1.   I denne afgørelse fastsættes gennemførelsesbestemmelser om industrisikkerhed for så vidt angår klassificerede tilskud i overensstemmelse med afgørelse (EU, Euratom) 2015/444, særlig kapitel 6 deri.

2.   I denne afgørelse fastsættes specifikke krav til sikkerhedsbeskyttelse af EU-klassificerede informationer (EUCI) i offentliggørelsen af indkaldelser, og ved tildeling af tilskud og gennemførelse af klassificerede tilskudsaftaler indgået af Europa-Kommissionen.

3.   Denne afgørelse finder anvendelse på tilskud, som vedrører informationer med følgende klassifikationsgrader:

4.   Denne afgørelse finder anvendelse, uden at det berører specifikke regler fastlagt i andre retsakter, som dem vedrørende programmet for udvikling af den europæiske forsvarsindustri.

1.   Som en del af den tilskudsgivende myndigheds anvisningsberettigedes ansvar, jf. Europa-Parlamentets og Rådets forordning (EU, Euratom) 2018/1046, skal den pågældende anvisningsberettigede sikre, at det klassificerede tilskud følger afgørelse (EU, Euratom) 2015/444 og gennemførelsesbestemmelserne dertil.

2.   Med henblik herpå søger den pågældende anvisningsberettigede i alle faser rådgivning hos Kommissionens sikkerhedsmyndighed om spørgsmål vedrørende sikkerhedsaspekterne ved den klassificerede tilskudsaftale, det klassificerede program eller projekt og underretter den lokale sikkerhedsansvarlige om de klassificerede tilskudsaftaler, der er indgået. Ansvaret for beslutningen om klassifikationsgraden for hvert enkelt emne ligger hos den tilskudsgivende myndighed og træffes under behørigt hensyn til klassifikationsvejledningen (SCG'en).

3.   Når program- eller projektsikkerhedsinstruktioner, jf. artikel 5, stk. 3, finder anvendelse, udøver den tilskudsgivende myndighed og Kommissionens sikkerhedsmyndighed de beføjelser, der er tildelt dem i disse instruktioner.

4.   Under hensyntagen til kravene i nærværende gennemførelsesbestemmelser arbejder Kommissionens sikkerhedsmyndighed tæt sammen med de nationale sikkerhedsmyndigheder (NSA'er) og de udpegede sikkerhedsmyndigheder (DSA'er) i de pågældende medlemsstater, navnlig hvad angår facilitetssikkerhedsgodkendelser (FSC'er), personelsikkerhedsgodkendelser (PSC'er), besøgsprocedurer og transportplaner.

5.   Når tilskud forvaltes af EU's forvaltningsorganer eller andre finansieringsorganer, og de specifikke regler fastlagt i andre retsakter, jf. artikel 1, stk. 4, ikke finder anvendelse:

1.   Klassificerede dele af tilskuddene gennemføres udelukkende af tilskudsmodtagere, som er registreret i en medlemsstat, eller tilskudsmodtagere, som er registreret i et tredjeland eller oprettet af en international organisation, under forudsætning af at det pågældende tredjeland eller den pågældende internationale organisation har indgået en aftale om informationssikkerhed med Unionen eller en administrativ ordning med Kommissionen (8).

2.   Inden der iværksættes et udbud om indgåelse af et klassificeret tilskud, fastsætter den tilskudsgivende myndighed klassifikationsgraden for de informationer, som måtte blive videregivet til ansøgerne. Den tilskudsgivende myndighed fastsætter også den højeste klassifikationsgrad for informationer, som frembringes i forbindelse med opfyldelsen af tilskudsaftalen, programmet eller projektet, eller som minimum den forventede mængde og type informationer, som produceres eller håndteres, og om der er behov for et klassificeret kommunikations- og informationssystem (CIS).

3.   Den tilskudsgivende myndighed sikrer, at udbudsbekendtgørelser vedrørende klassificerede tilskud omfatter oplysninger om de særlige sikkerhedsmæssige forpligtelser, der skal opfyldes i forbindelse med klassificerede informationer. Udbudsdokumenterne skal indeholde præciseringer af tidslinjen for tilskudsmodtageres indhentelse af FSC'er, når det kræves. Bilag I og II indeholder forslag til skabeloner til oplysningerne vedrørende udbudsbetingelserne.

4.   Den tilskudsgivende myndighed sikrer, at informationer klassificeret RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET først gøres tilgængelige for ansøgerne, når de har underskrevet en fortrolighedsaftale, som forpligter ansøgerne til at håndtere og beskytte EUCI i henhold til afgørelse (EU, Euratom) 2015/444, gennemførelsesbestemmelserne dertil og gældende nationale regler.

5.   Hvis RESTREINT UE/EU RESTRICTED-informationer skal videregives til ansøgere, indarbejdes minimumskravene i artikel 5, stk. 7, i nærværende afgørelse i udbuddet eller i de fortrolighedsaftaler, der indgås i forslagsfasen.

6.   Alle ansøgere og tilskudsmodtagere, som skal håndtere eller lagre informationer klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET på deres faciliteter, enten i forbindelse med forslagsfasen eller i forbindelse med opfyldelsen af den klassificerede tilskudsaftale, skal være i besiddelse af en FSC på det krævede niveau, undtagen i de i stk. 9 nævnte tilfælde. Følgende beskriver de tre scenarier, der kan opstå i forbindelse med forslagsfasen for et klassificeret tilskud, som omfatter EUCI med klassifikationsgraden CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET:

7.   I princippet bør der ikke kræves en FSC eller PSC for at få adgang til RESTREINT UE/EU RESTRICTED-informationer, hverken i forslagsfasen eller i forbindelse med opfyldelse af tilskudsaftalen. Hvis en medlemsstat kræver en FSC eller PSC i forbindelse med tilskudsaftaler eller underkontrakter med klassifikationsgraden RESTREINT UE/EU RESTRICTED i henhold til medlemsstatens nationale love og forskrifter, jf. bilag IV, må disse nationale krav ikke medføre yderligere forpligtelser for andre medlemsstater eller ekskludere ansøgere, tilskudsmodtagere eller underkontrahenter fra medlemsstater, som ikke stiller sådanne FSC- eller PSC-krav for adgang til RESTREINT UE/EU RESTRICTED-informationer, i forbindelse med relaterede tilskudsaftaler eller underkontrakter eller en udbudsprocedure vedrørende sådanne. Sådanne kontrakter opfyldes i medlemsstaterne i henhold til de nationale love og forskrifter.

8.   Hvis der kræves en FSC til håndtering af et udbud og opfyldelse af en klassificeret tilskudsaftale, fremsender den tilskudsgivende myndighed, gennem Kommissionens sikkerhedsmyndighed, en anmodning til tilskudsmodtagerens NSA eller DSA i form af et FSC-oplysningsskema eller tilsvarende i elektronisk form. Bilag III, tillæg D, indeholder et eksempel på et FSC-oplysningsskema (9). Der gives så vidt muligt svar på fremsendelsen af et FSC-oplysningsskema inden for ti arbejdsdage fra anmodningsdatoen.

9.   Hvis en medlemsstats regeringsinstitutioner eller institutioner, der er under tilsyn af deres regering, deltager i klassificerede tilskud, som kræver FSC'er, og hvis FSC'er ikke udstedes for disse institutioner i henhold til medlemsstatens nationale love, verificerer den tilskudsgivende myndighed, gennem Kommissionens sikkerhedsmyndighed, hos den pågældende NSA eller DSA, om disse regeringsinstitutioner kan håndtere EUCI på det krævede niveau.

10.   Hvis der kræves en PSC til opfyldelse af en klassificeret tilskudsaftale, og hvis en FSC i henhold til de nationale regler er nødvendig, før en PSC tildeles, forhører den tilskudsgivende myndighed sig hos tilskudsmodtagerens NSA eller DSA, gennem Kommissionens sikkerhedsmyndighed, i form af et FSC-oplysningsskema, om tilskudsmodtageren er i besiddelse af en FSC, eller om FSC-processen er i gang. Her fremsætter Kommissionen ikke anmodninger om PSC'er, i form af et PSC-oplysningsskema.

1.   De betingelser, hvorpå tilskudsmodtagere kan udbyde i projektopgaver i underentreprise, som omfatter EUCI, fastsættes i udbuddet og i tilskudsaftalen. Nævnte betingelser skal sikre, at alle FSC-oplysningsskemaer fremsendes gennem Kommissionens sikkerhedsmyndighed. Underentreprise kræver, at den tilskudsgivende myndighed forud herfor giver skriftligt samtykke hertil. Underentrepriser skal efterkomme den grundlæggende retsakt om programmets oprettelse, hvis det er relevant.

2.   Klassificerede dele af tilskuddene udbydes udelukkende i underentreprise til enheder, som er registreret i en medlemsstat, eller enheder, som er registreret i et tredjeland eller oprettet af en international organisation, under forudsætning af at det pågældende tredjeland eller den pågældende internationale organisation har indgået en aftale om informationssikkerhed med Unionen eller en administrativ ordning med Kommissionen (10).

1.   Ved tildelingen af et klassificeret tilskud sikrer den tilskudsgivende myndighed sammen med Kommissionens sikkerhedsmyndighed, at tilskudsmodtagernes forpligtelser for så vidt angår sikkerhedsbeskyttelse af EUCI, der anvendes eller frembringes i forbindelse med opfyldelse af tilskudsaftalen er indarbejdet i tilskudsaftalen. Tilskudsspecifikke sikkerhedskrav fremgår af de særlige sikkerhedsbetingelser (SAL). Bilag III indeholder et forslag til en SAL-skabelon.

2.   Inden den tilskudsgivende myndighed underskriver et klassificeret tilskud, godkender den en klassifikationsvejledning (SCG) med henblik på de opgaver, der skal udføres, og de informationer, der frembringes i forbindelse med opfyldelsen af tilskuddet, programmet eller projektet. SCG'en skal indgå i SAL.

3.   Program- eller projektspecifikke sikkerhedskrav fastlægges i en program- eller projektsikkerhedsinstruktion (PSI). PSI'en kan udarbejdes ved hjælp af bestemmelserne i SAL-skabelonen i bilag III. PSI'en udarbejdes af den Kommissionstjenestegren, der forvalter programmet eller projektet, i tæt samarbejde med Kommissionens sikkerhedsmyndighed og forelægges Kommissionens sikkerhedsekspertgruppe med henblik på rådgivning. Hvis en tilskudsaftale er en del af et program eller et projekt, der har sin egen PSI, udarbejdes tilskudsaftalens SAL i forenklet form med en henvisning til sikkerhedsbestemmelserne i programmets eller projektets PSI.

4.   Undtagen i de i artikel 3, stk. 9, nævnte tilfælde underskrives den klassificerede tilskudsaftale først, når ansøgerens NSA eller DSA har bekræftet, at ansøgeren er i besiddelse af en FSC, eller, hvis den klassificerede tilskudsaftale tildeles et konsortium, først når mindst én ansøgers NSA eller DSA, inden for konsortiet, eller flere om nødvendigt, har bekræftet, at ansøgeren er i besiddelse af en FSC.

5.   I princippet, og medmindre andet er fastsat i andre relevante regler, anses den tilskudsgivende myndighed for at være udstederen af EUCI, der frembringes i forbindelse med opfyldelsen af tilskudsaftalen.

6.   Den tilskudsgivende myndighed underretter via Kommissionens sikkerhedsmyndighed alle tilskudsmodtageres og underkontrahenters NSA'er/DSA'er om indgåelsen af klassificerede tilskudsaftaler eller underkontrakter samt forlængelser eller førtidig afslutning af sådanne tilskudsaftaler eller underkontrakter. Bilag IV indeholder en liste over nationale krav.

7.   Tilskudsaftaler, som omfatter informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, skal indeholde en sikkerhedsklausul, der gør bestemmelserne i bilag III, tillæg E, bindende for tilskudsmodtagerne. Sådanne kontrakter skal indeholde SAL, der som minimum fastsætter kravene til håndtering af RESTREINT UE/EU RESTRICTED-informationer, herunder krav vedrørende informationssikring og specifikke krav, som skal opfyldes af tilskudsmodtagere, til akkreditering af deres CIS, der håndterer RESTREINT UE/EU RESTRICTED-informationer.

8.   Hvis det kræves i henhold til de nationale love og forskrifter i en medlemsstat, sikrer NSA'en eller DSA'en, at tilskudsmodtagere og underkontrahenter under dennes jurisdiktion overholder de gældende sikkerhedsbestemmelser vedrørende sikkerhedsbeskyttelsen af RESTREINT UE/EU RESTRICTED-informationer, og gennemfører kontrolbesøg på tilskudsmodtagerens eller underkontrahentens faciliteter på medlemsstatens område. Hvis NSA'en eller DSA'en ikke er forpligtet hertil, sikrer den tilskudsgivende myndighed, at tilskudsmodtageren implementerer de krævede sikkerhedsbestemmelser som fastsat i bilag III, tillæg E.

1.   Den tilskudsgivende myndighed sikrer, at klassificerede tilskudsaftaler indeholder bestemmelser om, at en tilskudsmodtagers eller underkontrahents ansatte, der med henblik på opfyldelsen af den klassificerede tilskudsaftale eller underentreprisekontrakt har behov for adgang til EUCI, kun indrømmes adgang, hvis:

2.   Adgang til EUCI skal også ske i overensstemmelse med den grundlæggende retsakt om programmets oprettelse og under hensyntagen til yderligere mærkninger, som defineret i SCG'en, hvis det er relevant.

3.   Hvis en tilskudsmodtager eller underkontrahent ønsker at ansætte en ikke-EU-borger i en stilling, som kræver adgang til EUCI, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, er det tilskudsmodtagerens eller underkontrahentens ansvar at igangsætte proceduren for sikkerhedsgodkendelse af den pågældende person i overensstemmelse med de nationale love og forskrifter, der gælder for den facilitet, hvor der skal gives adgang til EUCI.

1.   Hvis eksterne deltagere (eksperter) er involverede i kontrol, gennemgang eller revision foretaget af den tilskudsgivende myndigheder eller i performancevurderinger af tilskudsmodtagere, som skal have adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, tildeles de kun en kontrakt, hvis de har en PSC på det relevante niveau udstedt af deres respektive NSA eller DSA eller en anden kompetent sikkerhedsmyndigheder. Den tilskudsgivende myndighed undersøger og anmoder, hvis det er relevant, via Kommissionens sikkerhedsmyndighed, NSA'en eller DSA'en om at indlede screeningsprocedurer med henblik på eksperter mindst seks måneder før, deres respektive kontrakter træder i kraft.

2.   Inden eksperterne underskriver deres kontrakt, bliver de orienteret om reglerne og procedurerne for sikkerhedsbeskyttelse af EUCI og har anerkendt deres ansvar med hensyn til beskyttelse af sådanne informationer.

1.   Hvis den tilskudsgivende myndighed, eksperter, tilskudsmodtagere eller underkontrahenter skal have adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, på hinandens lokaliteter med henblik på opfyldelse af en klassificeret tilskudsaftale, arrangeres sådanne besøg i samråd med de pågældende NSA'er eller DSA'er eller en anden kompetent sikkerhedsmyndighed.

2.   Der gælder følgende krav i forbindelse med de i stk. 1 omhandlede besøg:

1.   Tilskudsmodtageres eller underkontrahenters besøg på andre tilskudsmodtageres eller underkontrahenters lokaliteter, som indebærer adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, arrangeres efter følgende procedure:

2.   Den tilskudsgivende myndigheds tjenestemænds, eksperters eller revisorers besøg på tilskudsmodtageres eller underkontrahenters faciliteter, som indebærer adgang til informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL eller SECRET UE/EU SECRET, arrangeres efter følgende procedure:

3.   En besøgsanmodning kan dække et enkelt eller gentagne besøg. Hvis der er tale om gentagne besøg, kan besøgsanmodningen gælde i op til et år fra den anmodede startdato.

4.   En besøgsanmodnings gyldighedsperiode kan ikke gå ud over gyldighedsperioden for den besøgendes PSC.

5.   Som hovedregel indgives en besøgsanmodning til de kompetente sikkerhedsmyndigheder for den facilitet, som skal besøges, senest 15 arbejdsdage før dagen for besøget.

1.   For at en besøgende gives adgang til EUCI skal sikkerhedskontoret på den facilitet, som besøges, overholde alle besøgsrelaterede sikkerhedsprocedurer og -regler som fastsat af facilitetens NSA eller DSA.

2.   Besøgende dokumenterer deres identitet ved ankomsten til den facilitet, som besøges, ved fremvisning af gyldigt ID-kort eller pas. Identifikationsoplysningerne skal svare til de oplysninger, der er angivet i besøgsanmodningen.

3.   Den facilitet, som besøges, sikrer, at alle besøgende registreres, herunder med navn, den organisation, de repræsenterer, udløbsdatoen for PSC'en, datoen for besøget og navnene på de personer, der besøges. Sådanne optegnelser opbevares i en periode på mindst fem år, eller længere såfremt det kræves i henhold til nationale regler og forskrifter i det land, hvor den facilitet, der besøges, er beliggende.

1.   I forbindelse med specifikke projekter kan de relevante NSA'er eller DSA'er og Kommissionens sikkerhedsmyndighed aftale en procedure, hvorved besøg vedrørende et specifikt tilskud kan arrangeres direkte mellem den besøgendes sikkerhedsansvarlige og den sikkerhedsansvarlige for den facilitet, som skal besøges. Bilag III, tillæg C, indeholder en skabelon til besøgsanmodningen, som anvendes med henblik herpå. En sådan særlig procedure fastlægges i PSI'en eller andre særlige ordninger. I sådanne tilfælde finder procedurerne i artikel 9 og artikel 10, stk. 1, ikke anvendelse.

2.   Besøg, som indebærer adgang til informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, arrangeres direkte mellem den facilitet, der sender den besøgende, og den facilitet, der skal besøges, idet det ikke er nødvendigt at følge procedurerne i artikel 9 og artikel 10, stk. 1.

1.   Elektronisk håndtering og transmission af EUCI foretages i overensstemmelse med bestemmelserne i kapitel 5 og 6 i afgørelse (EU, Euratom) 2015/444 og gennemførelsesbestemmelserne dertil.

Kommunikations- og informationssystemer, som ejes af en tilskudsmodtager og bruges til at håndtere EUCI i forbindelse med opfyldelsen af tilskudsaftalen (tilskudsmodtagerens CIS) akkrediteres af den ansvarlige sikkerhedsakkrediteringsmyndighed (SAA). Elektroniske transmissioner af EUCI beskyttes af kryptoprodukter, der er godkendt i overensstemmelse med artikel 36, stk. 4, i afgørelse (EU, Euratom) 2015/444. Der gennemføres TEMPEST-foranstaltninger i henhold til artikel 36, stk. 6, i nævnte afgørelse.

2.   Sikkerhedsakkrediteringen af en tilskudsmodtagers CIS, som bruges til at håndtere EUCI med klassifikationsgraden RESTREINT UE/EU RESTRICTED og eventuelle sammenkoblinger kan uddelegeres til en tilskudsmodtagers sikkerhedsansvarlige, såfremt dette er tilladt i henhold til nationale love og forskrifter. Hvis denne opgave er uddelegeret, er tilskudsmodtageren ansvarlig for at gennemføre de minimumssikkerhedskrav, der er beskrevet i SAL, når RESTREINT UE/EU RESTRICTED-informationer håndteres af dennes CIS. De relevante NSA'er eller DSA'er og SAA'er har imidlertid stadig ansvaret for at sikkerhedsbeskytte RESTREINT UE/EU RESTRICTED-informationer, som håndteres af tilskudsmodtageren, samt retten til at kontrollere de sikkerhedsforanstaltninger, som tilskudsmodtageren har truffet. Desuden afleverer tilskudsmodtageren en erklæring til den tilskudsgivende myndighed og, såfremt det kræves i henhold til nationale love og forskrifter, den kompetente nationale SAA, som certificerer, at tilskudsmodtagerens CIS og relaterede sammenkoblinger er akkrediteret til håndtering af EUCI med klassifikationsgraden RESTREINT UE/EU RESTRICTED (11).

1.   Håndbåren transport af klassificerede informationer er underlagt strenge sikkerhedskrav.

2.   Håndbåren transport af RESTREINT UE/EU RESTRICTED-informationer, må udføres af tilskudsmodtagerens ansatte inden for EU, forudsat at følgende krav er opfyldt:

3.   Håndbåren transport af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET, kan udføres af tilskudsmodtagerens ansatte inden for en EU-medlemsstat og arrangeres på forhånd mellem den facilitet, der sender informationerne, og den facilitet, der skal modtage informationerne. Den myndighed eller facilitet, der sender informationerne, meddeler den myndighed eller facilitet, der modtager informationerne, de nærmere oplysninger om forsendelsen, herunder referencenummer, klassifikation, forventet ankomsttidspunkt og kurerens navn. Sådan håndbåren transport er tilladt, forudsat at følgende krav er opfyldt:

4.   Hvad angår håndbåren transport af informationer, der er klassificeret CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET, fra én medlemsstat til en anden medlemsstat, som udføres af tilskudsmodtagerens ansatte, gælder desuden følgende yderligere regler:

Hvis en forsendelse åbnes af toldmyndighederne, bør dette ske således, at uautoriserede personer ikke kan se indholdet, og om muligt i kurerens nærvær. Kureren anmoder om, at forsendelsen pakkes om, og beder de myndigheder, der udfører inspektionen, om at forsegle forsendelsen på ny samt skriftligt bekræfte, at de har åbnet den.

5.   Håndbåren transport af informationer, der er klassificeret RESTREINT UE/EU RESTRICTED, CONFIDENTIEL UE/EU CONFIDENTIAL og SECRET UE/EU SECRET, til et tredjeland eller en international organisation, som udføres af tilskudsmodtagerens ansatte, er omfattet af bestemmelserne i aftalen om informationssikkerhed eller den administrative ordning, der er indgået mellem henholdsvis Den Europæiske Union eller Kommissionen og det pågældende tredjeland eller den pågældende internationale organisation.