1.   I denne afgørelse fastsættes roller og ansvarsområder for de vigtigste sikkerhedsaktører, der er ansvarlige for beskyttelse af EU's klassificerede informationer (EUCI) i Kommissionen i henhold til afgørelse (EU, Euratom) 2015/443 og (EU, Euratom) 2015/444.

2.   Denne afgørelse finder anvendelse på alle Kommissionens tjenestegrene og på alle Kommissionens lokaliteter.

1.   Direktøren for Sikkerhedsdirektoratet i Generaldirektoratet for Menneskelige Ressourcer og Sikkerhed er Kommissionens sikkerhedsmyndighed (CSA), jf. artikel 7 i afgørelse (EU, Euratom) 2015/444.

2.   CSA'en udfører sine opgaver på følgende områder som fastsat i afgørelse (EU, Euratom) 2015/444 i overensstemmelse med artikel 3-7 i denne afgørelse:

3.   CSA'en tilbyder obligatorisk uddannelse af de lokale sikkerhedsansvarlige (LSO'er), stedfortrædende LSO'er, arkivansvarlige (RCO'er) og stedfortrædende RCO'er i deres ansvarsområder og opgaver.

1.   CSA'en er ansvarlig for at akkreditere sikrede områder, der opfylder kravene i artikel 18 i afgørelse 2015/444, og CIS'er til håndtering af EUCI.

2.   Kommissionens tjenestegrene hører sikkerhedsgodkendelsesmyndigheden i samarbejde med deres LSO og deres lokale IT-sikkerhedsansvarlige (LISO), alt efter hvad der er relevant, når en afdeling har til hensigt at:

Sikkerhedsakkrediteringsmyndigheden (SAA) yder rådgivning om disse aktiviteter under både planlægnings- og anlægs- eller udviklingsprocesserne.

3.   EUCI må ikke håndteres i et sikret område eller et CIS, før sikkerhedsgodkendelsesmyndigheden har udstedt en godkendelse på det relevante klassifikationsniveau.

4.   Kravene til godkendelse af et sikret område omfatter:

5.   Kravene til godkendelse af et CIS, der håndterer EUCI, omfatter:

6.   Når kravene til akkreditering er opfyldt, udsteder sikkerhedsgodkendelsesmyndigheden en formel autorisation til håndtering af EUCI i det sikrede område eller CIS, til et angivet maksimalt klassifikationsniveau for EUCI og i op til 5 år afhængigt af klassifikationsniveauet af de EUCI, der håndteres, og de involverede risici.

7.   Efter underretning om et sikkerhedsbrud eller en væsentlig ændring af udformningen af eller sikkerhedsforanstaltningerne i et sikret område eller CIS gennemgår sikkerhedsgodkendelsesmyndigheden autorisationen til at håndtere EUCI og kan om nødvendigt tilbagekalde denne, indtil eventuelle konstaterede problemer er løst.

1.   TEMPEST-sikkerhedsforanstaltninger gennemføres for at beskytte CIS'er, der håndterer informationer, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, og kan gennemføres for informationer, der er klassificeret på RESTREINT UE/EU RESTRICTED-niveau.

2.   TEMPEST-myndigheden er ansvarlig for at godkende de foranstaltninger, der træffes for at beskytte mod kompromittering af EUCI gennem utilsigtede elektroniske emissioner.

3.   Efter anmodning fra en ejer af et CIS-system, der håndterer EUCI, udsteder TEMPEST-myndigheden specifikationer for TEMPEST-sikkerhedsforanstaltninger, alt efter hvad der er relevant for informationernes klassifikationsniveau.

4.   TEMPEST-myndigheden udfører teknisk afprøvning i forbindelse med akkrediteringen af sikrede områder og CIS'er til håndtering af EUCI, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, og udsteder efter vellykket testning et TEMPEST-certifikat.

5.   Et TEMPEST-certifikat skal mindst indeholde følgende oplysninger:

6.   En LSO eller en mødearrangør med ansvar for at tilrettelægge et klassificeret møde i samarbejde med LSO'en kan anmode TEMPEST-myndigheden om at teste mødelokaler for at sikre, at de er teknisk sikrede.

1.   Kryptogodkendelsesmyndigheden er ansvarlig for at godkende anvendelsen af krypteringsteknologier.

2.   Kryptogodkendelsesmyndigheden yder vejledning om kravene til anvendelse og godkendelse af krypteringsteknologier.

3.   Kryptogodkendelsesmyndigheden godkender anvendelsen af krypteringsløsninger på grundlag af en anmodning fra systemejeren. Godkendelsen baseres på en tilfredsstillende evaluering af mindst:

4.   Kryptogodkendelsesmyndigheden fører et register over godkendte krypteringsløsninger.

1.   Kryptodistributionsmyndigheden er ansvarlig for distribution af kryptografiske materialer, der anvendes til beskyttelse af EUCI (hovedsagelig krypteringsudstyr, kryptografiske nøgler, certifikater og relaterede autentifikatorer) til følgende:

2.   Kryptodistributionsmyndigheden kan uddelegere distributionen af kryptografiske materialer til tredjeparter til andre afdelinger i overensstemmelse med artikel 17, stk. 3, i afgørelse 2015/443.

3.   Kryptodistributionsmyndigheden sikrer, at alle kryptografiske materialer sendes via sikre kanaler, der beskytter mod og dokumenterer eventuel manipulation, i overensstemmelse med de gældende sikkerhedsregler for klassifikationsgraden for de EUCI, der vil blive beskyttet af disse materialer.

4.   Kryptodistributionsmyndigheden skal vejlede LSO'en og, hvor det er relevant, LISO'en i hver af de afdelinger i Kommissionen, der er involveret i produktion, distribution eller brug af kryptografiske materialer.

5.   Kryptodistributionsmyndigheden sikrer, at der udarbejdes passende SecOP'er for distributionsprocessen.

1.   Hver afdelingschef udpeger:

2.   Afdelingschefen anmoder om godkendelse fra direktøren for Sikkerhedsdirektoratet i Generaldirektoratet for Menneskelige Ressourcer og Sikkerhed forud for udnævnelsen af LSO'er, stedfortrædende LSO'er, RCO'er og stedfortrædende RCO'er.

3.   Afdelingschefen identificerer i samråd med LSO'en alle stillinger, der kræver sikkerhedsgodkendelse til at tilgå EUCI. Ansøgere til sådanne stillinger underrettes om kravet om godkendelse under ansættelsesproceduren.

4.   Lederen af en afdeling, der ligger inde med EUCI, er ansvarlig for at aktivere nøddestruktionsplaner og evakueringsplaner, når det er nødvendigt. Planerne skal omfatte en alternativ strategi til situationer, hvor afdelingslederen ikke kan kontaktes.

1.   Systemejeren kontakter sikkerhedsgodkendelsesmyndigheden så tidligt som muligt i et projekt til implementering af et CIS, der håndterer EUCI, med henblik på at fastlægge de relevante sikkerhedsstandarder og -krav og indlede processen med sikkerhedsgodkendelse.

2.   Systemejeren sikrer, at sikkerhedsforanstaltningerne opfylder kravene fra sikkerhedsgodkendelsesmyndigheden, og at CIS'et ikke håndterer EUCI, før det er blevet akkrediteret.

3.   Systemejeren kontakter kryptogodkendelsesmyndigheden med henblik på godkendelse til at anvende krypteringsteknologier. Systemejere må ikke anvende krypteringsteknologier i produktionssystemer uden forudgående godkendelse.

4.   Systemejeren skal rådføre sig med afdelingens LISO om spørgsmål vedrørende CIS'ers sikkerhed.

5.   Systemejeren skal mindst en gang om året gennemgå de sikkerhedsforanstaltninger, der gælder for et system, herunder dets sikkerhedsplan.

6.   Hvis en sikkerhedshændelse indtræffer i et CIS, som tyder på, at CIS'et ikke længere kan beskytte EUCI i tilstrækkelig grad, underretter systemejeren LSO'en og kontakter straks sikkerhedsgodkendelsesmyndigheden med henblik på rådgivning om det videre forløb. I så fald kan godkendelsen suspenderes, og systemet kan blive taget ud af drift, indtil der er truffet passende korrigerende foranstaltninger.

7.   Systemejeren skal til enhver tid give sikkerhedsgodkendelsesmyndigheden fuld støtte i forbindelse med dennes opgaver vedrørende akkreditering af CIS'et.

1.   LSO'en og de stedfortrædende LSO'er er tjenestemænd eller midlertidigt ansatte.

2.   Alle LSO'er og stedfortrædende LSO'er skal have en gyldig sikkerhedsgodkendelse til at tilgå EUCI op til klassifikationsniveau SECRET UE/EU SECRET og om nødvendigt op til klassifikationsniveau TRES SECRET UE/EU TOP SECRET. LSO'en eller den stedfortrædende LSO skal opnå sikkerhedsgodkendelsen, inden vedkommende udpeges.

3.   Kommissionens repræsentationer kan anmode CSA'en om at indrømme en undtagelse fra kravene i stk. 1 og 2.

1.   LSO'en i den pågældende tjenestegren i Kommissionen udarbejder SecOP'er for hvert sikret område, som hører under deres ansvarsområde.

2.   LSO'en skal sikre, at SecOP'erne omfatter følgende krav:

1.   LSO'en har det overordnede ansvar for at sikre korrekt håndtering og opbevaring af nøgler og kombinationer, der anvendes i eller til at få adgang til sikrede områder. Nøgler og kombinationer skal opbevares i en sikkerhedscontainer og beskyttes med mindst samme beskyttelsesniveau som det materiale, de giver adgang til.

2.   LSO'en fører et register over sikkerhedscontainere og bokslokaler sammen med en ajourført liste over alle medarbejdere, der har uledsaget adgang til dem.

3.   LSO'en fører et register over nøgler til sikkerhedscontainere og bokslokaler, herunder de medarbejdere, som har fået dem tildelt. Der skal opbevares et modtagelsesbevis for hver nøgle, der udstedes, herunder nøgleidentifikation, modtager, dato og klokkeslæt.

4.   Nøgler og kombinationer udstedes kun til medarbejdere, der har behov for det, og som har fået den relevante autorisation til at tilgå EUCI. LSO'en skal indsamle enhver nøgle i tilfælde, hvor disse betingelser ikke længere er opfyldt.

5.   LSO'en opbevarer reservenøgler og en skriftlig fortegnelse over hver kombinationsindstilling i individuelle forseglede, uigennemsigtige, underskrevne og daterede kuverter, som tilvejebringes af den medarbejder, der er ansvarlig for nøglerne. Disse kuverter skal opbevares i en sikkerhedscontainer, der er godkendt til det højeste klassificeringsniveau for materiale, der opbevares i den relevante beholder eller det relevante bokslokale.

6.   Hvis en konvolut i forbindelse med en ændring af kombination eller nøglerotation viser tegn på manipulation eller beskadigelse, skal LSO'en behandle dette som en sikkerhedshændelse og straks underrette CSA'en.

7.   Ændringer af kombinationsindstillingerne for sikkerhedscontainere i sikrede områder foretages under tilsyn af LSO'en. Kombinationer skal indstilles på ny mindst hver 12. måned, og når:

8.   LSO'en fører et register over datoerne for de ændringer af kombinationen, der er omhandlet i stk. 7.

1.   LSO'en bistår afdelingschefen med at udarbejde planer for nødflytning og nøddestruktion af EUCI på grundlag af vejledning fra HR.DS.

2.   LSO'en sikrer, at alt udstyr, der er nødvendigt for driften af de planer, der er omhandlet i stk. 1, er let tilgængeligt og funktionsdygtigt.

3.   LSO'en vurderer sammen med de embedsmænd, der er udpeget i de i stk. 1 omhandlede planer, mindst hver 12. måned planernes parathed, og træffer alle nødvendige foranstaltninger for at ajourføre dem.

1.   LSO'en fører en fortegnelse over alle stillinger i afdelingen, der kræver en sikkerhedsgodkendelse fra Kommissionen, og det personale, der varetager disse stillinger. Kravet om en sikkerhedsgodkendelse skal angives i stillingsopslaget i forbindelse med ansættelsesproceduren og meddeles ansøgeren under samtalen.

2.   LSO'en fører tilsyn med alle anmodninger om sikkerhedsgodkendelser med henblik på at få adgang til EUCI. LSO'en er kontaktpunkt i den pågældende tjenestegren og samarbejder med CSA'en om sikkerhedsgodkendelserne.

3.   LSO'en indgiver anmodningen om at iværksætte sikkerhedsgodkendelsesproceduren for den pågældende medarbejder og sikrer, at medarbejderen straks sender spørgeskemaet om national sikkerhedsgodkendelse tilbage til CSA'en.

4.   LSO'en sikrer, at sikkerhedsgodkendte medarbejdere i afdelingen følger den obligatoriske EUCI-briefing for at opnå deres sikkerhedsgodkendelse.

5.   LSO'en holder regelmæssigt kontakt med tjenestegrenens personaletjeneste for at informere om alle ændringer i stillinger, der kræver sikkerhedsgodkendelse, og underretter straks CSA'en om eventuelle ændringer.

6.   LSO'en underretter CSA'en om ankomsten af nye medarbejdere, der allerede har sikkerhedsgodkendelse til at tiltræde en stilling, der kræver en sikkerhedsgodkendt medarbejder.

7.   LSO'en sikrer, at personalet i afdelingen afslutter proceduren for fornyelse af en sikkerhedsgodkendelse inden for den fastsatte frist. Enhver medarbejder, der nægter at gennemføre proceduren, er forpligtet til at lade sig overflytte til en stilling, som ikke kræver en sikkerhedsgodkendt medarbejder.

1.   Hvis en afdeling driver et EUCI-arkiv, fører LSO'en tilsyn med RCO'ernes aktiviteter vedrørende håndtering af EUCI og overholdelse af reglerne for sikkerhedsbeskyttelse af EUCI.

2.   LSO'en udfører følgende kontroller mindst hver 12. måned og ved udskiftning af en RCO eller en stedfortrædende RCO:

3.   LSO'en foretager mindst en gang om måneden stikprøvekontrol af arkivet over klassificerede dokumenter og af nyligt modtagne klassificerede dokumenter for at sikre, at dokumenterne registreres korrekt.

4.   Alle kontroller registreres i arkivet med klassificerede dokumenter.

1.   RCO'en og de stedfortrædende RCO'er er tjenestemænd eller midlertidigt ansatte.

2.   Alle RCO'er og stedfortrædende RCO'er skal have en gyldig sikkerhedsgodkendelse til at tilgå EUCI op til klassifikationsniveau SECRET UE/EU SECRET og om nødvendigt op til klassifikationsniveau TRES SECRET UE/EU TOP SECRET. RCO'en eller den stedfortrædende RCO skal opnå sikkerhedsgodkendelsen, inden vedkommende udpeges.

3.   Kommissionens repræsentationer kan anmode CSA'en om at indrømme en undtagelse fra kravene i stk. 1 og 2.

1.   RCO'er registrerer af sikkerhedshensyn oplysninger, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, når:

2.   RCO'er registrerer alle hændelser i livscyklussen for alle informationer, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere. RCO'er sikrer også, at alle informationer, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller tilsvarende, og som udveksles med tredjelande og internationale organisationer, registreres. Dette sker i samordning med det EUCI-arkiv, der forvaltes af Generalsekretariatet.

3.   RCO'en registrerer dokumenter, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, i registret over klassificerede dokumenter og sikrer, at de opbevares sikkert i EUCI-arkivet.

4.   RCO'en bistår Kommissionens personale med at udarbejde og sende informationer, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere.

5.   Når dokumenter, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, modtages fra andre afdelinger eller eksterne parter, sikrer RCO'en, at kvitteringen for levering returneres til udstederen.

6.   Inden en medarbejder får adgang til et klassificeret dokument, der opbevares i EUCI-arkivet, kontrollerer RCO'en sammen med LSO'en, at medarbejderen er sikkerhedsgodkendt af CSA'en.

7.   RCO'en skal logge alt personale, der kommer ind i og forlader EUCI-arkivet, og som ikke har tilladelse til at have uledsaget adgang, og ledsage dem under hele besøget.

8.   Når en medarbejder udtager et dokument med henblik på opslag uden for EUCI-arkivet, sikrer RCO'en, at vedkommende er bekendt med de relevante kompenserende sikkerhedsforanstaltninger, og at medarbejderen returnerer dokumentet, så snart det ikke længere skal bruges. RCO'en minder personalet om at returnere sådanne dokumenter så hurtigt som muligt.

9.   EUCI-arkivet udsteder et kurercertifikat, hvis klassificerede dokumenter transporteres i hånden uden for det land, hvor arkivet er beliggende.

10.   Detaljerede instrukser til RCO'er om registrering af klassificerede dokumenter skal fremgå af en sikkerhedsmeddelelse.

1.   RCO'er er ansvarlige for at destruere informationer, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, ved hjælp af godkendte midler, eventuelt under tilstedeværelse af sikkerhedsgodkendte vidner.

2.   RCO'er registrerer enhver destruktion af informationer, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, i arkivet med klassificerede dokumenter og opbevarer de tilsvarende destruktionsattester i EUCI-arkivet.

1.   RCO'en yder al nødvendig bistand til LSO'en, når LSO'en udfører tilsynsaktiviteter i EUCI-arkivet.

2.   RCO'en indberetter alle formodede eller faktiske sikkerhedshændelser til LSO'en, som derefter indberetter dem til CSA'en.

3.   RCO'en i EUCI-arkivet tilhørende en af Kommissionens tjenestegrene, der afholder et møde, der er klassificeret på CONFIDENTIEL UE/EU CONFIDENTIAL-niveau eller højere, forbereder de EUCI, der vil blive behandlet på mødet, og koordinerer med mødearrangøren med henblik på at sikre, at alle dokumenter og kvitteringer håndteres i overensstemmelse med de relevante regler.