1.

Dette bilag indeholder bestemmelserne til gennemførelse af afgørelsens artikel 7.

2.

For så vidt som det vedrører Domstolens justitssekretær, tilkommer det denne i det omfang, det er strengt nødvendigt, at identificere de stillinger, der forudsætter adgang til FIDUCIA-informationer, og som følgelig kræver, at de tjenestemænd og øvrige ansatte, der bestrider de pågældende stillinger, får tilladelse til at få adgang til FIDUCIA-informationer.

3.

Med henblik på tildelingen af en tilladelse til at få adgang til FIDUCIA-informationer sender FIDUCIA-kontoret det sikkerhedsspørgeskema, som den pågældende tjenestemand eller øvrige ansatte har udfyldt, til den nationale sikkerhedsmyndighed i den medlemsstat, hvor den pågældende er statsborger, eller til enhver anden kompetent national myndighed, der er identificeret i de regler, som finder anvendelse inden for EU-institutionerne på området for beskyttelse af EUC (herefter »den kompetente NSA«), og anmoder om, at der gennemføres en sikkerhedsundersøgelse for klassifikationsgraden SECRET UE/EU SECRET.

4.

Efter gennemførelsen af sikkerhedsundersøgelsen, som er underlagt de gældende love og forskrifter i den pågældende medlemsstat, skal den kompetente NSA underrette FIDUCIA-kontoret om konklusionerne af den omhandlede undersøgelse.

5.

Når den kompetente NSA efter gennemførelsen af sikkerhedsundersøgelsen har fået bekræftelse på, at der ikke foreligger negative oplysninger, som kan rejse tvivl om den pågældendes loyalitet, troværdighed og pålidelighed, kan den kompetente ansættelsesmyndighed give personen tilladelse til at få adgang til FIDUCIA-informationer.

6.

Når den i punkt 5 omhandlede bekræftelse ikke foreligger efter gennemførelsen af sikkerhedsundersøgelsen, underretter den kompetente ansættelsesmyndighed den berørte person herom. I et sådant tilfælde kan FIDUCIA-kontoret efter instruks fra den kompetente ansættelsesmyndighed anmode den kompetente NSA om alle de supplerende nærmere oplysninger, som denne kan give i overensstemmelse med de nationale love og forskrifter. Såfremt resultatet af sikkerhedsundersøgelsen bekræftes, tildeles der ikke autorisation til at få adgang til FIDUCIA-informationer.

7.

Autorisationen til at få adgang til FIDUCIA-informationer er gyldig i fem år. Den inddrages, når den pågældende person fratræder den stilling, der forudsætter adgang til FIDUCIA-informationer, eller når den kompetente ansættelsesmyndighed finder, at der foreligger grunde til inddragelse af autorisationen.

8.

Autorisationen til at få adgang til FIDUCIA-informationer kan fornyes i overensstemmelse med den i punkt 3-5 omhandlede procedure.

9.

FIDUCIA-kontoret fører et register over autorisationerne til at få adgang til FIDUCIA-informationer.

10.

Hvis FIDUCIA-kontoret får kendskab til oplysninger om, at en person, der er i besiddelse af en autorisation til at få adgang til FIDUCIA-informationer, udgør en sikkerhedsrisiko, underretter FIDUCIA-kontoret den kompetente NSA herom, og den kompetente NSA kan suspendere adgangen til FIDUCIA-informationer eller inddrage autorisationen til at få adgang til disse informationer.

11.

I hastetilfælde kan den kompetente ansættelsesmyndighed, efter samråd med den kompetente NSA og med forbehold af resultatet af en foreløbig kontrol for at undersøge, at der ikke er konstateret negative oplysninger, give de pågældende tjenestemænd og øvrige ansatte en midlertidig autorisation til at få adgang til FIDUCIA-informationer. Sådanne midlertidige autorisationer er gyldige, indtil den i punkt 3-5 omhandlede procedure er afsluttet, idet gyldigheden dog ikke må overstige seks måneder fra den dato, hvor anmodningen om en sikkerhedsundersøgelse blev indgivet til den kompetente NSA.

12.

De personer, der er autoriserede til at få afgang til FIDUCIA-informationer, skal inden tildelingen heraf modtage en uddannelse, der har til formål at gøre dem i stand til at påtage sig deres ansvar i håndteringen af FIDUCIA-informationerne. Autorisationen til at få adgang til FIDUCIA-informationer får først virkning efter denne uddannelse og efter indgivelse af en skriftlig ansvarsbekræftelse.

1.

Dette bilag indeholder bestemmelserne til gennemførelse af afgørelsens artikel 8. Det fastsætter mindstekravene til den fysiske beskyttelse af FIDUCIA-kontorets lokaler, hvor FIDUCIA-informationerne håndteres og opbevares.

2.

De fysiske sikkerhedsforanstaltninger udformes med henblik på at forhindre uautoriseret adgang til FIDUCIA-informationerne ved:

3.

De fysiske sikkerhedsforanstaltninger udvælges på grundlag af en vurdering af truslen mod FIDUCIA-informationerne. Disse foranstaltninger skal tage hensyn til omgivelserne og strukturen af FIDUCIA-kontorets lokaler. Sikkerhedsmyndigheden fastlægger den grad af sikkerhed, som skal opnås for hver af de følgende fysiske foranstaltninger:

4.

Der oprettes sikrede lokaler med henblik på opbevaringen og konsultationen af FIDUCIA-informationerne. FIDUCIA-informationerne kan kun opbevares og konsulteres i de af FIDUCIA-kontorets lokaler, som til fulde opfylder de regler, der finder anvendelse inden for EU-institutionerne på området for beskyttelse af EUCI.

5.

I disse lokaler sikres opbevaringen af FIDUCIA-informationerne i sikkerhedscontainere, som ligeledes til fulde opfylder de regler, der finder anvendelse inden for EU-institutionerne på området for beskyttelse af EUCI.

6.

Der kan ikke medbringes noget kommunikationsudstyr (telefoner eller andet elektronisk udstyr) i FIDUCIA-kontorets lokaler.

7.

FIDUCIA-kontorets møderum er beskyttet mod aflytning. Det skal regelmæssigt underkastes en elektroniksikkerhedsinspektion.

8.

Adgangen til FIDUCIA-kontorets lokaler kontrolleres ved hjælp af en videoovervåget identifikationssluse.

9.

De personer, der er autoriseret til at få adgang til FIDUCIA-informationer, og de personer, som anses for at være autoriseret, kan få adgang til FIDUCIA-kontorets lokaler for at konsultere FIDUCIA-informationer under de betingelser, der er fastsat i denne afgørelses artikel 7, stk. 1 og 2.

10.

Sikkerhedsmyndigheden kan undtagelsesvis udstede en adgangsautorisation til ikke-autoriserede personer, hvis intervention i FIDUCIA-kontorets lokaler er nødvendig, under forbehold af at adgangen til disse lokaler ikke indebærer en adgang til FIDUCIA-informationerne, som skal forblive ude af syne i sikkerhedscontainerne. Disse personers adgang kan kun ske under ledsagelse og konstant overvågning af en medarbejder fra FIDUCIA-kontoret, der er autoriseret til at få adgang til FIDUCIA-informationer.

11.

Enhver adgang til FIDUCIA-kontorets lokaler skal føres ind i et adgangsregister. Dette register føres fra en arbejdsstation, der befinder sig i disse lokaler. Det hertil anvendte informations- og kommunikationsudstyr skal opfylde de sikkerhedskrav, som er fastsat i afgørelsens artikel 10 og i bilag IV.

12.

De beskyttelsesforanstaltninger, der regulerer den skriftlige brug af FIDUCIA-informationerne, finder anvendelse i tilfælde af mundtlig brug af disse informationer.

13.

Sikkerhedsmyndigheden fastsætter procedurerne for forvaltning af nøglerne og koderne til FIDUCIA-kontorets lokaler og til sikkerhedscontainere. Sådanne procedurer skal beskytte mod uautoriseret adgang.

14.

Koderne skal læres udenad af det mindst mulige antal personer, der har behov for at kende dem. Koder til sikkerhedscontainere, hvor der opbevares FIDUCIA-informationer, skal ændres:

15.

Det tekniske udstyr til fysisk beskyttelse af FIDUCIA-informationerne skal opfylde de regler, der finder anvendelse inden for EU-institutionerne på området for beskyttelse af EUCI. Sikkerhedsmyndigheden er ansvarlig for, at disse regler iagttages.

16.

Det tekniske udstyr skal inspiceres med jævne mellemrum, og udstyret skal vedligeholdes regelmæssigt. Vedligeholdelsesarbejdet skal tage hensyn til resultatet af inspektionerne for at sikre, at udstyret fortsat fungerer optimalt.

17.

Effektiviteten af de forskellige sikkerhedsforanstaltninger og af det samlede sikkerhedssystem skal reevalueres ved hver inspektion.

1.

Dette bilag indeholder bestemmelserne til gennemførelse af afgørelsens artikel 9. Det fastsætter de administrative foranstaltninger til beskyttelse af FIDUCIA-informationerne under hele sagen ved Domstolen og til kontrol af disse informationer for at bidrage til at forhindre og afsløre forsætlig eller uagtsom kompromittering eller tab af sådanne informationer.

2.

Der oprettes et register over FIDUCIA-informationerne. FIDUCIA-kontoret fører dette register fra en arbejdsstation, der befinder sig i FIDUCIA-kontorets lokaler. Det informations- og kommunikationsudstyr, der anvendes til at føre dette register, skal opfylde de sikkerhedskrav, som er fastsat i afgørelsens artikel 10 og i bilag IV.

3.

I denne afgørelse forstås ved sikkerhedsregistrering (herefter »registrering«) anvendelse af procedurer, som registrerer en FIDUCIA-informations livscyklus, herunder dens destruktion.

4.

Registreringen af FIDUCIA-informationerne varetages af FIDUCIA-kontoret.

5.

FIDUCIA-kontoret tildeler automatisk FIDUCIA-mærkningen til de oplysninger eller dokumenter, der er fremlagt i henhold til artikel 105, stk. 1 eller 2, i Rettens procesreglement. FIDUCIA-kontoret registrerer FIDUCIA-informationen i registret over FIDUCIA-informationerne.

6.

FIDUCIA-kontoret udarbejder en rapport, der vedlægges som bilag i registret over FIDUCIA-informationerne, idet betingelserne for modtagelse af informationen skal præciseres. Sidstnævnte opbevares herefter i henhold til den fremgangsmåde, som er fastsat i det foregående punkt.

7.

Registreringen, i overensstemmelse med punkt 5 og 6, af FIDUCIA-informationen i registret over FIDUCIA-informationerne berører ikke den processuelle registrering, der foretages af de personer, som er autoriseret til at få adgang til FIDUCIA-informationer på Justitskontoret.

8.

Når en EUCI eller enhver anden information, om hvilken det er blevet anført, at en videregivelse heraf vil bringe Unionens eller en eller flere af dens medlemsstaters sikkerhed eller varetagelsen af deres internationale forbindelser i fare, fremlægges inden for rammerne af artikel 105, stk. 1 eller 2, i Rettens procesreglement, tildeles FIDUCIA-mærkningen af FIDUCIA-kontoret.

9.

FIDUCIA-mærkningen skal være klart og korrekt angivet på hver del af dokumentet, uanset hvilket format informationen har: papirformat, lydformat, elektronisk format, m.m.

10.

Kun en person, der er autoriseret til at få adgang til FIDUCIA-informationer, eller en person, som anses for at være autoriseret, kan udarbejde en FIDUCIA-information som præciseret i denne afgørelses artikel 4, stk. 2 og 3.

11.

FIDUCIA-kontoret skal registrere enhver udarbejdet FIDUCIA-information i registret over FIDUCIA-informationerne.

12.

En udarbejdet FIDUCIA-information er underlagt samtlige regler vedrørende håndteringen af FIDUCIA-informationerne, således som disse regler er fastsat i denne afgørelse og i bilagene hertil.

13.

FIDUCIA-informationerne fortaber deres mærkning i de følgende to tilfælde:

14.

Sletningen af FIDUCIA-mærkningen foretages af FIDUCIA-kontoret, som registrerer denne sletning i registret over FIDUCIA-informationerne.

15.

Sletningen af FIDUCIA-mærkningen indebærer ikke, at EUCI'erne afklassificeres.

16.

FIDUCIA-informationerne må ikke kopieres, medmindre genparterne er nødvendige. I sidstnævnte tilfælde foretages kopieringen af FIDUCIA-kontoret, som nummererer og registrerer genparterne.

17.

Genparterne er underlagt samtlige de sikkerhedsregler, der er fastsat i denne afgørelse og i bilagene hertil.

18.

Når de oplysninger eller dokumenter, som er blevet fremlagt i henhold til artikel 105, stk. 1 eller 2, i Rettens procesreglement, er blevet returneret til den hovedpart, der har fremlagt dem, bliver alle de informationer, som helt eller delvist gengiver indholdet af sådanne oplysninger eller dokumenter, og alle eventuelt udarbejdede genparter destrueret.

19.

Den i punkt 18 omhandlede destruktion af FIDUCIA-informationerne varetages af FIDUCIA-kontoret, der skal anvende de metoder, som opfylder de gældende regler inden for EU-institutionerne på området for beskyttelse af EUCI, for at forhindre en fuldstændig eller delvis rekonstruktion heraf.

20.

Den i punkt 18 omhandlede destruktion af FIDUCIA-informationerne foretages i overværelse af et vidne, der er autoriseret til at få adgang til FIDUCIA-informationer.

21.

FIDUCIA-kontoret udarbejder en destruktionsattest.

22.

Destruktionsattesten vedlægges registret over FIDUCIA-informationerne. En genpart heraf fremsendes til den hovedpart, som har fremlagt det pågældende dokument.

1.

Dette bilag indeholder bestemmelserne til gennemførelse af artikel 10.

2.

FIDUCIA-informationerne må kun håndteres på elektroniske apparater (arbejdsstationer, printere, fotokopimaskiner), der ikke er forbundet med it-netværket, og som er placeret i FIDUCIA-kontorets lokaler.

3.

De elektroniske apparater, der anvendes til håndteringen af FIDUCIA-informationerne, skal opfylde de gældende regler inden for EU-institutionerne på området for beskyttelse af EUCI. Disse apparaters sikkerhed skal sikres under hele deres livscyklus.

4.

Enhver mulig forbindelse til internettet og andre værktøjer (LAN, WLAN, Bluetooth, osv.) slås permanent fra.

5.

Arbejdsstationerne skal være udstyret med en passende antivirus-beskyttelse. Antivirus-opdateringen skal ske ved hjælp af en cd-rom eller en USB-nøgle, der udelukkende må anvendes hertil.

6.

Printernes og fotokopimaskinernes hukommelse skal slettes før ethvert vedligeholdelsesarbejde.

7.

Til behandlingen af de i bilag I omhandlede undersøgelsesanmodninger må der alene anvendes kryptografiske produkter, som er godkendt i overensstemmelse med de gældende regler inden for EU-institutionerne på området for beskyttelse af EUCI.

1.

Dette bilag indeholder bestemmelserne til gennemførelse af artikel 11.

2.

Kontrahenternes adgang til FIDUCIA-informationerne kan kun ske i forbindelse med vedligeholdelsen af de fra it-netværket isolerede informations- og kommunikationssystemer eller i forbindelse med et indgreb, der gør det nødvendigt hurtigt at flytte FIDUCIA-informationerne med henblik på at anbringe dem et sikkert sted.

3.

Sikkerhedsmyndigheden udarbejder retningslinjerne på området for intervention udefra, der særligt omfatter sikkerhedsgodkendelsen af kontrahenternes personale og indholdet af de kontrakter, som er omhandlet i dette bilag.

4.

De dokumenter, der vedrører udbuddet, og kontrakten vedrørende vedligeholdelse af de fra it-netværket isolerede informations- og kommunikationssystemer påtegnes FIDUCIA-mærkningen, når de indeholder informationer, hvis uautoriserede videregivelse kan bringe Unionens eller en eller flere af dens medlemsstaters sikkerhed eller varetagelsen af deres internationale forbindelser i fare. Denne kontrakts bilag vedrørende sikkerhed skal indeholde bestemmelser, der pålægger kontrahenten at overholde de i denne afgørelse anførte minimumsstandarder. Manglende iagttagelse af disse minimumsstandarder kan udgøre en tilstrækkelig begrundelse for opsigelse af kontrakten.

5.

Den kontrakt, som indebærer indgreb, der gør det nødvendigt hurtigt at flytte FIDUCIA-informationerne med henblik på at anbringe dem et sikkert sted, skal indeholde en angivelse af antallet af sikkerhedsfolk, som skal være i besiddelse af en personalesikkerhedsgodkendelse. Den skal ikke indeholde nogen nærmere angivelse af de procedurer, der skal gennemføres. Denne kontrakt påtegnes ikke FIDUCIA-mærkningen.

6.

Kontrahenten kan ikke udlicitere aktiviteter, der er fastsat i udbuddet og i den kontrakt, som indebærer eller forudsætter en adgang til FIDUCIA-informationerne.