяне на стратегия за акредитация на сигурността, посочваща степента на задълбоченост при процеса на акредитация, която да съответства на необходимото равнище на осигуреност;

г)

преглед и одобряване на документация, свързана със сигурността, включително правилник за управление на риска и за остатъчен риск, правилник за специфичните за системата изисквания за сигурност (наричани по-долу „ПССИС“), документация за удостоверяване на изпълнението на мерките за сигурност и оперативните процедури за сигурност (наричани по-долу „ОПС“), както и гарантиране на съответствието на тази документация с правилата и политиките на Съвета в областта на сигурността;

д)

проверка на прилагането на мерките за сигурност по отношение на КИС чрез предприемане или спонсориране на оценки, проверки или прегледи по сигурността;

е)

определяне на изискванията за сигурност (например нива на разрешение за достъп на персонала) за чувствителни от гледна точка на КИС длъжности;

ж)

потвърждаване на избора на одобрени криптографски и продукти по Tempest, използвани за гарантиране на сигурността на КИС;

з)

одобряване или, когато е уместно — участие в съвместно одобряване на взаимната свързаност на дадена КИС с други КИС; и

и)

даване на консултации на доставчика на системата, участниците в областта на сигурността и представители на ползвателите относно управлението на риска за сигурността, по-конкретно на остатъчния риск, както и относно реда и условията на декларацията за одобрение.

а)

разработване на документация по сигурността в съответствие с политиките и насоките за сигурност, по-конкретно с ПССИС, включително правилника за остатъчен риск, ОПС и криптографския план в рамките на процеса на акредитация на КИС;

б)

участие в избора и изпитването на специфичните за системата мерки, уреди и софтуер за техническа сигурност, с цел контрол на прилагането им и гарантиране, че те са инсталирани, конфигурирани и поддържани съгласно съответната документация по сигурността;

в)

участие при подбора на мерките и устройствата за сигурност по Tempest, ако това се изисква от ПССИС, и гарантиране, че същите са безопасно инсталирани и поддържани в сътрудничество с органа по Tempest;

г)

наблюдение на изпълнението и прилагането на ОПС, като при нужда може да възлага на собственика на системата отговорности, свързани с оперативната сигурност;

д)

управление и работа с криптографски продукти, осигуряване на грижливото съхранение на криптографски и контролирани елементи, като при необходимост осигурява генерирането на криптографски променливи;

е)

провеждане на аналитични прегледи и изпитвания на сигурността, по-специално за съставяне на съответните доклади за риска съгласно изискванията на ОАС;

ж)

предоставяне на специфично за КИС обучение за целите на ОИ;

з)

въвеждане и прилагане на специфични за КИС мерки за сигурност.

а)

при изготвяне на ръководството за класифициране за целите на сигурността ГСС взема предвид всички релевантни аспекти на сигурността, включително нивото на класификация за сигурност, определено за информацията, която е предоставена и одобрена за ползване при изпълнението на договора от създателя на информацията;

б)

общото ниво на класификация за сигурност на договора не може да бъде по-ниско от най-високото ниво на класификация за сигурност на който и да е от неговите елементи; и

в)

при нужда ГСС влиза във връзка с националните органи по сигурността/определените органи по сигурността на държавите-членки или друг заинтересован компетентен орган по сигурността, в случай на промени на нивото на класификация на информацията, създадена от изпълнителите или предоставена им при изпълнението на договора, както и при извършване на по-нататъшни промени в ръководството за класифициране за целите на сигурността.

а)

прави оценка на интегритета на индустриалната или друга единица;

б)

прави оценка на собствеността, контрола или потенциала за странично влияние, които могат да се считат за риск за сигурността;

в)

проверява дали индустриалната или друга единица е инсталирала система за сигурност в рамките на структурата, която обхваща всички подходящи мерки за сигурност, необходими за защитата на информация или материал с ниво на класификация за сигурност CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET, в съответствие с изискванията, установени в настоящото решение;

г)

проверява дали статусът, от гледна точка на сигурността, на висшите служители, собствениците и служителите, от които се изисква да имат достъп до информация с ниво на класификация за сигурност СОNFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET, е установен съгласно изискванията на настоящото решение;

д)

проверява дали индустриалната или друга единица е назначила служител по сигурността на структурата, който отговаря пред ръководството за прилагане на задълженията в областта на сигурността в рамките на съответната единица.

а)

сигурността се осигурява на всеки етап по време на транспорта от пункта на произход до крайното местоназначение;

б)

степента на защита, предоставена за дадена пратка, се определя от най-високото ниво на класификация за сигурност на материала, който се съдържа в нея;

в)

за предоставящите транспорта компании се получава удостоверение за сигурност на структура на съответното ниво. В такива случаи персоналът, обработващ пратката, е преминал през проучване за надеждност в съответствие с приложение I;

г)

преди трансграничен пренос на материали, класифицирани като CONFIDENTIEL UE/EU CONFIDENTIAL или SECRET UE/EU SECRET, изпращачът изготвя план за пренос, който се одобрява от националния орган по сигурността/определения орган по сигурността или друг съответен компетентен орган по сигурността;

д)

пътуванията, доколкото това е възможно, се извършват от пункт до пункт и толкова бързо, колкото позволяват обстоятелствата;

е)

винаги когато това е възможно, маршрутите следва да преминават само през държави-членки. Маршрути през държави, които не са членки на ЕС, следва да се използват единствено когато са разрешени от националните органи по сигурността/определените органи по сигурността или други компетентни органи по сигурността на държавите както на изпращача, така и на получателя.

—

се сключва споразумение за сигурност на информацията, или

—

се подписва административна договореност

—

рамково споразумение за участие,

—

ad hoc споразумение за участие, или

—

при отсъствие на двете посочени по-горе споразумения — чрез ad hoc административна договореност.

а)

регулаторната рамка, приложима към защитата на класифицирана информация;

б)

специфични елементи на политиката за сигурност и начина, по който сигурността е организирана в третата държава или международната организация, които могат да окажат въздействие върху нивото на класифицираната информация, която може да бъде обменяна;

в)

въведените мерки и процедури за сигурност; и

г)

процедурите за разрешаване на достъп до нивото на КИЕС, която се предоставя.

а)

доколкото е възможно, прави проверка заедно с органите по сигурността на съответната трета държава или международна организация дали нейните разпоредби, структури и процедури за сигурност гарантират, че предоставената ѝ КИЕС ще бъде защитена съобразно стандарти, които са не по-малко стриктни от установените в настоящото решение;

б)

приканва Комитета по сигурността, въз основа на наличната информация, да издаде препоръка относно надеждността на разпоредбите, структурите и процедурите за сигурност на третата държава или международната организация, на която се предоставя КИЕС.

а)

за въпроси от областта на ОВППС/ОПСО, Комитетът по политика и сигурност обсъжда въпроса и формулира препоръка за решение на Корепер;

б)

за всички останали въпроси Корепер обсъжда въпроса и приема решение.

—

„разрешение за достъп на персонала на ЕС“ (РДП на ЕС) до КИЕС означава разрешение от назначаващия орган на ГСС, дадено в съответствие с настоящото решение след приключване на проучване за надеждност, извършено от компетентните органи на държава-членка, с което се удостоверява, че дадено лице може да получи достъп до КИЕС на определено ниво (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо) до конкретна дата, при условие че бъде установена „необходимост да се знае“; така описаното лице се смята за „лице с разрешение за достъп“,

—

„национално разрешение за достъп на персонала“ (национално РДП) до КИЕС означава изявление на компетентния орган на държава-членка, което се прави след приключване на проучване за надеждност, извършено от компетентните органи на държавата-членка, с което се удостоверява, че дадено лице може да получи достъп до КИЕС на определено ниво (CONFIDENTIEL UE/EU CONFIDENTIAL или по-високо) до конкретна дата, при условие че бъде установена „необходимост да се знае“; така описаното лице се смята за „лице с разрешение за достъп“.

—

„режим с общ достъп“ означава режим на работа, при който всички лица, които имат достъп до КИС, имат разрешение за достъп до информацията с най-високо ниво на класификация за сигурност, с която се работи в КИС, и имат обща „необходимост да се знае“ по отношение на цялата информация, с която се работи в КИС,

—

„режим с общо ниво“ означава режим на работа, при който всички лица, които имат достъп до КИС, имат разрешение за достъп до информацията с най-високо ниво на класификация за сигурност, с която се работи в КИС, но не всички лица с достъп до КИС имат обща „необходимост да се знае“ по отношение на информацията, с която се работи в рамките на КИС; одобрение за достъп до информация може да бъде дадено от физическо лице,

—

„сегментиран режим“ означава режим на работа, при който всички лица, които имат достъп до КИС, имат разрешение за достъп до информацията с най-високо ниво на класификация за сигурност, с която се работи в КИС, но не всички лица с достъп до КИС имат официално разрешение за достъп до цялата информация, с която се работи в рамките на КИС; официално разрешение означава официално централно управление на контрола на достъпа, за разлика от решение по преценка на отделно лице да бъде даден достъп,

—

„режим с много нива“ означава режим на работа, при който не всички лица, които имат достъп до КИС, имат разрешение за достъп до информацията с най-високо ниво на класификация за сигурност, с която се работи в КИС, и не всички лица с достъп до КИС имат обща „необходимост да се знае“ по отношение на информацията, с която се работи в КИС.

—

„Приемане на риска“ означава решение за приемане на продължаващото съществуване на остатъчен риск след третиране на риска.

—

„Оценка на риска“ — състои се от установяване на заплахите и видовете уязвимост и от анализ на свързаните с тях рискове, т.е. анализ на вероятността и въздействието.

—

„Съобщаване за риска“ — изразява се в повишаване на осведомеността за рисковете сред общностите от ползватели на КИС, информиране за такива рискове на органите, които дават одобрение, и докладване за тях на оперативните органи.

—

„Третиране на риска“ — изразява се в смекчаване, отстраняване, намаляване (чрез подходяща комбинация от технически, физически, организационни или процедурни мерки), прехвърляне или наблюдение на риска.