a)

TRES SECRET UE / EU TOP SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo vést k mimořádně závažnému poškození podstatných zájmů Evropské unie nebo jednoho či více členských států;

b)

SECRET UE / EU SECRET: informace a materiály, jejichž neoprávněné vyzrazení by mohlo závažně poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;

c)

CONFIDENTIEL UE / EU CONFIDENTIAL: informace a materiály, jejichž neoprávněné vyzrazení by mohlo poškodit podstatné zájmy Evropské unie nebo jednoho či více členských států;

d)

RESTREINT UE / EU RESTRICTED: informace a materiály, jejichž neoprávněné vyzrazení by mohlo být nevýhodné pro zájmy Evropské unie nebo jednoho či více členských států.

—

utajovaných informací poskytnutých ESVČ a

—

výchozího materiálu zahrnutého do utajovaných informací, jejichž původcem je ESVČ.

—

potřebují znát utajované informace,

—

jsou pro přístup k utajovaným informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším bezpečnostně prověřeny pro odpovídající stupeň utajení nebo jsou jinak řádně oprávněni z titulu své funkce v souladu s vnitrostátními právními předpisy a

—

byly poučeny o svých povinnostech.

a)

utajované informace EU se obecně přenášejí elektronicky při zajištění ochrany kryptografickými prostředky schválenými v souladu s čl. 7 odst. 5 tohoto rozhodnutí a v souladu s jasně definovanými bezpečnostními operačními postupy;

b)

pokud přenos není uskutečňován způsobem uvedeným v písmeni a), přenášejí se utajované informace EU:

a)

orgán pro zabezpečení informací;

b)

orgán TEMPEST;

c)

schvalovací orgán pro kryptografickou ochranu;

d)

orgán pro distribuci kryptografických materiálů.

a)

orgán pro bezpečnostní akreditaci;

b)

provozní orgán pro zabezpečení informací.

a)

je v platnosti dohoda o bezpečnosti informací mezi EU a daným třetím státem nebo mezinárodní organizací uzavřená v souladu s článkem 37 SEU a článkem 218 SFEU nebo

b)

nabylo účinnosti správní ujednání uzavřené v souladu s postupem stanovených v čl. 14 odst. 5 tohoto rozhodnutí mezi vysokou představitelkou a příslušnými bezpečnostními orgány daného třetího státu nebo mezinárodní organizace o výměně utajovaných informací, jejichž stupeň utajení v zásadě není vyšší než RESTREINT UE / EU RESTRICTED, nebo

c)

platí rámcová nebo ad hoc dohoda o účasti mezi EU a daným třetím státem v rámci operací SBOP pro řešení krizí uzavřená v souladu s článkem 37 SEU a článkem 218 SFEU

a)

posoudit možnou škodu z hlediska zájmů EU a členských států;

b)

přijmout vhodná opatření, která zabrání opakování události;

c)

zajistit důkazy;

d)

zajistit, aby za účelem zjištění faktů byla událost vyšetřena pracovníky, kteří nejsou za dané narušení bezpečnosti bezprostředně odpovědni;

e)

oznámit důsledky události a přijatá opatření příslušným orgánům a

f)

informovat původce.

1.

Tato příloha stanoví prováděcí pravidla k článku 5 přílohy A. Stanoví zejména kritéria, na jejichž základě ESVČ určí, zda určitá osoba může s přihlédnutím ke své loajalitě, důvěryhodnosti a spolehlivosti získat oprávnění k přístupu k utajovaným informacím EU, a postupy šetření a správní postupy, jež je třeba za tímto účelem dodržovat.

2.

„Bezpečnostní prověrka personálu“ pro přístup k utajovaným informacím EU je prohlášením příslušného orgánu členského státu, které je vydáno po skončení bezpečnostního řízení vedeného příslušnými orgány členského státu a kterým se osvědčuje, že určité osobě může být za podmínky, že byla zjištěna potřeba této osoby znát utajované informace, umožněn přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího) a do konkrétního data; osoba odpovídající tomuto popisu se označuje za „osobu s bezpečnostní prověrkou“.

3.

„Osvědčením o bezpečnostní prověrce personálu“ se rozumí osvědčení vydané bezpečnostním orgánem ESVČ, v němž se uvede, že určitá osoba prošla bezpečnostní prověrkou, a z něhož je zřejmý stupeň utajení utajovaných informací EU, k nimž může mít tato osoba přístup, datum platnosti příslušné bezpečnostní prověrky personálu a den skončení platnosti samotného osvědčení.

4.

„Oprávnění k přístupu k utajovaným informacím EU“ je oprávnění bezpečnostního orgánu ESVČ, které je udělováno příslušnými orgány členského státu v souladu s tímto rozhodnutím po vydání osvědčení o bezpečnostní prověrce personálu a kterým se osvědčuje, že určité osobě může být za podmínky, že byla zjištěna potřeba této osoby znát utajované informace, umožněn přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyššího) a do konkrétního data; osoba odpovídající tomuto popisu se označuje za „osobu s bezpečnostní prověrkou“.

5.

Přístup k informacím se stupněm utajení RESTREINT UE / EU RESTRICTED nevyžaduje bezpečnostní prověrku a je umožněn poté, co:

6.

Určitou osobu lze oprávnit k přístupu k utajovaným informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším pouze v případě, že:

7.

ESVČ určí ve svých strukturách pracovní místa, která vyžadují přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, a tedy i bezpečnostní prověrku personálu pro odpovídající stupeň utajení podle článku 4 výše.

8.

Zaměstnanci ESVČ uvedou, zda mají státní občanství více než jedné země.

9.

V případě zaměstnanců ESVČ předá orgán ESVČ oprávněný ke jmenování vyplněný bezpečnostní dotazník personálu NBÚ členského státu, jehož je dotyčná osoba státním příslušníkem, a požádá o provedení bezpečnostního řízení pro stupeň utajení utajovaných informací EU, k nimž bude dotyčná osoba potřebovat přístup.

10.

Pokud je osoba občanem více než jedné země, žádá se o prověrku NBÚ země, pod jejíž státní příslušností byla osoba zaměstnána.

11.

Pokud ESVČ zjistí v souvislosti s osobou, která požádala o vydání osvědčení o bezpečnostní prověrce, informace významné pro bezpečnostní řízení, oznámí tuto skutečnost postupem podle příslušných pravidel a předpisů příslušnému NBÚ.

12.

Příslušný NBÚ informuje po skončení bezpečnostního řízení bezpečnostní ředitelství ESVČ o výsledku řízení.

13.

Bezpečnostní řízení spolu se získanými výsledky, o něž se ESVČ opírá při svém rozhodování o tom, zda udělit osvědčení o přístupu k utajovaným informacím EU či nikoli, podléhají příslušným právním předpisům platným v daném členském státě, včetně předpisů týkajících se opravných prostředků. Rozhodnutí bezpečnostního orgánu ESVČ podléhají opravným prostředkům v souladu se služebním řádem úředníků Evropské unie a pracovním řádem ostatních zaměstnanců Evropské unie stanoveným nařízením (EHS, Euratom, ESUO) č. 259/68 (1) (dále jen „služební a pracovní řád“).

14.

Závěry, z nichž vychází dané osvědčení o bezpečnostní prověrce, za předpokladu, že jsou i nadále platné, se vztahují na veškeré úkoly přidělené dotyčné osobě v rámci ESVČ, generálního sekretariátu Rady nebo Komise.

15.

Nenastoupí-li dotyčná osoba do služby do 12 měsíců od oznámení výsledku bezpečnostního řízení bezpečnostního orgánu ESVČ nebo dojde-li k přerušení služby dotyčné osoby v délce 12 měsíců nebo déle, během nichž není tato osoba zaměstnána v ESVČ, v jiném orgánu, instituci či subjektu EU nebo na pracovním místě ve státní správě některého členského státu, které vyžaduje přístup k utajovaným informacím EU, oznámí se tato skutečnost příslušnému NBÚ za účelem potvrzení, že je i nadále platná a aktuální.

16.

Pokud ESVČ zjistí informace týkající se bezpečnostního rizika, jež představuje osoba, která je držitelem platného osvědčení o bezpečnostní prověrce personálu, oznámí tuto skutečnost postupem podle příslušných pravidel a předpisů příslušnému NBÚ. Pokud NBÚ informuje ESVČ o tom, že již nejsou platné závěry podle bodu 12 písm. a) v případě osoby, která je držitelem platného osvědčení o přístupu k utajovaným informacím EU, může bezpečnostní orgán ESVČ požádat NBÚ, aby v souladu s vnitrostátními právními předpisy poskytl veškerá další možná upřesnění. Pokud se negativní skutečnosti potvrdí, zruší se výše uvedené osvědčení a dané osobě se zamezí v přístupu k utajovaným informacím EU a daná osoba je odvolána z pracovních míst, u nichž je přístup k utajovaným informacím EU možný nebo v jejichž rámci by mohla ohrožovat bezpečnost.

17.

Jakékoli rozhodnutí o zrušení osvědčení o přístupu k utajovaným informacím EU v případě zaměstnance ESVČ a případné odůvodnění se oznámí dotyčné osobě, která může požádat o slyšení bezpečnostní orgán ESVČ. Informace poskytované NBÚ podléhají příslušným právním předpisům platným v daném členském státě, včetně předpisů týkajících se opravných prostředků. Rozhodnutí bezpečnostního orgánu ESVČ podléhají opravným prostředkům v souladu se služebním řádem.

18.

Národní odborníci vyslaní k ESVČ na pracovní místa vyžadující přístup k utajovaným informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, předloží bezpečnostnímu orgánu ESVČ před nástupem do služby platné osvědčení o bezpečnostní prověrce personálu pro přístup k utajovaným informacím EU. Výše uvedený proces řídí vysílající členský stát.

19.

ESVČ vede databázi, v níž je zachycen status bezpečnostních prověrek všech zaměstnanců podřízených ESVČ, včetně jejích smluvních zaměstnanců. Tyto záznamy obsahují informace o stupni utajení utajovaných informací EU, k nimž může být dotčené osobě umožněn přístup (stupeň utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšší) a o datu vydání a době platnosti osvědčení o bezpečnostní prověrce personálu.

20.

Budou zavedeny vhodné postupy koordinace s členskými státy a dalšími orgány, institucemi či subjekty EU, aby se zajistilo, že ESVČ povede přesné a úplné záznamy o statusu bezpečnostních prověrek všech zaměstnanců podřízených ESVČ, včetně jejích smluvních zaměstnanců.

21.

Bezpečnostní orgán ESVČ může vydat osvědčení o bezpečnostní prověrce personálu, v němž uvede stupeň utajení utajovaných informací EU, k nimž může mít tato osoba přístup (stupeň utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšší), datum platnosti příslušné bezpečnostní prověrky personálu a den skončení platnosti samotného osvědčení.

22.

Osoby, které jsou k přístupu k utajovaným informacím EU řádně oprávněny z titulu své funkce v souladu s vnitrostátními právními předpisy, jsou bezpečnostním ředitelstvím ESVČ odpovídajícím způsobem poučeny o svých bezpečnostních povinnostech ohledně ochrany utajovaných informací EU.

23.

Všechny osoby před získáním oprávnění k přístupu k utajovaným informacím EU písemně potvrdí, že chápou své povinnosti, pokud jde o ochranu utajovaných informací EU, a jsou si vědomy důsledků v případě ohrožení utajovaných informací EU. ESVČ vede záznamy o těchto písemných potvrzeních.

24.

Všechny osoby, které jsou oprávněny k přístupu k utajovaným informacím EU nebo po nichž se vyžaduje, aby s nimi nakládaly, jsou nejprve poučeny a poté pravidelně informovány o možném ohrožení bezpečnosti a musí neprodleně informovat příslušné bezpečnostní orgány o jakémkoli pokusu o kontakt nebo o činnosti, které považují za podezřelé nebo neobvyklé.

25.

Všechny osoby, kterým je umožněn přístup k utajovaným informacím EU, musí po dobu, kdy nakládají s utajovanými informacemi EU, podléhat platným opatřením personální bezpečnosti (tj. následné péči). Odpovědnost za personální bezpečnost nesou průběžně:

26.

Všechny osoby, které přestanou vykonávat pracovní povinnosti vyžadující přístup k utajovaným informacím EU, musí být poučeny o své povinnosti utajované informace EU i nadále chránit a případně tuto skutečnost písemně potvrdit.

27.

Z naléhavých důvodů, pokud to vyžadují zájmy ESVČ a není-li skončeno bezpečnostní řízení v plném rozsahu, může bezpečnostní orgán ESVČ, po konzultaci NBÚ členského státu, jehož je daná osoba státním příslušníkem, a pod podmínkou, že předběžné šetření potvrdí, že nejsou známy žádné negativní skutečnosti, vydat dočasné oprávnění úředníkům a ostatním zaměstnancům ESVČ k přístupu k utajovaným informacím EU pro konkrétní úkoly. Bezpečnostní řízení v plném rozsahu by mělo být skončeno co nejdříve. Dočasná oprávnění jsou platná nejdéle po dobu šesti měsíců a neumožňují přístup k informacím se stupněm utajení TRES SECRET UE / EU TOP SECRET. Všechny osoby, kterým bylo vydáno dočasné oprávnění, písemně potvrdí, že chápou, jaké mají povinnosti, pokud jde o ochranu utajovaných informací EU, a jsou si vědomy důsledků v případě ohrožení utajovaných informací EU. ESVČ vede záznamy o těchto písemných potvrzeních.

28.

Má-li být určitá osoba zařazena na pracovní místo, které vyžaduje osvědčení o bezpečnostní prověrce personálu pro přístup k utajovaným informacím o jeden stupeň utajení vyšší, než je stupeň, pro nějž bylo této osobě vydáno současné osvědčení o bezpečnostní prověrce personálu, lze tuto osobu prozatímně zařadit na toto místo za těchto podmínek:

29.

Výše uvedený postup se použije pro jednorázový přístup k utajovaným informacím EU se stupněm utajení o jeden stupeň vyšším, než je stupeň, pro který byla dotyčná osoba bezpečnostně prověřena. Tento postup nelze použít opakovaně.

30.

Za velmi výjimečných okolností, jako například během plnění úkolů v nepřátelském prostředí nebo v obdobích stoupajícího mezinárodního napětí, kdy to vyžadují mimořádná opatření, zejména pro záchranu životů, mohou vysoká představitelka, výkonný generální tajemník Rady nebo výkonný ředitel, je-li to možné, písemně povolit přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET osobám, které nejsou držiteli potřebného osvědčení o bezpečnostní prověrce personálu, pokud je takové povolení bezpodmínečně nutné a neexistují důvodné pochybnosti o loajalitě, důvěryhodnosti a spolehlivosti dotyčné osoby. O povolení včetně popisu informací, k nimž byl přístup povolen, musí být veden záznam.

31.

V případě informací se stupněm utajení TRES SECRET UE / EU TOP SECRET je přístup v mimořádných situacích omezen na státní příslušníky EU, jimž byl povolen přístup k informacím se stupněm utajení rovnocenným na vnitrostátní úrovni stupni utajení TRES SECRET UE / EU TOP SECRET nebo k informacím se stupněm utajení SECRET UE / EU SECRET.

32.

O případech, kdy byl použit postup stanovený v bodech 29 a 30, je informován Bezpečnostní výbor ESVČ.

33.

Bezpečnostní výbor ESVČ obdrží výroční zprávu o použití postupů uvedených v tomto oddíle.

34.

Osoby, které se mají účastnit zasedání v ústředí ESVČ a delegacích Unie, v nichž se projednávají informace se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, tak mohou činit pouze po potvrzení statusu svého osvědčení o bezpečnostní prověrce personálu. Pokud jde o zástupce členských států a úředníky generálního sekretariátu Rady a Komise, příslušné orgány doručí bezpečnostnímu ředitelství ESVČ či bezpečnostnímu koordinátorovi delegace Unie osvědčení o bezpečnostní prověrce personálu nebo jiný doklad o bezpečnostní prověrce personálu, nebo jej ve výjimečných případech předloží dotyčná osoba. V náležitých případech lze použít společný jmenný seznam, v němž jsou uvedeny příslušné informace o osvědčeních o bezpečnostní prověrce personálu.

35.

Pokud je odejmuto osvědčení o bezpečnostní prověrce personálu pro přístup k utajovaným informacím EU v případě osoby, jejíž povinnosti vyžadují účast na zasedáních v ústředí ESVČ nebo delegacích Unie, na nichž se projednávají utajované informace se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, příslušný orgán to oznámí ESVČ.

36.

Pokud mají být zaměstnány osoby za situace, v níž by mohly mít případně přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být náležitě bezpečnostně prověřeny, nebo je třeba pro ně zajistit nepřetržitě doprovod.

37.

Kurýři a členové ostrahy a doprovodu musí být bezpečnostně prověřeni pro odpovídající stupeň utajení nebo musí být jinak vhodně prověřeni v souladu s vnitrostátními právními předpisy, v pravidelných intervalech poučováni o bezpečnostních postupech pro ochranu utajovaných informací EU a seznamováni se svými povinnostmi chránit jim svěřené nebo neúmyslně zpřístupněné utajované informace.

1.

Tato příloha obsahuje ustanovení pro provádění článku 6 přílohy A. Stanoví minimální požadavky na fyzickou ochranu areálů, budov, kanceláří, místností a dalších prostor, v nichž se nakládá s utajovanými informacemi EU a v nichž jsou takové informace ukládány, včetně prostor, v nichž jsou umístěny komunikační a informační systémy.

2.

Opatření fyzické bezpečnosti mají předejít neoprávněnému přístupu k utajovaným informacím EU tím, že:

3.

ESVČ uplatňuje ve svých prostorách proces řízení rizik na ochranu utajovaných informací EU, aby se poskytla přiměřená úroveň fyzické ochrany vůči vyhodnocenému riziku. V procesu řízení rizik se vezmou v úvahu veškeré důležité okolnosti, zejména:

4.

Bezpečnostní orgán ESVČ určí v souladu s koncepcí hloubkové ochrany vhodnou kombinaci opatření fyzické bezpečnosti, jež je třeba uplatňovat. Zahrnují jedno nebo více z těchto opatření:

5.

Bezpečnostní ředitelství ESVČ může provádět prohlídky při vstupu a odchodu, které mají odradit od nedovoleného vnášení materiálů nebo neoprávněného vynášení utajovaných informací EU z areálů nebo budov.

6.

Hrozí-li nebezpečí, že by utajované informace EU mohly být, i neúmyslně, odezírány, přijmou se vhodná opatření, kterými se tomuto riziku zamezí.

7.

U nových zařízení se požadavky na fyzickou bezpečnost a jejich funkční specifikace stanoví jako součást plánování a konstrukce zařízení. U stávajících zařízení se požadavky na fyzickou bezpečnost uplatňují v nejvyšší možné míře.

8.

Při pořizování prostředků fyzické ochrany utajovaných informací EU (například bezpečnostních úschovných objektů, skartovacích přístrojů, dveřních zámků, elektronických systémů kontroly vstupu, systémů detekce narušení, poplašných systémů) zajistí bezpečnostní orgán ESVČ, aby tyto prostředky splňovaly schválené technické standardy a minimální požadavky.

9.

Technické specifikace prostředků používaných pro fyzickou ochranu utajovaných informací EU se stanoví v bezpečnostních pokynech, které schválí Bezpečnostní výbor ESVČ.

10.

Kontrola bezpečnostních systémů a údržba prostředků fyzické ochrany se provádí pravidelně. Při údržbě se zohlední výsledek kontrol, aby se i nadále zajistilo optimální fungování těchto prostředků.

11.

Účinnost jednotlivých bezpečnostních opatření a celého bezpečnostního systému se znovu hodnotí při každé kontrole.

12.

Pro fyzickou ochranu utajovaných informací EU se stanoví dva druhy fyzicky chráněných oblastí nebo jejich vnitrostátní ekvivalenty:

13.

Bezpečnostní orgán ESVČ určí, zda daný prostor splňuje požadavky na to, aby mohl být označen jako administrativní oblast, zabezpečená oblast nebo technicky zabezpečená oblast.

14.

U administrativních oblastí:

15.

U zabezpečených oblastí:

16.

Představuje-li vstup do zabezpečené oblasti de facto přímý přístup k utajovaným informacím, které se v nich nacházejí, musí být dále splněny tyto požadavky:

17.

Zabezpečené oblasti chráněné před odposlechem je třeba označit jako technicky zabezpečené oblasti. U těchto oblastí musí být dále splněny tyto požadavky:

18.

Bez ohledu na bod 17 písm. d) předtím, než se komunikační přístroje a elektrická nebo elektronická zařízení jakéhokoli druhu použijí v oblastech, v nichž se konají zasedání nebo v nichž se pracuje s informacemi se stupněm utajení SECRET UE / EU SECRET nebo vyšším, a v případech, kdy je úroveň ohrožení utajovaných informací EU vyhodnocena jako vysoká, musí být veškeré přístroje a zařízení nejdříve prověřeny bezpečnostním orgánem ESVČ za tím účelem, aby prostřednictvím těchto zařízení nemohlo dojít k neúmyslnému či nezákonnému přenášení žádných srozumitelných informací mimo danou zabezpečenou oblast.

19.

Zabezpečené oblasti, které nejsou 24 hodin denně obsazeny pracovníky ve službě, jsou podle potřeby kontrolovány na konci běžné pracovní doby a v náhodně zvolených intervalech mimo běžnou pracovní dobu, není-li zaveden systém detekce narušení.

20.

Zabezpečené oblasti a technicky zabezpečené oblasti mohou být zřízeny dočasně v rámci administrativní oblasti pro uspořádání tajného zasedání nebo pro jiný podobný účel.

21.

Pro každou zabezpečenou oblast se vypracují bezpečnostní provozní postupy, v nichž se stanoví:

22.

Trezorové místnosti se budují uvnitř zabezpečených oblastí. Stěny, podlahy, stropy, okna a uzamykatelné dveře musí být schváleny bezpečnostním orgánem ESVČ a musí poskytovat ochranu na úrovni rovnocenné s bezpečnostním úschovným objektem schváleným pro ukládání utajovaných informací EU se stejným stupněm utajení.

23.

S utajovanými informacemi EU se stupněm utajení RESTREINT UE / EU RESTRICTED lze nakládat:

24.

Utajované informace EU se stupněm utajení RESTREINT UE / EU RESTRICTED se ukládají ve vhodném uzamčeném kancelářském nábytku v administrativní oblasti nebo v zabezpečené oblasti. Dočasně mohou být ukládány mimo zabezpečenou oblast či mimo administrativní oblast za předpokladu, že se držitel informací zavázal k dodržování náhradních opatření stanovených bezpečnostními pokyny vydanými bezpečnostním orgánem ESVČ.

25.

S utajovanými informacemi EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET lze nakládat:

26.

Utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET EU / EU SECRET se ukládají v zabezpečené oblasti v bezpečnostním úschovném objektu nebo trezorové místnosti.

27.

S utajovanými informacemi EU se stupněm utajení TRES SECRET UE / EU TOP SECRET se nakládá v zabezpečené oblasti.

28.

Utajované informace EU se stupněm utajení TRES SECRET UE / EU TOP SECRET se ukládají v zabezpečené oblasti v ústředí při dodržení jedné z těchto podmínek:

29.

Pravidla pro přenos utajovaných informací EU mimo fyzicky chráněné oblasti jsou stanovena v příloze A III.

30.

Bezpečnostní orgán ESVČ stanoví postupy pro správu klíčů a nastavení kódů pro kanceláře, místnosti, bezpečnostní trezorové místnosti a bezpečnostní úschovné objekty. Tyto postupy zabrání neoprávněnému přístupu.

31.

Nastavení kódů smí znát co nejmenší možný počet osob, které je potřebují znát. Nastavení kódů pro bezpečnostní úschovné objekty a trezorové místnosti, v nichž se ukládají utajované informace EU, je třeba změnit:

1.

Tato příloha obsahuje ustanovení pro provádění článku 7 přílohy A. Stanoví administrativní opatření, která slouží pro kontrolu utajovaných informací EU během celého jejich životního cyklu, a napomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě informací, zjistit takové ohrožení nebo ztrátu informací a následně zajistit nápravu.

2.

Informace se utajují pouze v případě, že vyžadují ochranu z důvodu své důvěrnosti.

3.

Původce utajovaných informací EU odpovídá za stanovení stupně utajení podle příslušných pokynů pro utajení informací a za distribuci informací.

4.

Stupeň utajení utajovaných informací EU se stanoví v souladu s čl. 2 odst. 2 přílohy A a na základě bezpečnostní politiky schválené v souladu s čl. 3 odst. 3 přílohy A.

5.

Utajovaným informacím členských států, které jsou sdíleny s ESVČ, se poskytuje stejná úroveň ochrany jako utajovaným informacím EU s odpovídajícím stupněm utajení. Tabulka stupňů utajení je obsažena v příloze B rozhodnutí Rady 2011/292/EU ze dne 31. března 2011 o bezpečnostních pravidlech na ochranu utajovaných informací EU.

6.

Stupeň utajení a případně datum či určitá událost, po nichž lze stupeň utajení informací snížit nebo zrušit, musí být jasně a správně označeny bez ohledu na to, zda mají utajované informace EU tištěnou, ústní, elektronickou či jinou podobu.

7.

Jednotlivé části daného dokumentu (tj. stránky, odstavce, oddíly, přílohy, dodatky a připojené části dokumentu) mohou vyžadovat různé stupně utajení a musí být podle toho označeny, a to i v případě, že jsou uloženy v elektronické podobě.

8.

Dokumenty obsahující části s různými stupni utajení musí být v co nejvyšší míře strukturovány tak, aby části s různým stupněm utajení mohly být v případě potřeby snadno rozpoznány a odděleny.

9.

Stupeň utajení dokumentu nebo spisu jako celku musí být alespoň stejně vysoký jako u jeho části s nejvyšším stupněm utajení. Jestliže dokument vznikl sloučením informací z různých zdrojů, konečný produkt se přezkoumá za účelem stanovení celkového stupně utajení, neboť může vyžadovat vyšší stupeň utajení než jeho jednotlivé části.

10.

Stupeň utajení průvodního dopisu nebo poznámky k připojeným částem musí být stejně vysoký jako nejvyšší stupeň utajení těchto připojených částí. Původce jasně vyznačí jejich stupeň utajení, pokud budou odděleny od připojených částí, pomocí odpovídajícího označení, například:

CONFIDENTIEL UE / EU CONFIDENTIAL

Bez příloh(y) RESTREINT UE / EU RESTRICTED

11.

Kromě jednoho z označení stupňů utajení uvedených v čl. 2 odst. 2 přílohy A mohou utajované informace EU nést doplňující označení, například:

12.

Po rozhodnutí o poskytnutí utajovaných informací EU třetímu státu nebo mezinárodní organizaci předá bezpečnostní ředitelství ESVČ dotyčný dokument, jenž nese označení týkající se způsobilosti k předání uvádějící, kterému třetímu státu nebo které mezinárodní organizaci mají být informace poskytnuty.

13.

Bezpečnostní orgán ESVČ přijme seznam schválených označení.

14.

Pro označení stupně utajení jednotlivých odstavců určitého textu lze použít standardizované zkratky označení stupňů utajení. Tyto zkratky nenahrazují úplné označení stupňů utajení.

15.

V utajovaných dokumentech EU je možné použít pro označení stupně utajení oddílů nebo částí textu kratších než jedna strana tyto standardní zkratky:

16.

Při vyhotovování utajovaného dokumentu EU:

17.

Nelze-li na utajované informace EU použít bod 15, přijmou se jiná patřičná opatření podle bezpečnostních pokynů, které se vypracují v souladu s tímto rozhodnutím.

18.

Je-li to možné, a zejména jedná-li se o informace se stupněm utajení RESTREINT UE / EU RESTRICTED, uvede původce v době vytvoření utajovaných informací EU, zda je možné snížit nebo zrušit jejich stupeň utajení k určitému datu nebo po určité události.

19.

ESVČ pravidelně přezkoumává utajované informace EU, které jsou v jejím držení, za účelem zjištění, zda je příslušný stupeň utajení stále odpovídající. ESVČ zavede systém přezkumu stupně utajení evidovaných utajovaných informací EU, jichž je původcem, který je prováděn nejméně jednou za pět let. Tento přezkum není třeba provést v případě, že původce od počátku uvádí konkrétní lhůtu, kdy bude u daných informací automaticky snížen nebo zrušen stupeň utajení, a dané informace jsou odpovídajícím způsobem označeny.

20.

Na ústředí se zřídí ústřední registr. Pro každou organizační složku v rámci ESVČ, v níž se nakládá s utajovanými informacemi EU, se určí odpovědný registr podřízený ústřednímu registru s cílem zajistit, aby se s utajovanými informacemi EU nakládalo v souladu s tímto rozhodnutím. Registry se zřizují jako zabezpečené oblasti podle přílohy A.

Každá delegace EU zřídí svůj vlastní registr utajovaných informací EU.

Bezpečnostní orgán ESVČ jmenuje pro tyto registry vedoucího registru.

21.

Pro účely tohoto rozhodnutí se evidencí z bezpečnostních důvodů (dále jen „evidence“) rozumí uplatňování postupů, kterými se zaznamenává životní cyklus daných informací, včetně jejich distribuce a zničení. V případě komunikačního a informačního systému mohou být evidenční postupy provedeny přímo v rámci systému.

22.

Veškerý materiál se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a vyšším je třeba evidovat, kdykoli je doručen určité organizační složce (včetně delegací EU) nebo kdykoli ji opouští. Informace se stupněm utajení TRES SECRET UE / EU TOP SECRET musí být zaevidovány v určených registrech.

23.

Ústřední registr na ústředí ESVČ je při výměně utajovaných informací se třetími státy a mezinárodními organizacemi hlavním přijímacím a odbavovacím místem. Vede záznamy o všech těchto výměnách.

24.

Vysoká představitelka schválí v souladu s článkem 14 tohoto rozhodnutí bezpečnostní politiku pro evidenci utajovaných informací EU z bezpečnostních důvodů.

25.

Na ústředí ESVČ se určí ústřední registr, který je ústředním orgánem pro příjem a odesílání informací se stupněm utajení TRES SECRET UE / EU TOP SECRET. V případě potřeby mohou být určeny podřízené registry pro nakládání s těmito informacemi z důvodů evidence.

26.

Podřízené registry nesmějí bez výslovného písemného souhlasu ústředního registru pro dokumenty se stupněm utajení TRES SECRET UE / EU TOP SECRET poskytovat dokumenty se stupněm utajení TRES SECRET UE / EU TOP SECRET přímo jiným registrům podřízeným stejnému ústřednímu registru ani externím subjektům.

27.

Dokumenty se stupněm utajení TRES SECRET UE / EU TOP SECRET se nesmí kopírovat ani překládat bez předchozího písemného souhlasu původce.

28.

Pokud původce dokumentů se stupněm utajení SECRET UE / EU SECRET a nižším nestanovil omezení týkající se jejich kopírování nebo překladu, mohou být tyto dokumenty kopírovány či překládány podle pokynů držitele.

29.

Pro kopie a překlady dokumentů se použijí bezpečnostní opatření použitá pro původní dokument. Kopie se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším vytváří pouze příslušný (podřízený) registr na zabezpečené kopírce. Kopie musí být zaevidovány.

30.

Přenos utajovaných informací EU podléhá ochranným opatřením stanoveným v bodech 31 až 41. V případech, kdy jsou utajované informace EU přenášeny na elektronických záznamových médiích, a to bez ohledu na čl. 7 odst. 4 přílohy A mohou níže uvedená ochranná opatření doplňovat vhodná technická protiopatření podle pokynů stanovených bezpečnostním orgánem ESVČ s cílem minimalizovat riziko ztráty nebo ohrožení.

31.

Bezpečnostní orgán ESVČ vydá pokyny týkající se přenosu utajovaných informací EU v souladu s tímto rozhodnutím.

32.

Utajované informace EU přenášené uvnitř budovy nebo uzavřené skupiny budov musí být zakryty, aby se zamezilo odpozorování jejich obsahu.

33.

Informace se stupněm utajení TRES SECRET UE / EU TOP SECRET musí být uvnitř budovy nebo uzavřené skupiny budov přenášeny náležitě bezpečnostně prověřenými osobami a uloženy v zabezpečené obálce označené pouze jménem příjemce.

34.

Utajované informace EU přenášené mezi budovami či areály v rámci EU jsou uloženy v takovém obalu, aby byly chráněny před neoprávněným vyzrazením.

35.

Přenos informací se stupněm utajení nejvýše SECRET UE / EU SECRET v rámci EU se provádí jedním z těchto způsobů:

V případě přenosu z jednoho členského státu do jiného se ustanovení písmene c) vztahují pouze na informace do stupně utajení CONFIDENTIEL UE / EU CONFIDENTIAL.

36.

Materiál se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET (například vybavení nebo technické zařízení), který nemůže být přenášen způsoby uvedenými v bodě 34, přepravují v souladu s přílohou A V obchodní přepravci jako náklad.

37.

Přenos informací se stupněm utajení TRES SECRET UE / EU TOP SECRET mezi budovami či areály v rámci EU se provádí vojenským, vládním nebo případně diplomatickým kurýrem.

38.

Utajované informace EU přenášené z EU na území třetího státu nebo mezi subjekty EU ve třetím státu jsou uloženy v takovém obalu, aby byly chráněny před neoprávněným vyzrazením.

39.

Přenos informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET z EU na území třetího státu a přenos veškerých utajovaných informací EU se stupněm utajení nejvýše SECRET UE / EU SECRET mezi subjekty EU ve třetím státě se provádí jedním z těchto způsobů:

40.

Přenos informací se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET, které EU předává třetímu státu nebo mezinárodní organizaci, musí splňovat příslušná ustanovení dohody o bezpečnosti informací či správního ujednání v souladu s čl. 10 odst. 2 přílohy A.

41.

Informace se stupněm utajení RESTREINT UE / EU RESTRICTED lze z EU na území třetího státu přenášet také poštovními službami či komerčními kurýrními službami.

42.

Přenos informací se stupněm utajení TRES SECRET UE / EU TOP SECRET z EU na území třetího státu nebo mezi subjekty EU ve třetím státě se provádí vojenským nebo diplomatickým kurýrem.

43.

Utajované dokumenty EU, které již nejsou potřebné, mohou být zničeny, aniž jsou dotčena příslušná pravidla a předpisy o archivování.

44.

Ničení dokumentů podléhajících evidenci v souladu s čl. 7 odst. 2 přílohy A provádí odpovědný registr podle pokynů držitele nebo příslušného orgánu. Administrativní pomůcky a jiné informace o evidenci musí být odpovídajícím způsobem aktualizovány.

45.

Ničení dokumentů se stupněm utajení SECRET UE / EU SECRET nebo TRES SECRET UE / EU TOP SECRET se provádí za přítomnosti svědka, který je bezpečnostně prověřen alespoň pro stupeň utajení ničeného dokumentu.

46.

Pracovník registru a svědek, pokud je přítomnost svědka vyžadována, podepíší zápis o zničení, který se uloží v registru. V registru jsou ukládány zápisy o zničení dokumentů se stupněm utajení TRES SECRET UE / EU TOP SECRET alespoň po dobu deseti let a dokumentů se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL a SECRET UE / EU SECRET alespoň po dobu pěti let.

47.

Ničení utajovaných dokumentů, včetně dokumentů se stupněm utajení RESTREINT UE / EU RESTRICTED, se provádí postupy, které splňují příslušné normy EU či rovnocenné normy nebo které byly schváleny členskými státy v souladu s vnitrostátními technickými normami tak, aby nebylo možné znovu sestavit celý dokument nebo jeho část.

48.

Ničení počítačových paměťových médií používaných pro utajované informace EU se provádí v souladu s bodem 36 přílohy A IV.

49.

V souladu s článkem 15 tohoto rozhodnutí bezpečnostní inspekce ESVČ zahrnují:

50.

Bezpečnostní inspekce ESVČ provádí inspekční tým bezpečnostního ředitelství ESVČ, případně za podpory odborníků na bezpečnost z jiných orgánů EU nebo členských států.

Inspekční tým má přístup do jakéhokoli prostoru, v němž se nakládá s utajovanými informacemi EU, zejména do registrů a k stanovišti komunikačních a informačních systémů.

51.

Bezpečnostní inspekce ESVČ v delegacích Unie mohou být v případě potřeby prováděny za podpory bezpečnostních pracovníků velvyslanectví členských států ve třetích zemích.

52.

Před koncem kalendářního roku přijme bezpečnostní orgán ESVČ program inspekcí pro ESVČ na následující rok.

53.

V případě potřeby může bezpečnostní orgán ESVČ sjednat bezpečnostní inspekce, které nejsou ve výše uvedeném programu naplánovány.

54.

Na konci bezpečnostní inspekce jsou kontrolovanému subjektu předloženy hlavní závěry a doporučení. Poté inspekční tým vypracuje inspekční zprávu. Pokud byla navržena nápravná opatření a doporučení, je třeba do zprávy zahrnout dostatečná odůvodnění závěrů inspekce. Inspekční zpráva se předá bezpečnostnímu orgánu ESVČ a vedoucímu kontrolovaného subjektu.

V rámci pravomocí bezpečnostního orgánu ESVČ se vypracovává pravidelná zpráva, v níž se zdůrazní poznatky získané z inspekcí provedených v členských státech za určité období; tuto zprávu posoudí Bezpečnostní výbor ESVČ.

55.

Bezpečnostní ředitelství ESVČ může případně jmenovat odborníky pro účast ve společných inspekčních týmech EU, které provádějí kontroly v agenturách a subjektech EU zřízených podle hlavy V kapitoly 2 Smlouvy o EU.

56.

Bezpečnostní ředitelství ESVČ vypracuje a aktualizuje kontrolní seznam pro účely inspekcí obsahující položky, které je třeba během bezpečnostní inspekce ESVČ ověřit. Tento seznam se zasílá Bezpečnostnímu výboru ESVČ.

57.

Informace pro vyplnění kontrolního seznamu lze získat zejména během inspekce od pracovníků odpovědných za řízení bezpečnosti subjektu, v němž je inspekce prováděna. Jakmile je seznam podrobně vyplněn, stanoví se po dohodě s kontrolovaným subjektem stupeň jeho utajení. Seznam není součástí inspekční zprávy.

1.

Tato příloha stanoví prováděcí pravidla k článku 8 přílohy A.

2.

Pro bezpečné a správné fungování komunikačních a informačních systémů jsou zásadní tyto vlastnosti a koncepce zabezpečení informací:

3.

Níže uvedená ustanovení tvoří minimální požadavky na bezpečnost veškerých komunikačních a informačních systémů nakládajících s utajovanými informacemi EU. Podrobné požadavky na provádění těchto ustanovení se stanoví v bezpečnostních politikách a bezpečnostních pokynech pro zabezpečení informací.

4.

Řízení bezpečnostních rizik je nedílnou součástí vytváření, vývoje, provozování a údržby komunikačních a informačních systémů. Řízení rizik (hodnocení, řešení, přijetí a sdělování) probíhá jako cyklický proces a je prováděno společně zástupci vlastníků systémů, projektovými a provozními orgány a orgány pro schvalování bezpečnosti za využití osvědčeného, transparentního a zcela srozumitelného procesu hodnocení rizika. Oblast působnosti komunikačního a informačního systému a jeho aktiv je třeba jasně určit na počátku procesu řízení rizik.

5.

Příslušné orgány ESVČ přezkoumají možné hrozby pro komunikační a informační systémy a vypracovávají aktualizovaná a přesná hodnocení hrozeb, která odpovídají stávajícímu provoznímu prostředí. Neustále si doplňují znalosti o otázkách zranitelnosti a pravidelně přezkoumávají hodnocení zranitelnosti, aby mohly odpovídajícím způsobem reagovat na měnící se prostředí informačních technologií.

6.

Cílem řízení bezpečnostních rizik je uplatňovat soubor bezpečnostních opatření, jejichž výsledkem je uspokojivá rovnováha mezi požadavky uživatelů a zbytkovým bezpečnostním rizikem.

7.

Specifické požadavky, rozsah a míra podrobnosti stanovená příslušným orgánem pro bezpečnostní akreditaci k akreditaci komunikačního a informačního systému musí být přiměřená posouzenému riziku při zohlednění všech příslušných faktorů, včetně stupně utajení utajovaných informací EU, s nimiž se v komunikačním a informačním systému nakládá. Akreditace zahrnuje formální prohlášení o zbytkovém riziku a přijetí zbytkového rizika ze strany odpovědného orgánu.

8.

Zajištění bezpečnosti se požaduje po celý životní cyklus daného komunikačního a informačního systému od uvedení do provozu až do ukončení provozu.

9.

Pro každou fázi životního cyklu komunikačního a informačního systému je třeba v oblasti bezpečnosti stanovit úlohu a způsob zapojení každého aktéra spojeného s daným systémem.

10.

Každý komunikační a informační systém, včetně jeho technických i netechnických bezpečnostních opatření, musí být během akreditačního řízení podroben bezpečnostním testům s cílem zajistit odpovídající úroveň zabezpečení zavedených bezpečnostních opatření a ověřit, zda jsou řádně prováděna, zapojena a konfigurována.

11.

Hodnocení, kontroly a přezkumy bezpečnosti se provádějí pravidelně během provozu a údržby komunikačního a informačního systému a rovněž za výjimečných okolností.

12.

Bezpečnostní dokumentace pro daný komunikační a informační systém se vyvíjí během jeho celého životního cyklu jakožto nedílná součást procesu řízení změn a konfigurací.

13.

ESVČ, generální sekretariát Rady, Komise a členské státy spolupracují na vývoji osvědčených postupů na ochranu utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech. Pokyny týkající se osvědčených postupů stanoví technická, fyzická, organizační a procedurální bezpečnostní opatření pro komunikační a informační systémy, která se ukázala jako účinná v boji proti určitým hrozbám a zranitelným místům.

14.

Pro ochranu utajovaných informací EU, s nimiž se nakládá v komunikačních a informačních systémech, se využijí získané poznatky subjektů, které působí v oblasti zabezpečení informací v EU i mimo EU.

15.

Šíření a následné uplatňování osvědčených postupů má napomoci dosažení rovnocenné úrovně zabezpečení jednotlivých komunikačních a informačních systémů, které jsou provozovány ESVČ a v nichž se nakládá s utajovanými informacemi EU.

16.

V zájmu zmírnění rizika pro komunikační a informační systémy se provádí řada technických a netechnických bezpečnostních opatření, která jsou uspořádána jako několik obranných linií. Tyto linie zahrnují:

a)   odstrašování: bezpečnostní opatření, jež mají odradit od jakéhokoli nepřátelského plánování útoku na komunikační a informační systém;

b)   prevenci: bezpečnostní opatření, jež mají zabránit útoku na komunikační a informační systém nebo takový útok znemožnit;

c)   odhalování: bezpečnostní opatření, jež mají odhalit uskutečnění útoku na komunikační a informační systém;

d)   odolnost: bezpečnostní opatření, která mají omezit dopad útoku na co nejmenší soubor informací nebo aktiv komunikačního a informačního systému a předcházet další škodě a

e)   nápravu: bezpečnostní opatření, jež mají vést k obnovení bezpečného stavu systému.

Míra přísnosti bezpečnostních opatření a jejich použitelnost se stanoví na základě hodnocení rizik.

17.

Příslušné orgány ESVČ zajistí, aby byly schopny reagovat na mimořádné události, které mohou přesahovat organizační a státní hranice, s cílem koordinovat reakce a sdílet informace o těchto mimořádných událostech a souvisejícím riziku (schopnost reakce na počítačové hrozby).

18.

Aby se předešlo zbytečnému riziku, provádějí se nebo provozují pouze funkce, zařízení a služby, které jsou nezbytné pro splnění provozních požadavků.

19.

Aby se omezila jakákoli škoda způsobená v důsledku nepředvídaných událostí, chyb nebo neoprávněného používání zdrojů komunikačních a informačních systémů, mají mít uživatelé systémů a automatizované procesy přístup, práva nebo oprávnění pouze v rozsahu nezbytném k plnění svých úkolů.

20.

Je-li v komunikačním a informačním systému vyžadováno provádění evidenčních procedur, musí být tyto procedury ověřeny v akreditačním řízení.

21.

Povědomí o rizicích a dostupných bezpečnostních opatřeních je první obrannou linií zajišťující bezpečnost komunikačních a informačních systémů. Zejména všichni členové personálu zasahující do životního cyklu komunikačního a informačního systému, včetně uživatelů, si musí být vědomi:

22.

Aby se zajistilo pochopení povinností souvisejících s bezpečností, je pro veškerý dotčený personál, včetně vedoucích pracovníků a uživatelů komunikačních a informačních systémů povinné vzdělávání v oblasti zabezpečení informací a školení zaměřené na zvyšování povědomí o zabezpečení informací.

23.

Požadovaná míra důvěry v bezpečnostní opatření, vymezená jako úroveň zabezpečení, se stanoví na základě výsledku procesu řízení rizik a v souladu s příslušnými bezpečnostními politikami a bezpečnostními pokyny.

24.

Úroveň zabezpečení se ověří pomocí mezinárodně uznávaných nebo na vnitrostátní úrovni schválených postupů a metod. To zahrnuje zejména hodnocení, kontroly a audity.

25.

Kryptografické prostředky na ochranu utajovaných informací EU hodnotí a schvaluje vnitrostátní schvalovací orgán členského státu pro kryptografickou ochranu.

26.

Předtím než jsou kryptografické prostředky doporučeny ke schválení orgánem ESVČ pro kryptografickou ochranu v souladu s čl. 7 odst. 5, musí obdržet kladný posudek od druhé strany, jíž je orgán s odpovídající kvalifikací členského státu, který se nepodílí na vývoji ani výrobě zařízení. Rozsah informací vyžadovaný během hodnocení druhou stranou závisí na předpokládaném nejvyšším stupni utajení utajovaných informací EU, které mají být danými prostředky chráněny.

27.

Opravňují-li k tomu zvláštní provozní důvody, může orgán ESVČ pro kryptografickou ochranu na doporučení Bezpečnostního výboru Rady od požadavků podle odstavce 25 nebo 26 upustit a podle čl. 7 odst. 5 tohoto rozhodnutí udělit dočasné schválení na konkrétní období.

28.

Orgánem s odpovídající kvalifikací je schvalovací orgán členského státu pro kryptografickou ochranu, který byl akreditován na základě kritérií stanovených Radou k provádění druhého hodnocení kryptografických prostředků na ochranu utajovaných informací EU.

29.

Vysoká představitelka schválí bezpečnostní politiku pro způsobilost a schvalování nekryptografických bezpečnostních prostředků informačních technologií.

30.

Bez ohledu na ustanovení tohoto rozhodnutí, je-li přenos utajovaných informací EU omezen na zabezpečené oblasti, může být na základě výsledku procesu řízení rizik a se souhlasem orgánu pro bezpečnostní akreditaci použit přenos nešifrovaný nebo šifrovaný na nižší úrovni.

31.

Pro účely tohoto rozhodnutí se propojením rozumí přímé spojení dvou nebo více informačních systémů za účelem jednosměrného či vícesměrného sdílení údajů a dalších informačních zdrojů (například komunikace).

32.

Komunikační a informační systém považuje každý propojený informační systém za nedůvěryhodný a uplatní ochranná opatření pro kontrolu výměny utajovaných informací.

33.

U všech propojení komunikačních a informačních systémů s jiným systémem informačních technologií je třeba splnit tyto základní požadavky:

34.

Certifikovaný komunikační a informační systém nesmí být propojen s nechráněnou nebo veřejnou sítí, s výjimkou případů, kdy má komunikační a informační systém schválené funkce BPS instalované pro tento účel mezi daným systémem a nechráněnou či veřejnou sítí. Bezpečnostní opatření pro taková propojení přezkoumá příslušný orgán ESVČ pro zabezpečení informací a schválí je příslušný orgán pro bezpečnostní akreditaci.

Pokud je nechráněná nebo veřejná síť využívána výhradně k přenosu dat a informace jsou zašifrovány pomocí kryptografického prostředku schváleného v souladu s čl. 7 odst. 5 tohoto rozhodnutí, nepovažuje se takové spojení za propojení.

35.

Komunikační a informační systém certifikovaný pro nakládání s informacemi se stupněm utajení TRES SECRET UE / EU TOP SECRET nesmí být přímo ani kaskádou propojen s nechráněnou nebo veřejnou sítí.

36.

Počítačová paměťová média se ničí postupy schválenými bezpečnostním orgánem ESVČ.

37.

Počítačová paměťová média se znovu použijí nebo se u nich sníží či zruší stupeň utajení v souladu s bezpečnostní politikou, která bude vypracována podle čl. 7 odst. 2 tohoto rozhodnutí.

38.

Bez ohledu na ustanovení tohoto rozhodnutí mohou být za mimořádných okolností, například během hrozící nebo probíhající krize, konfliktu, války nebo za výjimečných provozních okolností, po omezenou dobu použity níže popsané zvláštní postupy.

39.

Utajované informace EU mohou být přenášeny za použití kryptografických prostředků schválených pro nižší stupeň utajení nebo v nešifrované podobě se souhlasem příslušného orgánu, pokud by jakékoli prodlení způsobilo škodu nepochybně převyšující škodu způsobenou případným vyzrazením utajovaných materiálů a pokud:

40.

Za okolností uvedených v bodě 39 nenesou přenášené utajované informace žádná označení ani údaje, které by je odlišovaly od informací, které nejsou utajované nebo mohou být chráněny dostupným kryptografickým prostředkem. Příjemce informací je třeba neprodleně uvědomit o stupni utajení jiným způsobem.

41.

Pokud se použije postup podle bodu 39, podá se následně zpráva bezpečnostnímu ředitelství ESVČ a jeho prostřednictvím Bezpečnostnímu výboru ESVČ. V této zprávě je uveden přinejmenším odesílatel, příjemce a původce každé utajované informace EU.

42.

V ESVČ se v souvislosti se zabezpečením informací zajišťuje výkon těchto funkcí. Tyto funkce nevyžadují zřízení samostatných organizačních složek. Jsou plněny v rámci oddělených mandátů. Tyto funkce a související povinnosti mohou být ovšem kombinovány nebo spojeny ve stejné organizační složce nebo rozděleny do různých organizačních složek za podmínky, že se zamezí vnitřním střetům zájmů nebo úkolů.

43.

Orgán pro zabezpečení informací je povinen:

44.

Orgán TEMPEST je povinen zajistit, aby komunikační a informační systémy byly v souladu s politikami a pokyny TEMPEST. Schvaluje protiopatření TEMPEST pro zařízení a prostředky na ochranu utajovaných informací EU do určitého stupně utajení v jeho provozním prostředí.

45.

Schvalovací orgán pro kryptografickou ochranu je povinen zajistit, aby byly kryptografické prostředky v souladu s příslušnou politikou v oblasti kryptografické ochrany. Schvaluje konkrétní kryptografický prostředek na ochranu utajovaných informací EU do určitého stupně utajení v jeho provozním prostředí.

46.

Orgán pro distribuci kryptografických materiálů je povinen:

47.

Orgán pro bezpečnostní akreditaci je povinen:

48.

Orgán pro bezpečnostní akreditaci ESVČ odpovídá za akreditaci všech komunikačních a informačních systémů provozovaných v rámci ESVČ.

49.

Společná komise pro bezpečnostní akreditaci odpovídá za akreditaci komunikačních a informačních systémů v pravomoci orgánu pro bezpečnostní akreditaci ESVČ i orgánů pro bezpečnostní akreditaci členských států. Každý členský stát je v této komisi zastoupen jedním zástupcem vnitrostátního orgánu pro bezpečnostní akreditaci a jejích zasedání se účastní zástupce orgánu pro bezpečnostní akreditaci generálního sekretariátu Rady a Komise. K účasti jsou přizvány také jiné subjekty s uzlovými body připojení k určitému komunikačnímu a informačnímu systému, který je předmětem jednání.

Komisi pro bezpečnostní akreditaci předsedá zástupce orgánu pro bezpečnostní akreditaci ESVČ. Komise pro bezpečnostní akreditaci jedná na základě shody zástupců orgánů pro bezpečnostní akreditaci orgánů, členských států a jiných subjektů s uzlovými body připojení k danému komunikačnímu a informačnímu systému. Předkládá pravidelné zprávy o své činnosti Bezpečnostnímu výboru ESVČ a oznamuje mu veškerá rozhodnutí o akreditaci.

50.

Provozní orgán pro zabezpečení informací každého systému je povinen:

1.

Tato příloha obsahuje ustanovení pro provádění článku 9 přílohy A. Stanoví obecná bezpečnostní pravidla použitelná pro průmyslové nebo jiné subjekty pro jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv uzavíraných ESVČ.

2.

Vysoká představitelka schválí politiku v oblasti průmyslové bezpečnosti, v níž stanoví zejména podrobné požadavky, pokud jde o osvědčení o bezpečnostní prověrce zařízení, seznamy bezpečnostních požadavků, návštěvy, přenos a přenášení utajovaných informací EU.

3.

Před zahájením výzvy k předkládání nabídek na uzavření utajované smlouvy nebo před uzavřením takové smlouvy určí ESVČ jakožto zadavatel stupeň utajení veškerých informací, které mají být poskytnuty uchazečům a dodavatelům, a rovněž stupeň utajení veškerých informací, které vytvoří dodavatel. ESVČ k tomuto účelu připraví příručku pro stanovení stupně utajení, která bude použita pro plnění smlouvy.

4.

Pro stanovení stupně utajení jednotlivých částí utajované smlouvy se použijí tyto zásady:

5.

Bezpečnostní požadavky pro konkrétní smlouvu jsou popsány v seznamu bezpečnostních požadavků. Tento seznam případně zahrnuje příručku pro stanovení stupně utajení a je nedílnou částí utajované smlouvy nebo utajované subdodavatelské smlouvy.

6.

Seznam bezpečnostních požadavků obsahuje ustanovení, podle nichž musí dodavatel nebo subdodavatel dodržovat minimální standardy stanovené tímto rozhodnutím. Nedodržení těchto minimálních standardů může být dostatečným důvodem k vypovězení smlouvy.

7.

V závislosti na rozsahu programů nebo projektů, které zahrnují přístup k utajovaným informacím EU nebo nakládání s nimi či jejich ukládání, může orgán zadávající zakázku a pověřený řízením programu nebo projektu připravit zvláštní bezpečnostní pokyny k programu/projektu. Tyto pokyny vyžadují schválení ze strany NBÚ / určených bezpečnostních orgánů členských států nebo kteréhokoli jiného příslušného bezpečnostního orgánu, který se účastní daného programu/projektu, a mohou obsahovat další bezpečnostní požadavky.

8.

Bezpečnostní orgán ESVČ požádá NBÚ nebo určený bezpečnostní orgán nebo jakýkoli jiný příslušný bezpečnostní orgán příslušného členského státu o vydání osvědčení o bezpečnostní prověrce zařízení, které v souladu s vnitrostátními právními předpisy potvrzuje, že průmyslový nebo jiný subjekt může ve svých prostorách zajistit ochranu utajovaných informací EU na odpovídajícím stupni utajení (CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET). Dodavateli, subdodavateli nebo možnému dodavateli či subdodavateli nejsou poskytnuty utajované informace EU nebo mu k utajovaným informacím EU není umožněn přístup, dokud Evropské službě pro vnější činnost nepředloží doklad o vydání osvědčení o bezpečnostní prověrce zařízení.

9.

ESVČ jakožto zadavatel oznámí, pokud to bude nutné, příslušnému NBÚ / určenému bezpečnostnímu orgánu nebo kterémukoli jinému příslušnému bezpečnostnímu orgánu, že v předsmluvní fázi nebo při plnění smlouvy bude vyžadováno osvědčení o bezpečnostní prověrce zařízení. V případě, že je během nabídkového řízení třeba poskytovat utajované informace EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET, je v předsmluvní fázi vyžadováno osvědčení o bezpečnostní prověrce zařízení nebo osvědčení o bezpečnostní prověrce personálu.

10.

ESVČ jakožto zadavatel neuzavře utajovanou smlouvu s upřednostňovaným uchazečem, dokud neobdrží od NBÚ / určeného bezpečnostního orgánu nebo kteréhokoli jiného příslušného bezpečnostního orgánu členského státu, v němž je dotyčný dodavatel nebo subdodavatel registrován, potvrzení o tom, že bylo v případě, kdy je to vyžadováno, vydáno příslušné osvědčení o bezpečnostní prověrce zařízení.

11.

NBÚ / určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán, který vydal osvědčení o bezpečnostní prověrce zařízení, oznamuje ESVČ jakožto zadavateli jakékoli negativní skutečnosti, které by mohly mít dopad na osvědčení o bezpečnostní prověrce zařízení. V případě subdodavatelské smlouvy je odpovídajícím způsobem informován NBÚ / určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán.

12.

Zrušení osvědčení o bezpečnostní prověrce zařízení příslušným NBÚ / určeným bezpečnostním orgánem nebo kterýmkoli jiným příslušným bezpečnostním orgánem je dostatečným důvodem k tomu, aby ESVČ jakožto zadavatel vypověděl utajovanou smlouvu nebo aby vyloučil určitého uchazeče z nabídkového řízení.

13.

Všichni zaměstnanci pracující pro dodavatele, kteří potřebují přístup k utajovaným informacím EU se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo vyšším, musí být náležitě bezpečnostně prověřeni a musí potřebovat znát utajované informace. I když se pro přístup k utajovaným informacím EU se stupněm utajení RESTREINT UE / EU RESTRICTED bezpečnostní prověrka personálu nevyžaduje, musí pro tento přístup existovat potřeba znát tyto informace.

14.

Žádosti o bezpečnostní prověrku personálu dodavatele se podávají NBÚ / určenému bezpečnostnímu orgánu, který za daný subjekt odpovídá.

15.

ESVČ dodavateli, který hodlá zaměstnat státního příslušníka třetího státu na pracovní místo, které vyžaduje přístup k utajovaným informacím EU, zdůrazní, že odpovědnost za určení toho, zda může být osobě umožněn přístup k těmto informacím podle tohoto rozhodnutí, nese NBÚ / určený bezpečnostní orgán členského státu, v němž má zaměstnávající subjekt sídlo a kde je zaregistrován, a potvrdí, že původce musí dát souhlas před poskytnutím přístupu.

16.

Pokud jsou utajované informace EU poskytovány uchazeči v předsmluvní fázi, musí výzva k předkládání nabídek obsahovat ustanovení o tom, že uchazeč, který nepředloží nabídku nebo jehož nabídka není vybrána, je povinen vrátit ve stanovené lhůtě všechny utajované dokumenty.

17.

Jakmile je zadána zakázka na základě utajované smlouvy nebo utajované subdodavatelské smlouvy, ESVČ jakožto zadavatel informuje NBÚ / určený bezpečnostní orgán příslušný pro daného dodavatele nebo subdodavatele nebo jakýkoli jiný příslušný bezpečnostní orgán o bezpečnostních ustanoveních utajované smlouvy.

18.

V případě vypovězení nebo skončení platnosti těchto smluv ESVČ jakožto zadavatel (nebo v případě subdodavatelské smlouvy případně NBÚ / určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán) uvědomí neprodleně NBÚ / určený bezpečnostní orgán nebo kterýkoli jiný příslušný bezpečnostní orgán členského státu, v němž je dodavatel nebo subdodavatel registrován.

19.

Obecně platí, že při vypovězení či ukončení utajované smlouvy nebo utajované subdodavatelské smlouvy musí dodavatel nebo subdodavatel vrátit zadavateli veškeré utajované informace EU v jeho držení.

20.

Zvláštní ustanovení týkající se nakládání s utajovanými informacemi EU během plnění smlouvy nebo při jejím vypovězení či ukončení se stanoví v seznamu bezpečnostních požadavků.

21.

Pokud je dodavatel nebo subdodavatel oprávněn ponechat si utajované informace EU po vypovězení či ukončení smlouvy, dodavatel nebo subdodavatel nadále dodržuje minimální standardy obsažené v tomto rozhodnutí a chrání důvěrnost utajovaných informací EU.

22.

Podmínky, za nichž může dodavatel uzavřít subdodavatelskou smlouvu, jsou stanoveny ve výzvě k předkládání nabídek a ve smlouvě.

23.

Předtím než dodavatel zadá jakékoli části utajované smlouvy subdodavateli, musí získat povolení od ESVČ jakožto zadavatele. Žádná subdodavatelská smlouva nesmí být uzavřena s průmyslovými nebo jinými subjekty registrovanými ve státě, který není členským státem EU a který s EU neuzavřel smlouvu o bezpečnosti informací.

24.

Dodavatel je povinen zajistit, aby veškeré subdodavatelské činnosti byly prováděny v souladu s minimálními standardy stanovenými tímto rozhodnutím, a nesmí subdodavateli poskytovat utajované informace EU bez předchozího písemného souhlasu zadavatele.

25.

Pokud jde o utajované informace EU, které vytvořil nebo s nimiž nakládá dodavatel nebo subdodavatel, pak práva náležející původci vykonává zadavatel.

26.

Pokud ESVČ, dodavatelé či subdodavatelé potřebují pro plnění utajované smlouvy přístup k informacím se stupněm utajení CONFIDENTIEL UE / EU CONFIDENTIAL nebo SECRET UE / EU SECRET v prostorách druhé strany, sjednají se návštěvy ve spolupráci s příslušnými NBÚ / určenými bezpečnostními orgány nebo s kterýmkoli jiným příslušným bezpečnostním orgánem. Aniž je dotčena pravomoc NBÚ / určených bezpečnostních orgánů, může být v případě zvláštních projektů dohodnut postup, podle něhož lze tyto návštěvy sjednat přímo.

27.

Všechny navštěvující osoby musí být držiteli odpovídajícího osvědčení o bezpečnostní prověrce personálu a musí mít potřebu znát utajované informace EU související se smlouvou uzavřenou ESVČ.

28.

Navštěvujícím osobám je umožněn přístup pouze k utajovaným informacím EU souvisejícím s účelem návštěvy.

29.

Pokud jde o elektronický přenos utajovaných informací EU, použijí se příslušná ustanovení článku 8 přílohy A a přílohy A IV.

30.

Pokud jde o přenos utajovaných informací EU, použijí se příslušná ustanovení přílohy A III v souladu s vnitrostátními právními předpisy.

31.

V případě přepravy utajovaných materiálů jako nákladu se při stanovení bezpečnostních opatření uplatní tyto zásady:

32.

Utajované informace EU jsou dodavatelům a subdodavatelům se sídlem v třetích státech, které mají s EU uzavřenou platnou smlouvu o bezpečnosti, poskytovány v souladu s bezpečnostními opatřeními dohodnutými mezi ESVČ jakožto zadavatelem a NBÚ / určeným bezpečnostním orgánem dotyčného třetího státu, v němž je dodavatel registrován.

33.

ESVČ jakožto zadavatel je oprávněn případně ve spojení s NBÚ / určeným bezpečnostním orgánem dotčeného členského státu vykonávat na základě smluvních ustanovení návštěvy v zařízeních dodavatelů/subdodavatelů s cílem ověřit, že byla zavedena příslušná bezpečnostní opatření na ochranu utajovaných informací EU se stupněm utajení RESTREINT UE / EU RESTRICTED podle požadavků smlouvy.

34.

ESVČ jakožto zadavatel informuje NBÚ / určené bezpečnostní orgány nebo kterýkoli jiný bezpečnostní orgán v rozsahu nezbytném podle vnitrostátních právních předpisů o smlouvách či subdodavatelských smlouvách obsahujících informace se stupněm utajení RESTREINT UE / EU RESTRICTED.

35.

U smluv zadaných ESVČ a obsahujících informace se stupněm utajení RESTREINT UE / EU RESTRICTED se pro dodavatele nebo subdodavatele a jejich pracovníky nevyžaduje osvědčení o bezpečnostní prověrce zařízení ani osvědčení o bezpečnostní prověrce personálu.

36.

ESVČ jakožto zadavatel posoudí odpovědi na výzvy k předkládání nabídek v souvislosti se zakázkami, které vyžadují přístup k informacím se stupněm utajení RESTREINT UE / EU RESTRICTED, bez ohledu na požadavky týkající se osvědčení o bezpečnostní prověrce zařízení nebo osvědčení o bezpečnostní prověrce personálu, které mohou být stanoveny vnitrostátními právními předpisy.

37.

Podmínky, za nichž může dodavatel uzavřít subdodavatelskou smlouvu, se stanoví v souladu s body 22–24.

38.

Pokud smlouva zahrnuje nakládání s informacemi se stupněm utajení RESTREINT UE / EU RESTRICTED v komunikačním a informačním systému provozovaném dodavatelem, ESVČ jakožto zadavatel zajistí, aby ve smlouvě nebo subdodavatelské smlouvě byly uvedeny nezbytné technické a správní požadavky týkající se akreditace komunikačního a informačního systému, které budou přiměřené posouzenému riziku a zohlední všechny příslušné faktory. Zadavatel a příslušný NBÚ / určený bezpečnostní orgán se dohodnou na rozsahu akreditace takového komunikačního a informačního systému.

1.

Tato příloha stanoví prováděcí pravidla k článku 10 přílohy A.

2.

ESVČ si může vyměňovat utajované informace EU se třetími státy nebo mezinárodními organizacemi v souladu s čl. 10 odst. 1 přílohy A.

S cílem pomáhat vysokému představiteli plnit úkoly vymezené v článku 218 SFEU:

3.

Pokud dohody o bezpečnosti informací vyžadují, aby byla mezi bezpečnostním ředitelstvím ESVČ – v koordinaci s bezpečnostním ředitelstvím Generálního ředitelství pro lidské zdroje a bezpečnost Komise a bezpečnostní kanceláří generálního sekretariátu Rady – a příslušným bezpečnostním orgánem příslušného třetího státu nebo mezinárodní organizace dohodnuta technická prováděcí pravidla, musí tato opatření zohlednit úroveň ochrany zajišťovanou platnými bezpečnostními předpisy, strukturami a postupy v dotyčném třetím státě nebo mezinárodní organizaci.

4.

Pokud mezi ESVČ a třetím státem nebo mezinárodní organizací existuje dlouhodobá potřeba výměny informací, jejichž nejvyšší stupeň utajení není vyšší než RESTREINT UE / EU RESTRICTED, a pokud bylo stanoveno, že dotyčná strana nemá dostatečně rozvinutý bezpečnostní systém, který by jí umožnil uzavřít dohodu o bezpečnosti informací, může vysoký představitel na základě jednomyslného kladného stanoviska Bezpečnostního výboru ESVČ v souladu s čl. 14 odst. 5 tohoto rozhodnutí uzavřít s příslušnými orgány dotyčného třetího státu nebo mezinárodní organizace správní ujednání.

5.

Utajované informace EU nesmí být vyměňovány se třetím státem nebo mezinárodní organizací elektronickými prostředky, pokud tak není výslovně stanoveno v dohodě o bezpečnosti informací nebo správním ujednání.

6.

V rámci správního ujednání o výměně utajovaných informací ESVČ i třetí stát nebo mezinárodní organizace zřídí registr, který bude při výměně utajovaných informací hlavním přijímacím a výstupním místem. V případě ESVČ to bude ústřední registr ESVČ.

7.

Správní ujednání mají zpravidla formu výměny dopisů.

8.

Hodnotící návštěvy podle článku 16 tohoto rozhodnutí se provádějí po vzájemné dohodě s příslušným třetím státem nebo mezinárodní organizací a hodnotí:

9.

Žádné utajované informace EU nebudou vyměňovány před uskutečněním hodnotící návštěvy a stanovením úrovně, na které mohou být utajované informace mezi stranami vyměňovány, a to na základě rovnocennosti úrovně ochrany, která jim bude poskytnuta.

Pokud je vysoký představitel před uskutečněním takové hodnotící návštěvy informován o výjimečných nebo naléhavých důvodech pro výměnu utajovaných informací, ESVČ:

Nemůže-li ESVČ původce zjistit, převezme jeho odpovědnost bezpečnostní orgán ESVČ poté, co získal jednomyslné kladné stanovisko Bezpečnostního výboru ESVČ.

10.

Pokud existuje rámec pro výměnu utajovaných informací se třetím státem nebo mezinárodní organizací v souladu s čl. 10 odst. 1 přílohy A, rozhodnutí o tom, že ESVČ poskytne třetímu státu nebo mezinárodní organizaci utajované informace EU, přijme bezpečnostní orgán ESVČ, který může touto pravomocí pověřit vyšší úředníky ESVČ nebo jiné jemu podřízené osoby.

11.

Pokud původcem utajovaných informací, které mají být poskytnuty, včetně původců výchozího materiálu, který mohou obsahovat, není ESVČ, musí ESVČ nejprve získat písemný souhlas původce, že proti poskytnutí informací neexistují námitky. Nemůže-li ESVČ původce zjistit, převezme jeho odpovědnost bezpečnostní orgán ESVČ poté, co získal jednomyslné kladné stanovisko členských států zastoupených v Bezpečnostním výboru ESVČ.

12.

Neexistuje-li žádný rámec podle čl. 10 odst. 1 přílohy A, a pokud zájmy EU nebo jednoho či více členských států vyžadují poskytnutí utajovaných informací EU z politických, operativních nebo naléhavých důvodů, mohou být utajované informace EU výjimečně poskytnuty třetímu státu nebo mezinárodní organizaci, jakmile jsou přijata tato opatření.

Bezpečnostní ředitelství ESVČ poté, co zajistí splnění podmínek uvedených v bodě 11:

13.

Neexistuje-li některý z rámců uvedených v čl. 10 odst. 1 přílohy A, příslušná třetí strana se písemně zaváže k náležité ochraně utajovaných informací EU.

„akreditací“ se rozumí postup, jehož výsledkem je formální rozhodnutí orgánu pro bezpečnostní akreditaci, že určitý systém se schvaluje do provozu s určitým stupněm utajení, v určitém bezpečnostním módu v jeho provozním prostředí a s přijatelnou úrovní rizika na základě předpokladu, že je uplatňován schválený soubor technických, fyzických, organizačních a procedurálních bezpečnostních opatření;

„aktivem“ se rozumí cokoli s významem pro organizaci, její činnosti a jejich kontinuitu, včetně informačních zdrojů podporujících poslání organizace;

„oprávněním k přístupu k utajovaným informacím EU“ se rozumí oprávnění bezpečnostního orgánu ESVČ, které je udělováno příslušnými orgány členského státu v souladu s tímto rozhodnutím po vydání osvědčení o bezpečnostní prověrce personálu a kterým se osvědčuje, že určité osobě může být za podmínky, že bylo zjištěno, že tato osoba potřebuje znát utajované informace, umožněn přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího) a do konkrétního data – viz článek 2 přílohy A I;

„narušením bezpečnosti“ se rozumí opomenutí nebo jednání určité osoby v rozporu s bezpečnostními pravidly stanovenými tímto rozhodnutím a/nebo bezpečnostní politikou či bezpečnostními pokyny, kterými se stanoví opatření k jeho provádění;

„životním cyklem komunikačního a informačního systému“ se rozumí celé období existence komunikačního a informačního systému, které zahrnuje uvedení do provozu, vytvoření koncepce, plánování, analýzu požadavků, vytvoření návrhu, vývoj, testování, zavedení, provoz, údržbu a vyřazení z provozu;

„utajovanou smlouvou“ se rozumí smlouva uzavřená ESVČ s určitým dodavatelem o dodání zboží, provedení prací nebo poskytnutí služeb, jejíž plnění vyžaduje nebo zahrnuje přístup k utajovaným informacím EU nebo jejich vytváření;

„utajovanou subdodavatelskou smlouvou“ se rozumí smlouva mezi dodavatelem ESVČ a jiným dodavatelem (tj. subdodavatelem) o dodání zboží, provedení prací nebo poskytnutí služeb, jejíž plnění vyžaduje nebo zahrnuje přístup k utajovaným informacím EU nebo jejich vytváření;

„komunikačním a informačním systémem“ se rozumí jakýkoli systém, který umožňuje nakládat s informacemi v elektronické podobě. Komunikační a informační systém zahrnuje všechna aktiva nezbytná k jeho fungování, včetně infrastruktury, organizace, personálu a informačních zdrojů – viz čl. 8 odst. 2 přílohy A;

„ohrožením utajovaných informací EU“ se rozumí úplné nebo částečné zpřístupnění utajovaných informací EU neoprávněným osobám nebo subjektům – viz čl. 8 odst. 2;

„dodavatelem“ se rozumí fyzická nebo právnická osoba právně způsobilá k uzavírání smluv;

„kryptografickými prostředky“ se rozumějí šifrovací algoritmy, hardwarové a softwarové kryptografické moduly a prostředky, včetně prováděcích pravidel a související dokumentace, a klíče;

„operací SBOP“ se rozumí vojenská nebo civilní operace pro řešení krize zřízená podle hlavy V kapitoly 2 Smlouvy o EU;

„zrušením stupně utajení“ se rozumí odstranění veškerých stupňů utajení;

„hloubkovou ochranou“ se rozumí uplatňování řady bezpečnostních opatření, která jsou uspořádána jako několik obranných linií;

„určeným bezpečnostním orgánem“ se rozumí orgán podléhající NBÚ členského státu, který odpovídá za informování průmyslových nebo jiných subjektů o státní politice ohledně všech záležitostí průmyslové bezpečnosti a za poskytování pokynů a pomoci při jejím provádění. Funkci určeného bezpečnostního orgánu může vykonávat NBÚ nebo kterýkoli jiný příslušný orgán;

„dokumentem“ se rozumějí jakékoli zaznamenané informace bez ohledu na jejich fyzickou podobu či povahu;

„snížením stupně utajení“ se rozumí označení informace nižším stupněm utajení;

„utajovanými informacemi EU“ se rozumějí jakékoli informace nebo materiály označené stupněm utajení EU, jejichž neoprávněné vyzrazení by mohlo různou měrou poškodit zájmy Evropské unie nebo jednoho či více členských států – viz čl. 2 písm. f);

„osvědčením o bezpečnostní prověrce zařízení“ se rozumí správní rozhodnutí NBÚ nebo určeného bezpečnostního orgánu, že určité zařízení může z hlediska bezpečnosti zajistit odpovídající úroveň ochrany utajovaných informací EU s určitým stupněm utajení a že personál zařízení, který vyžaduje přístup k utajovaným informacím EU, prošel příslušnou bezpečnostní prověrkou a byl poučen o příslušných bezpečnostních požadavcích nezbytných pro přístup k utajovaným informacím EU a k jejich ochraně;

„nakládáním“ s utajovanými informacemi EU se rozumí veškeré možné činnosti, jejichž předmětem mohou být utajované informace EU během celého svého životního cyklu. Zahrnuje jejich vytváření, zpracovávání, přenášení, snížení a zrušení jejich stupně utajení a ničení. V souvislosti s komunikačními a informačními systémy zahrnuje rovněž jejich shromažďování, zobrazení, přenos a ukládání;

„držitelem“ se rozumí řádně oprávněná osoba, která jednoznačně potřebuje znát utajované informace EU a má v držení utajované informace EU, a je tedy odpovědná za jejich ochranu;

„průmyslovým nebo jiným subjektem“ se rozumí subjekt zapojený do dodávek zboží, provádění prací nebo poskytování služeb; může se jednat o subjekt působící v oblasti průmyslu, obchodu, služeb, vědy, výzkumu, vzdělávání či vývoje nebo o samostatně výdělečně činnou osobu;

„průmyslovou bezpečností“ se rozumí uplatňování opatření k zajištění ochrany utajovaných informací EU ze strany dodavatelů nebo subdodavatelů během jednání před uzavřením utajovaných smluv a během celého životního cyklu utajovaných smluv – viz čl. 9 odst. 1 přílohy A;

„zabezpečením informací“ v oblasti komunikačních a informačních systémů se rozumí jistota, že takové systémy ochrání informace, s nimiž nakládají, a že budou fungovat správně, když jsou zapotřebí, pod dohledem oprávněných uživatelů. Účinné zabezpečení informací zajišťuje příslušnou míru důvěrnosti, integrity, dostupnosti, nepopiratelnosti a autenticity informací. Zabezpečení informací je založeno na procesu řízení rizik – viz čl. 8 odst. 1 přílohy A;

„propojením“ se pro účely tohoto rozhodnutí rozumí přímé spojení dvou nebo více informačních systémů za účelem jednosměrného či vícesměrného sdílení údajů a dalších informačních zdrojů (například komunikace) – viz příloha A IV, bod 31;

„správou utajovaných informací“ se rozumí uplatňování administrativních opatření, která slouží ke kontrole utajovaných informací EU během celého jejich životního cyklu a doplňují opatření stanovená v článcích 5, 6 a 8, a pomáhají tak zabránit úmyslnému či neúmyslnému ohrožení či ztrátě takových informací, zjistit takové ohrožení nebo ztrátu informací a následně zajistit nápravu. Tato opatření se týkají zejména vytváření, evidence, kopírování, překladů, přenášení, ukládání, zpracovávání a ničení utajovaných informací EU – viz čl. 7 odst. 1 přílohy A;

„materiálem“ se rozumí jakýkoli dokument nebo část technického zařízení či vybavení, ať vyhotovené, či v procesu zhotovování;

„původcem“ se rozumí orgán, agentura nebo instituce EU, členský stát, třetí stát nebo mezinárodní organizace, z jejichž pověření byly utajované informace vytvořeny nebo uvedeny do struktur EU;

„personální bezpečností“ se rozumí uplatňování opatření, jež zajistí, že přístup k utajovaným informacím EU je umožněn pouze osobám, které:

viz čl. 5 odst. 1 přílohy A;

„bezpečnostní prověrkou personálu“ pro přístup k utajovaným informacím EU se rozumí prohlášení příslušného orgánu členského státu, které je vydáno po skončení bezpečnostního řízení vedeného příslušnými orgány členského státu a kterým se osvědčuje, že určité osobě může být za podmínky, že bylo zjištěno, že potřebuje znát utajované informace, umožněn přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího) a do konkrétního data; osoba odpovídající tomuto popisu se označuje za „osobu s bezpečnostní prověrkou“;

„osvědčením o bezpečnostní prověrce personálu“ se rozumí osvědčení vydané bezpečnostním orgánem, v němž se uvede, že určitá osoba prošla bezpečnostní prověrkou a je držitelem platného osvědčení o bezpečnostní prověrce, a z něhož je zřejmý stupeň utajení utajovaných informací EU, k nimž může mít tato osoba přístup (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyšší), datum platnosti příslušné bezpečnostní prověrky personálu a den skončení platnosti samotného osvědčení;

„fyzickou bezpečností“ se rozumí uplatňování fyzických a technických ochranných opatření s cílem zabránit neoprávněnému přístupu k utajovaným informacím EU – viz článek 6 přílohy A;

„bezpečnostními pokyny k programu/projektu“ se rozumí seznam bezpečnostních postupů, které se uplatňují u konkrétního programu/projektu s cílem standardizovat bezpečnostní postupy. Tyto pokyny lze revidovat během celé doby trvání programu/projektu;

„evidencí“ se rozumí uplatňování postupů, kterými se zaznamenává životní cyklus informací, včetně jejich distribuce a zničení, viz příloha III, bod 21;

„zbytkovým rizikem“ se rozumí riziko, které přetrvává poté, co byla zavedena bezpečnostní opatření, neboť nelze čelit všem hrozbám a nelze odstranit všechna zranitelná místa;

„rizikem“ se rozumí možnost, že pro účely určité hrozby budou zneužita vnitřní a vnější zranitelná místa organizace nebo kteréhokoli ze systémů, jichž využívá, a dojde tak k poškození organizace a jejích hmotných či nehmotných aktiv. Měří se jako kombinace pravděpodobnosti, že dojde k ohrožením, a jejich dopadu;

„přijetí rizika“ je rozhodnutí, kterým se vyjadřuje souhlas s tím, že po řešení rizika i nadále existuje zbytkové riziko;

„hodnocení rizika“ spočívá v rozpoznání hrozeb a zranitelných míst a v provádění analýzy souvisejícího rizika, tj. analýzy pravděpodobnosti a dopadu;

„sdělování rizika“ spočívá v rozvoji informovanosti o rizicích v rámci skupin uživatelů komunikačních a informačních systémů, v informování schvalovacích orgánů o těchto rizicích a podávání zpráv o těchto rizicích provozním orgánům;

„procesem řízení rizik“ se rozumí celý proces rozpoznávání, kontrolování a minimalizace problematických událostí, které mohou ovlivnit bezpečnost organizace nebo jakýchkoli systémů, které používá. Zahrnuje všechny činnosti týkající se rizik, včetně hodnocení, řešení, přijetí a sdělování;

„řešení rizika“ spočívá ve zmírnění, odstranění a omezení rizika (prostřednictvím vhodné kombinace technických, fyzických, organizačních nebo procedurálních opatření), přenesení rizika nebo monitorování rizika;

„seznamem bezpečnostních požadavků“ se rozumí soubor zvláštních smluvních podmínek vydaný zadavatelem, který je nedílnou součástí kterékoli utajované smlouvy, jejíž plnění vyžaduje přístup k utajovaným informacím EU nebo jejich vytváření, a který stanoví bezpečnostní požadavky nebo části smlouvy vyžadující bezpečnostní ochranu – viz příloha A V, oddíl II;

„příručkou pro stanovení stupně utajení“ se rozumí dokument popisující prvky programu nebo smlouvy, které jsou utajované, přičemž stanoví použitelné stupně utajení. Příručka pro stanovení stupně utajení může být rozšiřována během celé doby trvání programu nebo smlouvy a u jednotlivých prvků informací může dojít ke změně stupně utajení nebo ke snížení stupně utajení; pokud existuje příručka pro stanovení stupně utajení, je součástí seznamu bezpečnostních požadavků – viz příloha A V, oddíl II;

„bezpečnostním řízením“ se rozumějí postupy šetření prováděné příslušným orgánem členského státu v souladu s jeho právními předpisy za účelem získání záruky, že nejsou známy žádné negativní skutečnosti, které by bránily tomu, aby bylo určité osobě vydáno vnitrostátní osvědčení o bezpečnostní prověrce personálu nebo o bezpečnostní prověrce personálu EU pro přístup k utajovaným informacím EU až do konkrétního stupně utajení (CONFIDENTIEL UE/EU CONFIDENTIAL nebo vyššího);

„bezpečnostními provozními postupy“ se rozumí popis provádění bezpečnostní politiky, která má být přijata, provozní postupy, které se mají dodržovat, a odpovědnost personálu;

„prohlášení o bezpečnostních požadavcích pro konkrétní systém“ se rozumí závazný soubor bezpečnostních zásad, které se mají dodržovat, a podrobných bezpečnostních požadavků, které se mají splnit; jsou základem certifikace a akreditace komunikačních a informačních systémů;

„opatřeními TEMPEST“ se rozumí zjišťování, zkoumání a kontrola v souvislosti s kompromitujícím elektromagnetickým vyzařováním a opatření k jeho potlačení;

„hrozbou“ se rozumí možná příčina nežádoucího incidentu, jež může vést k poškození určité organizace nebo jakéhokoli systému, který používá; hrozby mohou být neúmyslné či úmyslné (zlovolné) a vyznačují se ohrožujícími prvky, potenciálními cíli a metodami útoku;

„zranitelným místem“ se rozumí slabé místo jakékoli povahy, které může být zneužito pro účely jedné nebo několika hrozeb; zranitelnost může být výsledkem opomenutí nebo může souviset s nedostatky v rámci kontrol, pokud jde o jejich intenzitu, úplnost nebo důslednost, a může být technické, procedurální, fyzické, organizační nebo provozní povahy.