1.   Toto rozhodnutí stanoví prováděcí pravidla pro průmyslovou bezpečnost s ohledem na utajované granty ve smyslu rozhodnutí (EU, Euratom) 2015/444, a zejména kapitoly 6 uvedeného rozhodnutí.

2.   Toto rozhodnutí stanoví konkrétní požadavky na zajištění ochrany utajovaných informací EU při zveřejňování výzev k podávání žádostí a při udělování grantů a provádění utajovaných grantových dohod uzavřených Evropskou komisí.

3.   Toto rozhodnutí se použije na granty zahrnující informace utajované na následujících úrovních:

4.   Použitím tohoto rozhodnutí nejsou dotčena zvláštní pravidla stanovená v jiných právních aktech, jako jsou pravidla týkající se Evropského programu rozvoje obranného průmyslu.

1.   V rámci svých povinností zajistí schvalující osoba poskytovatele grantu uvedená v nařízení Evropského parlamentu a Rady (EU, Euratom) 2018/1046, aby byl utajovaný grant v souladu s rozhodnutím (EU, Euratom) 2015/444 a jeho prováděcími pravidly.

2.   Za tímto účelem požaduje dotčená schvalující osoba ve všech fázích poradenství od bezpečnostního orgánu Komise ohledně otázek týkajících se bezpečnostních prvků utajované grantové dohody, programu nebo projektu a informuje místního bezpečnostního úředníka o podepsaných utajovaných grantových dohodách. Rozhodnutí o stupni utajení konkrétních subjektů přijímá poskytovatel grantu s náležitým ohledem na příručku pro stanovování stupňů utajení.

3.   Pokud se použijí bezpečnostní pokyny k programu nebo projektu uvedené v čl. 5 odst. 3, plní poskytovatel grantu a bezpečnostní orgán Komise povinnosti, které jim byly v těchto pokynech přiděleny.

4.   Při dodržování požadavků těchto prováděcích pravidel bezpečnostní orgán Komise úzce spolupracuje s vnitrostátními bezpečnostními orgány a určenými bezpečnostními orgány dotčených členských států, zejména pokud jde o bezpečnostní prověrky zařízení a bezpečnostní prověrky personálu, postupy týkající se návštěv a plány na přepravu.

5.   Pokud jsou granty spravovány výkonnými agenturami EU nebo jinými subjekty, které poskytují financování, a nevztahují se na ně zvláštní pravidla stanovená v jiných právních aktech uvedených v čl. 1 odst. 4:

1.   Utajované části grantů jsou prováděny pouze příjemci registrovanými v členském státě nebo příjemci registrovanými ve třetí zemi či zřízenými mezinárodní organizací, pokud tato třetí země nebo mezinárodní organizace uzavřela dohodu o bezpečnosti informací s Unií nebo uzavřela správní ujednání s Komisí (8).

2.   Před zveřejněním výzvy k podávání žádostí o utajovaný grant určí poskytovatel grantu stupeň utajení veškerých informací, které by mohly být žadatelům poskytnuty. Poskytovatel grantu rovněž určí maximální stupeň utajení veškerých informací použitých či vypracovaných při provádění grantové dohody, programu či projektu nebo alespoň předpokládaný objem a druh informací, které mají být poskytnuty nebo zpracovány, a potřebu utajovaného komunikačního a informačního systému (CIS).

3.   Poskytovatel grantu zajistí, aby ve výzvách k podávání žádostí o utajované granty byly uvedeny informace o zvláštních bezpečnostních povinnostech týkajících se utajovaných informací. Dokumentace k výzvě obsahuje vysvětlení časového rámce pro získání bezpečnostních prověrek zařízení příjemce, pokud jsou požadovány. Přílohy I a II obsahují vzorové šablony pro informace týkající se podmínek výzvy k podávání žádostí.

4.   Poskytovatel grantu zajistí, aby informace se stupněm utajení RESTREINT UE / EU RESTRICTED, CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET byly žadatelům předány až poté, co podepíšou dohodu o mlčenlivosti, která žadatele zavazuje, aby s utajovanými informacemi EU nakládali a chránili je v souladu s rozhodnutím (EU, Euratom) 2015/444, jeho prováděcími pravidly a platnými vnitrostátními pravidly.

5.   Pokud jsou žadatelům poskytnuty informace se stupněm utajení RESTREINT UE / EU RESTRICTED, jsou do výzvy k podávání žádostí nebo do příslušných dohod o mlčenlivosti uzavřených ve fázi návrhu zahrnuty minimální požadavky uvedené v čl. 5 odst. 7 tohoto rozhodnutí.

6.   Všichni žadatelé a příjemci grantu, od nichž se vyžaduje, aby v rámci svých zařízení nakládali s informacemi se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET nebo je uchovávali, a to buď ve fázi návrhu, nebo během samotného plnění utajované grantové dohody, jsou držiteli osvědčení o bezpečnostní prověrce zařízení na požadované úrovni, s výjimkou případů uvedených v odstavci 9. Níže jsou uvedeny tři scénáře, které mohou nastat ve fázi návrhu utajovaného grantu, který zahrnuje utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET:

7.   Bezpečnostní prověrka zařízení či bezpečnostní prověrka personálu obecně není požadována pro přístup k informacím se stupněm utajení RESTREINT UE / EU RESTRICTED, a to ani ve fázi návrhu, ani při plnění grantové dohody. Pokud členské státy požadují osvědčení o bezpečnostní prověrce zařízení či bezpečnostní prověrku personálu pro grantové dohody nebo subdodavatelské smlouvy se stupněm utajení RESTREINT UE / EU RESTRICTED v rámci svých vnitrostátních právních předpisů uvedených v příloze IV, neukládají tyto vnitrostátní požadavky žádné dodatečné povinnosti jiným členským státům ani nevylučují ze souvisejících grantových dohod či subdodavatelských smluv nebo ze soutěže o ně žadatele, příjemce grantu či subdodavatele z členských států, které nemají žádné takové požadavky na osvědčení o bezpečnostní prověrce zařízení nebo bezpečnostní prověrku personálu pro přístup k informacím se stupněm utajení RESTREINT UE / EU RESTRICTED. Tyto grantové dohody jsou prováděny v členských státech v souladu s jejich vnitrostátními právními předpisy.

8.   Je-li při vyřizování výzvy k podávání žádostí a při provádění utajované grantové dohody vyžadováno osvědčení o bezpečnostní prověrce zařízení, předá poskytovatel grantu prostřednictvím bezpečnostního orgánu Komise žádost vnitrostátnímu bezpečnostnímu orgánu či určenému bezpečnostnímu orgánu příjemce grantu na informačním listu pro bezpečnostní prověrku zařízení nebo na jakémkoli zavedeném rovnocenném elektronickém formuláři. Příklad informačního listu pro bezpečnostní prověrku zařízení je uveden v dodatku D k příloze III (9). Odpověď na informační list pro bezpečnostní prověrku zařízení je pokud možno poskytnuta do deseti pracovních dnů ode dne podání žádosti.

9.   Pokud se zařízení vládních institucí členských států nebo zařízení kontrolovaná vládními institucemi členských států účastní utajovaných grantů, které vyžadují osvědčení o bezpečnostní prověrce zařízení, a pokud se osvědčení o bezpečnostní prověrce zařízení podle vnitrostátních právních předpisů pro tato zařízení nevydávají, ověří poskytovatel grantu u dotčeného vnitrostátního bezpečnostního orgánu nebo určeného bezpečnostního orgánu prostřednictvím bezpečnostního orgánu Komise, zda jsou tato zařízení vládních institucí schopna nakládat s utajovanými informacemi EU s požadovaným stupněm utajení.

10.   Je-li pro plnění utajované grantové dohody vyžadována bezpečnostní prověrka personálu, a pokud je podle vnitrostátních pravidel před udělením bezpečnostní prověrky personálu nezbytné osvědčení o bezpečnostní prověrce zařízení, zkontroluje poskytovatel grantu u vnitrostátního bezpečnostního orgánu nebo určeného bezpečnostního orgánu příjemce grantu prostřednictvím bezpečnostního orgánu Komise pomocí informačního listu pro bezpečnostní prověrku zařízení, zda je příjemce grantu držitelem osvědčení o bezpečnostní prověrce zařízení nebo zda probíhá proces bezpečnostní prověrky zařízení. V tomto případě Komise nepodá žádosti o bezpečnostní prověrky personálu na informačním listu pro bezpečnostní prověrku personálu.

1.   Podmínky, za nichž mohou příjemci grantů uzavírat subdodavatelské smlouvy na akční úkoly, které zahrnují utajované informace EU, jsou definovány ve výzvě k podávání žádostí a v grantové dohodě. Tyto podmínky obsahují požadavek, aby byly všechny informační listy pro bezpečnostní prověrku zařízení předkládány prostřednictvím bezpečnostního orgánu Komise. Subdodávky podléhají předchozímu písemnému souhlasu poskytovatele grantu. V příslušných případech jsou subdodávky v souladu se základním právním aktem, který se zavádí daný program.

2.   Utajované části grantů jsou na základě subdodavatelských smluv svěřeny pouze subjektům registrovaným v členském státě nebo subjektům registrovaným ve třetí zemi či zřízeným mezinárodní organizací, pokud tato třetí země nebo mezinárodní organizace uzavřela dohodu o bezpečnosti informací s Unií nebo uzavřela správní ujednání s Komisí (10).

1.   Při udělování utajovaného grantu poskytovatel grantu společně s bezpečnostním orgánem Komise zajistí, aby povinnosti příjemců grantu týkající se ochrany utajovaných informací EU, které byly použity či vypracovány při plnění grantové dohody, byly nedílnou součástí grantové dohody. Bezpečnostní požadavky pro konkrétní grant jsou poskytnuty ve formě seznamu bezpečnostních požadavků. Vzorová šablona seznamu bezpečnostních požadavků je stanovena v příloze III.

2.   Před podpisem utajované grantové dohody poskytovatel grantu schválí příručku pro stanovování stupňů utajení pro úkoly, jež mají být provedeny, a informace, které jsou vypracovány, a to při provádění grantu nebo případně na úrovni programu či projektu. Příručka pro stanovování stupňů utajení je součástí seznamu bezpečnostních požadavků.

3.   Bezpečnostní požadavky pro konkrétní program nebo projekt mají formu bezpečnostních pokynů k programu (nebo projektu). Bezpečnostní pokyny k programu (nebo projektu) mohou být sepsány s využitím ustanovení šablony seznamu bezpečnostních požadavků stanovené v příloze III. Tyto pokyny vypracuje útvar Komise, který program nebo projekt řídí, v úzké spolupráci s bezpečnostním orgánem Komise a předloží je ke konzultaci skupině odborníků pro bezpečnost v Komisi. Pokud je grantová dohoda součástí programu nebo projektu s vlastními bezpečnostními pokyny k programu (nebo projektu), seznam bezpečnostních požadavků grantové dohody je ve zjednodušené formě a obsahuje odkaz na bezpečnostní ustanovení obsažená v bezpečnostních pokynech k danému programu či projektu.

4.   S výjimkou případů uvedených v čl. 3 odst. 9 není utajovaná grantová dohoda podepsána, dokud vnitrostátní bezpečnostní orgán či určený bezpečnostní orgán žadatele nepotvrdí osvědčení o bezpečnostní prověrce zařízení žadatele, nebo pokud je utajovaná grantová dohoda uzavřena s konsorciem, dokud vnitrostátní bezpečnostní orgán či určený bezpečnostní orgán alespoň jednoho žadatele, který je členem konsorcia, nebo v případě potřeby více žadatelů, nepotvrdí osvědčení o bezpečnostní prověrce zařízení tohoto žadatele.

5.   Není-li v jiných příslušných pravidlech stanoveno jinak, považuje se poskytovatel grantu v zásadě za původce utajovaných informací EU vypracovaných při plnění grantové dohody.

6.   Poskytovatel grantu prostřednictvím bezpečnostního orgánu Komise uvědomí vnitrostátní bezpečnostní orgány a/nebo určené bezpečnostní orgány všech příjemců grantu a subdodavatelů o podepsání utajovaných grantových dohod nebo subdodavatelských smluv a o veškerých prodlouženích nebo předčasných ukončeních těchto grantových dohod nebo subdodavatelských smluv. Seznam požadavků jednotlivých zemí je uveden v příloze IV.

7.   Grantové dohody zahrnující informace se stupněm utajení RESTREINT UE / EU RESTRICTED obsahují doložku o bezpečnosti, jež činí ustanovení uvedená v dodatku E k příloze III závaznými pro příjemce grantu. Tyto grantové dohody zahrnují seznam bezpečnostních požadavků, který stanoví alespoň požadavky na nakládání s informacemi se stupněm utajení RESTREINT UE / EU RESTRICTED, včetně aspektů zabezpečení informací a zvláštních požadavků, které musí příjemci grantu splnit, pokud jde o akreditaci jejich komunikačních a informačních systémů, které nakládají s informacemi se stupněm utajení RESTREINT UE / EU RESTRICTED.

8.   Pokud to vyžadují vnitrostátní právní předpisy členských států, vnitrostátní bezpečnostní orgány či určené bezpečnostní orgány zajistí, aby příjemci grantu nebo subdodavatelé v jejich pravomoci splňovali platná bezpečnostní ustanovení pro ochranu informací se stupněm utajení RESTREINT UE / EU RESTRICTED, a provádějí inspekce v zařízeních příjemců grantu nebo subdodavatelů nacházejících se na jejich území. Pokud vnitrostátní bezpečnostní orgán či určený bezpečnostní orgán tuto povinnost nemá, poskytovatel grantu zajistí, aby příjemci prováděli požadovaná bezpečnostní ustanovení uvedená v dodatku E k příloze III.

1.   Poskytovatel grantu zajistí, aby utajované grantové dohody obsahovaly ustanovení o tom, že pracovníkům příjemců grantu nebo subdodavatelů, kteří pro účely plnění utajované grantové dohody nebo subdodavatelské smlouvy vyžadují přístup k utajovaným informacím EU, může být tento přístup udělen, pouze pokud:

2.   V příslušných případech je přístup k utajovaným informacím EU rovněž v souladu se základním právním aktem, kterým se zavádí daný program, a zohledňuje veškerá dodatečná označení definovaná v příručce pro stanovování stupňů utajení.

3.   Pokud příjemce grantu či subdodavatel hodlá zaměstnat státního příslušníka země mimo EU na pozici, která vyžaduje přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, je povinností tohoto příjemce grantu či subdodavatele, aby zahájil bezpečnostní prověrku dané osoby v souladu s vnitrostátními právními předpisy platnými v místě, kde má být přístup k utajovaným informacím EU udělen.

1.   Pokud jsou externí osoby (dále jen „odborníci“) zapojeny do kontrol, přezkumů nebo auditů prováděných poskytovatelem grantu nebo do přezkumů výkonnosti příjemců grantu, pro něž je vyžadován přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, bude s nimi uzavřena smlouva pouze v případě, že byly na příslušné úrovni bezpečnostně prověřeny příslušným vnitrostátním bezpečnostním orgánem či určeným bezpečnostním orgánem nebo jiným příslušným bezpečnostním orgánem. Poskytovatel grantu prostřednictvím bezpečnostního orgánu Komise provede kontrolu a v případě potřeby požádá vnitrostátní bezpečnostní orgán či určený bezpečnostní orgán o zahájení procesu prověřování odborníků nejméně šest měsíců před tím, než s nimi jsou uzavřeny příslušné smlouvy.

2.   Před podpisem smluv jsou odborníci poučeni o příslušných bezpečnostních pravidlech pro ochranu utajovaných informací EU a vezmou na vědomí své povinnosti ohledně ochrany těchto informací.

1.   Pokud poskytovatel grantu, odborníci, příjemci grantu či subdodavatelé požadují v souvislosti s prováděním utajované grantové dohody přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v prostorách druhé strany, sjednají se návštěvy ve spolupráci s příslušnými vnitrostátními bezpečnostními orgány či určenými bezpečnostními orgány nebo s kterýmikoli jinými příslušnými bezpečnostními orgány.

2.   Na návštěvy uvedené v odstavci 1 se vztahují tyto požadavky:

1.   Návštěvy příjemců grantu či subdodavatelů v zařízeních jiných příjemců či subdodavatelů nebo v prostorách poskytovatele grantu, které zahrnují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, se sjednají v souladu s tímto postupem:

2.   Návštěvy úředníků poskytovatele grantu, odborníků nebo auditorů v zařízeních příjemců grantu nebo subdodavatelů, které zahrnují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, se sjednají v souladu s tímto postupem:

3.   Žádost o návštěvu se může vztahovat na jedinou návštěvu nebo na opakované návštěvy. V případě opakovaných návštěv může žádost o návštěvu platit po dobu až jednoho roku od požadovaného data zahájení.

4.   Platnost všech žádostí o návštěvu nepřesahuje platnost návštěvníkovy bezpečnostní prověrky personálu.

5.   Žádost o návštěvu by se zpravidla měla předkládat příslušnému bezpečnostnímu orgánu hostitelského zařízení alespoň patnáct pracovních dnů před datem návštěvy.

1.   Dříve než bezpečnostní úředník hostitelského zařízení umožní návštěvníkům přístup k utajovaným informacím EU, splní tento úředník všechny bezpečnostní postupy a pravidla týkající se návštěv, jež stanovil jeho vnitrostátní bezpečnostní orgán či určený bezpečnostní orgán.

2.   Návštěvníci prokážou svou totožnost při příjezdu do hostitelského zařízení tím, že předloží platný průkaz totožnosti nebo cestovní pas. Identifikační údaje odpovídají údajům uvedeným v žádosti o návštěvu.

3.   Hostitelské zařízení zajistí, aby se vedly záznamy o všech návštěvnících, včetně jejich jmen, organizace, kterou zastupují, data skončení platnosti bezpečnostní prověrky personálu, data návštěvy a jmen navštívených osob. Tyto záznamy se uchovávají po dobu nejméně pěti let, případně déle, vyžadují-li to vnitrostátní pravidla a předpisy země, v níž se hostitelské zařízení nachází.

1.   V souvislosti s konkrétními projekty se mohou příslušné vnitrostátní bezpečnostní orgány či určené bezpečnostní orgány a bezpečnostní orgán Komise dohodnout na postupu, podle kterého lze návštěvy týkající se konkrétního utajovaného grantu sjednávat přímo mezi bezpečnostním úředníkem návštěvníka a bezpečnostním úředníkem zařízení, v němž má být návštěva vykonána. Šablona formuláře, který je třeba použít za tímto účelem, je uvedena v dodatku C k příloze III. Tento výjimečný postup je stanoven v bezpečnostních pokynech k programu (nebo projektu) nebo v rámci jiných zvláštních ujednání. V těchto případech se postupy uvedené v článku 9 a v čl. 10 odst. 1 nepoužijí.

2.   Návštěvy, které zahrnují přístup k informacím se stupněm utajení RESTREINT UE / EU RESTRICTED, jsou sjednány přímo mezi vysílajícím a přijímajícím subjektem, aniž by bylo třeba dodržovat postupy stanovené v článku 9 a v čl. 10 odst. 1.

1.   Elektronické nakládání s utajovanými informacemi EU a jejich přenos se provádí v souladu s kapitolami 5 a 6 rozhodnutí (EU, Euratom) 2015/444 a jeho prováděcími pravidly.

Komunikační a informační systémy, které vlastní příjemce grantu a jež se používají k nakládání s utajovanými informacemi EU při provádění grantové dohody „komunikační a informační systémy příjemce“), podléhají akreditaci ze strany odpovědného orgánu pro bezpečnostní akreditaci. Jakékoli elektronické předávání utajovaných informací EU je chráněno kryptografickými prostředky schválenými v souladu s čl. 36 odst. 4 rozhodnutí (EU, Euratom) 2015/444. Bezpečnostní opatření TEMPEST jsou prováděna v souladu s čl. 36 odst. 6 uvedeného rozhodnutí.

2.   Bezpečnostní akreditací komunikačních a informačních systémů příjemce, které nakládají s utajovanými informacemi EU se stupněm utajení RESTREINT UE / EU RESTRICTED, a jakéhokoli jejich propojení může být pověřen bezpečnostní úředník příjemce, pokud to dovolují vnitrostátní právní předpisy. Pokud je tímto úkolem někdo pověřen, příjemce grantu odpovídá za provádění minimálních bezpečnostních požadavků uvedených v seznamu bezpečnostních požadavků při nakládání s informacemi se stupněm utajení RESTREINT UE / EU RESTRICTED ve svém komunikačním a informačním systému. Příslušné vnitrostátní bezpečnostní orgány či určené bezpečnostní orgány a orgány pro bezpečnostní akreditaci však nesou odpovědnost za ochranu informací se stupněm utajení RESTREINT UE / EU RESTRICTED, s nimiž nakládá příjemce grantu, a mají právo na inspekci bezpečnostních opatření přijatých příjemcem. Příjemce navíc poskytovateli grantu a – vyžadují-li to vnitrostátní právní předpisy – příslušnému vnitrostátnímu orgánu pro bezpečnostní akreditaci předloží prohlášení o shodě, které osvědčí, že komunikační a informační systém příjemce a související propojení byly akreditovány k nakládání s utajovanými informacemi EU se stupněm utajení RESTREINT UE / EU RESTRICTED (11).

1.   Osobní přenos utajovaných informací podléhá přísným bezpečnostním požadavkům.

2.   Personál příjemce grantu může v rámci Unie osobně přenášet informace se stupněm utajení RESTREINT UE / EU RESTRICTED, pokud jsou splněny tyto požadavky:

3.   Pokud jde o informace se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET, osobní přenos personálem příjemce grantu v rámci členského státu je předem sjednán mezi vysílajícími a přijímajícími subjekty. Odesílající orgán nebo zařízení informuje přijímající orgán nebo zařízení o podrobnostech zásilky včetně odkazu, klasifikace, očekávané doby příjezdu a jména kurýra. Tento osobní přenos je povolen, pokud jsou splněny následující požadavky:

4.   Pro osobní přenos informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET personálem příjemce grantu z jednoho členského státu do jiného platí tato dodatečná pravidla:

Pokud je zásilka celníky otevřena, mělo by se tak stát mimo dohled neoprávněných osob a pokud možno za přítomnosti kurýra. Kurýr si vyžádá opětovné zabalení zásilky a požádá orgány provádějící kontrolu, aby zásilku znovu zapečetily a písemně potvrdily, že jimi byla otevřena.

5.   Na osobní přenos informací se stupněm utajení RESTREINT UE / EU RESTRICTED, CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET personálem příjemce grantu do třetí země nebo mezinárodní organizace se vztahují ustanovení dohody o bezpečnosti informací nebo správního ujednání uzavřených mezi Unií nebo Komisí a danou třetí zemí nebo mezinárodní organizací.